Transcript Machtigingsaanvraag betreffende de toegang tot het Rijksregister

1/9
Sectoraal comité van het Rijksregister
Beraadslaging RR nr 76/2014 van 8 oktober 2014
Betreft: Machtigingsaanvraag betreffende de toegang tot het Rijksregister en het gebruik van het
identificatienummer in het kader van de organisatie van de online-verkiezing van de Vlaamse
Jeugdraad op 12 november 2014 (RN-MA-2014-341)
Het Sectoraal comité van het Rijksregister, (hierna "het Comité");
Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen
(hierna "WRR");
Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte
van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;
Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met
betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de
Commissie voor de bescherming van de persoonlijke levenssfeer;
Gelet op de aanvraag van de vzw De Ambrassade ontvangen op 30/07/2014;
Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst
Binnenlandse Zaken op 19/09/2014;
Gelet op het verslag van de Voorzitter;
Beslist op 8 oktober 2014, na beraadslaging, als volgt:
.
Beraadslaging RR 76 /2014 - 2/9
I. VOORWERP VAN DE AANVRAAG
1.
De aanvraag strekt ertoe om de vzw De Ambrassade, hierna de aanvrager, te machtigen
om:

toegang te verkrijgen tot het informatiegegeven vermeld in artikel 3, eerste lid, 2° (enkel
geboortedatum), WRR en

het identificatienummer van het Rijksregister te gebruiken;
met het oog op de organisatie van de verkiezingen van de Vlaamse Jeugdraad.
II. ONDERZOEK VAN DE AANVRAAG
A. TOEPASSELIJKE WETGEVING
A.1. Wet van 8 augustus 1983 (WRR)
2.
Overeenkomstig artikel 5, eerste lid, 2°, WRR en artikel 8 WRR wordt de machtiging om
toegang te bekomen tot of mededeling te bekomen van de informatiegegevens van het Rijksregister
en om het identificatienummer te gebruiken door het Comité verleend aan openbare en private
instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken
van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een
ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal
comité.
3.
De aanvrager is een vereniging die bij de subsidieovereenkomst van 10 januari 2014
afgesloten met de Vlaamse Regering wordt belast met ondersteuning van de Vlaamse Jeugdraad in
het kwaliteitsvol realiseren van zijn opdracht, waaronder de organisatie van diens driejaarlijks
verkiezingsevenement (zie artikel 5, OD 2.4, actie 3). Deze overeenkomst is een uitvoering van
artikelen 7 en 8 van het Decreet van 20 januari 2012 houdende een vernieuwd jeugd- en
kinderrechtenbeleid.1
1
Artikel 8 van het decreet van 20 januari 2012 houdende een vernieuwd jeugd- en kinderrechtenbeleid:
§1, 2°: “De Vlaamse Regering subsidieert een vereniging met volgende taken: (…) de ondersteuning van de jeugdraad
vermeld in artikel 7 …” en §8: “ Met behoud van de toepassing van artikel 17 sluit de Vlaamse Regering binnen het door de
Vlaamse Regering generiek bepaald kader met elke vereniging als vermeld in §1 tot en met §5, een overeenkomst voor vier
jaar. (…)” en
Artikel 7 van het Besluit van de Vlaamse Regering van 14 september 2012 tot uitvoering van het decreet van 20 januari 2012
houdende een vernieuwd jeugd- en kinderrechtenbeleid: “(…) Voor 1 januari van het eerste jaar van de vierjarige periode
sluiten de minister en de te subsidiëren vereniging de vierjaarlijkse overeenkomst, vermeld in artikel 8, §8, van het decreet
van 20 januari 2012.”
Beraadslaging RR 76 /2014 - 3/9
4.
In de statuten van de aanvrager vermeld artikel 4 dat de aanvrager o.m. tot doel heeft “de
werking te ondersteunen van de jeugdraad opgericht in uitvoering van artikel 7 van het decreet van
20 januari 2012 houdende een vernieuwd jeugd en kinderrechtenbeleid”.
5.
Voormelde opdracht van de aanvrager kan als een taak van algemeen belang worden
bestempeld.
6.
De aanvrager komt bijgevolg in aanmerking om op basis van de artikelen 5, eerste lid, 2°,
en 8 WRR te worden gemachtigd.
A.2. Wet van 8 december 1992 (WVP)
7.
Op grond van artikel 4 WVP vormen de informatiegegevens en het identificatienummer van
het Rijksregister persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde,
uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Persoonsgegevens dienen bovendien
toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij
worden verwerkt.
B. FINALITEITEN
8.
Zoals hiervoor aangegeven is de aanvrager belast met de organisatie van de verkiezing van
de Vlaamse Jeugdraad. In het verleden gebeurde dit fysiek op papier op 1 locatie. Volgens de
aanvrager verwacht de subsidiërende overheid dat zij in 2014 gebruik maakt van nieuwe
technologieën om dit op een open en transparante manier te doen; maar vooral om zoveel mogelijk
jongeren de kans te geven om voor hun favoriete kandidaat te stemmen. De aanvrager wenst
bijgevolg te werken met een systeem van uitsluitend online stemmen. De bedoeling is om elke
jongere van 12 tot 30 jaar 2 een week lang, meer bepaald van 12 november tot en met 19 november
2014, de kans te geven om eenmaal te stemmen via de site van de Vlaamse Jeugdraad.
9.
De jongeren van 12 tot 30 jaar die online wensen te stemmen, melden zich aan via hun e-ID
of federaal token. Via hun e-ID of federaal token zal de Vlaamse Dienstenintegrator (hierna VDI) het
Rijksregisternummer
(en
de
geboortedatum)
inlezen
en
aldus
aan
de
hand
van
het
identificatienummer afleiden of de betrokken jongere aan de leeftijdsvoorwaarde voldoet om
toegang te krijgen tot de online stemming. De aanvrager zal vanwege de VDI de melding krijgen
“ja” (voldoet aan leeftijdsvoorwaarde) of “neen” (voldoet niet aan leeftijdsvoorwaarde). Op die
2
In het ontwerp van verkiezingsreglement wordt vooropgesteld dat enkel jongeren van minimum 12 en maximum 30 jaar
kunnen stemmen. Dit verkiezingsreglement werd goedgekeurd door de Algemene Vergadering van de Vlaamse Jeugdraad op
4 juni 2014.
Beraadslaging RR 76 /2014 - 4/9
manier wordt de aanvrager in staat gesteld om online conform de leeftijdsvereiste te werken, zonder
dat zij daartoe zelf over een toegang tot het Rijksregister of over het identificatienummer moet
beschikken, noch het dient te bewaren.
10.
Het Rijksregisternummer wordt dus uitsluitend door de VDI gebruikt om de leeftijd te
controleren. De aanvrager krijgt vanwege de VDI wel een versleuteld nummer (hash) terug, dat
haar in staat stelt zeker te zijn dat iedereen maar één keer kan stemmen. De aanvrager licht toe dat
deze
hash
wordt
afgeleid
uit
het
Rijksregisternummer
maar
uit
deze
hash
kan
het
Rijksregisternummer niet worden gereconstrueerd.
11.
Het Comité formuleert het grootste voorbehoud aangaande de garantie rond het geheim van
de stemming, nu zij geen duidelijk zicht heeft op de specificaties van de gehanteerde hashing en de
beveiliging ervan. De organisatie van een behoorlijke informatieveiligheid behoort tot de
verantwoordelijkheid van de behoorlijk gemachtigde.
Daarenboven komt het niet aan het Comité toe het systeem van stemming te onderzoeken teneinde
uit te sluiten dat er meerdere stemmen zouden kunnen worden uitgebracht door eenzelfde persoon,
alsook te garanderen dat enkel Vlaamse stemgerechtigden van hun stemrecht gebruik zouden
maken.
12.
Bij beraadslaging RR nr. 34/2011 werd de VDI reeds gemachtigd om:

toegang te hebben tot de informatiegegevens vermeld in artikel 3, eerste lid, 1° tot 3°,
5°, 6°, WRR, evenals het automatisch ontvangen van de wijzigingen van deze
gegevens;

het identificatienummer van het Rijksregister te gebruiken;
met het oog op de uitbouw van het elektronisch gebruikers- en toegangsbeheer van de Vlaamse
Overheid en dit voor volgende doelgroepen: burgers, personeelsleden en externe medewerkers van
de
Vlaamse
Overheid,
onderwijzend
en
administratief
personeel
van
de
Vlaams
onderwijsinstellingen, personeelsleden en externe medewerkers van de Vlaamse steden, gemeenten
en provincies.3
13.
Het Comité is van oordeel dat de hierboven vermelde en nagestreefde doeleinden
welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn in de zin van artikel 4, § 1, 2°, WVP
en artikel 5, tweede lid, WRR.
3
Uitbreidingen volgden bij beraadslagingen RR nr. 43/2011, RR nr. 66/2011, RR nr. 44/2012, RR nr. 60/2012 en RR nr.
29/2013.
Beraadslaging RR 76 /2014 - 5/9
C. PROPORTIONALITEIT
C.1. Ten overstaan van de gegevens
14.
De aanvrager wenst, via de VDI, toegang te bekomen tot het informatiegegeven vermeld in
artikel 3, eerste lid, 2° (enkel de geboortedatum), WRR.
15.
Aangezien het rijksregisternummer de geboortedatum reeds bevat, is een toegang tot het
informatiegegeven ‘geboortedatum’ in het Rijksregister niet nodig om de aanvrager, met
tussenkomst van de VDI, in staat te stellen na te gaan of de jongere tussen de 12 en de 30 jaar oud
is en dus mag worden toegelaten tot de online stemming (zie voetnoot 2).
16.
Het Comité weigert dan ook de toegang tot het informatiegegeven vermeld in artikel 3,
eerste lid, 2°, WRR wegens onnodig in het licht van de opgegeven doeleinden en dus in strijd met
artikel 4, § 1, 3°, WVP.
C.2. Gebruik van het identificatienummer
17.
Het is essentieel voor de goede werking van het systeem dat gebruikers correct
geïdentificeerd worden, vooreerst om te kunnen nagaan of zij aan de leeftijdsvereiste voldoen om
online te kunnen stemmen en bovendien om correct te kunnen bijhouden dat niemand meer dan
eenmaal zijn stem uitbrengt.
18.
Aan de hand van het unieke identificatienummer van het Rijksregister kan een persoon
precies geïdentificeerd worden.
19.
Zoals hiervoor reeds toegelicht, melden de jongeren die online wensen te stemmen zich aan
via hun e-ID of federaal token. De VDI zal hierop het rijksregisternummer (en de geboortedatum)
inlezen en aldus aan de hand daarvan afleiden of de betrokken jongere aan de leeftijdsvoorwaarde
voldoet om toegang te krijgen tot de online stemming.
20.
Het rijksregisternummer wordt dus uitsluitend door de VDI gebruikt. De aanvrager krijgt
vanwege de VDI enkel een versleuteld betekenisloos nummer (hash) terug, dat haar in staat stelt
zeker te zijn dat iedereen maar één keer kan stemmen.4
4
Zie randnummer 11.
Beraadslaging RR 76 /2014 - 6/9
21.
Het Comité besluit dat het gebruik van het identificatienummer in het licht van de
opgegeven doeleinden in overeenstemming is met artikel 4, § 1, 3°, WVP.
C.3. Ten opzichte van de duur waarvoor het gebruik gevraagd wordt
22.
Het gebruik wordt voor bepaalde duur gevraagd, gelet op het feit dat de online verkiezing
wordt georganiseerd van 12 november tot en met 19 november 2014.
23.
Het Comité stelt vast dat in het licht hiervan een machtiging voor de periode van 12 tot en
met 19 november gepast is (artikel. 4, §1, 3°, WVP).
C.4. Ten opzichte van de bewaringstermijn
24.
De aanvrager bewaart het Rijksregisternummer zelf niet, maar wel de versleutelde hash die
zij ontvangt van de VDI. En deze hash wordt door de aanvrager bewaard voor de periode van de
online stemming, namelijk van 12 tot en met 19 november 2014 om te kunnen controleren of
iemand niet meer dan eenmaal zijn stem uitbrengt.
25.
De VDI zelf bewaart noch het Rijksregisternummer, noch de geboortedatum.
26.
Het Comité oordeelt dat de aanvrager aldus conform artikel 4, § 1, 5°, WVP handelt.
C.5. Intern gebruik en/ of mededeling aan derden
27.
Uit de door de aanvrager meegedeelde informatie blijkt dat het identificatienummer
uitsluitend intern door de VDI zal gebruikt worden.
28.
Het Comité neemt hiervan akte.
C.6. Netwerkverbindingen
29.
De aanvrager maakt geen melding van netwerkverbindingen.
30.
Het Comité vestigt er volledigheidshalve de aandacht op dat:

indien er later netwerkverbindingen mochten tot stand komen, de aanvrager het Comité
daarvan voorafgaandelijk op de hoogte moet brengen;
Beraadslaging RR 76 /2014 - 7/9

het identificatienummer van het Rijksregister slechts gebruikt kan worden in relaties met
derden voor zover het kadert in de doeleinden met het oog op dewelke zij eveneens
gemachtigd werden om dit nummer te gebruiken.
D. BEVEILIGING
D.1. Consulent inzake informatiebeveiliging
31.
De aanvrager verstrekte op dit vlak (nog) geen informatie.
32.
Artikelen 8, §2 en 10 WRR verplichten iedere instantie die het rijksregisternummer gebruikt
om een consulent inzake informatiebeveiliging aan te stellen. Deze moet in alle onafhankelijkheid de
informatiebeveiliging
kunnen
appreciëren.
De
identiteit
van
de
consulent
in
zake
informatiebeveiliging moet aan het Comité meegedeeld worden aan de hand van het terzake ter
beschikking gestelde evaluatieformulier voor de kandidaat-consulent inzake informatiebeveiliging.
33.
Aangezien het niet de aanvrager zelf, maar enkel de VDI is die het identificatienummer
effectief zal gebruiken, moet enkel deze laatste zich conformeren met voormelde artikelen 8, §2 en
10 WRR.
34.
De VDI beschikt(e) weliswaar over een consulent inzake informatiebeveiliging, dewelke
reeds in het verleden werd aanvaard door het Comité (zie randnummer 11) en door de Vlaamse
Toezichtcommissie. 5
35.
In afwachting van bevestiging van de aanvrager en/of de VDI van de identiteit van deze
consulent kan bij onderhavige beraadslaging enkel een machtiging onder opschortende voorwaarde
worden verleend.
D.2. Informatiebeveiliging
36.
De aanvrager verstrekte op dit vlak (nog) geen informatie.
37.
Het
Comité
wenst
dat
de
VDI
een
conformiteitsverklaring
inzake
het
informatiebeveiligingssysteem dat het voorwerp is van onderhavige machtigingsaanvraag voor
gebruik van het identificatienummer overmaakt. In afwachting daarvan kan enkel een beraadslaging
onder opschortende voorwaarde worden verleend.
5
Machtiging VTC nr. 04/2011 van 23 februari 2011.
Beraadslaging RR 76 /2014 - 8/9
D.3. Personen die het identificatienummer van het Rijksregister mogen gebruiken en
lijst van deze personen
38.
In de aanvraag wordt vermeld dat de medewerkers van de ICT-dienstverlener van de VDI
het identificatienummer en de geboortedatum zullen gebruiken. De aanvraag vermeldt verder dat
een lijst wordt bijgehouden waarop de personen worden vermeld die
deze gegevens mogen
gebruiken.
39.
Conform artikel 12 WRR zal deze lijst zal voortdurend geactualiseerd en ter beschikking van
het Comité gehouden worden.
40.
De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring
ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de
informatiegegevens te bewaren.
OM DEZE REDENEN,
het Comité
1° machtigt de vzw De Ambrassade op de wijze en onder de voorwaarden bepaald in deze
beraadslaging en met het oog op de doeleinden vermeld in punt B om voor de periode van 12 tot en
met 19 november 2014 het identificatienummer van het Rijksregister te gebruiken;
2° stelt vast dat de VDI reeds gemachtigd is het identificatienummer van het Rijksregister te
gebruiken met het oog op de uitbouw van elektronisch gebruikers- en toegangsbeheer (zie randnr.
12);
3° bepaalt dat deze machtiging zal slecht uitwerking zal krijgen wanneer het Comité aan de hand
van de door de begunstigde van de machtiging verstrekte inlichtingen zal hebben vastgesteld dat de
VDI beschikt over een consulent inzake informatiebeveiliging die de nodige waarborgen biedt (zie
punt D.1.) en dat aan de onder punt D.2. vermelde beveiligingsvereisten wordt voldaan. Het Comité
wenst hiertoe een naar waarheid ingevulde vragenlijst betreffende de consulent inzake
informatiebeveiliging en een conformiteitsverklaring inzake informatiebeveiliging te ontvangen.
4°bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van
de
informatieveiligheid
die
een
impact
kan
hebben
op
de
antwoorden
die
met
het
veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake
informatieveiligheid en antwoorden op de vragen m.b.t. de organisatie van de beveiliging), de VDI
Beraadslaging RR 76 /2014 - 9/9
een nieuwe vragenlijst i.v.m. de stand van de informatiebeveiliging naar waarheid moet invullen en
aan het Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om
daarop later eventueel te reageren;
5°bepaalt
dat
wanneer
het
aan
de
VDI
een
vragenlijst
met
betrekking
tot
de
informatieveiligheidstatus toestuurt, deze laatste deze lijst waarheidsgetrouw moet invullen en
terugbezorgen aan het Comité. Het Comité zal de ontvangst bevestigen en behoudt zich het recht
voor om, indien daartoe aanleiding bestaat, te reageren;
6° weigert het meer gevraagde.
De Wnd. Administrateur,
De Voorzitter,
(get.) Patrick Van Wouwe
(get.) Mireille Salmon