Rijksregister licht zelf het kader toe voor DPO’s tijdens Stay Tuned as DPO – Overheid

Managementsamenvatting

• Op 21 september licht het Rijksregister zelf het wetgevend kader toe, met gemodereerde Q&A
• Het rijksregisternummer kent een eigen regime naast de AVG: verwerking is in beginsel verboden, tenzij machtiging of wettelijke verplichting
• Netwerkverbindingen moeten in de machtigingsaanvraag staan; wijzigingen vragen voorafgaande goedkeuring
• Een machtiging brengt een eigen DPO-aanstellingsplicht mee, met publicatie richting GBA én minister van Binnenlandse Zaken
• De praktijksessie werkt met cases uit federale, Vlaamse en lokale besturen, inclusief Burgerzaken
• Ook op het programma: bevoegdheden van de autoriteiten en het gemeentelijk gebruik van ANPR-camera’s

Het Rijksregister aan tafel: wat overheids-DPO’s daaruit halen

Bijna elke verwerking in een Belgisch bestuur raakt vroeg of laat aan het Rijksregister. En bijna elke DPO in de publieke sector heeft dezelfde ervaring: het regime eromheen is strikt, de rechtsbronnen liggen verspreid, en de vraag komt meestal binnen op het moment dat er al iets gebouwd is.

Op 21 september 2026 komt het Rijksregister die materie zelf toelichten tijdens Stay Tuned as DPO – Overheid, gevolgd door een gemodereerde Q&A. Dat is geen alledaagse gast op een programma. Het is de instantie die de machtigingen beoordeelt, die de netwerkverbindingen bijhoudt en die dagelijks ziet waar aanvragen op stranden.

De wettekst vertelt je wat mag. De bron vertelt je hoe een aanvraag effectief wordt beoordeeld. Dat verschil is precies waar het bij dit onderwerp om draait.

Waarom het rijksregisternummer een apart regime kent

Het rijksregisternummer is in België een specifiek beschermd persoonsgegeven. De verwerking ervan is in beginsel verboden, met twee uitzonderingen: een machtiging, of een wettelijke verplichting. Dat regime staat in de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, en het bestaat naast — niet in plaats van — de AVG.

De machtiging wordt verleend door de minister bevoegd voor Binnenlandse Zaken, na beoordeling van de doeleinden. Die moeten welbepaald, duidelijk omschreven en wettig zijn, en de gevraagde gegevens moeten toereikend, ter zake dienend en niet overmatig zijn. Voor besturen die zich baseren op een taak van algemeen belang betekent dat: die taak moet bij wet aan je zijn toevertrouwd of als zodanig erkend.

Er is één belangrijke uitzondering die vaak verkeerd wordt ingeroepen. Een machtiging is niet vereist wanneer het nummer uitsluitend dient voor identificatie en authenticatie binnen een informaticatoepassing van een bij wet aangewezen orgaan. Dat is een smalle uitzondering, en het woord “uitsluitend” doet er al het werk.

Wat is een netwerkverbinding, en waarom raakt dat jouw register?

Dit is het onderdeel dat in de praktijk het meest wordt onderschat.

Een netwerkverbinding is de automatische mededeling van persoonsgegevens aan derden via de koppeling van informatiesystemen, waarbij het rijksregisternummer als primaire sleutel wordt gebruikt. Die verbindingen moeten specifiek worden vermeld in de machtigingsaanvraag, zodat het Rijksregister het kadaster van netwerkverbindingen kan publiceren. En elke wijziging eraan moet vooraf ter goedkeuring worden voorgelegd aan de minister bevoegd voor Binnenlandse Zaken.

Lees die laatste zin nog eens met je eigen bestuur in gedachten. Elke nieuwe koppeling tussen twee applicaties die op het rijksregisternummer matcht, is potentieel een wijziging aan je netwerkverbindingen.

Het probleem is zelden dat een dienst het nummer verkeerd gebruikt. Het probleem is dat niemand bijhoudt welke koppelingen er sinds de oorspronkelijke machtiging zijn bijgekomen. Een machtiging is geen eenmalige formaliteit. Ze is een levend document — en het bijhouden ervan is een governancetaak, geen IT-taak.

De machtiging brengt een eigen DPO-verplichting mee

Nog een bepaling die zelden in algemene AVG-opleidingen aan bod komt: wie zich op een machtiging beroept om toegang te krijgen tot het Rijksregister, gegevens meegedeeld te krijgen of het rijksregisternummer te gebruiken, moet een functionaris voor gegevensbescherming aanwijzen in de zin van artikel 37 AVG.

De contactgegevens van die DPO moeten bovendien gepubliceerd worden én bezorgd worden aan de Gegevensbeschermingsautoriteit én aan de minister bevoegd voor Binnenlandse Zaken. Twee bestemmelingen, niet één.

Voor de meeste besturen verandert dat weinig — de DPO is er al. Maar het is wel een eigen aanstellingsgrond met eigen publicatie- en meldingsverplichtingen, en die worden in de praktijk regelmatig over het hoofd gezien bij een wissel van DPO.

Waarom de bron zelf horen iets anders is dan de tekst lezen

Je kunt de wet van 1983 lezen. Wat je er niet uit haalt, is waar aanvragen in de praktijk op vastlopen, hoe het Rijksregister een omschrijving van doeleinden beoordeelt, of hoe strikt “uitsluitend voor identificatie en authenticatie” wordt gelezen.

Dat is de waarde van deze sessie. Na de toelichting volgt een gemodereerde Q&A waarin je je eigen situatie kunt voorleggen. Daarna verschuift het programma naar de praktijk, met concrete cases uit de federale overheid, de Vlaamse overheid en de lokale besturen — met bijzondere aandacht voor gegevensuitwisseling met het Rijksregister. De sessie sluit af met praktische leidraden, waaronder de omgang met het rijksregisternummer door de dienst Burgerzaken.

Het praktijkgedeelte wordt voorbereid onder leiding van Joseph Bertels, diensthoofd Informatieveiligheid bij de Provincie Oost-Vlaanderen. Iemand die de vragen kent omdat hij ze zelf krijgt.

Wat er verder op het programma staat

De dag begint zoals altijd met de actualia. Dirk De Bot overloopt de nieuwste Europese en nationale rechtspraak, de beleidslijnen en de strategische prioriteiten van toezichthouders zoals de GBA en de EDPS, telkens vertaald naar wat het betekent voor een DPO in een bestuur.

Voor deze editie staan onder meer de bevoegdheden van de autoriteiten op het programma, en het gemeentelijk gebruik van ANPR-camera’s. Dat laatste onderwerp keert in vrijwel elk lokaal bestuur terug en zit op het snijvlak van gegevensbescherming, politiewetgeving en gemeentelijke bevoegdheid.

De inhoud van elke sessie wordt twee weken vooraf vrijgegeven, precies omdat het programma op de actualiteit inspeelt. Wat er in juni relevant was, is dat in september niet noodzakelijk nog.

Waar begin je?

Vier dingen die je vóór 21 september kunt doen, zodat je met scherpere vragen aan tafel zit:

1. Zoek je machtiging op. Weet je waarvoor je bestuur precies gemachtigd is, en wanneer die machtiging is verleend?
2. Lijst je koppelingen op waarin het rijksregisternummer als sleutel dient. Vergelijk die lijst met wat er in de machtigingsaanvraag stond.
3. Controleer je DPO-melding. Staan je contactgegevens gepubliceerd, en zijn ze bezorgd aan zowel de GBA als de minister bevoegd voor Binnenlandse Zaken?
4. Verzamel de vragen uit je diensten. Burgerzaken heeft er gegarandeerd een paar liggen.

Blijf mee met wat er in de publieke sector verandert

Stay Tuned as DPO – Overheid is een jaarabonnement voor DPO’s in overheden en overheidsinstellingen. Twee volle dagen per jaar met actualia en een praktijksessie, plus toegang tot de Stay Tuned as DPO-sessies en het online leerplatform met alle eerdere opnames. Begeleid door Dirk De Bot en Bart van Buitenen, met telkens gastsprekers die de evoluties vanop de eerste rij meemaken.

Op de agenda:

• 21 september 2026 — Park Inn Leuven. Toelichting door het Rijksregister, gemodereerde Q&A, praktijkcases uit federale, Vlaamse en lokale besturen
• 17 december 2026 — livestreaming vanuit Gent
• 25 februari 2027 — Virginie Lovelinggebouw (VAC), Gent
• 21 oktober 2027 — Provinciehuis Leuven

€1.195 excl. btw per jaar, inclusief broodjeslunch en digitaal cursusmateriaal bij elke sessie.
Sessies ter plaatse in Nederlands.

Bekijk de volledige agenda en word Stay Tuned member

Bronnen en verder lezen

• Wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen — Justel
• Gegevensbeschermingsautoriteit — het uitlezen van de eID
• Verordening (EU) 2016/679 (AVG) — EUR-Lex, artikel 37
• DPO Certificatie – Overheid — de tweedaagse basis onder dit abonnement

Veelgestelde vragen