"Federal Authentication Service" –systeem van

1/11
Sectoraal comité van het Rijksregister
Beraadslaging RR nr 108/2014 van 10 december
2014
Betreft: algemene machtiging om het rijksregisternummer te gebruiken bij aanwending van het
“Federal Authentication Service” –systeem van FEDICT middels de eID voor het gebruikers- en
toegangsbeheer van informaticatoepassingen uitgewerkt door bepaalde instellingen belast met een
opdracht van algemeen belang
Het Sectoraal comité van het Rijksregister, (hierna "het Comité");
Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen
(hierna "WRR");
Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte
van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 31bis;
Gelet op het koninklijk besluit van 17 december 2003 tot vaststelling van de nadere regels met
betrekking tot de samenstelling en de werking van bepaalde Sectorale comités opgericht binnen de
Commissie voor de bescherming van de persoonlijke levenssfeer;
Gelet op de aanvraag van het technisch en juridisch advies gericht aan de Federale Overheidsdienst
Binnenlandse Zaken op 26/11/2014;
Gelet op het verslag van de Voorzitter;
Beslist op 10 december 2014, na beraadslaging, als volgt:
.
Beraadslaging RR 108 /2014 - 2/11
I.
VOORWERP EN CONTEXT VAN DE ALGEMENE MACHTIGING
1. Gelet op de talrijke verzoeken om het rijksregisternummer te gebruiken bij de aanwending
van het “FAS” (Federal Authentication Service) van FEDICT, besliste het Comité dit soort
gebruik van het nummer te onderzoeken om daarna desgevallend een algemene machtiging
uit te werken aangezien dergelijke machtiging zal kunnen tegemoetkomen aan de huidige
én toekomstige aanvragen ter zake maar ook aan de behoeften die FEDICT heeft
ondervonden bij haar gebruikers omdat het gebruik van dit systeem in combinatie met de
eID, noodzakelijkerwijs het rijksregisternummer vereist.
2. Het “FAS” is een systeem van de FOD Informatie- en Communicatietechnologie, waarmee
personen zich kunnen authenticeren zodat ze online toegang krijgen tot de beveiligde,
openbare informaticatoepassingen.
3. Dit systeem kan worden gebruikt door alle overheidsdiensten en –instellingen - ook de
ondernemingen of personen belast met een opdracht van algemeen belang - die een
beveiligde authenticatieprocedure voor hun informaticatoepassingen willen opzetten middels
het
afsluiten
van
een
gebruikersverdrag
met
de
FOD
Informatie-
en
Communicatietechnologieën.
4. Het FAS-systeem kent vandaag drie verschillende authenticatiemethodes, ondergebracht in
drie niveaus:

QAA L2:
-


Identifier en paswoord
QAA L3:
-
Identifier, paswoord en token (of ander certificaat, sms)
-
STORK L3
QAA L4
-
Elektronische identiteitskaart verbonden met pincode
-
Elektronische identiteitskaart niet verbonden
-
STORK L4
5. Het Comité onderzoekt in deze beraadslaging de methode waarbij gebruik wordt gemaakt
van de elektronische identiteitskaart met pincode.
6. De toegang tot deze informaticatoepassingen gebeurt met de eID. Wanneer de identificatie
geslaagd is, verstrekt het FAS deze positieve authenticatie-informatie via de mededeling van
...
Beraadslaging RR 108 /2014 - 3/11
het rijksregisternummer aan de gebruiker van het systeem zodat deze de gebruikers en
toegangen tot die informaticatoepassing waarop die authenticatie betrekking heeft, zou
kunnen beheren. Indien nodig zou het rijksregisternummer desgevallend kunnen
geassocieerd worden met de naam en de voornaam.
7. Het rijksregisternummer wordt uitsluitend geregistreerd om op elk ogenblik de identiteit te
kunnen terugvinden van diegene die toegang had tot de online applicatie.
8. Het Comité ontving al verzoeken die ertoe strekten gebruik te maken van het FAS-systeem
van FEDICT en waarover het zich steeds gunstig heeft uitgesproken 1.
II.
ONDERZOEK VAN DE AANVRAAG
A. TOEPASSELIJKE WETGEVING
A.1. Wet van 8 augustus 1983 (WRR)
9. Overeenkomstig de artikelen 5, eerste lid, 2° WRR verleent het Comité machtiging om
toegang te verkrijgen tot de informatiegegevens bedoeld in artikel 3, eerste lid, WRR en om
het identificatienummer van het Rijksregister te gebruiken “ aan de openbare en private
instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen
van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een
decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door
het voormelde sectoraal comité”.
10. Aangezien de aansluitende leden van deze algemene machtiging overheids- dan wel private
instellingen zijn als bedoeld in punt 3 en dat hun aansluitingsverzoek strekt tot de
aanwending van het FAS-systeem via de eID om te beschikken over een beveiligde
1
Zie daarvoor de volgende RR beraadslagingen: nr. 29/2013 van 17 april 2013 aanvraag van de Vlaamse Overheid Departement Leefmilieu, Natuur en Energie om het identificatienummer van het Rijksregister te gebruiken met het oog op
gebruikers- en toegangsbeheer voor e-government toepassingen en tot aanpassing van beraadslaging RR nr. 34/2011 ; nr.
31/2014 van 9 april 2014 betreffende de aanvraag van de Federale Overheidsdienst Personeel en Organisatie voor
aanwending van het Rijksregister in het kader van de registratie en authenticatie van de gebruikers van de federale eProcurement toepassingen, nr. 48/2014 van 9 juli 2014 betreffende de aanvraag van het Vlaams Infrastructuurfonds voor
Persoonsgebonden Aangelegenheden van het Departement Welzijn, Volksgezondheid en Gezin tot machtiging om het
identificatienummer van het Rijksregister te gebruiken voor het gebruikers- en toegangsbeheer van de Inter-VWA-applicatie;
nr. 61/2014 van 30 juli 2014 betreffende de aanvraag van Toerisme Vlaanderen om toegang te krijgen tot de
informatiegegevens van het Rijksregister en om het identificatienummer ervan te gebruiken met het oog op de opvolging van
subsidieaanvragen en de uitbouw van het gebruikers- en toegangsbeheersysteem; nr. 62/2014 van 30 juli 2014 betreffende
de aanvraag van de NV Infrabel om het identificatienummer van het Rijksregister te gebruiken met het oog op de organisatie
van het toegangs- en gebruikersbeheer van de toepassing Crisscomm en nr. 89/2014 van 29 oktober 2014 betreffende de
aanvraag van de FOD Justitie om het Rijksregisternummer te gebruiken met het oog op het e-deposit pilootproject.
...
Beraadslaging RR 108 /2014 - 4/11
authenticatieprocedure voor hun informaticatoepassingen die zij gebruiken om hun
opdrachten van algemeen belang uit te voeren, zullen hun verzoeken als ontvankelijk
worden beschouwd als bedoeld in artikel 5, 1ste lid, 2° en artikel 8 van de WRR.
A.2. Wet van 8 december 1992 (WVP)
11. De informatiegegevens van het Rijksregister zijn persoonsgegevens waarvan de verwerking
krachtens artikel 4 van de WVP slechts is toegelaten voor welbepaalde, uitdrukkelijk
omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen toereikend, ter
zake dienend en niet overmatig te zijn uitgaande van de doeleinden waarvoor ze worden
verwerkt.
B. DOELEINDEN
12. Het doeleinde dat in het kader van deze algemene machtiging moet worden nagestreefd, is
de beveiligde identificatie via het rijksregisternummer van personen (als burger, lid, klant,…)
voor wie de informaticatoepassingen bestemd zijn en die openbare of private instellingen
hebben uitgebouwd om hun opdracht van openbare dienstverlening te kunnen uitoefenen,
alsmede hun authenticatie via het “FAS”-systeem.
13. De bedoelde informaticatoepassingen hebben gewoonlijk als doel om de betrokken personen
de mogelijkheid te bieden gemakkelijker hun dossier in te kijken, de nodige wijzigingen op
te volgen of aan te brengen, om verzoeken in te dien of documenten te versturen.
14. De partijen die bij deze beraadslaging aansluiten, moeten het/de nagestreefde doeleinde(n)
omschrijven evenals de betrokken informaticatoepassingen zodat kan worden vastgesteld
dat dit/deze doeleinde(n) welbepaald, uitdrukkelijk omschreven en gerechtvaardigd is/zijn
als bedoeld in artikel 4, §1, 2° van de WVP en tenminste één van de littera van artikel 5 van
de WVP naleven.
C. PROPORTIONALITEIT
C.1. Het rijksregisternummer
...
Beraadslaging RR 108 /2014 - 5/11
15. Om te vermijden dat onbevoegde personen toegang hebben tot de informatie via de
informaticatoepassing van de aangeslotene bij deze beraadslaging, moeten de bevoegde
personen heel precies geïdentificeerd worden zodat hen een gepast toegangsrecht kan
worden toegekend.
16. Dit betekent dat iedere vergissing ingevolge homoniemen of spelfouten moet worden
uitgesloten om te vermijden dat de identificatie en authenticatie in een verdere fase in
gevaar worden gebracht. De elektronische authenticatie en machtiging moeten veilig en
beveiligd gebeuren. De instelling die haar informaticatoepassing of webservice ter
beschikking stelt, moet zeker zijn van de identiteit van de persoon die er gebruik wenst van
te maken omdat hij via deze kanalen toegang kan hebben tot een bepaald aantal
persoonsgegevens enerzijds en bepaalde verrichtingen kan uitvoeren anderzijds.
17. Het unieke rijksregisternummer kan een persoon met zekerheid identificeren en alle
raadplegingen en verrichtingen opsporen.
18. Gelet op de hierboven, toegelichte doeleinden en onder voorbehoud van verificatie van de
omschrijvingen die de aansluitende partijen in die zin zullen verstrekken, is het gebruik van
het rijksregisternummer conform artikel 4, §1, 3° van de WVP.
C.2. Duur van de machtiging
19. Gezien dit FAS-systeem van FEDICT niet de bedoeling heeft om in de tijd te worden beperkt,
is de voorliggende algemene machtiging bedoeld voor onbeperkte duur.
20. De duur van de opdrachten van openbare dienstverlening waarmee de instellingengebruikers van het FAS-systeem werden belast, moet overigens ook worden onderzocht.
Indien deze desgevallend in de tijd beperkt moeten worden, moet worden gesteld dat de
betrokken instelling de algemene machtiging kan doen gelden mits de andere voorwaarden
van deze beraadslaging zijn nageleefd tot de opdracht van openbare dienstverlening of de
informaticatoepassing die voor dit doel werd ontwikkeld, is verlopen.
21. Gelet op deze elementen, is een machtiging van onbepaalde duur gepast (artikel 4, §1, 3°
van de WVP).
C.3. Bewaartermijn
...
Beraadslaging RR 108 /2014 - 6/11
22. Het rijksregisternummer moet bewaard worden zolang het noodzakelijk is de ter beschikking
gesteld informaticatoepassing of de webservice te gebruiken. De duur van de bewaartermijn
hangt dus enerzijds af van de activiteitenperiode van een welbepaalde gebruiker en
anderzijds van de geldende bewaartermijnen.
23. Overigens, als het rijksregisternummer van de gebruikers wordt bewaard in de loggings ter
garantie van de opspoorbaarheid van de raadplegingen of de gedane verrichten, is de
bewaartermijn van het rijksregisternummer in principe minimum 10 jaar 2. Het moet voor het
toegangs- en gebruikersbeheer inderdaad mogelijk zijn om onregelmatigheden of
misbruiken vast te stellen. Gelet op het feit dat een misbruik van verwerkingen op
persoonsgegevens strafbaar is, is het aangewezen dergelijke loggings gedurende tenminste
10 jaar te bewaren.
24. Rekening houdend met wat voorafgaat, stelt het Comité vast dat het moeilijk is om een
concrete bewaartermijn voorop te stellen. Op voorwaarde dat de aangeslotene,
overeenkomstig de wet van 24 juni 1955 betreffende de archieven, de accounts en de
dossiers archiveert of vernietigt die niet langer actief zijn, handelt hij in overeenstemming
met artikel 4, §1, 5° van de WVP.
C.4. Intern gebruik en/of mededeling aan derden
25. Uit de werking van het FAS-systeem blijkt dat er geen enkele externe mededeling zal
plaatsvinden van het rijksregisternummer. Het rijksregisternummer stuurt alleen de
gebruiker (burger, klant, lid) van de toepassing door naar het FAS van FEDICT zodat deze
nadat ze geïdentificeerd en geauthentiseerd zijn, kan overgaan tot het beheren van de
toegangen en de gebruikers.
26. Zoals reeds vermeld onder punt 12 van deze beraadslaging, benadrukt het Comité dat het
rijksregisternummer slechts mag worden gebruikt in het kader van de toepassingen en
webdiensten van de betrokken instellingen die werden ontworpen in het kader van en voor
hun
opdrachten
van
openbare
dienstverlening.
De
instellingen
mogen
dit
rijksregisternummer eveneens uitsluitend in dit kader bewaren.
27. Ook mogen de openbare of private instellingen het rijksregisternummer desgevallend
verbinden aan een tweede intern, identificatienummer. Volgens het Comité betekent de
bewaring van deze identificatiemiddelen niet dat het rijksregisternummer gebruikt wordt.
2
Zie hiervoor de beraadslaging RR nr. 70/2012 van 5 september 2012 aanvraag tot herziening van de beraadslaging RR nr.
34/2012, punt 18.
...
Beraadslaging RR 108 /2014 - 7/11
C.5. Netwerkverbindingen
28. Zoals eerder uiteengezet, zal indien de authenticatie geslaagd is, het FAS automatisch de
naam, de voornaam en het rijksregisternummer doorzenden naar de aanvrager.
29. Het Comité stelt overigens vast dat het rijksregisternummer eveneens wordt gebruikt voor
de uitwisseling van informatie die noodzakelijk is voor de praktische verwezenlijking van het
gebruikers-
en
toegangsbeheer
als
omschreven
onder
punt
A.
De
geplande
netwerkverbindingen zijn bijgevolg aanvaardbaar.
30. Om volledig te zijn, vestigt het Comité de aandacht op het feit dat:

de toekomstige aangeslotenen nader moeten omschrijven of zulks het geval is;

indien er later (andere)netwerkverbindingen mochten tot stand komen, deze het Comité
daarvan voorafgaandelijk op de hoogte moet brengen;

het identificatienummer van het Rijksregister slechts gebruikt mag worden in relaties
met derden voor zover dit kadert binnen de doeleinden waarvoor zij eveneens
gemachtigd werden dit nummer te gebruiken.
D. BEVEILIGIGING
D.1. Consulent inzake Informatiebeveiliging
31. In toepassing van artikel 10 van de WRR en als het rijksregisternummer in het belang van
een openbare dienst wordt gebruikt, moet een consulent inzake informatiebeveiliging
aangeduid worden binnen de openbare of private instelling, gebruiker van het FAS-systeem
van FEDICT, die gemachtigd zal worden om toegang te hebben tot de informatie van het
Rijksregister. De consulent inzake informatiebeveiliging moet in volledige onafhankelijkheid
kunnen oordelen over de veiligheid van de informatie.
32. De identiteit van de consulent inzake informatiebeveiliging moet tegelijk met de aanvraag
voor aansluiting bij voorliggende algemene machtiging aan het Sectoraal Comité worden
meegedeeld3.
D.2. Informatiebeveiligingsbeleid
3
zie deze link: http://www.privacycommission.be/sites/privacycommission/files/documents/conformiteitsverklaring-rr.pdf
...
Beraadslaging RR 108 /2014 - 8/11
33. De instellingen die aansluiten bij deze beraadslaging moeten ook beschikken over een
beveiligingsbeleid en aan het Comité de ad hoc documenten bezorgen die aantonen dat hun
beveiligingssysteem in overeenstemming is met de vereisten als omschreven in de
conformiteitsverklaring inzake het beveiligingssysteem. Dit formulier is online beschikbaar op
de website van de Commissie4.
D.3. personen die toegang hebben tot de gegevens, het rijksregister gebruiken en
lijst van die personen
34. Uit de betrokken informaticatoepassingen en webservices blijkt dat de beheerders van de
klanten-, burger,- ledendossiers toegang kunnen hebben tot het rijksregisternummer en de
basisinformatie (naam en voornamen) van de betrokken personen voor de uitvoering van
hun taken maar dat zij daar als zodanig geen gebruik van maken.
35. In ieder geval moet deze toegang tot het rijksregisternummer een wettelijke basis hebben
waarin de doeleinden die de betrokken instelling nastreeft gerechtvaardigd worden en
waarmee de proportionaliteit van het verkrijgen van het rijksregisternummer ter
verwezenlijking van dit doeleinde kan worden vastgesteld.
36. Zoals artikel 12 van de WRR het vereist, moet de aansluitende instelling een lijst opstellen
van de personen die toegang hebben tot het Rijksregister. Die lijst zal voortdurend worden
bijgewerkt en ter beschikking worden gehouden van het Comité.
37. De personen op die lijst moeten daarnaast een verklaring ondertekenen waarin zij zich ertoe
verbinden de vertrouwelijkheid en veiligheid van de informatiegegevens waar zij toegang tot
hebben, te bewaren.
E. UITBOUW VAN HET GEBRUIKERS- EN TOEGANGSBEHEERSSYSTEEM
38. Indien de aangesloten instellingen - voor de identificatie en authenticatie met behulp van de
eID beroep doen op FAS (Federal Authentication Service) van FEDICT - tot de doelgroep
behoren, bedoeld in de wet van 15 augustus 2012 houdende oprichting en organisatie van
4
Zie
deze
link:
conformiteitsverklaring-rr_0.pdf
http://www.privacycommission.be/sites/privacycommission/files/documents/toelichting-
...
Beraadslaging RR 108 /2014 - 9/11
een federale dienstenintegrator5, en zij zelf het toegangsbeheer willen organiseren door een
gegevensbank op te richten waarin de personen zijn opgenomen die bevoegd zijn om
toegang te hebben tot de informatie ,en die bijgewerkt zal worden via een auto-registratie,
herinnert het Comité er ook aan dat net zoals in de beraadslaging nr. 62/2014 van 30 juli
2014, deze aangesloten instelling “gebruiker van FAS”, beroep moet doen op het GGAsysteem (beheer van toegangsbeheerders) dat integraal deel uitmaakt van CSAM (Common
secure acces management) omdat de openbare diensten dit systeem moeten integreren in
het gebruikers- en toegangsbeheer.
39. De Commissie oordeelde in de hiernavolgende aanbevelingen overigens dat een sectoraal
comité zich niet diende uit te spreken over de technische modaliteiten m.b.t. de organisatie
van het gebruikers-en toegangsbeheer, omdat de beginsels inzake de organisatie van
dergelijk beheer en het bevragen van authentieke bronnen overeenkomstig de goede
praktijk eerst door de Commissie wordt behandeld:

de aanbeveling nr.01/2008van 24 september 2008 met betrekking tot het toegangs-
en gebruikersbeheer in de overheidssector;

aanbeveling uit eigen beweging nr. 09/2012 van 23 mei 2012 in verband met
authentieke gegevensbronnen in de overheidssector;

aanbeveling uit eigen beweging nr. 03/2009 van 1 juli 2009 in verband met
integratoren in de overheidssector.
40. Het Comité gaat akkoord met het feit dat gebruikmaking van het GGA-Systeem de norm
moet worden binnen het gebruikers- en toegangsbeheer voor de e-governmentapplicaties,
dit om het risico op onrechtmatige toegang tot de gegevens te beperken. Bijgevolg moet de
aansluitende partij die tegemoet komt aan de voorwaarden, bedoeld onder punt 38 van
deze beraadslaging, voor zijn toegangsbeheer gebruik maken van het GGA-systeem.
OM DIE REDENEN
Het Comité
1° machtigt de openbare en private instellingen als omschreven onder de punten 3 en 9 van deze
beraadslaging, om het rijksregisternummer te gebruiken wanneer ze gebruik maken van het FAS-
5
Artikel 2, 10°" participerende overheidsdienst " : elke federale overheidsdienst, elke federale programmatorische
overheidsdienst, de federale politie, het Ministerie van Landsverdediging en elke instantie of elke dienst, al dan niet met
rechtspersoonlijkheid, die van de federale overheid afhangt, en elke persoon en instantie door de Koning
aangewezen in uitvoering van artikel 46, die één of meerdere authentieke bronnen of gegevensbronnen ontsluit of die
gegevens ophaalt via de federale dienstenintegrator.
...
Beraadslaging RR 108 /2014 - 10/11
systeem
van
FEDICT,
waarmee
zij
de
toegangen
tot
en
de
gebruikers
van
de
informaticatoepassingen of webservices zouden kunnen beheren, die zij hebben ontwikkeld in het
kader van hun opdracht van algemeen belang en die zij ten dienste stellen van de burgers, hun
klanten of aangesloten leden, onder de voorwaarden uiteengezet in deze algemene beraadslaging
onder de punten 6, 7, 10, 11, 14, 18, 20, 21, 22, 23, 24, 25, 26, 29, 30, 32, 33, 35, 36, 37 en 40 en
meer in het bijzonder:

aansluiting
vragen
bij
de
algemene
machtiging
en
gebruik
maken
van
het
rijksregisternummer onder de voorwaarden als omschreven onder punt B van deze
beraadslaging;

de openbare of private instellingen mogen het rijksregisternummer uitsluitend bewaren in
het kader van hun opdrachten van openbare dienstverlening die de grondslag vormen van
de informaticatoepassing of webservice waarbij noodzakelijk beroep moet worden gedaan
op het FAS-systeem en het gebruik van het rijkregisternummer;

bij de aansluitingsaanvraag verduidelijken of de bedoelde opdrachten van algemeen belang
of informaticatoepassingen beperkt worden in de tijd;

verduidelijken of er netwerkverbindingen tot stand komen;

beschikken over een consulent inzake informatiebeveiliging en een beveiligingsbeleid;

een lijst opstellen en voortdurend bijwerken van de personen die gebruik maken van het
rijksregisternummer en die lijst ter beschikking houden van het Comité;

deze personen een verklaring laten ondertekenen waarin zij zich ertoe verbinden de
veiligheid en vertrouwelijkheid van de informatie waar zij toegang tot hebben, te bewaren;

het GGA-systeem gebruiken voor het toegangsbeheer voor de aangesloten partijen die
behoren tot de doelgroep bedoeld in de wet van 15 augustus 2012 betreffende oprichting en
organisatie van een federale dienstenintegrator;
De openbare en private instellingen op wie deze beraadslaging van toepassing is, worden in een lijst
opgenomen, die samen met deze beraadslaging zal gepubliceerd worden op de website van de
Commissie.
2° dat FEDICT de instellingen pas toegang zal verlenen tot het FAS-systeem als deze instellingen
hebben voldaan aan de vereisten als omschreven in deze beraadslaging;
3° bepaalt dat indien op een later tijdstip een wijziging wordt aangebracht aan de organisatie van
de informatieveiligheid die een impact kan hebben op de antwoorden uit het veiligheidsformulier dat
aan het Comité werd verstrekt (aanstelling van een consulent inzake informatiebeveiliging en
antwoorden op de vragen m.b.t. de organisatie van de veiligheid), de aanvrager een nieuwe
vragenlijst i.v.m. de stand van de informatieveiligheid naar waarheid moet invullen en aan het
...
Beraadslaging RR 108 /2014 - 11/11
Comité moet bezorgen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later
eventueel te reageren
4°bepaalt dat wanneer het Comité een vragenlijst over het veiligheidsniveau van de informatie
toestuurt, de aanvrager deze vragenlijst naar waarheid moet invullen en naar het Comité moet
terugsturen. Het Comité meldt de ontvangst ervan en behoudt het recht om daarop later eventueel
te reageren.
Voor de Wnd. Administrateur, afw.
De Voorzitter,
(get.) An Machtens
(get.) Mireille Salmon
Wnd. Afdelingshoofd ORM