Kruispuntbank van de Sociale Zekerheid (KSZ)

De wet van 15 januari 1990 richt de Kruispuntbank van de Sociale Zekerheid op als openbare instelling met rechtspersoonlijkheid, bij de FOD Sociale Zekerheid^[1]. Ze is belast met het leiden en organiseren van, en het machtigen tot, de uitwisseling van sociale gegevens tussen de sociale gegevensbanken, en coördineert de betrekkingen tussen de instellingen van sociale zekerheid en met het Rijksregister^[1]. De KSZ houdt zelf geen inhoudelijke gegevens over de rechten en verplichtingen van sociaal verzekerden bij; die blijven bij de bevoegde instelling van sociale zekerheid^[2]. Smals omschrijft de KSZ en het eHealth-platform als decentrale platformen voor veilige uitwisseling, niet als databanken^[8].

Het netwerk van de sociale zekerheid heeft functioneel de vorm van een ster, waarbij de Kruispuntbank het gegevensverkeer regelt^[3]. De KSZ leidt de berichtenuitwisseling via dat netwerk en bewaakt de naleving van het finaliteitsprincipe met haar verwijzingsrepertorium^[2]. Als prestatienorm geldt dat haar informatiesysteem 24 uur op 24 en 7 dagen op 7 beschikbaar is voor de aangesloten instellingen, gedurende minstens 98% van de tijd^[9]. Volgens Smals werden in 2025 bijna 2,15 miljard meldingen via de KSZ uitgewisseld (cijfer van Smals)^[8].

Voorgeschiedenis van het toezicht

Het Informatieveiligheidscomité (IVC) heeft als voorgangers het Toezichtscomité bij de Kruispuntbank (1990-2003), het sectoraal comité van de sociale zekerheid (2003-2007) en het sectoraal comité van de sociale zekerheid en van de gezondheid (2007-2018)^[10]. De kamer sociale zekerheid en gezondheid van het IVC publiceert jaarlijks een beknopt verslag op de websites van zowel de KSZ als het eHealth-platform^[10].

Bestuur en bemanning van het eHealth-platform

De eHealth-wet belast de administrateur-generaal van de KSZ met het dagelijks beheer van het eHealth-platform^[4]. De KSZ stelt tegen betaling de diensten, het personeel, de uitrusting en de inrichtingen ter beschikking die het eHealth-platform nodig heeft^[4]. Het Beheerscomité van de KSZ benoemt vier leden van het Beheerscomité van het eHealth-platform uit zijn vertegenwoordigers van werkgevers-, zelfstandigen- en werknemersorganisaties^[4]. Volgens een stafpresentatie van het eHealth-platform is de NIS2-regelgeving sinds oktober 2024 van kracht voor KSZ en eHealth-platform, die samen met de KSZ-werkgroep informatieveiligheid aan gemeenschappelijke beleidslijnen werken^[11]. Voor gegevensbeschermingseffectbeoordelingen hanteren eHealth-platform en KSZ een cyclus van 36 maanden per verwerking^[11]. De KSZ is lid in categorie A van Smals^[8].

Identificatie van personen

Bij de mededeling van niet-gecodeerde persoonsgegevens aan en door het eHealth-platform worden uitsluitend de identificatienummers uit artikel 8 van de KSZ-wet gebruikt^[4]. Volgens de KSZ is het INSZ (identificatienummer van de sociale zekerheid) een rijksregisternummer of een Kruispuntbanknummer^[5]. Het BIS-nummer wordt door de KSZ toegekend en telt elf cijfers^[6]; vindt een instelling geen rijksregisternummer, dan kan ze op basis van minimale identificatiegegevens online een BIS-nummer laten aanmaken^[12]. Er zijn twee authentieke bronnen voor persoonsgegevens: het Rijksregister, waarvoor de KSZ als doorgeefluik fungeert, en de KSZ-registers (het RAD-register en het bisregister)^[12]. De KSZ stelt ook opeenvolgende wijzigingen en geldigheidsperiodes van die Rijksregistergegevens ter beschikking^[5].

Het eHealth-platform is zelf geen authentieke bron voor identiteitsgegevens: Id Support is een relaisdienst naar de dienst van de KSZ^[13]. Met RR Consult kunnen gegevens van een persoon in het Rijksregister en in de Kruispuntbankregisters worden opgezocht^[7], en CbssPersonService maakt het aanmaken van een BIS-nummer in het BIS-register mogelijk^[7].

Ziekenfondsen en het NIC

Het Nationaal Intermutualistisch College beheert en coördineert binnen het netwerk van de sociale zekerheid het secundaire netwerk van de ziekenfondsen^[3]. Sociale persoonsgegevens die de verzekeringsinstellingen aan zorgverleners en tariferingsdiensten meedelen, lopen na principiële machtiging via het NIC en niet via de Kruispuntbank (art. 14 KSZ-wet)^[1]. Mededelingen tussen het RIZIV en het NIC of de ziekenfondsen die nodig zijn voor de sociale-zekerheidsregelgeving, zijn vrijgesteld van een beraadslaging van het IVC^[10]. Het KSZ-Beheerscomité telt vertegenwoordigers van het NIC en van de openbare instellingen van sociale zekerheid, samen de helft van het aantal vertegenwoordigers van de sociale partners^[1]; die vertegenwoordigers hebben er een raadgevende stem, maar de NIC-vertegenwoordigers zijn stemgerechtigd voor materies die hen rechtstreeks of onrechtstreeks aanbelangen^[1].

Secundair gebruik en gezondheidsstromen

In het beheerscomité van het Gezondheids(zorg)Data-Agentschap (HDA) zetelt één stemgerechtigd lid dat eHealth-platform en KSZ samen voordragen^[14]. De HDA-wet noemt de KSZ, samen met onder meer RIZIV, FOD Volksgezondheid, KCE, FAGG, Sciensano en eHealth-platform, als gegevenshouder die toegangsverzoeken buiten het HDA om aan het HDA moet melden^[14]. Beraadslaging 25/202 van het IVC (7 oktober 2025) gaat over de mededeling van gepseudonimiseerde persoonsgegevens van overleden inwoners van het Vlaams Gewest door de KSZ aan het Departement Zorg^[15]; de socio-economische informatie, zoals onderwijsniveau en socio-economische positie, wordt per kwartaal ter beschikking gesteld^[15]. De lokale besturen plaatsen daarvoor maandelijks een bestand op een SFTP-server van de KSZ^[15]. Voor eBirth v2 zijn socio-economische gegevens van de KSZ gepland: het Rijksregister bereidde de integratie in 2025 voor^[11], de ingebruikname staat gepland in 2026^[11]. Ook Vlaamse en Brusselse diensten krijgen identificatiegegevens via de KSZ: het agentschap Vlaamse Sociale Bescherming en de zorgkassen via het netwerk van de sociale zekerheid^[16], en Bruprev^[17].

• Patiëntidentificatie: beraadslaging 09/039 (7 juli 2009, gewijzigd 9 november 2021) geeft ziekenhuizen toegang tot de Kruispuntbankregisters om identificatiegegevens van patiënten te controleren en te actualiseren, voor hun ondubbelzinnige identificatie in het medisch dossier en voor het facturatiebeheer^[7]; de raadpleging verloopt via RR Consult^[7].
• Patiënten zonder rijksregisternummer: een instelling kan online een BIS-nummer laten aanmaken^[12], ook via CbssPersonService^[7].
• Ziekenfondsgegevens: sociale gegevens die de ziekenfondsen na principiële machtiging aan zorgverleners meedelen (zoals de verzekerbaarheid, zie MyCareNet), lopen via het NIC en niet via de KSZ^[1].
• Onrechtstreeks: het eHealth-platform, waarop ziekenhuizen voor authenticatie en uitwisseling steunen, wordt door de KSZ-leiding beheerd en door de KSZ bemand^[4].
• Aanbeveling (eigen): ga na of de identiteitscontrole in het patiëntenbeheer de Kruispuntbankregisters gebruikt binnen de doeleinden van beraadslaging 09/039.

• Verhouding met het eHealth-platform: de band is enkel uit de eHealth-wet en een Smals-verslag gehaald; een eigen KSZ-pagina die de verhouding uitlegt, werd niet gevonden.
• Bevoegde minister: artikel 1 van de KSZ-wet plaatst de KSZ bij de FOD Sociale Zekerheid^[1]; de actueel bevoegde minister werd niet in een primaire bron gevonden.
• Volumecijfer: de 2,15 miljard meldingen zijn een cijfer van Smals, niet van de KSZ zelf^[8].