Sectoraal comité van het Rijksregister
Beraadslaging RR nr 24/2017 van 17 mei 2017
Betreft: Aanvraag van de Group for Research on Ethnic Relations, Migration & Equality (GERME) van de Université Libre de Bruxelles (ULB) om mededeling te bekomen van de informatiegegevens van het Rijksregister (steekproef) voor een onderzoek "BruVoices" naar Sociale Cohesie in Brussel (RN-MA- 2017-050)
Het Sectoraal comité van het Rijksregister, (hierna "het Comité");
Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (hierna "WRR");
Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;
Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer;
Gelet op de aanvraag van GERME van de ULB ontvangen op 06/03/2017 en de nadien overgemaakte bijkomende informatie;
Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst Binnenlandse Zaken op 18/04/2017;
Gelet op het verslag van de Voorzitter;
Beslist op 17 mei 2017, na beraadslaging, als volgt:
I. VOORWERP VAN DE AANVRAAG
1. De aanvraag heeft tot doel om GERME van de ULB, hierna de aanvrager genoemd, te machtigen om, onder de vorm van een toevalssteekproef die 2000 personen woonachtig in het Brussels Hoofdstedelijk Gewest omvat, mededeling te verkrijgen van de informatiegegevens vermeld in artikel 3, eerste lid, 1° tot 3° (niet de geboorteplaats) en 5°, WRR met het oog het onderzoek "BruVoices" naar Sociale Cohesie in Brussel.
II. ONDERZOEK VAN DE AANVRAAG
2. De aanvrager (ULB) werd reeds gemachtigd om het Rijksregisternummer te gebruiken met het oog op het verrichten van wetenschappelijk onderzoek1.
3. Het onderzoek van het Comité kan zich er bijgevolg toe beperken na te gaan of:
-het nagestreefde doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is in de zin van artikel 4, § 1, 2°, WVP;
-de gegevens waarvan de mededeling wordt gevraagd niet overmatig zijn, rekening houdend met het doeleinde.
A. DOELEINDE
4. Het BruVoices onderzoek zal peilen naar indicatoren en attitudes rond sociale cohesie in het Brussels Hoofdstedelijk Gewest, complementair aan een kwalitatief onderzoekluik uitgevoerd door andere onderzoeksteams. Het onderzoek vindt plaats in opdracht van de Koning Boudewijnstichting.
5. Het Comité stelt vast dat het doeleinde welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is zoals bedoeld in de artikelen 4, § 1, 2°, WVP en artikel 5, tweede lid, WRR.
De verwerking van de aanvrager is eveneens toelaatbaar op basis van artikel 5, 1ste lid a), WVP.
1 Beraadslaging RR nr. 02/2008 van 23 januari 2008 (gebruik van het Rijksregisternummer met het oog op een onderzoek m.b.t. schoolverlaters en hun beroepstraject).
6. Aangezien de aanvrager een beroep zal doen op een verwerker/onderaannemer voor het veldwerk, wijst het Comité erop dat daarbij de vereisten van artikel 16 WVP moeten worden nageleefd.
B. PROPORTIONALITEIT
B.1. Ten overstaan van de w ijze van bevraging
7. Het onderzoek zal gebeuren aan de hand van een mondelinge enquête. De aanvrager merkt op dat een schriftelijke survey niet kan volstaan om meerdere redenen. De aanvrager wijst inzonderheid op de nodige responsiviteit die gezien de meertalige context van het Brussels onderzoeksveld vereist is en moeilijker via schriftelijke weg te verzekeren valt en op het belang van de vraagvolgorde bij de constructie van de vragenlijst in het licht van de mogelijke impact op antwoorden. Bij een schriftelijke bevraging is er geen zekerheid dat de vraagvolgorde bij beantwoording gerespecteerd werd en kan standaardisatie onvoldoende verzekerd worden.
8. In het licht hiervan is het Comité van oordeel dat een gegevensverzameling aan de hand van een face-to-face interview aanvaardbaar is.
9. Alle steekproefpersonen krijgen vooreerst een contactbrief met de vraag om deel te nemen aan de enquête. Via die brief wordt hen meegedeeld dat deelname op vrijwillige basis gebeurt en geen nadelige gevolgen heeft wanneer niet wordt deelgenomen aan de enquête. Er wordt eveneens meegedeeld dat men niet verplicht is om op alle vragen te antwoorden indien men wel zou beslissen mee te werken. De introductiebrief bevat een telefoonnummer en een adres dat steekproefpersonen desgewenst kunnen gebruiken om hun wil om niet deel te nemen kenbaar te maken. Alleen steekproefpersonen die niet afgemeld hebben naar aanleiding van de contactbrief, zullen persoonlijk gecontacteerd worden door een enquêteur om een afspraak te maken voor het interview.
B.2. Ten overstaan van de gegevens
10. De aanvrager wenst met betrekking tot 2000 personen vanaf 18 jaar en woonachtig in het Brussels Hoofdstedelijk Gewest (in de hoop op een respons van ca 800 personen) die door een toevalssteekproef uitgeloot worden, de eenmalige mededeling te bekomen van een aantal informatiegegevens, namelijk deze die vermeld zijn in artikel 3, eerste lid, 1° tot 3° en 5°, WRR, zijnde:
• de naam en voornamen;
• de geboortedatum (niet de geboorteplaats);
• het geslacht;
• de hoofdverblijfplaats.
11. Het Comité stelt vast:
• De gegevens “naam en voornamen” en ”hoofdverblijfplaats” zijn noodzakelijk om de toevallig geselecteerde persoon te kunnen contacteren met een vraag om vrijwillig aan het onderzoek mee te werken. De postcode behoort tot het adres en is nodig voor een optimale verdeling onder de interviewers;
• De gegevens “geslacht” en “geboortedatum” zijn noodzakelijk om uit de gevraagde adressen een steekproef samen te stellen die representatief is naar leeftijd en geslacht, alsook om na te gaan of de interviewers de juiste persoon hebben gecontacteerd (de interviewers moeten de geboortedatum vragen; alleen de aanvrager beschikt over die informatie uit het Rijksregister), wat een eerste controle toelaat op de kwaliteit van de gegevens. Deze gegevens worden tenslotte ook gebruikt bij het onderzoek van de non-respons.
12. Het Comité besluit dat de aanvraag voor de informatiegegevens vermeld in artikel 3, eerste lid, 1° tot 3° (niet de geboorteplaats) en 5°, WRR, in overeenstemming is met artikel 4, § 1, 3°, WVP.
13. Op 21 mei 2008 keurde de Commissie voor de Bescherming van de Persoonlijke Levenssfeer een "Code waartoe de verkrijgers van Rijksregistergegevens zich verbinden bij het uitvoeren van hun wetenschappelijke onderzoeksopdracht" goed2. Daarin wordt, ingeval van een onderzoek aan de hand van een mondelinge bevraging, bepaald onder welke voorwaarden de onderzoekers de gegevens uit het Rijksregister mogen ontvangen.
14. Het Comité stelt vast dat uit de door de aanvrager voorgelegde stukken blijkt dat hij zal werken conform de vereisten van de code gesteld m.b.t.:
• het verkrijgen van de instemming van de betrokkene;
• de training van de interviewers;
• de beveiliging van de persoonsgegevens;
2 Privacy: een vademecum voor de onderzoeker (zie http://www.privacycommission.be/nl/static/pdf/cbpl-documents/46134b- vademecum-nl-final.pdf). Zie tevens advies nr. 27/2008 van 3 september 2008 uit eigen beweging met betrekking tot de code waartoe de verkrijgers van rijksregistergegevens zich verbinden bij het uitvoeren van hun wetenschappelijke onderzoeksopdracht.
• de rapportering;
zodat hem de hoger vermelde gegevens mogen overgemaakt worden.
B.3. Ten overstaan van de bewaringstermijn
15. De aanvrager stelt een bewaringstermijn voorop van 6 maanden, te rekenen vanaf het afronden van het veldwerk (september 2017-oktober 2017). Na die termijn en alleszins uiterlijk op 1 april 2018 worden de gegevens verkregen vanwege het Rijksregister vernietigd.
16. Rekening houdend met het feit dat het onderzoek in het najaar van 2017 van start gaat en de gegevens uiterlijk op 1 april 2018 zullen vernietigd worden, stelt het Comité vast dat het voorstel inzake bewaring aanvaardbaar is in het licht van artikel 4, § 1, 5°, WVP.
17. Deze tijdsvork laat de aanvrager de nodige ruimte voor data-cleaning en controles. Het Comité benadrukt dat ten laatste op 1 april 2018 alle gegevens, verstrekt door het Rijksregister, moeten worden vernietigd.
B.4. Intern gebruik en/ of mededeling aan derden
18. De persoonsgegevens van alle uitgelote personen zijn uitsluitend toegankelijk voor de medewerkers die voor de coördinatie van het onderzoek en de controle op het veldwerk instaan. Concreet zal dit een wetenschappelijk medewerker van de aanvrager zijn (naam gekend in de aanvraag) en de verantwoordelijke van het veldwerkbureau3 (dat als onderaannemer van de aanvrager zorgt voor het afnemen van de interviews).
19. De medewerkers van het veldwerkbureau leggen de huisbezoeken af en vullen de vragenlijst in. Dit betekent dat aan die medewerkers uitsluitend die persoonsgegevens worden verstrekt die zij nodig hebben om de enquête bij de hen toegewezen steekproefpersonen te kunnen verrichten.
20. Het Comité vestigt in dit verband de aandacht op de noodzaak van:
- een contract tussen de aanvrager en het studiebureau waarin de punten voorzien in artikel 16 WVP evenals deze bepaald in de gedragscode van 21 mei 2008 worden
3 De onderaannemer is nog niet gekend.
geregeld, met bijzondere aandacht voor de verplichtingen van de medewerkers van het veldwerkbureau;
- een schriftelijke verbintenis van de medewerkers van het veldwerkbureau om de vertrouwelijkheid van de meegedeelde informatie te bewaren evenals de gedragscode van 21 mei 2008 te respecteren;
- een goede beveiliging van de gegevens die aan de hand van een laptop verzameld worden, zodat ingeval van diefstal van deze laatste, de gegevens niet kunnen gelezen worden door een derde (cryptering) of minstens niet kunnen gelinkt worden met een welbepaalde persoon;
- het feit dat er over moet worden gewaakt dat de onderaannemer niet van de gelegenheid gebruik maakt om andere vragen te stellen;
- het feit dat de onderaannemer de gegevens moet vernietigen na het beëindigen van de opdracht voor rekening van de aanvrager.
C. BEVEILIGING
C.1. Consulent inzake informatiebeveiliging
21. De gemachtigde is verplicht een consulent inzake informatiebeveiliging en bescherming van de persoonlijke levenssfeer aan te stellen (artikel 10 WRR). Het Comité stelt vast dat de identiteit van de consulent van de aanvrager werd meegedeeld.
Het Comité wijst de gemachtigde op zijn verantwoordelijkheden in dit verband.
De gemachtigde wijst een consulent aan op grond van zijn professionele kwaliteiten en deskundigheid, in het bijzonder op het gebied van de praktijk inzake gegevensbescherming en de in de context relevante regelgeving. Deze capaciteiten stellen de consulent in staat diens taken te vervullen en een gedegen kennis te verwerven van de informatica-omgeving van de gemachtigde en van de informatieveiligheid. De consulent dient deze kennis permanent op peil te houden.
De consulent brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de gemachtigde.
Ongeacht of de consulent een personeelslid is of iemand extern, mag er geen sprake zijn van een belangenconflict tussen de functie als consulent en andere activiteiten hiermee onverenigbaar. In het bijzonder kan de functie niet gecumuleerd worden met deze van
eindverantwoordelijke voor de informaticadienst of van hoogste leidinggevende van de gemachtigde (bv. algemeen directeur).
De gemachtigde waakt erover dat de consulent zijn opdracht volledig onafhankelijk kan uitoefenen en dat hij geen instructies ontvangt met betrekking tot de uitvoering van die taken.
De consulent wordt door de gemachtigde niet ontslagen of gestraft voor de uitvoering van zijn taken.
Indien de taken van consulent aan meerdere personen wordt toevertrouwd, dient aan één van hen de eindverantwoordelijkheid gegeven te worden om te rapporteren over de gezamenlijke werkzaamheden aan de hoogste leidinggevende en om de rol van contactpersoon ten aanzien van het Comité op te nemen.
De gemachtigde ondersteunt de consulent door hem beschikking te geven over de benodigde middelen en tijd voor het vervullen van diens taken en het in stand houden van zijn deskundigheid. Met name wordt de consulent de nodige toegang verschaft tot persoonsgegevens en verwerkingsactiviteiten. De gemachtigde zorgt ervoor dat de consulent naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens.
Het Comité houdt zich het recht voor toezicht uit te oefenen op de naleving van deze verplichtingen.
C.2. Informatiebeveiligingsbeleid
22. Uit de door de aanvrager meegedeelde documenten blijkt dat hij over een informatiebeveiligingsbeleid beschikt en dat ook praktisch op het terrein uitwerkt. Het Comité neemt er akte van.
C.3. Personen die toegang hebben tot de informatiegegevens en lijst van deze personen
23. Volgens de aanvraag zullen de meegedeelde rijksregistergegevens van alle uitgelote personen toegankelijk zijn voor een wetenschappelijk medewerker van de aanvrager en de verantwoordelijke persoon van het veldwerkbureau (dat als onderaannemer van de aanvrager zal zorgen voor het afnemen van de interviews) die instaan voor de coördinatie van het onderzoek en de controle op het veldwerk.
24. De aanvrager moet, zoals voorgeschreven door artikel 12 WRR, een lijst opstellen waarop de personen vermeld worden die toegang hebben tot de meegedeelde rijksregistergegevens of deze gebruiken. Deze lijst zal voortdurend geactualiseerd en ter beschikking van het Comité gehouden worden.
25. De personen die op deze lijst worden opgenomen moeten daarenboven een verklaring ondertekenen waarin zij zich ertoe verbinden de veiligheid en het vertrouwelijk karakter van de informatiegegevens, te bewaren.
D. AANGIFTEPLICHT
26. Het Comité vestigt de aandacht van de aanvrager erop dat hij, vooraleer met de enquête aan te vangen, moet waken over de naleving van artikel 17 (aangifte) WVP.
E. RAPPORTAGE
27. Het Comité verzoekt dat de aanvrager nadat het onderzoek is afgerond een exemplaar van het onderzoeksrapport, in papieren of elektronische vorm, moet bezorgen aan het Comité met vermelding van het nummer van onderhavige beraadslaging.
F. VERNIETIGING STEEKPROEF
28. De diensten van het Rijksregister moeten, ten laatste op 1 april 2018, de gegevens van de uitgelote personen vernietigen, aangezien er geen operationele reden meer is voor de diensten van het Rijksregister om deze gegevens daarna nog langer bij te houden.
OM DEZE REDENEN, Het Comité
1° machtigt de Group for Research on Ethnic Relations, Migration & Equality (GERME) van de Université Libre de Bruxelles (ULB) voor een onderzoek "BruVoices" naar Sociale Cohesie in Brussel, om - onder de voorwaarden uiteengezet in deze beraadslaging en onder de vorm van een toevalssteekproef die 2000 personen woonachtig in het Brussels Hoofdstedelijk Gewest omvat - de mededeling te krijgen van de informatiegegevens van het Rijksregister vermeld in artikel 3, eerste lid, 1° tot 3°, (niet de geboorteplaats) en 5°, WRR;
2° verzoekt dat de aanvrager nadat het onderzoek is afgerond een exemplaar van het onderzoeksrapport, in papieren of elektronische vorm, moet bezorgen aan het Comité met vermelding van het nummer van onderhavige beraadslaging;
3° bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van de informatieveiligheid die een impact kan hebben op de antwoorden die met het veiligheidsformulier aan het Comité werden verstrekt (aanstelling van een consulent inzake informatieveiligheid en antwoorden op de vragen m.b.t. de organisatie van de veiligheid), GERME van de ULB een nieuwe vragenlijst i.v.m. de stand van de informatieveiligheid naar waarheid moet invullen en aan het Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel te reageren;
4° bepaalt dat wanneer het Comité de GERME van de ULB een vragenlijst betreffende de informatieveiligheid stuurt, deze laatste die vragenlijst waarheidsgetrouw moet invullen en terugsturen aan het Comité. Die laatste zal de ontvangst bevestigen en hierop reageren indien hiertoe aanleiding bestaat.
De Wnd. Administrateur, De Voorzitter,
(get.) An Machtens (get.) Mireille Salmon
