Vragen van het lid Van Raak (SP) aan de minister van Binnenlandse Zaken en Koninkrijksrelaties over de centrale opslag van vingerafdrukken (ingezonden 16 maart 2010).

Antwoord van staatssecretaris Bijleveld-Schouten (Binnenlandse Zaken en Koninkrijksrelaties) (ontvangen 26 maart 2010).

Vraag 1, 2 en 3

Is het waar dat de digitale vingerafdrukken, gemaakt bij de aanmaak van een nieuw paspoort, opgeslagen worden in het Reisdocumenten Aanvraag en Archief Station (RAAS) en dat dit beheerd wordt door Sagem Identification?¹

Waarom is ervoor gekozen om het beheer van dit systeem onder te brengen bij een commercieel bedrijf?

Deelt u de opvatting dat dergelijke belangrijke en privacygevoelige gegevens enkel en alleen in het beheer van de overheid mogen zijn? Zo nee, waarom niet?

Antwoord 1, 2 en 3

Het is juist dat de opgenomen vingerafdrukken digitaal worden opgeslagen in het RAAS.

Het Reisdocumenten Aanvraag en Archief Station (RAAS) is de apparatuur en programmatuur waarmee de uitgevende instanties de aanvraaggegevens digitaal kunnen verzenden aan de producent van de reisdocumenten. Elke uitgevende instantie van de reisdocumenten heeft een of meerdere RAAS-en. Thans zijn er ca 700 RAAS-en.

Het RAAS wordt door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) al sinds 2001 beschikbaar gesteld aan de instanties die de reisdocumenten uitgeven. Sinds oktober 2001 worden in het RAAS digitaal alle aanvragen voor Nederlandse reisdocumenten opgeslagen.

Het RAAS is een uitvloeisel van de Europese aanbesteding die in 1999 is uitgevoerd met het doel een leverancier te vinden voor de:

• ontwikkeling, productie en personalisatie van de Nederlandse reisdocumenten;

• ICT-ondersteuning (inclusief levering, installatie en onderhoud van apparatuur en programmatuur);

• Fysieke distributie van de Nederlandse reisdocumenten.

Over de Europese aanbesteding van 1999 en de uitkomsten daarvan is de Tweede Kamer toentertijd geïnformeerd. Ik verwijs hierbij onder meer naar de lijst van vragen en antwoorden (TK 1998–1999, 25 764 nr 11) inzake de nieuwe generatie reisdocumenten. Enkele van deze vragen (en antwoorden) gaan over de systemen die zullen worden ingevoerd voor het digitaal verlopen van het aanvraagproces. Ook bij de recente wijziging van de Paspoortwet is, onder meer in de memorie van toelichting, ingegaan op de opslag van de aanvraaggegevens in het RAAS.

De producent van de Nederlandse reisdocumenten onderhoudt in technische zin de apparatuur en de programmatuur van RAAS. Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties is verantwoordelijk voor de wijze waarop de producent dat doet.

Vraag 4 en 5

Welke afspraken zijn er gemaakt met Sagem Identification over het beheer, de opslag en de beveiliging van de vingerafdrukken en andere persoonsgebonden gegevens?

Hoe is de verzending van privacygevoelige gegevens van gemeenten naar de centrale database beveiligd? Worden deze gegevens versleuteld? Zo ja, is deze versleuteling 100% veilig en dus niet te kraken? Zo nee, waarom niet?

Antwoord 4 en 5

De aanvraaggegevens worden door de uitgevende instanties van de Nederlandse reisdocumenten digitaal verzonden naar de producent. De verzending vindt versleuteld plaats. Daarenboven wordt er ook nog een digitale handtekening gezet over het versleutelde aanvraagbericht. De aanvraagberichten worden verstuurd via besloten netwerken. Absolute garanties zijn natuurlijk niet te geven, maar naar mijn mening is de beveiliging van de verzending van de digitale gegevens in orde.

De producent bewaart alle persoonsgegevens uit de aanvraag 30 dagen. De naam van de aanvrager wordt 90 dagen bewaard op zogenaamde geleidelijsten die worden gebruikt voor controle van de te verzenden reisdocumenten.

Sinds de invoering van de vingerafdrukken in de Nederlandse reisdocumenten worden de aanvraaggegevens in RAAS versleuteld opgeslagen. Dat geldt ook voor de back-ups die de uitgevende instanties maken van de gegevens die in RAAS zijn opgeslagen.

Vraag 6, 7 en 8

Kunt u uitsluiten dat onbevoegden toegang kunnen verkrijgen tot deze database? Zo nee, waarom niet?

Wie hebben er bij Sagem Identification toegang tot de opgeslagen gegevens? Zijn deze personen vooraf gescreend? Welke afspraken zijn er met deze personen gemaakt? Welke maatregelen zijn er genomen om bedrijfsspionage tegen te gaan?

Houdt u toezicht op het beheer van de gegevens door Sagem Identification? Zo ja, hoe is dit toezicht geregeld? Zo nee, waarom niet?

Antwoord 6, 7 en 8

Aangenomen wordt dat met «database» de productiesystemen van Sagem Identification worden bedoeld. Bij de producent van de Nederlandse reisdocumenten gelden stringente beveiligingseisen. Het bedrijf beschikt vanzelfsprekend over een beveiligingsplan. Het bedrijf is verdeeld in zones. Per zone is bepaald welke medewerkers daar toegang toe hebben. Er is ook cameratoezicht en het personeel kan bij het verlaten van het gebouw worden gevisiteerd. De producent van de Nederlands reisdocumenten mag op grond van het Besluit justitiële gegevens het personeel screenen. Alle nieuwe medewerkers worden ook daadwerkelijk gescreend. De producent is gecertificeerd volgens de ISO-27001 standaard (zie ook www.27000.org/iso-27001.htm) voor informatiebeveiliging. Jaarlijks wordt er ook een audit uitgevoerd.

Het ministerie van BZK heeft het recht om bij de producent van de Nederlandse reisdocumenten controles uit te voeren. Dat wordt ook gedaan. Zo worden er controles uitgevoerd naar de kwaliteit van de reisdocumenten, maar ook worden er broncode-analyses uitgevoerd naar de systemen die de producent gebruikt.

Ik wil er tenslotte op wijzen dat ten tijde van de verkoop van de aandelen van de Staat der Nederlanden in Sdu Identification er een zogenaamde «Change of Control Agremeent» is overeen gekomen. De Tweede Kamer is hierover door de minister van Financiën geïnformeerd (TK 2006–2007, 27 044, nr 4). Over de verkoop aan Sagem Sécurité S.A. (een onderdeel van Groupe Safran) is de Tweede Kamer geïnformeerd op 19 juni en 11 juli 2008. In de laatste brief (TK 2007-2008, 28 165, nr 86) is expliciet aangegeven dat er garanties zijn gegeven onder meer met betrekking tot de bescherming van de persoonsgegevens die worden verwerkt.

Vraag 9

Wat gebeurt er met de opgeslagen gegevens bij een faillissement van Sagem Identification?

Antwoord 9

De gegevens waarover Sagem ten behoeve van de personalisatie tijdelijk de beschikking krijgt, zijn eigendom van de Staat der Nederlanden en vallen derhalve buiten het eventuele faillissement van Sagem.

---

1 Sagem Identification http://www.sdu-identification.nl/index2.html