KONINKRIJK BELGIE Brussel, Adres : Hoogstraat, 139, B-1000 Brussel Tel.: +32(0)2/213.85.40 E-mail : commission@privacycommission.be Fax.: +32(0)2/213.85.65 http://www.privacy.fgov.be COMMISSIE VOOR DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER BERAADSLAGING RR Nr 51 / 2005 van 21 december 2005 O. Ref. : SA2 / RN / 2005 / 042 BETREFT : Aanvraag van het Ministerie van de Franse Gemeenschap, Secretariaatgeneraal, om het identificatienummer van het Rijksregister te gebruiken in het kader van een kadaster van niet-handelaars. De Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, inzonderheid artikel 31bis; Gelet op de wet van 25 maart 2003 tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en van de wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, inzonderheid artikel 19, 3; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van het Ministerie van de Franse Gemeenschap, Secretariaatgeneraal, ontvangen op 14 oktober 2005 en de bijkomende informatie ontvangen op 8 november 2005; Gelet op de aanvraag van het technisch en juridisch advies op 18 november 2005; Gelet op het verslag van de voorzitter; Beslist op 21 december 2005, na beraadslaging, als volgt: Ber RR 51 / 2005-1 / 6
I. VOORWERP VAN DE AANVRAAG. ------------------------------------------------------- De aanvraag heeft tot doel om het Ministerie van de Franse Gemeenschap, Secretariaat-generaal, hierna de aanvrager genoemd, te machtigen om het identificatienummer van het Rijksregister te gebruiken (art. 8 WRR) in het kadaster van niet-handelaars. Uit de documenten die bij de aanvraag werden gevoegd, blijkt dat de aanvrager met het oog op de uitbouw van dit kadaster een beroep doet op een onderaannemer namelijk de Université Libre de Bruxelles, Centre de Sociologie, du Travail, de l Emploi et de la Formation, hierna ULB. Bijgevolg, wordt deze aanvraag beschouwd als een aanvraag tot machtiging in hoofde van zowel de aanvrager als de onderaannemer. II. ONDERZOEK VAN DE AANVRAAG. --------------------------------------------------------- A. TOEPASSELIJKE WETGEVING. A.1. Wet van 8 augustus 1983 (WRR). Overeenkomstig de artikel 8 WRR wordt de machtiging, om het identificatienummer van het Rijksregister te gebruiken, verleend door het sectoraal comité van het Rijksregister (de Commissie) aan openbare of private instellingen van Belgische recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. Artikel 4 van het decreet van de Franse Gemeenschap van 17 december 2003 betreffende de werkgelegenheid in de sociaal-culturele sectoren houdende diverse bepalingen, bepaalt: Mits inachtneming van de voorwaarden bepaald in het decreet en voor de activiteitssectoren opgesomd bij artikel 2, kent de Regering aan de werkgevers een subsidie voor tewerkstelling toe die geheel of gedeeltelijk bestemd is voor het dekken van de bezoldigingen, de sociale uitkeringen en verscheidene lasten.. In het decreet worden verder de nadere modaliteiten voor de vaststelling en de uitbetaling van deze subsidie vastgesteld. Deze subsidies worden gefinancierd met overheidsgelden. Het is essentieel dat deze overheidsgelden correct worden besteed, dit wil zeggen o.a. overeenkomstig de modaliteiten van het decreet van 17 december 2003 en de diverse uitvoeringsbesluiten. Dit kan als een taak van algemeen belang bestempeld worden. De aanvrager komt als Belgische openbare overheid op grond van artikel 5, eerste lid, 2, WRR in aanmerking om het identificatienummer van het Rijksregister te gebruiken. Zijn onderaannemer is een rechtspersoon die op basis van artikel 5, eerste lid, 3, WRR in aanmerking komt om dit nummer te gebruiken. A.2. Wet van 8 december 1992 (WVP). Op grond van art. 4 WVP vormt het identificatienummer van het Rijksregister een persoonsgegeven, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. Ber RR 51 / 2005-2 / 6
B. FINALITEIT. B.1. Artikel 5, 1, tweede lid, van het decreet van 17 december 2003 zegt dat om de in artikel 4 bedoelde subsidie te kunnen genieten, kunnen de werkgevers voor dezelfde werknemer, niet één of meer andere subsidie(s) van de overheid ontvangen die, opgeteld bij de steun bedoeld bij dit decreet, hoger zou(den) zijn dan de totale kosten voor de bezoldiging, de sociale lasten en diverse lasten voor die werknemer.. Daarnaast vereist artikel 18, 2, laatste lid, dat na afloop van een overgangsperiode die een einde neemt op 31 december 2004, het aantal voltijdse equivalente betrekkingen vastgesteld wordt. Deze betrekkingen vormen de basis voor een puntenverdeling die een rol zal spelen bij de toebedeling van subsidies. Met het oog op de correcte toepassing van deze bepalingen is het dan ook essentieel dat de aanvrager de werknemers, die tewerkgesteld zijn in de activiteitssectoren waarop voormeld decreet van toepassing is, correct kan identificeren. B.2. De uitbouw van een kadaster, eigenlijk een databank, moet in die context gesitueerd worden. Gelet op het feit dat de aanvrager niet over de technische know-how en het personeel beschikt om die databank te organiseren en te stofferen, verzamelde de ULB, in opdracht van de aanvrager voor het jaar 2005 reeds informatie. Deze databank zal een werkinstrument vormen. Het is bijgevolg belangrijk dat de informatie die erin wordt opgenomen correct is en dus dat per werknemer de verzamelde informatie op zijn juistheid getoetst wordt. De Commissie stelt vast dat de nagestreefde doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van art. 4, 1, 2 van de wet van 8 december 1992. C. PROPORTIONALITEIT. C. 1. Gebruik van het identificatienummer Het identificatienummer van het Rijksregister is een uniek nummer dat toelaat, zeker wanneer het gebruikt wordt in combinatie met bijvoorbeeld de naam en de voornaam, iemand heel nauwkeurig te identificeren,. Zoals onder punt B vermeld, vereist een correcte toepassing van de subsidieregeling van het decreet van 17 december 2003 een nauwkeurige identificatie van de werknemers. Het is dus belangrijk dat vergissingen die kunnen ontstaan door o.a. homonymie uitgesloten worden evenals pogingen om de regeling te omzeilen. Het gebruik van het identificatienummer is daartoe het instrument bij uitstek. Dit geldt evenzeer met het oog op het nagaan of de juiste informatie met betrekking tot de juiste persoon in het kadaster werd ingevoerd. De Commissie stelt vast dat het gebruik van het identificatienummer van het Rijksregister, rekening houdend met de doeleinden, in overeenstemming is met artikel 4, 1, 3, WVP. C.2. Ten opzichte van de duur waarvoor het gebruik gevraagd wordt C.2.1. De aanvrager vraagt het gebruik voor onbepaalde duur. De Commissie stelt vast dat de taken waarmee de aanvrager ter uitvoering van het decreet van 17 december 2003 belast wordt, niet in de tijd beperkt zijn. In het licht van de doeleinden is dan ook een machtiging van onbepaalde duur aangewezen (artikel 4, 1, 3 WVP). Ber RR 51 / 2005-3 / 6
C.2.2. Voor wat de onderaannemer ULB betreft zal de duur van de machtiging vanzelfsprekend beperkt zijn tot periode gedurende dewelke de aanvrager, in het licht van de hoger vermelde doelstellingen, een beroep doet op zijn diensten. C.3. Ten opzichte van de bewaartermijn C.3.1. De aanvrager stelt geen concrete bewaartermijn voorop. Zolang een werknemer in een van de activiteitssectoren geviseerd door het decreet van 17 december 2003 tewerkgesteld is, zal de aanvrager het identificatienummer bewaren. Van zodra de werknemer niet langer actief is in die sectoren, zal de aanvrager diens gegevens, inclusief het identificatienummer, wissen. De Commissie stelt vast dat de aanvrager eigenlijk het identificatienummer niet langer bewaart dan noodzakelijk is voor het uitvoeren van zijn taken, wat verenigbaar is met artikel 4, 1, 5, WVP. C.3.2. Voor wat de onderaannemer ULB betreft zal de bewaarduur vanzelfsprekend beperkt zijn tot de periode gedurende dewelke de aanvrager, in het licht van de hoger vermelde doelstellingen, een beroep doet op zijn diensten. C.4. Intern gebruik en/of mededeling aan derden Volgens de aanvraag zal het identificatienummer uitsluitend intern gebruikt worden door de aanvrager evenals door zijn onderaannemer de ULB. Het contract tussen de aanvrager en de ULB, waarin de punten voorzien in artikel 16 WVP worden geregeld, werd voorgelegd. De Commissie heeft er akte van genomen. C. 5. Netwerkverbindingen Uit de uitleg verstrekt door de aanvrager blijkt dat het identificatienummer uitsluitend intern gebruikt wordt om een werknemer te kunnen volgen. Dit betekent dat er geen netwerkverbindingen tot stand komen waardoor gegevens van verschillende instanties gekoppeld worden op basis van dit nummer. De Commissie vestigt er de aandacht op dat indien er later netwerkverbindingen mochten tot stand komen: - de aanvrager de Commissie daarvan onmiddellijk op de hoogte moet brengen; - het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover deze laatste eveneens gemachtigd zijn om dit nummer te gebruiken. D. BEVEILIGING. D.1. Consulent inzake informatieveiligheid De aanvrager deelde de identiteit van de consulent inzake informatieveiligheid mee. Uit de zeer summiere informatie die met betrekking tot deze persoon werd verstrekt, blijkt dat hij zich kennelijk uitsluitend met informaticaveiligheid bezig houdt. De Commissie legt er de nadruk op dat informatieveiligheid ruimer is dan informaticaveiligheid. Een consulent inzake informatieveiligheid moet in alle onafhankelijkheid de informatieveiligheid kunnen appreciëren. De summiere informatie die m.b.t. deze consulent werd meegedeeld, laat de Commissie niet toe om daarover een oordeel te vellen. Ber RR 51 / 2005-4 / 6
Vooraleer een definitief standpunt in te nemen m.b.t. de aanvaardbaarheid van de voorgestelde consulent inzake informatieveiligheid, wenst de Commissie meer informatie te ontvangen omtrent: - het functieprofiel, met aanduiding van de plaats in de organisatie, de resultaatgebieden en de vereiste competenties; - de vorming die de betrokkene heeft genoten of zal genieten; - de tijd die de betrokkene aan de functie kan besteden; - de eventuele andere functies die de betrokkene uitoefent en die niet onverenigbaar mogen zijn met de functie van consulent inzake informatieveiligheid. Voor wat de onderaannemer ULB betreft, werd de identiteit van de consulent inzake informatieveiligheid niet meegedeeld. D.2. Informatieveiligheidsplan Er wordt geen informatieveiligheidsplan opgesteld door de consulent inzake informatieveiligheid voorgelegd. De aanvrager signaleert wel dat hij bezig is met het opstellen van dergelijk plan. De Commissie herinnert aan de verplichting dat de consulent inzake informatieveiligheid een informatieveiligheidsplan moet opstellen waarin alle veiligheidsfacetten worden opgesomd en omschreven. Hierbij wordt de aandacht gevestigd op het feit dat informatieveiligheid niet beperkt is tot technische veiligheid op informaticavlak. Het omvat o.a. beveiligingseisen t.o.v. personeel, fysieke beveiliging van de omgeving, toegangsbeveiliging, ontwikkeling en onderhoud van het systeem, continuïteitsmanagement, interne en externe controle, beheer van communicatie- en bedieningsprocessen,. D.3. Personen die het identificatienummer gebruiken en lijst van deze personen Volgens de aanvraag zal het aantal personen die het identificatienummer van het Rijksregisternummer gebruiken beperkt zijn tot de verantwoordelijke en de coördinator. In dit verband stipt de Commissie aan dat het de voorkeur verdient dat de personen die gemachtigd zullen zijn de toegang tot de informatiegegevens te verkrijgen, niet meer op basis van organieke criteria zouden worden aangeduid maar dat hiervoor functionele criteria zouden worden aangewend. Hetzelfde geldt voor het gebruik van het identificatienummer. De Commissie vestigt er de aandacht op dat: - in toepassing van artikel 12 WRR, er een lijst van deze personen moet worden opgesteld die voortdurend wordt bijgewerkt; - de voormelde lijst ter beschikking moet worden gehouden van de Commissie voor de bescherming van de persoonlijke levenssfeer; - de betrokken personen een schriftelijke verklaring moeten ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens waartoe zij toegang krijgen, te bewaren. Dit geldt zowel voor de aanvrager als zijn onderaannemer ULB. Ber RR 51 / 2005-5 / 6
OM DEZE REDENEN, De Commissie 1 machtigt het Ministerie van de Franse Gemeenschap, Secretariaat-generaal, en zijn onderaannemer de Université Libre de Bruxelles, Centre de Sociologie, du Travail, de l Emploi et de la Formation, met het oog op de realisatie van de doeleinden vermeld onder punt B en onder de voorwaarden uiteengezet in de beraadslaging om, voor wat eerstgenoemde betreft, voor onbepaalde duur het identificatienummer van het Rijksregister te gebruiken. De machtiging is voor wat de Université Libre de Bruxelles, Centre de Sociologie, du Travail, de l Emploi et de la Formation betreft beperkt tot de periode gedurende dewelke het Ministerie van de Franse Gemeenschap, Secretariaat-generaal, een beroep doet op zijn diensten. Deze machtiging zal evenwel slechts uitwerking krijgen nadat de Commissie: - op basis van de door het Ministerie van de Franse Gemeenschap, Secretariaat-generaal, verstrekte stukken en inlichtingen, heeft vastgesteld dat : - de voorgestelde consulent inzake informatieveiligheid geschikt is voor deze functie; - een informatieveiligheidsplan aanwezig is waarin rekening wordt gehouden met de opmerkingen geformuleerd in punt D.2. - op basis van de door de Université Libre de Bruxelles, Centre de Sociologie, du Travail, de l Emploi et de la Formation, verstrekte stukken en inlichtingen, heeft vastgesteld dat: - een consulent inzake informatieveiligheid werd aangeduid die geschikt is voor deze functie; - een informatieveiligheidsplan aanwezig is waarin rekening wordt gehouden met de opmerkingen geformuleerd in punt D.2. 2 bepaalt de Commissie dat wanneer zij aan het Ministerie van de Franse Gemeenschap, Secretariaat-generaal, en aan de Université Libre de Bruxelles, Centre de Sociologie, du Travail, de l Emploi et de la Formation een vragenlijst met betrekking tot de informatieveiligheidstatus toestuurt, deze laatsten deze lijst waarheidsgetrouw moeten invullen en terugbezorgen aan de Commissie. De Commissie zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De administrateur, De voorzitter, Jo BARET (get.) Michel PARISSE Voor de Administrateur verhinderd, (get.) Patrick VAN WOUWE Afdelingshoofd ORM Voor eensluidend verklaard afschrift: Voor de Administrateur verhinderd, Patrick VAN WOUWE, afdelingshoofd ORM 23.12.2005 Ber RR 51 / 2005-6 / 6