Vragen van het lid Van der Burg (VVD) aan de minister van Binnenlandse Zaken en Koninkrijksrelaties over oneigenlijk gebruik door derden van Kamer van Koophandel-gegevens (ingezonden 12 april 2011).

Antwoord van minister Donner (Binnenlandse Zaken en Koninkrijksrelaties) (ontvangen 27 mei 2011). Zie ook Aanhangsel Handelingen, vergaderjaar 2010–2011, nr. 2411.

Vraag 1

Hoe vaak komt het voor dat, als iemands nummer van de Kamer van Koophandel, bankrekeningnummer en burgerservicenummer bekend zijn, daar, in wat voor vorm dan ook, oneigenlijk gebruik van gemaakt wordt door derden (bijvoorbeeld abonnementen afsluiten, DigiD aanvragen, etc.)?

Antwoord 1

Of en hoe vaak er sprake is van oneigenlijk gebruik door derden van het in combinatie gebruiken van het KvK-nummer, het BTW-nummer en het bankrekeningnummer van een persoon is niet bekend.

Het KvK-nummer van een bedrijf is openbaar (dat nummer moet zelfs op grond van artikel 27 van de Handelsregisterwet 2007 worden vermeld op alle briefpapier, orders, facturen, offertes en andere aankondigingen met uitzondering van reclames).

Het bankrekeningnummer staat (geheel vrijwillig maar volstrekt logisch) op elke factuur die van een bedrijf uitgaat. Vaak ook, en al evenzeer vrijwillig, op het briefpapier. Uitgangspunt is dat het hier gaat om een zakelijk bankrekeningnummer. Tevens is wettelijk bepaald dat het BTW-nummer op facturen vermeld dient te worden. Voor zelfstandigen zonder personeel (ZZP’er) betekent dit dat het Burgerservicenummer (BSN)te herleiden is. De fiscus geeft namelijk aan een ZZP’er een BTW-nummer uit door NL te plaatsen voor het BSN.

Met betrekking tot het risico van oneigenlijk gebruik van het BSN is het van belang te beseffen dat het BSN een informatieloos nummer is en geen authenticatiemiddel voor toegang tot de elektronische bestanden of dienstverlening van de overheid is. Ook niet in combinatie met andere gegevens zoals het KvK-nummer of bankrekeningnummer.

Het betrekking tot DigiD, is kennis van deze gegevens overigens onvoldoende om een DigiD te verkrijgen. Zie ook de beantwoording van de Kamervragen over mogelijke fraude met DigiD gesteld door de leden Van der Burg, Hennis-Plasschaert en Neppérus (allen VVD) aan de ministers van Binnenlandse Zaken en Koninkrijksrelaties en van Veiligheid en Justitie en de staatssecretaris van Financiën over inbreuk op DigiD (ingezonden 6 april 2011).

Vraag 2

Hoe groot zijn de risico’s van oneigenlijk gebruik door derden als de bij vraag 1 genoemde combinatie van gegevens bekend is, zoals bij zelfstandigen zonder personeel?

Antwoord 2

Hoe groot de risico’s zijn, kan pas gemeten worden als cijfers over dat oneigenlijk gebruik beschikbaar zijn. Die zijn niet beschikbaar. Cijfers van misbruik van deze gegevens zijn er evenmin. Op dit moment wordt wel een onderzoek uitgevoerd naar de omvang en de schade van identiteitsfraude. Ook voor dit onderzoek geldt dat eerst wordt geïnventariseerd of er genoeg cijfermateriaal in de publieke en de private sector beschikbaar is om een uitspraak over omvang en schade te kunnen doen. Het rapport wordt deze zomer opgeleverd.

Bij het Centraal Meld-en informatiepunt Identiteitsfraude en -fouten (CMI) zijn geen meldingen met de bovengenoemde combinatie van gegevens bekend. Wel wordt af en toe de naam van een bedrijf (zonder bankrekening en/of BSN) misbruikt door criminelen in oplichtingszaken waarbij niet-bestaande spullen worden verkocht en er vooraf wordt betaald. Overigens kan met de combinatie naam en bankrekeningnummer al worden gefraudeerd, bijvoorbeeld door spullen te kopen via eenmalige machtiging. Een naam (en eventueel een adres) is ook al voldoende als de keuze voor «achteraf betalen» wordt geselecteerd. Dit soort eenvoudige oplichtingszaken kunnen zowel bedrijven als natuurlijke personen treffen.

Wanneer bedrijven en organisaties een identiteit denken te kunnen verifiëren louter aan de hand van kennis van bovengenoemde gegevens, kunnen risico’s ontstaan voor oneigenlijk gebruik of misbruik. Van belang is dat een ieder voldoende aandacht geeft aan een deugdelijke verificatie van de identiteit. (Overheids)organisaties hebben de plicht om de identiteit van een burger afdoende te verifiëren, bijvoorbeeld met een geldig wettelijk identiteitsdocument.

Vraag 3

Hoe gaat de overheid om met een dergelijk oneigenlijk gebruik door derden? Welke maatregelen worden getroffen? Is het nodig om aanvullende maatregelen te nemen? Zo ja, welke? Bent u bereid om die te nemen? Zo neen, waarom niet?

Antwoord 3

Het College bescherming persoonsgegevens (Cbp) heeft een adviserende en toezichthoudende taak op naleving van de regels, die gesteld zijn aan het gebruik en uitwisselen van persoonsgegevens. Burgers die vaststellen dat er sprake is van oneigenlijk gebruik van persoonsgegevens, kunnen dit melden bij het Cbp. Het Cbp heeft doorzettingsmacht om aanpassingen in het gebruik af te dwingen.

Als ondernemers slachtoffer worden van fraude kunnen zij daarvan aangifte doen. De overheid geeft voorlichting aan het publiek over het omgaan met persoonlijke gegevens en ook kunnen vragen worden gesteld aan de fraudehelpdesk.

Mocht er sprake zijn van identiteitsfraude dan kunnen burgers of ondernemers terecht bij het CMI. Dit is een initiatief van de Nederlandse overheid. Het meldpunt geeft voorlichting over identiteitsfraude en over het voorkomen ervan. Ook begeleidt het meldpunt slachtoffers bij het aanpakken van de gevolgen, zowel in de private als in de publieke sector.