1/11
Sectoraal comité van het Rijksregister
Beraadslaging RR nr 02/2014 van 22 januari 2014
Betreft: Aanvraag van de ICDI om het identificatienummer van het Rijksregister te gebruiken voor het identificeren van de gebruikers in het raam van haar taken inzake afvalbeheer (RN-MA-2013165)
Het Sectoraal comité van het Rijksregister, (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte
van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met
betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de ICDI ontvangen op 17/05/2013; Gelet op de bijkomende informatie ontvangen op 19/11 en 4/12/2013; Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 20/12/2013; Gelet op het verslag van de Voorzitter;
Beraadslaging RR 02 /2014 - 2/11
Beslist op 22 januari 2014, na beraadslaging, als volgt: I. ONDERWERP EN CONTEXT VAN DE AANVRAAG 1. De association intercommunale pour la Collecte et la Destruction des Immondices de la
.
Région de Charleroi (ICDI), hierna "de aanvrager" wenst gemachtigd te worden om het
.
identificatienummer van het Rijksregister te gebruiken in het raam van de uitoefening van
.
zijn opdrachten als openbare dienst voor afvalinzameling en meer in het bijzonder voor de toekenning van gemeentelijke huisvuilzakken en de "huisvuilzakkencheques", voor het toegangsbeheer tot de containerparken alsook voor de toekenning van de huisvuilcontainers met chip en de facturatie van het aldus ingezamelde huisvuil. II. VOORAFGAANDE OPMERKING 2. De aanvrager verduidelijkte dat zij voor het verwezenlijken van de gegevensverwerkingen die noodzakelijk zijn ingevolge haar opdracht van openbare dienst, gebruikt maakte van gegevens van de bevolkingsregisters die worden ingezameld bij de gemeenten die hun afvalinzamelingen aan haar hebben toevertrouwd. 3. Ondervraag over de mogelijkheid om in plaats daarvan deze gegevens in te zamelen bij het Rijksregister heeft het ICDI de hoge kostprijs daarvan ingeroepen alsook het feit dat voor sommige verwerkingen, zoals de toekenning van de "huisvuilzakkencheques", er hoe dan ook een informatiestroom moet uitgaan van de gemeenten aangezien zij bepalen wie recht heeft op gratis huisvuilzakken en hoeveel. 4. In dit verband herinnert het Comité eraan dat aanvragen tot het bekomen van lijsten van personen bij gemeenten krachtens artikel 7 van het koninklijk besluit van 16 juli 1992 betreffende
het verkrijgen van informatie uit
de bevolkingsregisters en uit
het
vreemdelingenregister, slechts kunnen uitgaan van instellingen met lokale roeping voor wie een toegang tot het Rijksregister inadequaat zou zijn. Zodra er sprake is van een supralokaal belang moeten de noodzakelijke gegevens geraadpleegd worden bij het Rijksregister na machtiging door het Sectoraal comité en niet bij de gemeenten1. 5. Het Comité stelt vast dat de aanvrager geen instelling met lokale roeping is. Veertien gemeenten uit de regio Charleroi zijn aangesloten bij de aanvrager. Het aantal personen waarvoor hij dient te beschikken over identificatiegegevens en sommige gegevens van het Rijksregister is bijgevolg groot. Bovendien vergen de verwerkingen die hij dient uit te voeren
1
Aanbeveling uit eigen beweging 06/2012 van de Commissie m.b.t. het verkrijgen van informatie uit de bevolkingsregisters
Beraadslaging RR 02 /2014 - 3/11
voor zijn taken van afvalbeheer (toekenning van het aantal gratis huisvuilzakken in functie van het aantal gezinsleden, beheer van de databank voor toegang tot de containerparken, beheer en toekenning van de huisvuilcontainers met chip, call center) frequente toegang tot sommige gegevens van het Rijksregister. 6. Toegang tot de noodzakelijke gegevens via de diensten van het Rijksregister biedt een onmiskenbaar voordeel inzake bescherming van persoonsgegevens in die zin dat dit een optimale traceerbaarheid toelaat van het gebruik van de gegevens door de aanvrager alsook een waarborg op het gebied van kwaliteit en bijwerking van de verwerkte gegevens. 7. Om deze reden beveelt het
Comité aan dat de aanvrager een beroep zou doen op het
Rijksregister voor de verwerking van de in zijn aanvraag opgelijste gegevens voor de door hem beoogde doeleinden en herkwalificeert zijn aanvraag en beschouwt deze als een aanvraag om toegang tot deze gegevens bij het Rijksregister bovenop de machtiging om het identificatienummer van het Rijksregister te gebruiken. III. ONDERZOEK VAN DE AANVRAAG A. ONTVANKELIJKHEID -TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) 8. Het Comité kan machtiging verlenen om toegang te verkrijgen tot de informatiegegevens van artikel 3, eerste en tweede lid van de WRR of om er mededeling van te krijgen en om het identificatienummer van het Rijksregister te gebruiken "aan de openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité". (artikel 5, 1ste lid, 2° van de WRR). 9. De aanvrager is een intercommunale samengesteld uit 14 gemeenten van het administratief arrondissement Charleroi. Zij werd opgericht onder de vorm van een coöperatieve naamloze vennootschap met beperkte aansprakelijkheid. 10. Krachtens artikel 2 van haar statuten heeft zij onder meer als opzet het realiseren van alle studies, werkzaamheden, inplantingen en uitbating van installaties bestemd voor opdrachten van openbare dienst van voornamelijk gemeentelijk belang met betrekking tot afvalbeheer op het grondgebied van de aangesloten gemeenten alsook het uitvoeren van alle
Beraadslaging RR 02 /2014 - 4/11
opdrachten, aan deze laatsten toevertrouwd door het Plan Wallon des Déchets of door elke andere decretale of reglementaire bepaling inzake afval. 11. Ongeacht hun opzet voeren de intercommunales opdrachten uit van openbare dienst en zijn zij bijgevolg publiekrechtelijke rechtspersonen. Zij bezitten geen commercieel karakter en hun openbaar karakter overheerst in hun betrekkingen met hun vennoten, hun agenten en elke derde alsook in alle interne of externe communicatie . (art. L1512-6. Code wallon de la démocratie locale et de la décentralisation van 22 april 2004). 12. Gelet op wat voorafgaat is de onderhavige aanvraag ontvankelijk. A.2. Wet van 8 december 1992 (WVP) 13. De
informatiegegevens
en
het
persoonsgegevens.
Iedere
persoonsgegevens
verwerken
identificatienummer
verantwoordelijke voor
voor
welbepaalde,
van de
het
Rijksregister
verwerking
uitdrukkelijk
mag
zijn
slechts
omschreven
en
gerechtvaardigde doeleinden (artikel 4, §1, 2° van de WVP). B. DOELEINDEN 14. De aanvrager wenst de gegevens van het Rijksregister te gebruiken om het afleveren van de huisvuilzakkencheques te verzekeren, de toegang tot de containerparken (eerbiediging van de dagelijkse quota), het beheer van de gepersonaliseerde containers voor huishoudelijk afval (toekenning en facturatie) en meer in het algemeen voor het beheer van de relaties met de burgers die informatie wensen over hun situatie in verband met huishoudelijk afval. 15. In het raam van zijn opdrachten verzekert de aanvrager op vraag van talrijke gemeenten de verdeling van gratis huisvuilzakken inbegrepen in de "taxe de salubrité publique" (huisvuilbelasting) via de invoering en verdeling van "huisvuilzakkencheques". De toegang tot de containerparken van de aangesloten gemeenten wordt beheerd door de aanvrager. Ten slotte is hij door de gemeenten eveneens gemandateerd voor de verdeling van huisvuilcontainers met chip alsook voor de berekening van door de gebruikers verschuldigde bedragen in functie van hun hoeveelheid huisvuil (voor de gemeenten Bon-Villers, Gerpinnes en Courcelles en in de loop van 2014 voor de gemeenten Montigny-le-Tilleuls, AiseauPresles, Pont-à-Celles en Anderlues). 16. Artikel 21 van het Waals Decreet van 27 juni 1996 betreffende de afvalstoffen stelt "Elke
burger heeft recht op een dienst voor huisafvalbeheer, onverminderd de verplichting voor de
Beraadslaging RR 02 /2014 - 5/11
gemeente de gezamenlijke kosten van het beheer waarvoor zij instaat door de begunstigden te laten dragen en het beginsel van een doorzichtige facturering, waarin de bestanddelen van de kost opgenomen zijn, toe te passen. (…) De gemeenten kunnen overigens voorzien in maatregelen die rekening houden met de maatschappelijke toestand van de begunstigde " Het Besluit van de Waalse regering van 5 maart 2008 betreffende het beheer van de afval uit de gebruikelijke activiteit van de gezinnen en de dekking van de desbetreffende kosten preciseert "De gemeente organiseert een minimumdienst en bijkomende diensten inzake het
beheer van de afval uit de gebruikelijke activiteit van de gezinnen". (art.1). Artikel 7 stelt dat de gemeenten bevoegd zijn om het bedrag en de modaliteiten te bepalen van de bijdrage van de gebruikers inzake afvalbeheer. De aanvrager verduidelijkte dat iedere gemeente via haar
gemeentelijk
reglement
de
bijdragen
heeft
bepaald
verbonden
aan
de
huisvuilcontainers met chip alsook het aantal huisvuilzakkencheques die inbegrepen zijn in de belasting voor ophaling van het huisvuil. 17. Gelet op wat voorafgaat stelt het Comité vast dat de door de aanvrager beoogde doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, § 1, 2° van de WVP en artikel 5 van de WRR. C. PROPORTIONALITEIT 18. Artikel 4 § 1, 3° van de Privacywet bepaalt dat de persoonsgegevens toereikend, ter zake dienend en niet overmatig dienen te zijn in het licht van de doeleinden waarvoor zij worden verkregen en verder worden verwerkt.
C.1. Betreffende de gegevens 19. De aanvrager wenst de mededeling van de informatiegegevens vermeld in artikel 3, 1 ste lid, 1° tot 3°, 5°, 6° en 9° van de WRR van de personen die gedomicilieerd zijn op het grondgebied van de bij de ICDI aangesloten gemeenten, namelijk:
Naam en voornamen,
Geboortedatum,
Geslacht,
Datum van overlijden van de referentiepersoon van het gezin,
Hoofdverblijfplaats,
Gezinssamenstelling.
20. De gegevens "naam en voornamen", "hoofdverblijfplaats" en "geslacht" zijn noodzakelijk voor de aanvrager om de huisvuilzakkencheques te personaliseren, voor het
Beraadslaging RR 02 /2014 - 6/11
registreren van de hoeveelheid afval afgeleverd in de containerparken met het oog op de controle op de eerbiediging van de quota alsook voor het registreren van het gewicht van het ingezamelde afval via de huisvuilcontainers met chip. 21. De gegevens "geboortedatum" en "gezinssamenstelling" zijn voor de aanvrager noodzakelijk om de huisvuilcontainers met chip toe te kennen in functie van de gezinsgrootte die gebaseerd is op het aantal personen die deel uitmaken van het gezin en/of het feit of het gezin kinderen telt van minder dan 12 jaar. 22. Wat het gegeven "datum van overlijden" van de referentiepersoon van het gezin betreft dient de aanvrager hiervan kennis te kunnen nemen aangezien het overlijden van deze persoon administratieve en financiële gevolgen meebrengt (transfert en/of annulering van de huisvuilcontainer met chip, wijziging van grootte, wijziging van facturatiegegevens,…) 23. Gelet op de door de aanvrager aangehaalde argumenten oordeelt het Comité dat een toegang tot de gegevens "naam en voornamen", "hoofdverblijfplaats", "geslacht", "geboortedatum", "gezinssamenstelling" en "datum van overlijden" proportioneel, ter zake dienend en niet overmatig is in het licht van de beoogde doeleinden (artikel 4 § 1, 3° van de WVP).
C.2. Betreffende het identificatienummer van het Rijksregister 24. De aanvrager wenst het identificatienummer te gebruiken als uniek identificatiemiddel in zijn databank voor toekenning van de "huisvuilzakkencheques", voor het beheer van de toegang tot de containerparken (om zich te verzekeren van de eerbiediging van de dagelijkse quota die er mogen worden afgeleverd) en voor het beheer van de huisvuilcontainers met chip (toekenning van de containers in functie van de grootte van het gezin, personalisering van de chip in de container, inzameling van de ophaalgegevens in functie van de tarifering). 25. De in de databank opgenomen personen zijn de inwoners van de gemeenten die aangesloten zijn bij de ICDI voor het doeleinde "containerparken" en de inwoners van die gemeenten die hebben geopteerd voor het systeem van huisvuilcontainers met chip voor het doeleinde "beheer van de huisvuilcontainers met chip". 26. Het identificatienummer van het Rijksregister vormt hiertoe een gepast instrument. Het gaat om een uniek nummer dat toelaat een persoon met grote nauwkeurigheid te identificeren. Fouten die zich kunnen voordoen ingevolge homonymie of schrijffouten zijn uitgesloten.
Beraadslaging RR 02 /2014 - 7/11
27. Het is immers belangrijk voor de aanvrager dat hij zich kan vergewissen van de eenduidige identificatie van de personen die zich aanbieden in het containerpark zodat hij de eerbiediging van de afvalquota die mogen aangeboden worden kan controleren. De eenduidige identificatie van personen is eveneens belangrijk voor de verwezenlijking van de andere twee doeleinden, zijnde de toekenning van gratis huisvuilzakken alsook de toekenning van huisvuilcontainers met chip en de facturatie van het aldus ingezamelde huisvuil. 28. Gelet op wat voorafgaat is het geplande gebruik van het identificatienummer van het Rijksregister conform artikel 4 § 1, 3° van de WVP. 29. Het Comité vestigt de aandacht op de voorschriften van artikel 8, § 1, 3 de lid van de WRR dat stelt dat iedere houder van een machtiging om het identificatienummer van het Rijksregister te gebruiken, verplicht is om dit identificatienummer in de contacten met het Rijksregister van de natuurlijke personen ook aan te wenden.
C.3. Betreffende de frequentie van de toegang en de duur van de machtiging 30. De aanvrager wenst een permanente toegang tot het Rijksregister. 31. Het Comité stelt vast dat gelet op de beoogde doeleinden en de opdrachten van de aanvrager een dergelijke permanente toegang conform artikel 4, § 1, 3° van de WVP is. 32. De aanvrager wenst een toegang tot het Rijksregister voor onbepaalde duur aangezien zijn wettelijke opdracht niet bepaald werd in de tijd. 33. Het Comité stelt vast dat om het voormelde doeleinde te verwezenlijken een machtiging van onbepaalde duur gepast is.
C.4. Bewaringstermijn van de gegevens 34. De aanvrager verduidelijkte dat hij de gegevens die hij gebruikt voor de toekenning van de "huisvuilzakkencheques" en het beheer van de toegangen tot de containerparken zal bewaren gedurende 2 jaar aangezien de gebruikers vaak contact met hem opnemen omdat zij menen dat zij het jaar voordien niet het aantal gratis huisvuilzakken hebben gekregen waarop zij meenden recht te hebben of nog ingevolge het feit dat het onderzoek naar de eerbiediging van de afvalquota van wat mag aangeboden worden in de containerparken in het algemeen gevoerd wordt op basis van het voorgaande jaar.
Beraadslaging RR 02 /2014 - 8/11
35. Wat de gegevens betreft die verwerkt worden voor het beheer van de huisvuilcontainers met chip en de facturatie van het aldus ingezamelde huisvuil, stelt de aanvrager dat hij deze gedurende 10 jaar zal bewaren na afsluiting van het boekhoudkundig jaar om zich te schikken naar de wetgeving betreffende de bewaring van boekhoudkundige documenten alsook naar de fiscale wetgeving (art. 58 tot 60 Wetboek van de BTW en art. 315 en 315bis van het WIB 1992). 36. Door de gegevens te bewaren gedurende de respectievelijk vermelde periodes handelt de aanvrager conform artikel 4, § 1, 5° van de WVP.
C.5. Intern gebruik en/of mededeling aan derden 37. De aanvrager verduidelijkte dat de gegevens intern zullen gebruikt worden door de chef van zijn dienst ICT, de bedienden van het onthaal belast met het versturen van de huisvuilzakkencheques alsook door de bedienden van de dienst "Collecte & Commercial" belast met de doorgifte van de facturatiegegevens aan de gemeenten en het beheer van de containers per adres. 38. Het Comité neemt hiervan akte. 39. De aanvrager voorziet ook de mededeling van gegevens aan zijn onderaannemers. Enkel de noodzakelijke gegevens zullen meegedeeld worden aan de onderaannemer die belast is met het drukken van de huisvuilzakkencheques (SA Edenred Belgium), zijnde de naam, voornamen, adres en aantal rollen gratis huisvuilzakken. Wat betreft de onderaannemer belast met de berekening van de verschuldigde sommen voor de huisvuilophalingen middels de containers met chip, deelt de aanvrager het gewicht mee van het opgehaalde huisvuil, het adres van het betrokken gezin, het identificatienummer van de container, het identificatienummer van het Rijksregister van de referentiepersoon van het gezin, het adres van het gezin en het aantal personen dat deel uitmaakt van het gezin. 40. Het Comité herinnert in dit verband dat de aanvrager moet waken over de naleving van artikel 16 van de Privacywet die hem verplicht tot het kiezen van een of meerdere onderaannemers die voldoende waarborgen bieden op het gebied van technische en organisatorische veiligheidsmaatregelen voor de verwerkingen, te waken over de naleving van deze maatregelen via contractuele bepalingen, in een schriftelijke overeenkomst hun verantwoordelijkheid jegens hem te bepalen en schriftelijk met de onderaannemers overeen te komen dat deze uitsluitend optreden ingevolge onderrichtingen van de verantwoordelijke
Beraadslaging RR 02 /2014 - 9/11
voor de verwerking en dat zij gehouden zijn aan dezelfde verplichtingen als die waartoe de verantwoordelijke voor de verwerking is gehouden krachtens artikel 16, § 3 van de Privacywet (zich ervan vergewissen dat de personeelsleden van de onderaannemers enkel gegevens verwerken conform de onderrichtingen van de verantwoordelijke voor de verwerking behoudens krachtens een wettelijke verplichting).
C.6. Netwerkverbindingen 41. Uit de door de aanvrager verstrekte toelichtingen blijkt dat er momenteel geen enkele netwerkverbinding tot stand komt die de koppeling van gegevens van verschillende instanties toelaat op basis van het identificatienummer van het Rijksregister. 42. Volledigheidshalve benadrukt het Comité dat:
indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité daarvan voorafgaandelijk op de hoogte moet brengen;
het identificatienummer van het Rijksregister in ieder geval slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens gemachtigd werden om dit nummer te gebruiken.
D. BEVEILIGING
D.1. Consulent inzake informatiebeveiliging 43. De identiteit van de consulent inzake informatiebeveiliging werd meegedeeld. 44. Uit de aanvraag en de meegedeelde informatie blijkt dat de voorgestelde persoon slechts over een zeer beperkte kennis beschikt van de basisconcepten van de informatica en de informatiebeveiliging. 45. Bijgevolg dient de aanvrager er ofwel voor te zorgen dat de voorgestelde persoon een opleiding geniet, ofwel assistentie krijgt om zijn tekortkomingen op te vangen en dient hij het Comité hierover te informeren, ofwel een andere consulent inzake informatiebeveiliging aan te duiden en een nieuwe evaluatievragenlijst behoorlijk en naar waarheid ingevuld te bezorgen aan het Comité.
D.2. Informatiebeveiligingsbeleid
Beraadslaging RR 02 /2014 - 10/11
46. Uit
de
door
de
aanvrager
meegedeelde
documenten
blijkt
dat
hij
over
een
informatiebeveiligingsbeleid beschikt en dit eveneens toepast op het terrein. 47. Uit de meegedeelde informatie blijkt evenwel dat de fysieke en logische beveiliging (logging) van de toegangen nog niet operationeel is. 48. Gelet op wat voorafgaat blijkt dat de aanvrager niet over een adequaat beveiligingsbeleid beschikt. Het Comité wenst dat de aanvrager meedeelt welke maatregelen hij zal nemen om de vastgestelde tekortkomingen te verhelpen. 49. In dit verband herinnert het Comité eraan dat het ontbreken van een loggingsysteem dat registreert welke persoon op welk ogenblik welke gegevens heeft geraadpleegd betreffende een bepaalde persoon en voor welke reden, ieder beveiligingsbeleid herleid tot een lege doos. Rekening houdend met het feit dat misbruik maken van een toegang tot persoonsgegevens een strafbaar feit is wordt aanbevolen valabele loggings gedurende ten minste 10 jaar te bewaren.
D.3. Personen die toegang hebben tot de gegevens en het identificatienummer zullen gebruiken 50. Het zijn de bedienden bedoeld in punt C.5 die op het niveau van de aanvrager in het raam van de uitoefening van hun functie toegang zullen hebben tot het Rijksregister en het identificatienummer van het Rijksregister zullen gebruiken. 51. Zoals voorgeschreven door artikel 12 van de WRR dient de aanvrager een lijst op te stellen van de personen die toegang krijgen tot de gegevens van het Rijksregister. Deze lijst moet voortdurend bijgewerkt en ter beschikking van het Comité gehouden worden. 52. De personen die op deze lijst voorkomen moeten bovendien een verklaring ondertekenen waarmee zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de gegevens te bewaren.
Beraadslaging RR 02 /2014 - 11/11
OM DEZE REDENEN, Het Comité 1° machtigt de aanvrager om voor de onder punt B vermelde doeleinde en volgens de in onderhavige beraadslaging bepaalde voorwaarden voor onbepaalde duur toegang te krijgen tot de informatiegegevens bedoeld in artikel 3, 1ste lid, 1° tot 3° (met uitzondering van de geboorteplaats), 5°, 6° (met uitzondering van de plaats van overlijden) en 9° van de WRR en om het identificatienummer van het Rijksregister te gebruiken; 2° bepaalt dat onderhavige machtiging evenwel slechts uitwerking zal krijgen nadat het Comité op basis van meegedeelde informatie en documenten zal hebben vastgesteld dat een consulent inzake informatiebeveiliging werd aangeduid die de nodige waarborgen biedt (punt D.1)
en dat de beveiligingsmaatregelen waarvan sprake in punt D.2. werden
ingevoerd; 3° bepaalt dat bij iedere latere wijziging in de organisatie van de informatiebeveiliging die een impact kan hebben op de antwoorden die aan het Comité verstrekt werden op de informatieveiligheidsvragenlijst (aanduiding van een consulent inzake informatiebeveiliging en antwoorden op de vragen betreffende de organisatie van de beveiliging), de aanvrager een nieuwe, naar waarheid ingevulde vragenlijst betreffende de informatiebeveiliging aan het Comité moet toesturen. Het Comité zal de ontvangst bevestigen en behoudt het recht daar later desgevallend op te reageren; 4° bepaalt dat wanneer het Comité de aanvrager een vragenlijst stuurt over informatiebeveiliging, die vragenlijst volledig en naar waarheid moet worden ingevuld en naar het Comité teruggestuurd. Het Comité stuurt een ontvangstmelding en behoudt het recht daar later desgevallend op te reageren. De Wnd. Administrateur,
De Voorzitter,
(get.) Patrick Van Wouwe
(get.) Mireille Salmon