1/8
Sectoraal comité van het Rijksregister Beraadslaging RR nr. 13/2008 van 12 maart 2008
Betreft: aanvraag van UGent om mededeling te bekomen van een informatiegegeven uit het Rijksregister met het oog op de uitbouw van de alumniwerking (RN/MA/2008/004)
Het Sectoraal comité van het Rijksregister (hierna "het Comité"); Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR"); Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte
van de verwerking van persoonsgegevens (hierna "WVP"), inzonderheid artikel 31bis; Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met
betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de aanvraag van de Universiteit Gent, ontvangen op 14/01/2008; Gelet op de aanvraag van het technisch en juridisch advies, gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 08/02/2008; Gelet op het verslag van de wnd Voorzitter; Beslist op 12/03/2008, na beraadslaging, als volgt:
Ber RR 13/2008 - 2/8
I. VOORWERP VAN DE AANVRAAG De aanvraag strekt ertoe om de Dienst Bestuurzaken van de Universiteit Gent, hierna de aanvrager, te machtigen om eenmalig de mededeling te bekomen van het informatiegegeven bedoeld in artikel 3, eerste lid, 5°, WRR van personen afgestudeerd aan de Universiteit Gent met het oog op het uitbouwen van een alumnigegevensbank.
II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING A.1. Wet van 8 augustus 1983 (WRR) Overeenkomstig artikel 5, eerste lid, 2°, WRR wordt de machtiging om toegang te bekomen tot of mededeling te verkrijgen van de informatiegegevens van het Rijksregister door het Comité verleend
aan openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. De aanvrager heeft rechtspersoonlijkheid1 en mag in toepassing van de artikelen 4 en 6 van het decreet van de Vlaamse Gemeenschap van 4 april 2003 betreffende de herstructurering van het hoger onderwijs in Vlaanderen de benaming "universiteit" dragen. Artikel 10 van voormeld decreet stelt uitdrukkelijk dat universiteiten, in het belang van de samenleving, werkzaam zijn op het gebied van het hoger onderwijs. Daarnaast zijn ze tevens actief op het gebied van maatschappelijke en wetenschappelijke dienstverlening. In de mate dat de aanvrager een onderwijsopdracht verzorgt, vervult hij alleszins een taak van algemeen belang en komt hij dus in aanmerking om mededeling te krijgen van informatiegegevens uit het Rijksregister.
1
Artikel 1, § 2 van de wet van 12 augustus 1911 tot toekenning van rechtspersoonlijkheid aan de Katholieke Universiteit te Leuven – Université catholique de Louvain, aan de Vrije universiteit Brussel, aan de Université libre de Bruxelles en waarbij aan de Katholieke Universiteit te Leuven– Université catholique de Louvain machtiging wordt verleend om een Franstalige en een Nederlandstalige universiteit op te richten.
Ber RR 13/2008 - 3/8
A.2. Wet van 8 december 1992 (WVP) Op grond van artikel 4 WVP vormen de informatiegegevens van het Rijksregister persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt.
B. FINALITEIT De aanvrager wenst met zijn afgestudeerden terug in contact te treden en/of contact te behouden. Daartoe zal hij een alumnigegevensbank uitbouwen. Hij vestigt er de aandacht op dat een blijvend contact met alumni een meerwaarde op verschillende terreinen kan opleveren: •
de oud-studenten die ondertussen in het beroepsleven actief zijn, zijn ideaal geplaatst om feedback te verstrekken m.b.t. de gegeven cursussen en meer in het bijzonder hun (ir)relevantie voor het beroepsleven, de zwakke en sterke punten ervan, zodat eventueel kan bijgestuurd worden, iets waarmee de studenten op termijn zullen gediend zijn;
•
ze kunnen ook tijdig de aandacht vestigen op nieuwe ontwikkelingen die een aanpassing van het curriculum van een bepaalde richting wenselijk maken, wil die niet hopeloos achter de feiten aanhollen;
•
het lopen van stage maakt een integraal deel uit van sommige opleidingen, maar het vinden van stageplaatsen is niet altijd vanzelfsprekend, de alumni kunnen op dit punt een bijdrage leveren;
•
gelet op de vaak gespecialiseerde kennis die alumni ingevolge hun beroepsbezigheden inmiddels verzamelden, is het ook interessant dat men op hen een beroep kan doen om gastcolleges te geven;
•
in het kader van levenslang leren is het ook belangrijk dat de alumni kunnen geïnformeerd worden over studiedagen die de aanvrager organiseert met het oog op het bijspijkeren van hun kennis;
•
alumni kunnen ook een insteek doen om industriële promotoren te vinden voor postdoctorale-beurzen (onderzoeksmandaten) die erop gericht zijn wetenschappelijke onderzoeksresultaten in de industrie te valoriseren.
Ber RR 13/2008 - 4/8
Aldus omschreven, situeert de gegevensbank zich in de onderwijsgerelateerde en maatschappelijke dienstverleningstaken die aan de universiteiten zijn opgedragen. De gegevens van een oud student zullen slechts in de gegevensbank worden opgenomen voor zover hij daartoe instemt. Hij bepaalt welke persoonsgegevens erin worden opgenomen evenals voor welke doeleinden bepaalde gegevens mogen gebruikt worden, aan welke personen deze eventueel mogen bekend gemaakt worden. De uitbouw van de alumnidatabank is in die omstandigheden slechts mogelijk voor zover de aanvrager zijn oud-studenten kan aanschrijven om hen op de hoogte te brengen van dit initiatief en hen uit te nodigen om hun gegevens te verschaffen - dus toe te stemmen - met het oog op de opname ervan in de databank. Zij kunnen trouwens ook te allen tijde beslissen om zich te laten uitschrijven en dus hun gegevens te laten verwijderen uit die databank. Het Comité is van oordeel dat het nagestreefde doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, § 1, 2°, WVP.
C. PROPORTIONALITEIT C.1 Ten overstaan van het gegeven De aanvrager wenst de mededeling te verkrijgen van het informatiegegeven vermeld in artikel 3, eerste lid, 5°, WRR, namelijk de hoofdverblijfplaats. Daartoe zal hij aan de diensten van het Rijksregister een lijst bezorgen die per afgestudeerde de volgende gegevens bevat: de naam, de voornaam, de geboortedatum en het Rijksregisternummer. Hij wenst dat de diensten van het Rijksregister aan de hand van deze gegevens de lijst vervolledigen met de hoofdverblijfplaats van de betrokkenen. De
aanvrager
wenst
de
afgestudeerden
te
informeren
over
zijn
initiatief
om
een
alumnigegevensbank uit te bouwen en hen vervolgens uit te nodigen om hun persoonsgegevens elektronisch te bezorgen met het oog op de opname ervan in die databank. Dit is slechts mogelijk voor zover hij beschikt over hun actuele adres zodat hij hen kan aanschrijven. Het Comité besluit dat de mededeling van het gegeven "hoofdverblijfplaats", in het licht van het opgegeven doeleinde, in overeenstemming is met artikel 4, § 1, 3°, WVP.
Ber RR 13/2008 - 5/8
C.2. Ten overstaan van de periodiciteit van de mededeling Er wordt een eenmalige mededeling gewenst. De afgestudeerden die op de lijst voorkomen zullen normaal één keer aangeschreven worden teneinde hen uit te nodigen om hun gegevens te verstrekken voor de opname ervan in de alumnidatabank. Aan diegenen die niet reageren, wordt ca. 14 dagen later een herinneringsbrief toegestuurd. Van diegene die dan nog geen teken van leven geven, wordt aangenomen dat ze niet wensen dat hun gegevens opgenomen worden in de databank. Zij worden dan ook niet meer gecontacteerd. Het Comité meent dat een eenmalige mededeling volstaat opdat de aanvrager het beoogde doeleinde zou kunnen bereiken (artikel 4, § 1, 3°, WVP).
C.3. Ten overstaan van de bewaringstermijn De aanvrager stelt dat hij de adresgegevens slechts gedurende een zeer korte tijd zal bijhouden, namelijk gedurende ca. 14 dagen na de eerste verzending, teneinde 1 herinneringsschrijven te kunnen versturen. Het Comité is van oordeel dat het in casu aanvaardbaar is dat er 1 herinneringsschrijven wordt gestuurd, teneinde trage beslissers alsnog te overtuigen. Na dit herinneringsschrijven moeten de verkregen gegevens vernietigd worden. In het licht hiervan is de door de aanvrager vooropgestelde bewaringstermijn conform aan artikel 4, eerste lid, 5°, WVP.
C.4. Intern gebruik en/of mededeling aan derden Volgens de aanvraag zal er geen mededeling van het ontvangen gegeven aan derden gebeuren. Het Comité neemt hiervan akte.
Ber RR 13/2008 - 6/8
D. BEVEILIGING D.1. Consulent inzake informatieveiligheid De identiteit van de consulent inzake informatieveiligheid werd meegedeeld. Een consulent inzake informatieveiligheid moet in alle onafhankelijkheid de informatieveiligheid kunnen appreciëren. Daarenboven mogen de eventuele andere functies die de betrokkene uitoefent niet onverenigbaar zijn met de functie van consulent inzake informatieveiligheid. Uit de meegedeelde informatie blijkt: •
niet dat de betrokkene deze functie in alle onafhankelijkheid kan uitoefenen en dus voor wat dit aspect betreft uitsluitend verantwoording verschuldigd is aan de persoon of instantie belast met de leiding van de aanvrager;
•
dat hij als projectleider ICT kennelijk werkzaamheden verricht die onverenigbaar zijn met de functie van veiligheidsconsulent (zou zichzelf controleren);
•
dat hij alleen maar voor het project "alumnidatabank" deze functie zou vervullen, terwijl normaal de veiligheid van alle informatiegegevens onder zijn verantwoordelijk zou moeten vallen.
In het licht hiervan wenst het Comité dat de aanvrager: •
hetzij nadere informatie verschaft waaruit blijkt dat de betrokkene over de nodige onafhankelijkheid
beschikt,
dat
er
geen
onverenigbaarheid
bestaat
tussen
zijn
werkzaamheden en de functie van veiligheidsconsulent en hij verantwoordelijk is voor de veiligheid van alle persoongegevens die de aanvrager verwerkt; •
hetzij een andere persoon voorstelt die aan deze vereisten voldoet.
D.2. Informatieveiligheidsbeleid Uit de door de aanvrager verstrekte informatie blijkt dat hij alleen voor het project "alumnigegevensbank" een begin van veiligheidsbeleid heeft proberen uit te werken. Het Comité stelt evenwel vast dat de aanvrager een gebruiker van het identificatienummer van het Rijksregister is. Ingevolge artikel 8, § 2, WRR is hij dan ook verplicht over een consulent inzake informatieveiligheid te beschikken. Artikel 13 WRR stelt trouwens het niet naleven van deze
Ber RR 13/2008 - 7/8
verplichting strafbaar. Het is dus niet aanvaardbaar dat de aanvrager alleen maar over een veiligheidsconsulent zou beschikken voor het project "alumnigegevensbank". De taak van deze consulent bestaat erin om te waken over de informatieveiligheid. Dit impliceert bijgevolg dat hij een informatieveiligheid uitwerkt en zorgt voor de toepassing ervan op het terrein. Dit beleid kan niet beperkt zijn tot een één project zoals in casu. Het dient alle gegevensbanken te omvatten waarin persoonsgegevens, waaronder het identificatienummer van het Rijksregister, worden opgeslagen en verwerkt. Artikel 16, § 4, WVP voorziet trouwens meer in het algemeen in de verplichting om de veiligheid van persoonsgegevens te waarborgen. In het licht hiervan wenst het Comité dat de aanvrager aantoont dat hij over een veiligheidsbeleid beschikt dat alle persoonsgegevens die hij verwerkt dekt.
D.3. Personen die toegang hebben tot het gegeven Het aantal personen dat tot het meegedeelde gegeven toegang heeft is beperkt tot de alumnicoördinator en de IT-projectleider. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, er voor zorgen dat er een lijst wordt opgesteld waarop de personen vermeld worden die toegang hebben tot de meegedeelde gegevens. Deze lijst zal voortdurend geactualiseerd worden en ter beschikking van het Comité gehouden worden. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens te bewaren.
E. OPMERKINGEN Uit de aanvraag meent het Comité te mogen afleiden dat het de bedoeling is van dat de gegevens van de personen die vanaf nu zullen afstuderen, van de studentengegevensbank zullen overgeheveld worden naar de alumnidatabank. Het Comité vestigt er de aandacht op dat de aanvrager ertoe gehouden is hetzelfde principe toe te passen als datgene dat hij voor reeds langer afgestudeerden toepast, namelijk de betrokkenen daartoe hun toestemming te vragen.
Ber RR 13/2008 - 8/8
OM DEZE REDENEN, het Comité 1° machtigt de Universiteit Gent om, onder de voorwaarden bepaald in deze beraadslaging, voor het doeleinde bepaald in punt B, de eenmalige mededeling te verkrijgen van het informatiegegeven vermeld in artikel 3, eerste lid, 5°, WRR. Deze machtiging zal evenwel slechts uitwerking krijgen nadat het Comité op basis van de door de gemachtigde verstrekte stukken en inlichtingen heeft vastgesteld dat: •
een consulent inzake informatieveiligheid werd aangesteld die de nodige waarborgen biedt;
•
informatie m.b.t. het informatieveiligheidsbeleid wordt voorgelegd;
2° bepaalt dat wanneer het de Universiteit Gent een vragenlijst met betrekking tot de informatieveiligheidstatus toestuurt, die laatste deze lijst waarheidsgetrouw moet invullen en terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht voor om, indien daartoe aanleiding bestaat, te reageren. De Administrateur,
De wnd Voorzitter,
(get.) Jo Baret
(get.) Frank Robben
