1/9 Sectoraal comité van het Rijksregister Beraadslaging RR nr 06/2017 van 15 februari 2017 Betreft: machtigingsaanvraag van het Secretariaat-generaal van het Ministerie van de Franse Gemeenschap om toegang te hebben tot het Rijksregister en het recht om het rijksregisternummer te gebruiken voor het boekhoudkundig beheer van het Ministerie (RN-MA-2016-026) Het Sectoraal comité van het Rijksregister (hierna "het comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis ; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer ; Gelet op de aanvraag van het Secretariaat-generaal van de Franse Gemeenschap ontvangen op 18/10/2016; Gelet op de bijkomende informatie ontvangen op 20/12/2016 en 01/2017 ; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 16/01/2017;
Beraadslaging RR 06/2017-2/9 Gelet op het verslag van de Voorzitter; Beslist op 15 februari 2017 na beraadslaging, als volgt I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. Het Secretariaat-generaal van het Ministerie van de Franse Gemeenschap, hierna "de aanvrager" genoemd, diende een aanvraag in bij het Comité om de cel gegevensbeheer "maîtres fournisseurs/bénéficiaires», dat behoort tot de "Direction générale de la Coordination et de l Appui (GDCA)", te machtigen toegang te hebben tot het Rijksregister en het rijksregisternummer te gebruiken voor boekhoudkundig beheer en dat alle boekhouders-correspondenten en aankopers van alle diensten van het Ministerie van de Franse Gemeenschap gemachtigd zijn om het rijksregisternummer te gebruiken als identificator voor alle schuldeisers en schuldenaars ten aanzien van het Ministerie van de Franse Gemeenschap, uitgezonderd de personen die schuldenaar of schuldeiser zijn binnen een contractuele of statutaire arbeidsrelatie. 2. De aanvrager verduidelijkt dat deze toegang tot het Rijksregister in een eerste fase zal gebeuren via de Kruispuntbank voor gegevensuitwisseling en in een tweede fase op een geïntegreerde wijze. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 3. De machtiging om het identificatienummer van het Rijksregister te gebruiken en om toegang tot of om mededeling te verkrijgen van de informatiegegevens bedoeld in artikel 3, eerste en tweede lid, WRR en om het rijksregisternummer te gebruiken, wordt verleend door het Comité "aan de Belgische openbare overheden voor de informatiegegevens die zij gemachtigd zijn te kennen uit hoofde van een wet, een decreet of een ordonnantie". (Artikel 5, 1ste lid, 1 en 8 van de WRR) 4. De aanvrager is een overheidsdienst als bedoeld in artikel 5, 1ste lid, 1 van de WRR. 5. Uit wat voorafgaat, blijkt dat voorliggende aanvraag ontvankelijk is.
Beraadslaging RR 06/2017-3/9 A.2. Wet van 8 december 1992 (WVP) 6. De informatiegegevens en het rijksregisternummer zijn persoonsgegevens. Artikel 4, 1, 1 van de WVP vereist van iedere verantwoordelijke voor de verwerking dat hij uitsluitend persoonsgegevens verzamelt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. B. DOELEINDE 7. De aanvrager wenst dat de Cellule de gestion des données "maîtres fournisseurs/bénéficiaires ", die behoort tot de "Direction générale de la Coordination et de l Appui (GDCA)" van het Ministerie van de Franse Gemeenschap toegang krijgt tot het Rijksregister om gegevensverwerkingen te kunnen verrichten die nodig zijn voor het boekhoudkundig beheer van het Ministerie en meer bepaald om in te staan voor de kwaliteit van de persoonsgegeven die opgenomen zijn in de geïntegreerde software boekhoudkundige processen (GLADIS). Zo wil hij de identificatiegegevens identificeren, verifiëren en actualiseren van alle personen die ten opzichte van het Ministerie van de Franse Gemeenschap tegoeden of schulden hebben en die zijn opgenomen in de GLADIS-applicatie (namelijk alle schuldeisers en schuldenaars van schulden met uitzondering van personen die deze hoedanigheid hebben binnen een arbeidsrelatie met de Franse Gemeenschap 1 ). 8. De aanvrager moet in de uitoefening van zijn opdrachten van openbare dienstverlening door de aard ervan onkosten maken en instaan voor het boekhoudkundig beheer van zijn budget. Hij moet in dit kader waken over de kwaliteit van de identificatiegegevens van zijn schuldeisers. Uit de regelgeving blijkt overigens dat alleen de vastgestelde rechten 2 in aanmerking mogen genomen worden in de begroting en boekhouding van de Diensten van de Regering van de Franse Gemeenschap en dat een interne controle moet opgezet worden om te kunnen instaan voor een behoorlijke risicobeheersing op gebied van betrouwbaarheid en integriteit van de operationele en financiële gegevens (art. 2 en 46 van het Decreet van 20 december 2011 houdende regeling van de begroting en de boekhouding van de Diensten van de Regering van de Franse Gemeenschap). 9. Uit wat voorafgaat, blijkt dat de nagestreefde doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn op grond van de artikelen 4, 1, 2 en 5, eerste lid, e) van de WVP en artikel 5, tweede lid van de WRR. 1 Hetzij de klanten, leveranciers, subsidiegerechtigden, presentiegelden, verkopen, onkostenvergoeding,... 2 Gedefinieerd als rechten die alle volgende voorwaarden vervullen: a) het bedrag is nauwkeurig bepaald, b) de identiteit van de schuldenaar of schuldeiser kan worden bepaald, c) de verplichting tot betaling bestaat, d) een bewijsstuk is in het bezit van de entiteit bedoeld in artikel 3.
Beraadslaging RR 06/2017-4/9 C. PROPORTIONALITEIT 10. Artikel 4, 1, 3 van de WVP stelt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig moeten zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. C.1 Betreffende de gegevens 11. De aanvrager vraagt om gemachtigd te worden om toegang te hebben tot de gegevens als bedoeld in artikel 3, 1ste lid, 1 en 5 van de WRR betreffende iedere persoon die opgenomen is in zijn GLADIS-applicatie voor boekhoudkundig beheer (alle schuldenaars en schuldeisers van de Franse Gemeenschap uitgezonderd de personen die deze hoedanigheid hebben binnen een arbeidsrelatie met de Franse Gemeenschap) te weten: hun naam en voornamen en hun hoofdverblijfplaats. 12. Gelet op de argumenten die de aanvrager inroept, stelt het Comité vast dat de gegevens "naam en voornamen" en "hoofdverblijfplaats" relevant en noodzakelijk zijn om het voormelde doeleinde te verwezenlijken. 13. De aanvrager preciseert in zijn aanvraag dat hij overweegt om fonetische opzoekingen te doen in het Rijksregister op basis van naam en voornaam van de betrokken personen. Het Comité vestigt de aandacht van de aanvrager op het feit dat dit soort raadplegingen van het Register (uitsluitend verricht op basis van opzoekcriteria "naam en voornaam") risico's heeft voor de kwaliteit van de gegevens aangezien dit meestal meervoudige antwoorden genereert omwille van homoniemen. Bovendien verplicht artikel 8 van de WRR iedere machtigingsgerechtigde om het rijksregisternummer te gebruiken in zijn contacten met het Rijksregister en het Koninklijk besluit van 24 november 2010 bepaalt dat de overheden die gemachtigd zijn om toegang te hebben tot de gegevens van het Rijksregister intern het rijksregisternummer mogen registreren waaronder de ingeschreven, natuurlijke personen van wie zij gegevens raadplegen met als enig doel kennis te nemen van de informatie over personen van wie de gegevens zijn geraadpleegd. 14. Om te kunnen instaan voor een identificatie van een correct kwaliteitsniveau van de in GLADIS opgenomen betrokken personen, moet de aanvrager de gepaste maatregelen nemen en zich baseren op bewijsstukken. In dit verband verzoekt het Comité de aanvrager om voortaan het rijksregisternummer rechtstreeks bij de betrokkenen in te winnen via de lezing van hun identiteitskaart vanaf de start van hun relatie die schulden of tegoeden met zich meer kan
Beraadslaging RR 06/2017-5/9 brengen. Het is immers raadzaam om de raadplegingen van het Rijksregister op basis van andere criteria dan het rijksregisternummer te beperken tot uitzonderlijke gevallen en deze dan uit te voeren op basis van een cumul van de volgende gegevens: naam, voornaam en geboortedatum. 15. De aanvrager vraagt ook de invoering van een automatische mededeling tussen hem en het Rijksregister zodat hij elke wijziging aan de rijksregistergegevens waartoe toegang wordt gevraagd, automatisch zou ontvangen. De aanvrager rechtvaardigt dit verzoek met het argument dat de gegevens geïntegreerd zullen worden in de GLADIS-applicatie en dat de daarin opgenomen identificatiegegevens daarom bijgewerkt moeten zijn. 16. Het Comité machtigt de toegang tot de wijzigingen op voorwaarde dat de aanvrager gebruik maakt van een verwijzingsrepertorium. Dit repertorium dient als filter zodat de aanvrager slechts de bijgewerkte gegevens ontvangt die betrekking hebben op zijn actieve dossiers. Het Comité acht het evenwel niet noodzakelijk dat de aanvrager dit verwijzingsrepertorium zelf opricht. Hij kan zich integreren in een bestaand repertorium van een dienstenintegrator. 17. Gelet op wat voorafgaat, besluit het Comité dat indien deze voorwaarden worden nageleefd (consideransen 14 en 16) de toegang tot de persoonsgegevens vermeld onder artikel 3, eerste lid, 1 en 5 van de WRR in overeenstemming is met artikel 4, 1, 3 van de WVP, met inbegrip van de automatische mededelingen van de wijzigingen aan die gegevens. C.2. Gebruik van het rijksregisternummer 18. De aanvrager wil het rijksregisternummer van de betrokkenen aanwenden als uniek identificatienummer in back office van de boekhoudkundige applicatie Gladis en als zoeksleutel in het Rijksregister voor de raadpleging van de gegevens en voor het beheer van de wijzigingen. 19. Door het rijksregisternummer te gebruiken als zoeksleutel in het Rijksregister kan worden vermeden dat er per vergissing gegevens worden geraadpleegd van een andere persoon dan deze waarvoor de raadpleging nodig was. Artikel 8, 1, 3de lid van de WRR bepaalt overigens dat de machtiging om het rijksregisternummer te gebruiken, de verplichting met zich meebrengt dit nummer te gebruiken in de contacten met het Rijksregister van de natuurlijke personen. 20. Gelet op wat voorafgaat staat vast dat het gevraagde gebruik van het Rijksregisternummer in overeenstemming is met artikel 4, 1, 3 van de WVP en met de WRR.
Beraadslaging RR 06/2017-6/9 C.3 De frequentie van de toegang en de duur van de gevraagde machtiging 21. De aanvrager wenst permanent en voor onbepaalde duur toegang tot de gegevens. 22. Het Comité stelt vast dat voor de verwezenlijking van het voormelde doeleinde, de frequentie van de toegang tot de gevraagde gegevens onmogelijk kan bepaald worden. Een permanente toegang is dan ook gepast. 23. Ook is een machtiging nodig voor onbepaalde duur aangezien de opdrachten van het Ministerie van de Franse Gemeenschap in verband met de voormelde doeleinden door hun aard niet in de tijd beperkt zijn. C.4. Betreffende de bewaartermijn 24. Bevraagd over de bewaartermijn van de gegevens, bevestigt de aanvrager dat hij de geraadpleegde gegevens gedurende 7 jaar zal bewaren en dit vanaf 1 januari van het jaar dat volgt op de definitieve afsluiting van de betrokken budgettaire en boekhoudkundige oefening en dit overeenkomstig artikel 37 van het Besluit van de Regering van de Franse Gemeenschap van 13 december 2012 3. 25. Het Comité stelt vast dat een dergelijke bewaartermijn van de gegevens in overeenstemming lijkt te zijn met artikel 4, 1, 5 van de WVP. C.5. Intern gebruik en/of mededeling aan derden 26. Uit de aanvraag blijkt dat de gegevens van het Rijksregister alleen intern gebruikt zullen worden en niet aan derden zullen worden verstrekt. 27. Het Comité neemt hiervan akte. C.6. Netwerkverbindingen 28. Uit de machtigingsaanvraag blijkt dat er vandaag geen informatie wordt uitgewisseld met derden op basis van het rijksregisternummer als primaire 29. Het Comité neemt hiervan akte. Om volledig te zijn, benadrukt het Comité dat: 3 Besluit van de Regering van de Franse Gemeenschap van 13 december 2012 houdende verschillende maatregelen betreffende de uitvoering van de begroting en betreffende de begrotingsboekhouding en de algemene boekhouding
Beraadslaging RR 06/2017-7/9 indien er later andere netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen ; het rijksregisternummer slechts gebruikt kan worden in relaties met derden voor zover dit kadert binnen de doeleinden waarvoor deze laatsten eveneens gemachtigd -werden om dit nummer te gebruiken. D. BEVEILIGING D.1. Consulent inzake informatiebeveiliging 30. De gemachtigde is verplicht een consulent inzake informatiebeveiliging en bescherming van de persoonlijke levenssfeer aan te stellen (art. 8, 2 en art. 10 WRR). Het Comité stelt vast dat de identiteit van de consulent werd meegedeeld. 31. Het Comité wijst de gemachtigde op zijn verantwoordelijkheden in dit verband. 32. De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in de context relevante regelgeving. Deze capaciteiten stellen de consulent in staat zijn taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de machtigingsgerechtigde en van de informatieveiligheid. De consulent dient deze kennis permanent op peil te houden. 33. De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de machtigingsgerechtigde. 34. Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten die hiermee onverenigbaar zijn. In het bijzonder kan de functie niet gecumuleerd worden met deze van leidinggevende bestuurder van de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur). 35. De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken. De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken.
Beraadslaging RR 06/2017-8/9 36. Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen. 37. De gemachtigde ondersteunt de consulent door hem de middelen en tijd te geven die nodig zijn om zijn taken te vervullen en zijn deskundigheid in stand te houden. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 38. Het Comité houdt zich het recht voor toezicht uit te oefenen op de naleving van deze verplichtingen. D.2. Informatiebeveiligingsbeleid 39. Uit de informatie die de aanvrager heeft verstrekt, blijkt dat hij beschikt over een geschikt beveiligingsbeleid en dat hij dit beleid op het terrein in de praktijk brengt. D.3. Personen die toegang zullen hebben tot de gegevens, het Rijksregisternummer gebruiken en lijst van die personen 40. Volgens de aanvraag hebben enkel de personeelsleden van de aanvrager van de Cellule de gestion des données «maître fournisseurs/bénéficiaires» toegang tot het Rijksregister en zullen zij gemachtigd zijn om het rijksregisternummer te gebruiken om de identificatiegegevens te verifiëren tijdens de opmaak of de actualisering van de gegevens van de leveranciers / gerechtigden. De overige diensten van het Ministerie van de Franse Gemeenschap zijn de boekhouders van de ontvangsten en de aankopers die het rijksregisternummer zullen gebruiken in de uitoefening van hun functie (invoeging van het nummer in de GLADIS-applicatie bij de inschrijving van een nieuwe persoon). Voor die laatste personeelsleden zal het ook mogelijk zijn om de rijksregistergegevens te visualiseren die in de boekhoudkundige applicatie geïntegreerd werden. 41. Zoals artikel 12 van de WRR het vereist, moet de aanvrager een lijst opstellen van de personen die toegang hebben tot de informatie van het Rijksregister en het identificatienummer ervan gebruiken. Die lijst moet voortdurend worden bijgewerkt en ter beschikking worden gehouden van het Comité.
Beraadslaging RR 06/2017-9/9 42. Het Comité vestigt de aandacht van de aanvrager op zijn verplichting om deze personen een verklaring te laten ondertekenen waarin zij zich ertoe verbinden de veiligheid en de vertrouwelijkheid van de informatiegegevens te bewaren. 43. Het Comité benadrukt bovendien dat de aanvrager - ongeacht de persoon die intern toegang heeft tot het Rijksregister - de nodige procedures moet uitwerken die gedurende 10 jaar voor iedere raadpleging van het Rijksregister registreren wie het dossier heeft geraadpleegd, wanneer en waarom (het dossier waarvoor de raadpleging gebeurde) zodat achteraf kan worden nagegaan of die toegang voldoende gegrond was. OM DEZE REDENEN, het Comité 1 machtigt de aanvrager voor de verwezenlijking van het voormelde doeleinde omschreven onder punt B en onder de voorwaarden bepaald in deze beraadslaging om voor onbepaalde duur: permanent toegang te hebben tot de informatiegegevens bedoeld onder artikel 3, eerste lid, 1 en 5 van de WRR, met inbegrip van de automatische mededeling van de wijzigingen aan die gegevens; het rijksregisternummer te gebruiken. 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden uit het beveiligingsformulier dat aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de aanvrager een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren. 3 bepaalt dat wanneer het Comité een vragenlijst over het beveiligingsniveau van de aanvrager toestuurt, die laatste deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon