27 859 Modernisering Gemeentelijke Basisadministratie persoonsgegevens (GBA)

32 761 Verwerking en bescherming persoonsgegevens

Nr. 150 BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 21 december 2020

1. Inleiding

Met deze brief informeer ik uw Kamer over ontwikkelingen in het beleid rondom het burgerservicenummer (BSN), zoals aangekondigd in de Kamerbrief over de voorgenomen wijziging Uitvoeringswet AVG.¹

Niemand wil behandeld worden als een nummer en de overheid mag haar burgers niet als nummers behandelen. Toch is er in Nederland voor gekozen, in 2007, om iedere burger (en alle anderen met een relatie met de Nederlandse overheid) een uniek identificerend nummer toe te kennen – het burgerservicenummer. Een nummer dat bedoeld is voor efficiënte, foutloze en privacybeschermende uitwisseling van gegevens tussen overheden en voor communicatie tussen overheid en burger.

Dat het gebruik van zo’n nummer grote voordelen biedt, blijkt alleen al uit de vele vragen vanuit organisaties binnen en buiten de overheid voor uitbreiding van de mogelijkheden tot gebruik van het nummer. Bijvoorbeeld door banken bij monitoring van transacties in het kader van de aanpak van witwassen. Maar ook door overheidsinstellingen in Caribisch Nederland voor dienstverlening aldaar, waarnaar in 2019 onderzoek is gedaan.²

Het burgerservicenummer wordt uitgegeven bij registratie van een persoon in de Basisregistratie Personen (BRP) en is opgenomen als een gegeven op de persoonslijst in de BRP, waarop ook identificerende gegevens en adresgegevens staan. Bij vragen rond breder gebruik speelt daarom vaak ook de vraag of toegang tot de Basisregistratie Personen verleend kan worden. Bijvoorbeeld om verzekeraars te ondersteunen bij het opsporen van mensen die aanspraak kunnen maken op een uitkering uit een levensverzekering («de onvindbare begunstigden»).

2. Onderzoek werking BSN-stelsel

In de afgelopen periode heeft de Auditdienst Rijk (ADR) de werking van het BSN-stelsel onderzocht. De ADR heeft met een breed palet aan gebruikers en andere relevante stakeholders gesproken. Het rapport is begin september openbaar gemaakt.³ De onderzoekers komen tot de conclusie dat het BSN-stelsel voor veel gebruikers aan de verwachtingen voldoet, maar dat er wel punten van aandacht zijn.

Zo’n punt van aandacht is de zorg om mogelijk misbruik van het BSN. Een ander punt is de hierboven al benoemde vraag naar of en onder welke voorwaarden het gebruik van het BSN kan worden uitgebreid. Ik ga in het vervolg van deze brief op deze onderwerpen in.

3. Signalen van misbruik van voorzieningen met het BSN

Hoewel een BSN op zichzelf een niet bruikbaar, inhoudsloos nummer is dat geen rechten op dienstverlening of voorzieningen geeft en altijd verwijst naar een controleerbare identiteit, zijn er signalen ontvangen van misbruik van overheidsvoorzieningen of diensten van bedrijven, waarbij een BSN zou zijn gebruikt.

Niet alleen de ADR vraagt naar aanleiding van het onderzoek daarvoor aandacht, maar ook de voorzitters van het RIEC Amsterdam Amstelland en het RIEC Limburg hebben zich tot mij gericht met zorgen daarover.

De afgelopen maanden zijn door de Rijksdienst voor Identiteitsgegevens (RvIG), naar aanleiding van ontvangen signalen samen met andere overheidsorganisaties, diverse casussen geanalyseerd om kennis te vergaren over waar precies de kwetsbaarheden in het stelsel zich voordoen en om gezamenlijk oplossingen voor deze kwetsbaarheden uit te werken.

Het analyseren van de casussen gaat nog door in 2021. Vooruitlopend op de uitkomsten heb ik een aantal maatregelen in gang laten zetten. Daarbij gaat het met name om het verbeteren van de registratie van niet-ingezetenen (RNI)⁴ in de BRP.

a. Inzet gelaatsscanners

Elke balie van de 19 RNI-loketten, waar niet-ingezetenen worden ingeschreven, is uitgerust met een documentscanner voor het scannen van het identiteitsdocument van de persoon die zich komt laten registreren in de BRP. Het document wordt op echtheid gecontroleerd aan de hand van een database met echtheidskenmerken. Ik heb, als verantwoordelijk bewindspersoon voor de registratie van niet-ingezetenen in de BRP, opdracht gegeven deze scanopstelling in 2021 uit te breiden met gelaatsscanners. Op iedere balie, als vast onderdeel van het proces. Daarmee wordt lookalike-fraude bestreden en wordt kennis verzameld over de kwaliteit van de gezichtsherkenning (bij mens en machine). Dit kan wellicht later ook toegepast worden in andere processen.

b. Verhogen kennis- en vaardighedenniveau ID-controle en herkennen mensenhandel

De trainingen van medewerkers van de RNI-loketten op het gebied van identiteitscontrole worden geïntensiveerd door samen met de Koninklijke Marechaussee een train-de-trainer-concept uit te werken. Hierdoor wordt het makkelijker om (met name) de flexibele schil van baliepersoneel op het juiste niveau van kennis en vaardigheden te krijgen. Ook krijgen de medewerkers van alle RNI-loketten training in het herkennen van signalen van mensenhandel en hoe daarmee om te gaan.

c. Registreren en verstrekken van contactgegevens van niet-ingezetenen aan de RNI-balie

In het kader van het verbeteren van de registratie van met name arbeidsmigranten heb ik in 2020 een project opgestart voor het gaan registreren van contactgegevens van niet-ingezetenen die zich aan de RNI-balie melden voor inschrijving of voor wijziging van hun gegevens. Hierover heb ik uw Kamer al bericht in de brief over de stand van zaken BRP⁵ van 21 september 2020 en dit wordt ook vermeld in de kabinetsreactie⁶ naar aanleiding van het eerste advies van het aanjaagteam arbeidsmigranten.

4. Introductie van het BSN in Caribisch Nederland

In Caribisch Nederland, in de openbare lichamen Bonaire, Sint Eustatius en Saba, is een eigen identificatienummer in gebruik, het ID-nummer. De bevindingen uit het onderzoek naar de mogelijke invoering van het BSN in Caribisch Nederland worden op dit moment door mijn ministerie, in overleg met de openbare lichamen en de Rijksdienst Caribisch Nederland, nader uitgewerkt, met de bedoeling om op termijn het BSN in Caribisch Nederland in te voeren.

Doordat het de gegevensuitwisseling met Europees Nederland vereenvoudigt en de kwaliteit ervan verhoogt biedt de introductie van het BSN, naast efficiëntie aan de kant van de rijksdiensten die in Caribisch Nederland taken uitvoeren, ook perspectief op de verdere uitrol van DigiD op de eilanden en daarmee op digitale dienstverlening aan alle burgers. Ook vereenvoudigt het de administratieve handelingen die nodig zijn wanneer studenten uit Caribisch Nederland in Europees Nederland komen studeren.

Om tot invoering over te gaan zijn diverse wetswijzigingen nodig, waarnaar nu aanvullend onderzoek wordt gedaan.

5. Heroverweging van bestaande wetgeving en criteria voor gebruik

Zoals hierboven gesignaleerd is er een toenemende vraag onder niet-BSN-gerechtigde organisaties om het BSN te mogen gebruiken en/of om geautoriseerd te worden voor toegang tot gegevens over burgers die door de overheid worden bijgehouden.

Een mogelijke oplossing is het scheppen van voorzieningen voor verificatie van burgerservicenummers en de bijbehorende identiteit voor partijen die geen gebruik kunnen maken van gegevens uit de Beheervoorziening BSN of BRP.⁷ Het zou dan kunnen gaan om voorzieningen om de eigen gegevens te kunnen toetsen aan de gegevens in de overheidsvoorzieningen («matchen»). Dergelijke voorzieningen kunnen ook worden overwogen voor partijen buiten de overheid die wel een BSN mogen of zelfs moeten vragen en noteren, maar geen toegang hebben tot de huidige voorzieningen voor verificatie.

Een andere oplossing die wordt onderzocht voor gevallen waarin het BSN niet mag worden gebruikt is die van de zogenaamde decentralized identifier (DID). Daarmee kan een burger een uniek, van zijn of haar BSN afgeleid, nummer afgeven aan een organisatie, die dat nummer kan verifiëren zonder dat daarvoor het BSN zelf hoeft te worden gedeeld.

Niet elk type vraag zal beantwoord kunnen worden met een alternatieve verificatievoorziening. Afhankelijk van het type vraag of de aard van de organisatie of haar taken, kan het ook nodig zijn om een specifieke wettelijke grondslag te maken die de organisatie in staat stelt om het BSN te gebruiken. Ook om het BSN op termijn te kunnen gebruiken door overheidsorganisaties in Caribisch Nederland is een specifieke wettelijke grondslag vereist.

In haar advies bij de Wet digitale overheid wijst de Afdeling advisering van de Raad van State op het belang om het gebruik van het BSN alleen uit te breiden tot organisaties buiten de overheid op basis van duidelijke, wettelijke criteria. Zij stelt vast dat deze criteria niet in een wet zijn opgenomen. Ik heb in dat kader aangegeven dat bezien zal worden of het opportuun is om bij gelegenheid de Wabb aan te passen.⁸

Met de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) in 2018 heeft de Nederlandse wetgever gebruik gemaakt van de mogelijkheid, die artikel 87 van de verordening biedt, om nationale regelgeving te maken voor het gebruik van een nationaal identificatienummer. In Nederland wordt de basis voor het gebruik van het burgerservicenummer sinds 25 mei 2018 geregeld in artikel 46 van de Uitvoeringswet AVG (UAVG).

Het kabinet overweegt om artikel 46 van de UAVG zo aan te passen dat duidelijk wordt dat voor BSN-gebruik steeds een specifieke formeel wettelijke grondslag nodig is. Het ligt in de rede om naar aanleiding van de aanpassing van dat artikel inhoudelijke criteria vast te stellen waaraan (breder) BSN-gebruik dient te voldoen en deze vast te leggen in de Wabb. Hierbij moet bedacht worden dat het BSN een identifier (betekenisloze sleutel voor gegevensuitwisseling) is en moet blijven en dat de inhoudelijke toets op aanspraken en verplichtingen moet liggen bij het beleidsverantwoordelijke departement.

Aandachtspunten daarbij zijn dat er niet-overheidsorganisaties zijn die diverse taken hebben waarbij ze bijvoorbeeld voor de ene taak het BSN mogen of zelfs moeten gebruiken, terwijl het gebruik van het BSN voor andere taken niet is toegestaan. In een aantal van dergelijke zaken hebben in het verleden de toezichthouder AP⁹ en de rechter richtinggevende uitspraken gedaan, die betrokken zullen worden in het proces om te komen tot criteria voor het toelaten van BSN-gebruik buiten de overheid. Behalve algemene kwaliteitseisen voor wetgeving, zijn dat ook specifieke criteria die volgen uit de AVG, zoals noodzakelijkheid, evenredigheid, proportionaliteit en subsidiariteit.

Vooruitlopend op het vaststellen van bovengenoemde criteria loopt er een aantal trajecten om binnen de huidige mogelijkheden die de wet- en regelgeving bieden het gebruik van BSN en BRP buiten de overheid uit te breiden. Begin 2021 zal er een besluit worden genomen of en hoe het binnen de huidige regels mogelijk gemaakt kan worden verzekeraars de BRP te laten gebruiken voor het opsporen van de «onvindbare begunstigden». Voor de banken wordt overwogen om goed omschreven gebruik van het BSN mogelijk te maken door wijzigingen in de wetgeving ten behoeve van de aanpak witwassen. Daarover is mijn ministerie met het Ministerie van Financiën in overleg. Ik zal uw Kamer begin 2021 informeren over mijn besluiten ten aanzien van genoemde trajecten.

6. Slot

Bijna vijftien jaar na de invoering van het BSN kunnen we constateren dat het BSN-stelsel voor een groot deel voldoet aan de doelstellingen. Maar we zien ook dat waar het gaat om veiligheid en gebruik nieuw beleid nodig is. Waarbij een goede balans moet worden gevonden tussen efficiënte dienstverlening en bestrijding van misbruik enerzijds en bescherming van privacy anderzijds. De eerste stappen zijn gezet, er ligt een basis voor verdere beleidsontwikkeling in de komende jaren.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, R.W. Knops

---

1 Kamerstuk 32 761, nr. 164.

2 BSN in Caribisch Nederland: https://www.rijksoverheid.nl/documenten/rapporten/2019/09/27/bsn-in-caribisch-nederland

3 Onderzoek naar het burgerservicenummer: https://www.rijksoverheid.nl/documenten/rapporten/2020/07/27/onderzoeksrapport-onderzoek-naar-het-burgerservicenummer

4 Bij registratie als niet ingezetene in de BRP wordt, net als bij registratie als ingezetene van een gemeente, een BSN verstrekt. Daarbij worden echter minder gegevens geregistreerd, waardoor geen zicht is op verblijf van deze personen en ook geen contact mogelijk is, behalve via het buitenlandse woonadres.

5 Kamerstuk 27 859, nr. 146.

6 Kamerstuk 29 861, nr. 52.

7 Die toegang is beperkt tot overheidsorganisaties en in beperkte mate organisaties buiten de overheid met een publieke taak.

8 Kamerstuk 34 972, nr. 4.

9 Zie bijvoorbeeld het advies van AP inzake toegang tot gegevens voor poortwachters t.b.v. de aanpak van witwassen (bijlage 4 bij Kamerstuk 31 477, nr. 50).