Gelet op de aanvraag van het Parlement van het Brussels Hoofdstedelijk Gewest ontvangen op 15/10/2013;

Transcriptie

1 1/8 Sectoraal comité van het Rijksregister Beraadslaging RR nr 81/2013 van 11 december 2013 Betreft: Machtigingsaanvraag van het Parlement van het Brussels Hoofdstedelijk Gewest om het identificatienummer van het Rijksregister te gebruiken in het raam van de uitgifte van toegangskaarten (RN-MA ) Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van het Parlement van het Brussels Hoofdstedelijk Gewest ontvangen op 15/10/2013; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 04/11/2013; Gelet op het technisch en juridisch advies ontvangen op 14/11/2013;

2 Beraadslaging RR 81 /2013-2/8 Gelet op het verslag van de Voorzitter; Beslist op 11 december 2013, na beraadslaging, als volgt: I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. Het Parlement van het Brussels Hoofdstedelijk Gewest, hierna de aanvrager, vraagt een machtiging om het identificatienummer van het Rijksregister te gebruiken in het raam van het beheer van de legitimatie- en toegangskaarten voor toegang tot zijn gebouwen. Deze kaarten zijn trouwens gemeenschappelijk voor de andere Belgische parlementaire assemblees.. 2. Op 27 januari 2007 werd door de Conferentie van de Voorzitters van de 7 assemblees een protocol goedgekeurd met betrekking tot de gemeenschappelijke legitimatie- en toegangskaarten. Aangezien er heel wat personenverkeer is tussen de verschillende Belgische parlementaire assemblees werden er akkoorden afgesloten voor een gemeenschappelijk beheer van de toegangskaarten. 3. Bij iedere uitgifte van een toegangskaart door een assemblee, informeert zij de anderen en gebruikt hiertoe het identificatienummer van het Rijksregister. 4. Het Vlaams Parlement 1, die van de Franse Gemeenschap 2 en het Waalse Gewest 3, de Kamer van volksvertegenwoordigers 4 alsook de Senaat 5 hebben gelijkaardige stappen ondernomen bij het Sectoraal comité van het Rijksregister dat positief antwoordde op hun aanvraag. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 5. Het Comité kan machtiging verlenen om het identificatienummer van het Rijksregister te gebruiken "aan de Belgische openbare overheden voor de informatiegegevens die zij 1 Beraadslaging RR nr. 27/2009 van 18 mei Beraadslaging RR nr. 31/2013 van 17 april Beraadslaging RR nr. 40/2013 van 8 mei Beraadslaging RR nr. 58/2013 van 10 juli Beraadslaging RR nr. 50/2013 van 19 juli 2013

3 Beraadslaging RR 81 /2013-3/8 gemachtigd zijn te kennen uit hoofde van een wet, een decreet of een ordonnantie" (artikelen 5, eerste lid, 1 en 8 van de WRR). 6. De aanvrager is een Belgische overheid zoals bedoeld in artikel 5, 1ste lid, 1 van de WRR. 7. Gelet op wat voorafgaat kan de aanvrager op grond van artikel 5, 1ste lid, 1 en 8, 1 van de WRR aanspraak maken op een machtiging om het identificatienummer van het Rijksregister te gebruiken. A.2. Wet van 8 december 1992 (WVP) 8. Op grond van artikel 4 van de WVP vormt het identificatienummer van het Rijksregister een persoonsgegeven waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Dit persoonsgegeven dient bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor het wordt verwerkt. B. DOELEINDEN 9. De aanvrager wenst het identificatienummer van het Rijksregister te gebruiken als uniek identificatiemiddel voor de personen die geregistreerd zijn in de databank die gebruikt wordt voor het toegangsbeheer tot de gebouwen van de parlementaire assemblees teneinde het unieke karakter van de toegangsbadges te verzekeren voor alle parlementaire assemblees van België. Het gaat om personen die ingevolge hun functie regelmatig toegang hebben tot de gebouwen van het Parlement van het Brussels Hoofdstedelijk Gewest. 10. Het identificatienummer van het Rijksregister zal in dit raam eveneens gebruikt worden als zoeksleutel in de databank teneinde na te gaan wanneer toegangsbadge wordt aangemaakt voor een persoon, niet reeds voor diezelfde persoon een toegangsbadge werd afgeleverd door een andere assemblee. Indien er reeds een badge werd afgeleverd zullen de toegangsrechten uitgebreid worden voor de reeds bestaande kaart. 11. Aangezien de lokalen van de parlementaire assemblees gevoelige gebouwen zijn is het belangrijk dat hun toegangen worden beveiligd. In dit raam is het dan ook gepast het unieke karakter te verzekeren van de toegangsbadges die worden afgeleverd aan de personen die wegens hun functie regelmatig de gebouwen betreden.

4 Beraadslaging RR 81 /2013-4/8 12. Het Comité oordeelt dat deze doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, 1, 2 van de WVP en artikel 5, tweede lid van de WRR. 13. Volgens de inlichtingen verkregen van de aanvrager zal het identificatienummer van het Rijksregister niet vermeld worden op de toegangskaart. Het Comité neemt hiervan akte. C. PROPORTIONALITEIT C.1. Betreffende het identificatienummer van het Rijksregister 14. Het identificatienummer van het Rijksregister is een uniek nummer waarmee een persoon in combinatie met zijn naam en voornaam heel precies kan worden geïdentificeerd zodat alle vergissingen worden uitgesloten die zouden kunnen ontstaan door homonymie en spellingfouten. De aanvrager wenst dit nummer te gebruiken om: de personen aan wie een kaart wordt verstrekt correct te identificeren teneinde de toegang te beperken tot personen waarvan is aangetoond dat hun aanwezigheid vereist is ingevolge hun opdracht; te vermijden dat er meerdere toegangskaarten worden afgeleverd aan eenzelfde persoon. 15. Het Comité stelt vast dat het in het licht van het beoogde doeleinde van belang is dat er geen persoonsvergissingen gebeuren en dat er slechts één kaart per persoon wordt uitgegeven. Het geplande gebruik van het identificatienummer van het Rijksregister is hiertoe relevant. 16. Bijgevolg besluit het Comité dat het gebruik van het identificatienummer van het Rijksregister conform artikel 4, 1, 3 van de WVP is. C.2. Betreffende de duur van de gevraagde machtiging 17. De machtiging wordt gevraagd voor onbepaalde duur aangezien niet kan bepaald worden hoelang het toegangsbeheer van de Belgische parlementaire assemblees gezamenlijk zal gebeuren. 18. Hiermee rekening houdend stelt het Comité vast dat een machtiging voor onbepaalde duur gepast is (artikel 4, 1, 3 van de WVP).

5 Beraadslaging RR 81 /2013-5/8 C.3. Betreffende de bewaringstermijn 19. Uit het aanvraagformulier blijkt dat de aanvrager het identificatienummer zal bewaren zolang de toegangskaart geldig is. Het gaat over een maximumtermijn van 5 jaar voor de verkozenen en hun medewerkers en maximum 10 jaar voor het personeel. Deze termijnen zijn hernieuwbaar. 20. Het Comité stelt vast dat dit concreet betekent dat het identificatienummer net zolang wordt bewaard als de betrokken persoon een toegangsrecht en toegangskaart heeft voor een Belgische parlementaire assemblee. De gegevens moeten worden gewist en vernietigd zodra het toegangsrecht voor de betrokkene effectief beëindigd wordt. 21. Gelet op wat voorafgaat, is het Comité van mening dat deze bewaringstermijn in overeenstemming is met artikel 4, 1, 5 van de WVP. C.4. Intern gebruik en/of mededeling aan derden 22. Het identificatienummer zal intern gebruikt worden door de personen die de toegangskaarten moeten aanmaken (Dienst Infrastructuur en Logistiek). 23. Het identificatienummer zal eveneens worden meegedeeld aan de assemblees die het protocolakkoord hebben ondertekend voor legitimatie- en toegangskaarten dat door de Conferentie van voorzitters van de 7 assemblees werd goedgekeurd op 21 januari 2007 en die gemachtigd werden om het identificatienummer van het Rijksregister te gebruiken. Zodra een assemblee een kaart uitreikt zal er een opzoeking gebeuren aan de hand van het identificatienummer van het Rijksregister om na te gaan of een andere assemblee al niet eerder een kaart uitreikte aan die persoon. De parlementaire assemblees zullen via een beveiligde (versleutelde) verbinding permanent de lijst delen van personen aan wie een toegangskaart werd afgeleverd (lijst waarin het identificatienummer van het Rijksregister is opgenomen). 24. Uit de aanvraag blijkt dat de aanvrager er zich ten volle van bewust is dat hij het identificatienummer van het Rijksregister slechts met een andere assemblee mag delen indien deze vooraf gemachtigd werd om het identificatienummer van het Rijksregister te gebruiken. 25. Het Comité neemt hiervan akte en stelt vast dat dergelijke mededelingen stroken met het vermelde doeleinde.

6 Beraadslaging RR 81 /2013-6/8 C.5. Netwerkverbindingen 26. Aangezien de informatie van al dan niet uitreiking van een badge door de Kamer aan een bepaalde persoon zal meegedeeld worden aan de andere assemblees via een opzoeking aan de hand van het identificatienummer van het Rijksregister via een beveiligde verbinding, kan met deze verbinding kwalificeren als netwerkverbinding. 27. Deze mededeling strookt volledig met het beoogde doeleinde, namelijk het unieke karakter per persoon vrijwaren van de toegangsbadges voor de gebouwen van de parlementaire assemblees. 28. Voor de volledigheid benadrukt het Comité dat indien er later andere netwerkverbindingen mochten tot stand komen: de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen; het identificatienummer van het Rijksregister in ieder geval slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog waarop zij eveneens gemachtigd werden om dit nummer te gebruiken. D. BEVEILIGING D.1. Consulent inzake informatiebeveiliging 29. De identiteit van de nieuwe consulent inzake informatiebeveiliging werd meegedeeld. Uit de verstrekte informatie blijkt dat: betrokkene als consulent inzake informatiebeveiliging rechtstreeks rapporteert aan de ambtenaar hoogste in rang; de andere activiteiten van de betrokkene niet onverenigbaar zijn met zijn activiteit als consulent inzake informatiebeveiliging; betrokkene over de nodige onafhankelijkheid beschikt om zijn functie als consulent inzake informatiebeveiliging te vervullen. 30. Betrokkene kan dus aanvaard worden als consulent inzake informatiebeveiliging.

7 Beraadslaging RR 81 /2013-7/8 D.2. Informatiebeveiligingsbeleid 31. Uit de door de aanvrager meegedeelde documenten blijkt dat hij over een informatieveiligheidsbeleid beschikt alsook over een plan voor de toepassing ervan. 32. Het Comité heeft hiervan akte genomen. D.3. Personen die toegang hebben tot de gegevens van het Rijksregister, die het identificatienummer gebruiken en de lijst van die personen 33. De personeelsleden van de aanvrager die in het raam van hun opdrachten toegang hebben tot de databank "toegangskaarten" zullen het identificatienummer van het Rijksregister gebruiken. 34. Zoals voorgeschreven door artikel 12 van de WRR, dient de aanvrager een lijst op te stellen van de personen die het identificatienummer van het Rijksregister gebruiken. Deze lijst moet voortdurend bijgewerkt en ter beschikking van het Comité gehouden worden. 35. De personen die op deze lijst voorkomen moeten bovendien een verklaring ondertekenen waarmee zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de gegevens te bewaren. OM DEZE REDENEN, Het Comité 1 machtigt het Parlement van het Brussels Hoofdstedelijk Gewest om voor de onder punt B vermelde doeleinden en volgens de in onderhavige beraadslaging bepaalde voorwaarden voor onbepaalde duur het identificatienummer van het Rijksregister te gebruiken. 2 bepaalt dat bij iedere latere wijziging in de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die aan het Comité verstrekt werden op de informatieveiligheidsvragenlijst (aanduiding van een consulent inzake informatiebeveiliging en antwoorden op de vragen betreffende de organisatie van de beveiliging), de aanvrager een nieuwe, naar waarheid ingevulde vragenlijst betreffende de informatiebeveiliging aan het Comité moet toesturen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren;

8 Beraadslaging RR 81 /2013-8/8 3 bepaalt dat wanneer het Comité de aanvrager een vragenlijst stuurt over informatiebeveiliging, die vragenlijst volledig en naar waarheid moet worden ingevuld en naar het Comité teruggestuurd. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De Wnd. Administrateur, De Voorzitter, (get.) Patrick Van Wouwe (get.) Mireille Salmon