Betreft: Aanvraag van het Vlaams Agentschap Overheidspersoneel tot uitbreiding van haar huidige toegang tot het Rijksregister (RN-MA )

Transcriptie

1 1/8 Sectoraal comité van het Rijksregister Beraadslaging RR nr. 50/2017 van 13 september 2017 Betreft: Aanvraag van het Vlaams Agentschap Overheidspersoneel tot uitbreiding van haar huidige toegang tot het Rijksregister (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Vlaams Agentschap Overheidspersoneel ontvangen op 28/06/2017; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 4 augustus 2017; Gelet op het verslag van de Voorzitter; Beslist op 13 september 2017, na beraadslaging, als volgt:

2 Beraadslaging RR 50/2017-2/8 I. VOORWERP VAN DE AANVRAAG 1. Het Vlaams Agentschap Overheidspersoneel, hierna de aanvrager, verzoekt namens de vzw Sociale Dienst voor het Vlaams Overheidspersoneel een uitbreiding van haar huidige toegang tot het Rijksregister met het oog op het uitbreiden en moderniseren van haar IT-toepassing, genaamd het Geïntegreerd informatiesysteem van de Sociale Dienst (GISD). II. ONDERZOEK VAN DE AANVRAAG 2. Bij koninklijk besluit van 4 december 2002 verkreeg de vzw Sociale Dienst van de Vlaamse Gemeenschap toegang tot een aantal informatiegegevens van het Rijksregister De Vlaamse administratie werd ingevolge het kaderdecreet bestuurlijk beleid van 18 juli 2003 grondig gereorganiseerd, waardoor het niet langer meer duidelijk was wie de begunstigde was van de bij koninklijk besluit verleende machtigingen. Beraadslaging RR nr. 04/2010 van 17 februari verhielp hieraan door rechtsopvolgers vast te stellen van de in de machtigingsbesluiten vermelde begunstigden. Punt 33 van die beraadslaging bepaalt dat in het koninklijk besluit van 4 december 2002 vzw Sociale Dienst van de Vlaamse Gemeenschap voortaan moet gelezen worden als vzw Sociale dienst voor het Vlaams Overheidspersoneel. 4. In beraadslaging RR nr. 21/2013 van 20 maart 2013 machtigde het Comité de aanvrager tot het gebruik van het Rijksregisternummer in het GISD De draagwijdte van de bovenvermelde machtigingen is echter beperkt op twee vlakken: - ten eerste, verleent het koninklijk besluit van 4 december 2002 slechts toegang tot de actuele informatiegegevens vermeld in artikel 3, eerste lid, 1, 2, 5, 6, 8 en 9 WRR en de historiek van deze gegevens voor een periode van 2 jaar. De aanvrager wenst zijn toegang uit te breiden tot de informatiegegevens vermeld in artikel 3, eerste lid, 3 (geslacht) en 13 (wettelijke samenwoning). Bovendien wil de aanvrager het gebruik van de historiek voor alle 1 Koninklijk besluit van 4 december 2002 waarbij de V.Z.W. Sociale Dienst van de Vlaamse Gemeenschap, administratief ingedeeld bij de administratie Ambtenarenzaken van het departement Algemene Zaken en Financiën van het Ministerie van de Vlaamse Gemeenschap gemachtigd wordt om toegang te hebben tot de informatiegegevens van het Rijksregister van de natuurlijke personen, BS 20 februari Dit koninklijk besluit werd voorafgegaan door advies nr. 4/2002 van de Commissie voor de Bescherming van de persoonlijke levenssfeer betreffende het Ontwerp van koninklijk besluit waarbij de V.Z.W. sociale dienst van de Vlaamse Gemeenschap, administratief ingedeeld bij de administratie Ambtenarenzaken van het departement Algemene zaken en Financiën van het Ministerie van de Vlaamse Gemeenschap gemachtigd wordt om toegang te hebben tot het Rijksregister van de natuurlijke personen, 24 januari 2002, te raadplegen via deze link. 2 Beraadslaging RR nr 04/2010 m.b.t. herbekijken van machtigingsbesluiten in functie van het decreet beter bestuurlijk beleid, 17 februari 2010, te raadplegen via deze link. 3 Beraadslaging RR nr 21/2013 m.b.t. aanvraag van het Agentschap voor Overheidspersoneel om het identificatienummer van het Rijksregister te gebruiken in het geïntegreerd informaticasysteem voor de Sociale dienst met het oog op de uitbouw van een elektronisch loket, 20 maart 2013, te raadplegen via deze link.

3 Beraadslaging RR 50/2017-3/8 gegevens waartoe hij toegang zou verkrijgen, verlengen van twee naar drie jaar. Tot slot wenst de aanvrager op automatische wijze de wijzigingen van deze gegevens te ontvangen ; - ten tweede, begrenst beraadslaging RR nr. 21/2013 van 20 maart 2013 het gebruik van het Rijksregisternummer tot het interne gebruik binnen het GISD. Met deze machtigingsaanvraag verzoekt de aanvrager om het Rijksregisternummer eveneens aan te wenden voor de opvraging van persoonsgegevens in andere (authentieke) gegevensbronnen. 6. De doeleinden waarvoor de aanvrager persoonsgegevens verwerkt zijn sinds het verkrijgen van de twee voornoemde machtigingen niet gewijzigd. Krachtens zijn oprichtingsdecreet bestaat de doelstelling van de aanvrager in het leveren van een bijdrage aan het algemeen welzijn van de actieve en gepensioneerde personeelsleden van Vlaamse administraties en hun gezinsleden, om hun functioneren zowel binnen als buiten de werkomgeving te bevorderen 4. Het Comité was en is nog steeds van mening dat deze doeleinden gerechtvaardigd zijn in de zin van artikel 4, 1, 2 WVP. 7. Aangezien de aanvrager al beschikt over een machtiging, zowel voor de toegang tot het Rijksregister als het gebruik van het Rijksregisternummer, kan het onderzoek van het Comité zich beperken tot het nagaan of: de uitgebreide toegang tot het Rijksregister en gebruik van het Rijksregisternummer in het licht van de nagestreefde doeleinden toereikend, ter zake dienend en niet overmatig zijn (artikel 4, 1, 3, WVP). A. PROPORTIONALITEIT 8. Artikel 4, 1, 3 van de WVP bepaalt dat persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn, uitgaande van de doeleinden waarvoor zij worden verkregen of waarvoor zij verder worden verwerkt. A.1. Betreffende de gegevens 9. De aanvrager wenst zijn toegang tot de de informatiegegevens van het Rijksregister uit te breiden tot de informatiegegevens vermeld in artikel 3, eerste lid, 3 en 13 WRR: - het geslacht (gegeven 1); - de wettelijke samenwoning (gegeven 2). 4 Decreet van 2 maart 2007 betreffende de vereniging zonder winstoogmerk Sociale Dienst voor het Vlaams Overheidspersoneel, BS 19 juni 2007.

4 Beraadslaging RR 50/2017-4/8 10. Het gegeven geslacht is nodig om een gepersonaliseerde (elektronische) briefwisseling met de gerechtigden te onderhouden. Dit persoonsgegeven helpt om een correcte, klantvriendelijke aanspreektitel in het briefhoofd en de aanhef van de brieftekst op te nemen. 11. Het gegeven "wettelijke samenwoning" is nodig omdat de gezinstoestand van de gerechtigde de omvang van bepaalde financiële tegemoetkomingen die de aanvrager uitbetaalt, beïnvloedt. In dit opzicht stelt de aanvrager de wettelijke samenwoning gelijk aan het huwelijk. Ingevolge artikel 2 van het besluit van de Vlaamse regering van 27 april beschouwt de Sociale Dienst de wettelijk samenwonende partner, evenals zijn of haar kinderen, als gezinsleden van de gerechtigde. Bijgevolg komen deze personen ook in aanmerking als begunstigden. 12. Voor de persoonsgegevens vermeld in artikel 3, eerste lid, 1, 5, 8, 9 en 13 wil de aanvrager de toegang tot de Rijksregistergegevens uitbreiden tot een periode die drie jaar teruggaat in de tijd. De aanvrager biedt de gerechtigde een periode van twee jaar om zijn dossier (zoals bijvoorbeeld een aanvraag tot tegemoetkoming in medische kosten) in te dienen. De tweejarige termijn gaat in na het afsluiten van het refentiejaar waarin de uitgave plaatsvond. Bijvoorbeeld: de aanvraag voor de compensatie van medische kosten die plaatsvonden in 2015, kan ingediend worden tot eind Om de hoogte van de financiële tegemoetkoming te kunnen bepalen moet de aanvrager dus drie jaar terug in de tijd kunnen gaan om de gezinssamenstelling etc. in het referentiejaar te bepalen. 13. Tot slot verzoekt de aanvrager de automatische mededeling door het Rijksregister van wijzigingen aan de Rijksregistergegevens waartoe toegang hij toegang zou verkrijgen. De aanvrager wenst te allen tijde te beschikken over de meeste actuele gegevens om een foutloze en efficiënte dossierbehandeling mogelijk te maken en het aantal overbodige opzoekingen in het Rijksregister tot een minimum te beperken. De aanvrager geeft aan dat hij hiervoor beroep zal doen op de Vlaamse Dienstenintegrator (VDI) die werkt met een verwijzingsrepertorium zodat alleen de wijzingen worden doorgegeven van de gegevens die nodig zijn bij het behandelen van het dossier. 14. Het Comité stelt vast dat een geautomatiseerde mededeling van de wijzigingen gepast is. 15. Gelet op deze uitleg en uitgaande van de nagestreefde doeleinden, is het Comité van mening dat de toegang tot de gevraagde gegevens, toereikend, ter zake dienend en niet overmatig is, overeenkomstig artikel 4, 1, 3 WVP. 5 Besluit van 27 april 2007 van de Vlaamse Regering betreffende de Sociale Dienst voor het Vlaams Overheidspersoneel, BS 19 juni 2007.

5 Beraadslaging RR 50/2017-5/8 A.2. Betreffende het Rijksregisternummer 16. De aanvrager wenst het Rijksregisternummer te gebruiken om persoonsgegevens op te vragen bij andere (authentieke) gegevensbronnen, na eventuele machtiging van de daartoe bevoegde organen. De unieke identificatie van de betrokkene aan de hand van het Rijksregisternummer garandeert hierbij de correcte uitwisseling van de relevante persoonsgegevens. 17. Het Comité is van mening dat het geplande gebruik van het Rijksregisternummer in overeenstemming is met artikel 4, 1, 3 van de WVP. A.3. Betreffende de frequentie van de toegang en de duur van de machtiging 18. De aanvrager verzoekt een permanente toegang tot de gevraagde persoonsgegevens aangezien de dienstverlening via het e-loket voortdurend beschikbaar is voor de gerechtigde. Op ieder ogenblik dat de gerechtigde een aanvraag tot een tegemoetkoming indient via het e-loket, moet de toegang tot de Rijksregistergegevens verzekerd zijn. 19. Het Comité is van oordeel dat een permanente toegang tot de gegevens gepast is in het licht van artikel 4, 1, 3 WVP. 20. De aanvrager verzoekt een machtiging voor onbepaalde duur aangezien de opdrachten van de Sociale Dienst voor het Vlaams Overheidspersoneel niet beperkt zijn in de tijd door haar oprichtingsdecreet. 21. Het Comité stelt vast dat de doeleinden waarvoor de aanvrager toegang wil, kaderen binnen zijn opdrachten die niet beperkt zijn in de tijd. In het licht hiervan oordeelt het Comité dat een machtiging van onbepaalde duur gepast is overeenkomstig artikel 4, 1, 3 van de WVP. A.4. Betreffende de bewaartermijn 22. De aanvrager voorziet in een bewaartermijn van 10 jaar na het afsluiten van het dossier van de gerechtigde. Deze termijn is gebaseerd op de gemeenrechtelijke verjaringstermijn voor persoonlijke rechtsvorderingen van artikel 2262bis Burgerlijk Wetboek en artikel 68 van het decreet van 8 juli De aanvrager schikt zich hierbij naar de termijn die het Comité aanbeval in punt 23 van beraadslaging RR nr. 21/2013 van 20 maart Decreet van 8 juli 2011 houdende regeling van de begroting, de boekhouding, de toekenning van subsidies en de controle op de aanwending ervan, en de controle door het Rekenhof, BS 5 augustus 2011.

6 Beraadslaging RR 50/2017-6/8 23. Rekening houdend hiermee is het Comité van mening dat de door aanvrager vooropgestelde bewaartermijn niet indruist tegen artikel 4, 1, 5, WVP. A.5. Intern gebruik en/ of mededeling aan derden 24. De persoonsgegevens die blijken uit het Rijksregister zullen uitsluitend voor intern gebruik worden aangewend. Het Rijksregisternummer zal worden uitgewisseld met het oog op het verkrijgen van bepaalde gegevens uit (authentieke) gegevensbronnen, na machtiging van de hiertoe bevoegde organen. 25. Het Comité neemt hiervan akte. B. BEVEILIGING B.1. Consulent inzake informatiebeveiliging 26. Het Comité stelt vast dat de identiteit van de consulent werd meegedeeld. 27. Het Comité wijst de gemachtigde op zijn verantwoordelijkheden in dit verband. 28. De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in die context relevante regelgeving. Deze capaciteiten stellen de consulent in staat diens taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de gemachtigde en van de informatieveiligheid. De consulent dient deze kennis permanent op peil te houden. 29. De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de machtigingsgerechtigde. 30. Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten die hiermee onverenigbaar zijn. In het bijzonder kan de functie niet gecumuleerd worden met deze van leidinggevende bestuurder van de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur). 31. De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken.

7 Beraadslaging RR 50/2017-7/8 De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken. 32. Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen. 33. De gemachtigde ondersteunt de consulent door hem de middelen en tijd te geven die nodig zijn om zijn taken te vervullen en zijn deskundigheid in stand te houden. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 34. Het Comité behoudt zich het recht voor de naleving van deze verplichtingen te controleren. B.2. Informatiebeveiligingsbeleid 35. Uit de informatie die de aanvrager heeft verstrekt, blijkt dat hij beschikt over een geschikt beveiligingsbeleid en dat hij dit beleid op het terrein in de praktijk brengt. B.3. Personen die over een toegang beschikken en lijst van deze personen 36. Volgens de aanvraag zullen drie soorten personeelsleden van de aanvrager toegang hebben tot de opgesomde persoonsgegevens en het Rijksregisternummer: - dossierbehandelaars: deze personen vullen op basis van een aanvraag het dossier in voor de gerechtigde; - goedkeurders: deze personen oefenen toezicht uit op de dossierbehandelaars en keuren hun werk goed; - IT-coördinatoren: deze personen staan in voor het beheer van de GISD-toepassing en het toegangs-en gebruikersbeheer ervan. 37. De aanvrager heeft, zoals voorgeschreven door artikel 12 WRR, een lijst opgesteld met de personen die toegang hebben tot het Rijksregister en het Rijksregisternummer gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden. De personen die op deze lijst worden opgenomen, moeten daarenboven een verklaring ondertekenen

8 Beraadslaging RR 50/2017-8/8 waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijke karakter van de informatiegegevens te bewaren. 38. Het Comité neemt hiervan akte. OM DEZE REDENEN, het Comité 1 machtigt het Vlaams Agentschap voor Overheidspersoneel, ten behoeve van de vzw Sociale Dienst voor het Vlaams Overheidspersoneel, om voor de doeleinden die voortvloeien uit haar wettelijke opdracht de toegang tot het Rijksregister uit te breiden en het Rijksregisternummer te gebruiken, volgens modaliteiten bepaald in deze beraadslaging voor onbepaalde duur; 2 bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden uit het beveiligingsformulier dat aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de aanvrager een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en aan het Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren; 3 bepaalt dat wanneer het Comité een vragenlijst over het beveiligingsniveau van de aanvrager toestuurt, die laatste deze vragenlijst naar waarheid moet invullen en naar het Comité moet terugsturen. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De Wnd. Administrateur, De Voorzitter, (get.) An Machtens (get.) Mireille Salmon