Vragen van de leden Ceder (ChristenUnie) en Leijten (SP) aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over het bericht «Overheid heeft nog jaren nodig om «foute persoonsgegevens» op te ruimen» (ingezonden 12 april 2021).

Antwoord van Staatssecretaris Knops (Binnenlandse Zaken en Koninkrijksrelaties) (ontvangen 8 juni 2021). Zie ook Aanhangsel Handelingen, vergaderjaar 2020–2021, nr. 2557.

Vraag 1

Heeft u kennisgenomen van het bericht «Overheid heeft nog jaren nodig om «foute» persoonsgegevens op te ruimen»?¹

Antwoord 1

Ja.

Vraag 2

Deelt u de inschatting dat het gebruik van risicomodellen een hoog privacyrisico oplevert voor de mensen van wie de gegevens worden verwerkt? Zo ja, zijn er door de betrokken verwerkingsverantwoordelijken – in lijn met de AVG – Data Protection Impact Assessments uitgevoerd, voorafgaand aan het gebruik van de risicomodellen? Kunt u deze aan de Kamer verstrekken?

Antwoord 2

Waar persoonsgegevens worden verwerkt, zijn er altijd privacyrisico’s waar rekening mee gehouden moet worden. Dat geldt ook voor het verwerken van persoonsgegevens in risicoprofielen. De AVG, Wet politiegegevens en Wet justitiële en strafvorderlijke gegevens geven aan dat een Data Protection Impact Assessment (DPIA) verplicht is, wanneer een gegevensverwerking een hoog privacyrisico oplevert.

Zoals ik uw Kamer schreef in mijn brief van 8 april, starten we met een inventarisatie van de gegevensverwerkingen en een toetsing op rechtmatigheid. Daarbij zal aan de orde komen of DPIA’s zijn uitgevoerd en wat daarvan het resultaat was. Ik beschik op dit moment nog niet over de in de vraag genoemde informatie en zal uw Kamer uiteraard informeren over voortgang van het onderzoek.

Vraag 3

Kunt u nader toelichten waarom het volledig beëindigen van het gebruik van risicomodellen een te grote impact zou hebben op toezicht, handhaving en andere overheidstaken? Om welke toezichthoudende en handhavende taken gaat het precies?

Antwoord 3

Het gebruik van risicomodellen helpt de overheid schaarse capaciteit en financiële middelen effectiever en efficiënter inzetten dan bij het gebruik van steekproeven of integrale controle. Voordeel voor burgers en bedrijven is dat, als alles op orde is, zij minder vaak gecontroleerd worden. Dat scheelt energie, tijd en geld.

Risicomodellen worden binnen de overheid gebruikt bij de beleidsvorming, bij crisisbeheersing, bij dienstverlening en bij toezicht en handhaving.

Denk aan een voetbalwedstrijd waarbij de clubs en politie van tevoren kunnen inschatten dat supporters elkaar vijandig zullen benaderen. Door dan ook elementen als het weer (schijnt de zon of komt het met bakken uit de hemel) en de ligging van het stadion waar wordt gespeeld (in dichtbevolkte omgeving zonder manoeuvreerruimte of juist landelijk met veel uitwijkmogelijkheden) mee te nemen in een risicomodel, kan door de gemeente de vaak schaarse en kostbare inzet van politie en handhaving veel beter worden ingeschat.

Vraag 4

Kunt u nader toelichten waarom u niet op zijn minst generiek het gebruik van nationaliteit, etniciteit en geboorteplaats in risicomodellen wil beëindigen? Kunt u heel specifiek aangeven voor welke taken dit absoluut noodzakelijk is, en wat er mis zou gaan wanneer dit niet gebeurt?

Antwoord 4

De AVG verbiedt het gebruik van nationaliteit, etniciteit en geboorteplaats, tenzij er een objectieve rechtvaardiging voor het gebruik van die gegevens is, en het proportioneel en uitlegbaar is.

Als voorbeeld noem ik de opvang van asielzoekers door het COA. Het gebruik van afkomstgerelateerde indicatoren helpt om te voorkomen dat mensen met verschillende etniciteit en/of nationaliteit, waarvan we weten dat de combinatie een risicovolle is, bij elkaar in een ruimte worden geplaatst.

Onder het wettelijk kader van de Wet Politiegegevens (Wpg) geldt dat het verwerken van persoonsgegevens als nationaliteit en geboorteplaats enkel mag, voor zover dat noodzakelijk is voor de politietaak. Voor etniciteit geldt bovendien dat dit onder de Wpg wordt gezien als een bijzondere categorie politiegegevens waaraan verzwaarde eisen hangen voor het gebruik daarvan (artikel 5 Wpg).

Als voorbeeld noem ik hier dat het verwerken van afkomstgerelateerde persoonsgegevens kan bijdragen aan de identificatie van daders van strafbare feiten, van slachtoffers, van getuigen, en ook aan het voorkómen van toekomstige slachtoffers.

Vraag 5

Bent u bereid om, waar het gaat om het gebruik van risicomodellen en registratie van zaken als nationaliteit, etniciteit en geboorteplaats het uitgangspunt te hanteren dat dit niet gebeurt, waarbij enkel wanneer het echt noodzakelijk is door de Minister aan specifieke diensten voor specifieke taken tijdelijk de bevoegdheid kan worden verleend hiervan af te wijken? Zo nee, waarom niet?

Antwoord 5

Registratie van persoonsgegevens in risicomodellen hebben bij objectieve rechtvaardiging een (grond)wettelijke basis. Bovendien zijn er goede en gegronde redenen om risicomodellen te gebruiken. Zie de antwoorden op de vragen 3 en 4.

Elke (overheids)organisatie is zelf verantwoordelijk voor de naleving van wettelijke regels en zij doen dat volgens een stelsel van control, audit en toezicht. Dat is niet anders waar het gaat om de verwerking van persoonsgegevens. Het is uiteindelijk ook aan de organisaties zelf om waar nodig maatregelen te nemen en processen aan te passen. Waar dit niet of onvoldoende gebeurt, zal dat een reden zijn voor het kabinet om hierover met de desbetreffende organisatie in gesprek te gaan.

Vraag 6

Vindt naast toetsing op rechtmatigheid en oneigenlijk gebruik ook een toetsing op basis van proportionaliteit plaats? Zo nee, hoe kan toetsing op proportionaliteit alsnog een plek krijgen?

Antwoord 6

Ja. In dit onderzoek naar het gebruik van nationaliteit, etniciteit en geboorteplaats wordt getoetst op het (on)rechtmatig en het (on)eigenlijk gebruik van deze indicatoren in risicomodellen. De toets van de rechtmatigheid ziet op de vraag of het gebruik op basis van de geldende wet- en regelgeving is toegestaan. Daaronder valt ook artikel 1 van de Grondwet (het verbod op discriminatie) en de overige gelijkebehandelingsregelgeving. Bij het bepalen of onderscheid objectief gerechtvaardigd is, wordt de proportionaliteit getoetst en bekeken of sprake is van evenredigheid tussen het nagestreefde doel en de aangetaste belangen.

Een van de uitgangspunten van de AVG is dat van minimale gegevensverwerking, met andere woorden het gerechtvaardigde doel dient met zo min mogelijk gegevens bereikt te worden. De principes van noodzakelijkheid, proportionaliteit en subsidiariteit spelen daarbij een belangrijke rol en dienen door degene die de gegevens opvraagt, verzamelt, etc. (de verwerkingsverantwoordelijke) in acht te worden genomen.

Vraag 7

Wordt in de doorlichting ook gekeken naar het ongeoorloofd onderscheid op inkomen in risicomodellen, zoals is gebeurd in de risicoselectie «Hoge Tegemoetkoming, Hoog Risico» (HOTHOR)?

Antwoord 7

Een zogenaamde HOTHOR-controle (Hoge Tegemoetkoming, Hoog Risico) wordt niet uitgevoerd voor de risicoselectie, of om voor de risicoselectie onderscheid naar inkomens te maken. De HOTHOR-controles zijn bedoeld als interne controle, in situaties waarin burgers of bedrijven op basis van een aangifte of aanvraag een hoge som geld van de Belastingdienst of Toeslagen (terug) krijgen, of aan de Belastingdienst moeten betalen. Hiermee beogen deze organisaties te voorkomen dat er ten onrechte hoge betalingen worden gedaan aan burgers of bedrijven, dan wel dat er ten onrechte hoge bedragen in aanslagen aan hen worden opgelegd. Om te bepalen welke aangiften of aanvragen in HOTHOR komen, wordt gekeken of bedragen (bijvoorbeeld in de loonheffing) boven bepaalde vooraf vastgestelde parameters liggen. De hoogte van inkomen is geen direct criterium voor HOTHOR, maar in bepaalde gevallen kan de hoogte van de tegemoetkoming (bijvoorbeeld bij Toeslagen) wel mede afhankelijk zijn van het inkomen. Bij aangiften of aanvragen die voor de HOTHOR-controle worden geselecteerd, wordt vervolgens handmatig beoordeeld of het bedrag op de juiste wijze tot stand is gekomen en dit bedrag aan de burger of het bedrijf betaald kan worden, dan wel in een aanslag aan hen opgelegd kan worden. In de meeste gevallen zal het vastgestelde bedrag terecht zijn, maar indien dat niet zo is, voorkomt HOTHOR onterechte uitbetalingen van, maar ook onterechte aanslagen met te hoge bedragen.

Vraag 8

Waarom is er een half jaar voor nodig voor departementen om überhaupt tot een doorlooptijd te komen? Is het niet zo dat een AVG-verwerkingsregister te allen tijde actueel moet zijn en dus ook verstrekt moet kunnen worden? Op welke departementen en bij welke registers wordt er niet aan deze eis voldaan?

Antwoord 8

Departementen is gevraagd om de voorbereidingen te treffen voor het opstarten van deze onderzoeken. Het optuigen hiervan, bemensen en opstellen van een plan van aanpak kost enige doorlooptijd. Om er onder andere voor te zorgen dat resultaten ook vergelijkbaar zijn, vindt afstemming plaats over de manier waarop aangetroffen gegevensverwerkingen zullen worden getoetst. Het kost enkele maanden om tot een gedragen en passende (onderzoeks- en vergelijkings)methode te komen.

Een AVG-verwerkingsregister dient inderdaad actueel te zijn. Op 25 september 2020 hebben de Staatssecretaris van Fiscaliteit en Belastingdienst en de Staatssecretaris van Toeslagen en Douane aan uw Kamer laten weten dat het verwerkingsregister van de Belastingdienst incompleet is². Voorafgaand aan dit onderzoek is niet aan te geven of dit ook voor andere organisaties geldt.

Vraag 9

Kunt u nader toelichten voor welke departementen het tot 2025 kan duren voordat de operatie is afgerond?

Antwoord 9

Hoe lang het duurt voordat departementen klaar zijn met de operatie is afhankelijk van de mate waarin zij voor de daartoe behorende beleidsterreinen gebruik maken van risicomodellen waarbij afkomstgerelateerde persoonsgegevens worden verwerkt. Ik heb u aangegeven dat dit een omvangrijke operatie kan zijn, die geruime tijd in beslag kan nemen. Op dit moment gaat het slechts om een inschatting. De departementen moeten immers nog een plan van aanpak opstellen. Deze inschatting is gebaseerd op de ervaringen en doorlooptijden van de al lopende inventarisaties bij de Ministeries van Financiën en Sociale Zaken en Werkgelegenheid. Bij de laatste is de inventarisatie gestart in juni 2020 en is rapportage in juni 2021 in de Stand van de Uitvoering voorzien.

Het onderzoek dat ik aankondig in mijn brief van 8 april bestaat uit drie stappen: (1) inventarisatie, (2) bevindingen toetsen op rechtmatigheid en (3) in geval van onrechtmatig gebruik het beëindigen, notificeren en rectificeren/wissen).

Een eerste inschatting is dat behalve de Ministeries van Financiën en Sociale Zaken en Werkgelegenheid de Ministeries van Justitie en Veiligheid, Onderwijs Cultuur en Wetenschap, en Volksgezondheid Welzijn en Sport het meest gebruik maken van risicomodellen waarbij persoonsgegevens worden verwerkt. En daaruit volgend de inschatting dat de uitvoering van het onderzoek langer kan duren. Komend najaar worden de departementale plannen van aanpak met uw Kamer gedeeld en verwacht ik meer te kunnen zeggen over de planningen.

Vraag 10

Wat zegt het over de informatiehuishouding van de overheid dat er vier jaar voor nodig is om oneigenlijk gebruik van persoonsgegevens te kunnen detecteren en op te lossen?

Antwoord 10

Het is duidelijk dat de informatiehuishouding van de overheid meer aandacht verdient. Door de rapporten Ongekend Onrecht, het ongevraagd advies van de Raad van State over ministeriële verantwoordelijkheid en de monitoring van de Inspectie Overheidsinformatie en Erfgoed, heeft het kabinet besloten een grootscheepse verandering van de informatiehuishouding Rijk in gang te zetten (Open op Orde: generiek actieplan informatiehuishouding, Kamerstuk 29 362 nr. 291 bijlage 976235). De verandering die nodig is kost tijd, kennis en extra middelen. Het kabinet gaat daarom uit van een Rijksbrede verbeteroperatie tot en met 2026.

Parallel aan het inzetten van deze structurele verandering wordt door de departementen het onderzoek uitgevoerd naar het gebruik van afkomstgerelateerde indicatoren in risicomodellen. In het antwoord op vraag 9 heb ik aangegeven dat de doorlooptijd daarvan in grote mate afhankelijk is van de mate waarin departementen persoonsgegevens verwerken. Waar nodig wordt het opruimen van vervuilde data met voorrang opgepakt.

Vraag 11

Betekent dit dat onrechtmatig en oneigenlijk gebruik van persoonsgegevens in risicomodellen hier de komende jaren nog zal kunnen plaatsvinden?

Antwoord 11

Als de inventarisatie uitwijst dat er op onrechtmatige of oneigenlijke manier gebruik wordt gemaakt van persoonsgegevens in risicomodellen, dan wordt dit vanzelfsprekend zo snel mogelijk stopgezet. Ik kan op voorhand niet uitsluiten dat er zulke gevallen worden ontdekt. Het kan dus inderdaad zo zijn dat er gedurende dit onderzoek nog sprake is van een onjuist gebruik van persoonsgegevens. Om te zorgen dat aangetroffen gevallen zo snel mogelijk worden opgeruimd, wordt in het programma voorgesteld om interdepartementaal per organisatie op uitvoeringsniveau snel te komen tot een instructie voor medewerkers hoe gegevens op de juiste wijze te registreren én hoe om te gaan met onjuist gebruik van persoonsgegevens als dit wordt aangetroffen (melden, vernietigen, veiligstellen, rectificeren). Met snelle en juiste implementatie van deze instructies wordt voorkomen dat het onrechtmatig en oneigenlijk gebruik de komende jaren voortduurt.

Vraag 12

Deelt u de opvatting dat de vereisten van wettelijke grondslag, behoorlijkheid, transparantie, rechtmatigheid, proportionaliteit en subsidiariteit al bestonden in de voorganger van de AVG – de Wet bescherming persoonsgegevens – en dus al ruim 20 jaar van toepassing zijn op de verwerking van persoonsgegevens door de overheid?

Antwoord 12

Ja, deze eisen van de Algemene Verordening Gegevensbescherming (AVG) waren ook van toepassing in de Wet bescherming persoonsgegevens (Wbp).

Vraag 13

Vindt de beschreven toets ook plaats voor nieuwe beleidsontwikkeling en wetgeving?

Antwoord 13

Ja, op verschillende momenten van het reguliere beleids- en wetgevingsproces wordt getoetst aan grondrechten, waaronder het discriminatieverbod. De toetsing is onderdeel van de grondrechtentoets door mijn ministerie, in het kader van de toetsing van ontwerpregelgeving op rechtsstatelijke en bestuurlijke kwaliteit (wetgevingstoets door het Ministerie van Justitie en Veiligheid). Later in het proces vindt toetsing door de Raad van State en door de wetgever zelf plaats. Ook beleidsvoornemens die het discriminatieverbod kunnen raken, worden onderworpen aan een constitutionele toets. Er zijn daarnaast specifieke toetsingsinstrumenten die beoordelen of het handelen van de overheid conform het discriminatieverbod is. Zo neemt het instrument gegevensbeschermings-effectbeoordeling (DPIA) ook de conformiteit van de gegevensverwerking aan het discriminatieverbod mee.

Vraag 14

Kunt u de Kamer voor de behandeling van de begroting Binnenlandse Zaken en Koninkrijksrelaties een eerste rapportage sturen van de voortgang van de operatie?

Antwoord 14

Ja, uw Kamer ontvangt voor de behandeling van de begroting van BZK een eerste rapportage over de voortgang.

---

1 Nu.nl 8 april 2021; Overheid heeft nog jaren nodig om «foute persoonsgegevens» op te ruimen | NU – Het laatste nieuws het eerst op NU.nl

2 Beantwoording Kamervragen over het verwerkingsregister bij de Belastingdienst, kenmerk Zie ook Aanhangsel Handelingen, vergaderjaar 2020–2021, nr. 205