BERAADSLAGING RR Nr 30 / 2006 van 29 november 2006 O. Ref. :
SA2 / RN / 2006 / 025
BETREFT : aanvraag van het Vlaams Ministerie van Financiën en Begroting, Intern Verzelfstandigd Agentschap Centrale Accounting, om het identificatienummer van het Rijksregister te gebruiken met het oog op o.a. de opvolging van de uitgaven en ontvangsten verricht door de Vlaamse Regering. De Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna “WRR”); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna “WVP”), inzonderheid artikel 31bis; Gelet op de wet van 25 maart 2003 tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en van de wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, inzonderheid artikel 19, § 3; Gelet op het Koninklijk Besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van het Vlaams Ministerie van Financiën en Begroting, Intern Verzelfstandigd Agentschap Centrale Accounting, ontvangen op 3 augustus 2006 en de bijkomende informatie, ontvangen op 27 oktober 2006; Gelet op de aanvraag van het juridisch en technisch advies op 31 oktober 2006; Gelet op het verslag van de ondervoorzitter; Beslist op 29 november 2006, na beraadslaging, als volgt:
Ber. RR 30 / 2006 - 1 / 6
I. VOORWERP VAN DE AANVRAAG. ----------------------------------------------------------De aanvraag heeft tot doel om het Vlaams Ministerie van Financiën en Begroting, Intern Verzelfstandigd Agentschap Centrale Accounting, hierna de aanvrager genoemd, te machtigen om het identificatienummer van het Rijksregister te gebruiken (art. 8 WRR) met het oog op o.a. de opvolging van de uitgaven en ontvangsten van de Vlaamse Regering.
II. ONDERZOEK VAN DE AANVRAAG. ------------------------------------------------------------Ingevolge het koninklijk besluit van 30 januari 1998 tot regeling van de toegang tot de informatiegegevens en van het gebruik van het identificatienummer van het Rijksregister van de natuurlijke personen voor de Administratie Budgettering, Accounting en Financieel management van het Ministerie van de Vlaamse Gemeenschap, beschikt de aanvrager reeds over een toegang tot de informatiegegevens van het Rijksregister en werd hij gemachtigd het identificatienummer van het Rijksregister te gebruiken voor het doelmatiger berekenen en uitvoeren van betalingen en inningen, binnen het kader van zijn opdrachten. Dit betekent dat de Commissie haar onderzoek, in beginsel, kan beperken tot het nagaan of: -
het nieuwe doeleinde waarvoor het gebruik gevraagd wordt, conform is met artikel 4, § 1, 2°, WVP; het gebruik van het identificatienummer, in het licht van het nieuwe doeleinde, proportioneel is (artikel 4, § 1, 3°, WVP).
Uit de lectuur van de aanvraag blijkt evenwel dat de aanvrager eigenlijk het gebruik van het nummer voor het nieuwe doeleinde niet alleen voor zichzelf vraagt, maar ook voor andere Vlaamse Ministeries, meer in het bijzonder voor hun boekhoudkundige diensten die eveneens met Orafin werken. De Commissie begrijpt dat de aanvraag gemakshalve ook gebeurt namens deze institutionele gebruikers van Orafin, daar ze in casu hetzelfde doeleinde nastreven. De aanvrager deelde de identiteit van de betrokken instanties mee bij schrijven van 23 oktober 2006. De Commissie stelt vast dat het overheden betreft die op basis van artikel 5, eerste lid, WRR in aanmerking komen om het identificatienummer te gebruiken. Zij vestigt er evenwel de aandacht op dat indien er in de toekomst andere instanties, dan deze vermeld in deze beraadslaging, Orafin wensen te gebruiken, de aanvrager als beheerder van het systeem erover moet waken dat hij dit slechts toelaat indien de betrokkene over de vereiste machtiging beschikt.
A. FINALITEIT In de aanvraag wordt aangestipt dat jaarlijks de begroting van de middelen en uitgaven van de Vlaamse Gemeenschap evenals de bepalingen tot begeleiding ervan, bij decreet worden vastgelegd. Daarnaast bepaalt het koninklijk besluit van 10 december 1868 houdende algemeen reglement op de Rijksbegroting: -
de ordonnateurs zijn verantwoordelijk voor de door hen in strijd met de wetten en bestuursreglementen gemandateerde betalingen (artikel 158); elke dubbele post in de uitgaven, elke ten onrechte gedane betaling brengt de aansprakelijkheid van de ordonnateur mede (artikel 159).
Het is de Vlaamse regering die de voorgestelde uitgaven doet en de vereiste financiële middelen int. De financiële verwerking en opvolging van de uitgaven en ontvangsten wordt verricht door de boekhoudkundige diensten van de Vlaamse ministeries. Hiertoe maken deze diensten gebruik van Ber RR 30 / 2006 - 2 / 6
het financieel systeem Orafin dat de processen van vastlegging, van ordonnancering, van de ontvangsten en van de vaste activa ondersteunt. Elke transactie binnen één van de bovenvermelde processen geschiedt aan de hand van een gedagtekend verantwoordingsstuk dat wordt geregistreerd. Die registratie omvat o.a. de identificatie van de begunstigde (schuldeiser/ schuldenaar). Nog steeds volgens de aanvraag vereist het systeem dat de begunstigde eerst in Orafin wordt opgenomen met de juiste parameters. Tot die parameters behoren onder meer de naam en het adres van de begunstigde. Pas nadat dit gebeurde kunnen de gegevens gebruikt worden in de verschillende fasen van het uitgaven- en ontvangstenbeheer. De aanvrager streeft ernaar om de correctheid van zijn begunstigdenbestand te verbeteren. Aldus worden de risico’s op het verrichten van een onverantwoorde betaling/ onverantwoorde invordering geminimaliseerd. Met het oog op de unieke identificatie gebruikt hij sedert enkele jaren het ondernemingsnummer voor rechtspersonen en wenst hij voor natuurlijke personen het identificatienummer te gebruiken. De Commissie stelt vast dat het hierboven vermelde en nagestreefde doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, § 1, 2°, WVP en artikel 5, tweede lid, WRR.
B. PROPORTIONALITEIT B.1. Gebruik van het identificatienummer Volgens de aanvraag zullen de begunstigden in Orafin alleen kunnen opgenomen worden door een begunstigdenbeheerder. Iedere entiteit binnen de Vlaamse ministeries, bevoegd voor de boekhouding, beschikt over minstens één dergelijke beheerder, aangesteld door de leidend ambtenaar. De werkwijze die zal gevolgd worden, wordt in de aanvraag als volgt omschreven: • Wanneer een nieuwe begunstigde moet opgenomen worden, wordt de begunstigdenbeheerder ingeschakeld. Deze zal, via de verrijkte kruispuntbank voor personen1, het identificatienummer van de begunstigde in het Rijksregister opsporen door dit laatste te bevragen aan de hand van de naam en/of het adres. Eens die operatie afgerond, zal de begunstigde in Orafin opgeslagen worden, samen met zijn identificatienummer. • De gewone gebruikers van Orafin, d.w.z. personeelsleden van de boekhoudkundige diensten van de Vlaamse ministeries die geen begunstigdenbeheerder zijn, zullen het identificatienummer niet te zien krijgen. Zij zullen uitsluitend werken met de zogenaamde “transactiegegevens” zoals o.a. de naam en het adres, niet de “mastergegevens” waarin ook het identificatienummer van het Rijksregister is vervat. • Indien een gebruiker geconfronteerd wordt met een begunstigde die niet bekend is in Orafin (de combinatie naam en adres is niet gekend), dan zal hij de begunstigdenbeheerder vragen om tot controle over te gaan. Deze zal, aan de hand van de hem meegedeelde naam en adres, eerst het identificatienummer in het Rijksregister opzoeken en vervolgens nagaan of het in de “mastergegevens” van Orafin zit. Indien niet, dan wordt een nieuwe begunstigde aangemaakt, indien wel dan wordt het niet langer correct zijnde “transactiegegeven” (meestal het adres) aangepast. De Commissie stelt vast dat het gebruik van het identificatienummer, in het licht van het opgegeven doeleinde, in overeenstemming is met artikel 4, § 1, 3°, WVP. 1
Het programma van de e-government-cel CORVE van de Vlaamse Gemeenschap via hetwelk de diensten van de Vlaamse Gemeenschap, die over de nodige machtigingen beschikken, federale authentieke bronnen zoals het Rijksregister kunnen raadplegen. Ber RR 30 / 2006 - 3 / 6
B.2. Ten opzichte van de duur waarvoor het gebruik gevraagd wordt Het gebruik wordt voor onbepaalde duur gevraagd, gelet op het feit dat niet kan voorspeld worden hoelang de aanvrager dit systeem ter ondersteuning van de financiële verwerking en de opvolging van uitgaven en ontvangsten zal gebruiken. In het licht hiervan stelt de Commissie vast dat een machtiging voor onbepaalde duur wenselijk is (art. 4, § 1, 3° WVP). B.3. Ten opzichte van de bewaartermijn Uit de bijkomende informatie, verstrekt door de aanvrager, blijkt dat de archiefbeheersplannen van het Ministerie van de Vlaamse Gemeenschap voorzien in een bewaartermijn van 10 jaar voor dossiers inzake uitgaven en ontvangsten (de dossiers van de aanvrager vallen daaronder). De bewaartermijn is ingegeven door artikel 15 van de wet van 16 mei 2003 tot vaststelling van de algemene bepalingen die gelden voor de begrotingen, de controle op de subsidies en voor de boekhouding van de gemeenschappen en de gewesten, alsook voor de organisatie van de controle door het Rekenhof, dat bepaalt dat inzake verjaring het gemeen recht van toepassing is. De Commissie stelt vast dat in de gegeven omstandigheden een bewaartermijn van 10 jaar conform is aan artikel 4, § 1, 5°, WVP. B.4. Intern gebruik en/ of mededeling aan derden De aanvrager meldt dat hij het identificatienummer uitsluitend intern zal gebruiken. Hiermee worden eigenlijk de institutionele gebruikers van Orafin bedoeld die in de huidige beraadslaging geviseerd worden en meer in het bijzonder de begunstigenbeheerders die door deze laatsten werden aangeduid. Dergelijke mededeling is in het licht van het opgegeven doeleinde aanvaardbaar. B. 5. Netwerkverbindingen Uit de uitleg verstrekt door de aanvrager blijkt dat er op basis van het identificatienummer geen informatie met derden zal uitgewisseld worden en er bijgevolg geen netwerkverbindingen tot stand komen. De Commissie vestigt er volledigheidshalve de aandacht op dat: - indien er later netwerkverbindingen mochten tot stand komen, de aanvrager de Commissie daarvan voorafgaandelijk op de hoogte moet brengen; - het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met derden voor zover het kadert in de doeleinden met het oog op dewelke zij gemachtigd werden om dit nummer te gebruiken.
C. BEVEILIGING C.1. Consulent inzake informatieveiligheid De identiteit van de consulent inzake informatieveiligheid werd meegedeeld. Blijkens de verstrekte informatie zullen 2 personen over de informatieveiligheid waken. Op basis van de verstrekte informatie is de Commissie van oordeel dat zij over de nodige vaardigheden en autonomie beschikken om deze functie naar behoren te vervullen.
Ber RR 30 / 2006 - 4 / 6
C.2. Veiligheidsbeleid Uit de door de aanvrager meegedeelde stukken blijkt dat hij over een veiligheidsbeleid beschikt evenals over een plan in toepassing ervan. De Commissie heeft er akte van genomen. C.3. Personen die het identificatienummer van het Rijksregister mogen gebruiken en lijst van deze personen Uit de aanvraag blijkt dat het identificatienummer zal gebruikt worden door: • de personeelsleden van het dienstencentrum van de aanvrager die instaan voor het beheer, onderhoud van het systeem; • de begunstigdenbeheerders van de diverse boekhoudkundige diensten van de Vlaamse ministeries. De aanvrager en de andere gemachtigden moeten, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die het nummer van het Rijksregister gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van de Commissie gehouden worden. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens te bewaren.
OM DEZE REDENEN, De Commissie 1° machtigt a. het Vlaams Ministerie van Financiën en Begroting, Intern Verzelfstandigd Agentschap Centrale Accounting; b. het Vlaams Ministerie Financiën en Begroting, Boekhoudcel (MOD) FB + Boekhoudcel IVA Centrale Accounting; c. het Vlaams Ministerie Diensten voor het algemeen regeringsbeleid, Boekhoudcel (MOD) DAR en IV; d. het Vlaams Ministerie Internationaal Vlaanderen; e. het Vlaams Ministerie Bestuurszaken, Boekhoudcel (MOD) BZ; f. het Vlaams Ministerie Werk en Sociale Economie, Boekhoudcel (MOD) EWI en WSE; g. het Vlaams Ministerie Economie, Wetenschap en Innovatie; h. Vlaams Ministerie Onderwijs en Vorming, Boekhoudcel (MOD) OV; i. het Vlaams Ministerie Welzijn, Volksgezondheid en Gezin, Boekhoudcel (MOD) WVG; j. het Vlaams Ministerie Cultuur, Jeugd, Sport en Media, Boekhoudcel (MOD) CJSM; k. het Vlaams Ministerie Landbouw en Visserij, Boekhoudcel (MOD) LV; l. het Vlaams Ministerie Leefmilieu, Natuur en Energie, Boekhoudcel (MOD) LNE; m. het Vlaams Ministerie Mobiliteit en Openbare Werken, Boekhoudcel (MOD) MOW; n. het Vlaams Ministerie Ruimtelijke Ordening, Woonbeleid en Onroerend Erfgoed, Boekhoudcel (MOD) RWO;
Ber RR 30 / 2006 - 5 / 6
om met het oog op de verwezenlijking van het in punt A omschreven doeleinde en onder de voorwaarden omschreven in de beraadslaging, om voor onbepaalde duur het identificatienummer van het Rijksregister te gebruiken. 2° bepaalt dat wanneer zij bovengenoemde gemachtigden een vragenlijst met betrekking tot de informatieveiligheidstatus toestuurt, deze laatsten deze lijst waarheidsgetrouw moeten invullen en terugbezorgen aan de Commissie. De Commissie zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren.
De administrateur,
De ondervoorzitter,
(get.) Jo BARET
(get.) Willem DEBEUCKELAERE
Ber RR 30 / 2006 - 6 / 6
