26 643 Informatie- en communicatietechnologie (ICT)

32 761 Verwerking en bescherming persoonsgegevens

Nr. 967 VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 31 januari 2023

De vaste commissie voor Binnenlandse Zaken heeft een aantal vragen en opmerkingen voorgelegd aan de Minister van Binnenlandse Zaken en Koninkrijksrelaties over de brief van 10 november 2022 over de conclusie van het onderzoek naar het gebruik van afkomstgerelateerde gegevens in de processen en applicaties van het Ministerie van BZK (Kamerstukken 26 643 en 32 761, nr. 938).

De vragen en opmerkingen zijn op 8 december 2022 aan de Minister van Binnenlandse Zaken en Koninkrijksrelaties voorgelegd. Bij brief van 30 januari 2023 zijn de vragen beantwoord.

De voorzitter van de commissie, Hagen

Adjunct-griffier van de commissie, Muller

I Vragen en opmerkingen vanuit de fracties

Vragen en opmerkingen van de leden van de VVD-fractie

De leden van de VVD-fractie hebben met belangstelling kennisgenomen van de brief van de Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) d.d. 10 november 2022 over de conclusies van het onderzoek naar het gebruik van afkomstgerelateerde gegevens in de processen en applicaties van het Ministerie van BZK. Graag willen deze leden daarover een paar vragen stellen.

De onderhavige rijksbrede aanpak begint met het inventariseren van gegevensverwerkingen waarin afkomstgerelateerde indicatoren worden verwerkt. In hoeverre is het ministerie met de genoemde afkomstgerelateerde indicatoren aangesloten bij de indicatoren die rijksbreed zijn gebruikt? In hoeverre is daar op een andere manier mee omgegaan? Gaarne krijgen zij een reactie.

Aan het slot van haar brief kan de Minister niet uitsluiten dat bijvoorbeeld beleidsregels, registraties in oude systemen of zeldzame uitzonderingssituaties buiten het zicht van de inventarisatie zijn gebleven. Hoe groot is de kans dat bepaalde registraties, processen en risicomodellen buiten beeld zijn gebleven? De leden van de VVD-fractie gaan ervan uit dat mochten er alsnog registraties, processen of risicomodellen bekend worden, dat de Kamer daarover wordt geïnformeerd. Hoe wordt in de toekomst het rechtmatig en eigenlijk gebruik van afkomstgerelateerde gegevens geborgd op het Ministerie van BZK? Graag krijgen deze leden een reactie van de Minister.

Vragen en opmerkingen van de leden van de D66-fractie

Algemeen

De leden van de D66-fractie hebben met interesse kennisgenomen van de onderzoeksconclusies en willen de Minister nog enkele vragen voorleggen.

Onderzoeksopzet

Deze leden zijn de Minister erkentelijk voor de toetsing van de afkomstgerelateerde gegevensverwerking op grondslag, doelbinding, proportionaliteit, subsidiariteit en op onrechtmatig onderscheid (de discriminatietoets). Zij vragen zich wel af waarom het gegeven «postcode» niet als afkomstgerelateerd gegeven is onderzocht?

Onderzoeksconclusies

De leden van de D66-fractie ondersteunen het voorgestelde (concept) Besluit wijziging BRP, d.d. 3 oktober 2022, om het gegeven «geboorteland en/of -plaats» te schrappen in het proces Beheervoorziening burgerservicenummer (BSN) en het Foutenmeldpunt BSN. Kan de Minister aangeven wanneer dit besluit definitief wordt? Kan de Minister inzichtelijk maken op welke termijn de gegevens verwijderd worden?

Deze leden verwelkomen dat het gegeven «geboorteland» niet langer opgenomen wordt in het Register Paspoortsignalering (RPS). Kan de Minister aangeven op welke termijn de gegevens verwijderd worden?

Zij lezen de intentie om bij het proces inhuur (van externe personen) nader te bekijken of er minder afkomstgerelateerde persoonsgegevens kunnen worden verwerkt. Wanneer zal dit onderzoek zijn afgerond? Is de Minister bereid de Kamer over de uitkomsten te informeren?

De leden van de D66-fractie vernemen dat de verwerking van de combinatie «datum inschrijving» en «geboortedatum» is gestopt per 1 februari 2022. Zijn de gegevens inmiddels verwijderd? Erkent de Minister dat, hoewel de combinatie niet valt onder de gehanteerde definitie van «afkomstgerelateerd», de combinatie wel informatie verstrekt over de afkomst van de betrokkene, zijnde niet-Nederland?

Deze leden maken zich zorgen over het gebruik van afkomstgerelateerde gegevens bij de toepassing van de Rotterdamwet. De toepassing richt zich specifiek op bepaalde wijken en wordt vaak gelinkt aan de afkomst van de mensen die er wonen. In het verleden werd afkomst ook bij de toepassing meegenomen, is dit gebruik geschrapt en zijn de gegevens verwijderd? Is er voldoende gewaarborgd dat discriminatie niet meer voorkomt?

Afsluitend

Zij vragen afsluitend wanneer de Staatssecretaris terug zal komen met de derde voortgangsrapportage over de uitvoering van de motie van het lid Marijnissen c.s.?

Vragen en opmerkingen van de leden van de SP-fractie

De leden van de SP-fractie hebben de conclusie van het onderzoek naar het gebruik van afkomstgerelateerde gegevens in de processen en applicaties van het Ministerie van BZK gelezen en hebben hierover nog enkele vragen en opmerkingen. Deze leden lezen dat er ook gegevens worden verwerkt in het kader van Wob/Woo-verzoeken. Daarover wordt geschreven: «In beginsel zijn dergelijke gegevens niet nodig voor de afhandeling van Woo-verzoeken en wordt hier ook niet om gevraagd door de directie Constitutionele Zaken en Wetgeving (CZW). In voorkomende gevallen worden deze persoonsgegevens door indieners met een reden aangeleverd en is verwerking hiervan nodig voor de afhandeling van het Woo-verzoek.» Zij vragen in welke gevallen verwerking dan wel noodzakelijk is. Welke redenen kunnen dit zijn? Ook lezen de leden van de SP-fractie dat hier, en bij meerdere instanties, de gegevens door mensen zelf zijn aangeleverd en daarom verwerkt worden. Is hierbij ook gekeken of er een invulveld is waarbij naar deze gegevens wordt gevraagd, ook al is het niet verplicht om deze gegevens aan te leveren?

Deze leden lezen dat alle risicoprofielen van de Landelijke Aanpak Adreskwaliteit (LAA), zowel de risicoprofielen van het Ministerie van BZK als die van derden, op dit moment onafhankelijk getoetst worden, onder andere aan de «Handreiking non-discriminatie by design» en met behulp van een «Data protection impact assessment» (DPIA). Daarbij is het voornemen om de profielbeschrijvingen van het Ministerie van BZK ook te publiceren in een algoritmeregister. Zijn er op dit moment algoritmes in werking die nog niet getoetst zijn? Welke zijn dit? Worden hierbij op bijzondere persoonsgegevens getoetst? Zo ja, waarom wordt er niet gewacht met het inzetten van dit soort algoritmes totdat de toets klaar is en voldoende is bevonden?

II Antwoord/reactie van de Minister

Vragen en opmerkingen van de leden van de VVD-fractie

1.

De leden van de fractie van de VVD vragen in hoeverre het ministerie met de genoemde afkomstgerelateerde indicatoren is aangesloten bij de indicatoren die rijksbreed zijn gebruikt? Deze leden vragen hierbij in hoeverre daar op een andere manier mee is omgegaan.

Antwoord

In lijn met het SZW-onderzoek Inventarisatie Nationaliteit van juni vorig jaar¹ zijn aanvullend op de motie van het lid Marijnissen c.s. (Kamerstuk 35 510, nr. 21) en motie van het lid Klaver c.s. (Kamerstuk 35 510, nr. 16) de afkomstgerelateerde indicatoren van SZW als uitgangspunt gebruikt. Elk ministerie heeft de vrijheid en ruimte om betreffende indicatoren sectoraal, naar relevantie, te gebruiken in het eigen onderzoek. Het Ministerie van BZK heeft de motie zo ruim mogelijk geïnterpreteerd en gekeken naar alle afkomstgerelateerde indicatoren naast in de motie genoemde indicatoren, ook indicatoren als geboorteland, migratieachtergrond, geboorteland ouders, woonland niet ingezetene etc. In de inventarisatie zijn bovendien processen geïdentificeerd waarbinnen geen afkomstgerelateerde persoonsgegevens worden verwerkt, maar wel de indruk kunnen wekken dat dit gebeurt. Hiermee geeft het Ministerie van BZK op een zo ruim mogelijke manier invulling aan de uitvoering van de motie.

2.

Aan het slot van haar brief kan de Minister niet uitsluiten dat bijvoorbeeld beleidsregels, registraties in oude systemen of zeldzame uitzonderingssituaties buiten het zicht van de inventarisatie zijn gebleven. De leden van de fractie van de VVD vragen hoe groot de kans is dat bepaalde registraties, processen en risicomodellen buiten beeld zijn gebleven? De leden van de VVD-fractie gaan ervan uit dat mochten er alsnog registraties, processen of risicomodellen bekend worden, dat de Kamer daarover wordt geïnformeerd. Verder vragen de leden van de VVD-fractie hoe in de toekomst het rechtmatig en eigenlijk gebruik van afkomstgerelateerde gegevens wordt geborgd op het Ministerie van BZK.

Antwoord

Het Ministerie van BZK heeft de inventarisatie uitgevoerd bij alle organisatieonderdelen van het ministerie. Het Ministerie van BZK heeft alle verwerkingen waarin afkomst een rol speelt die zijn geïnventariseerd, ook daadwerkelijk gerapporteerd. Bovendien zijn ook verwerkingen gerapporteerd waarbinnen geen afkomstgerelateerde persoonsgegevens worden verwerkt, maar wel de indruk kunnen wekken dat dit gebeurt. Deze zijn in de kamerbrief opgenomen. De inventarisatie is via de hoogste managementlaag uitgevraagd. Ik acht daarom de kans klein dat verwerkingen van afkomstgerelateerde persoonsgegevens buiten beeld zijn gebleven. Mochten zich situaties voordoen met registraties, processen en risicomodellen, die eerder tijdens het onderzoek toch buiten beeld zijn gebleven, dan wordt de Kamer daarover geïnformeerd.

Uit de inventarisatie is niet gebleken dat afkomstgerelateerde gegevens onrechtmatig en/of oneigenlijk zijn verwerkt. Het rechtmatig en eigenlijk gebruik van persoonsgegevens wordt geborgd binnen de beheerafspraken die gelden binnen het departement op het gebied van privacy. Er is een centraal beleidskader wat geldt voor alle onderdelen van het ministerie. Door privacyfunctionarissen wordt actief gestuurd op naleving van het beleid en er vindt periodieke verantwoording aan het eigen management en de CIO plaats. Het stelsel en de uitwerking daarvan door de onderdelen staat daarnaast onder intern toezicht van de Functionaris Gegevensbescherming en extern onder toezicht van de Audit Dienst Rijk en de Algemene Rekenkamer. Het beleidskader, de processen en procedures worden via een control cyclus continu geëvalueerd en bijgewerkt indien nodig.

Vragen en opmerkingen van de leden van de D66-fractie

3.

De leden van de fractie van D66 zijn de Minister erkentelijk voor de toetsing van de afkomstgerelateerde gegevensverwerking op grondslag, doelbinding, proportionaliteit, subsidiariteit en op onrechtmatig onderscheid (de discriminatietoets). Zij vragen zich wel af waarom het gegeven «postcode» niet als afkomstgerelateerd gegeven is onderzocht.

Antwoord

Het kenmerk «postcode» alleen wordt niet als een afkomstgerelateerde indicator beschouwd. Echter, in combinatie met andere gegevens kan dit wel als een persoons-indicator worden gebruikt. In de inventarisatie is daarom het kenmerk postcode meegenomen, wanneer dit in combinatie met andere gegevens is verwerkt. In de kamerbrief is er gerapporteerd over de quickscan programma Leefbaarheid & Veiligheid, waarin op postcodeniveau gegevens zijn verwerkt. Echter, betrof dit een gegevensverwerking op een hoog en abstract niveau dat er van (afkomstgerelateerde)persoonsgegevensverwerking geen sprake is.

4.

De leden van de D66-fractie ondersteunen het voorgestelde (concept) Besluit wijziging BRP, d.d. 3 oktober 2022, om het gegeven «geboorteland en/of -plaats» te schrappen in het proces Beheervoorziening burgerservicenummer (BSN) en het Foutenmeldpunt BSN. De leden van de D66-fractie vragen of de Minister kan aangeven wanneer dit besluit definitief wordt en of de Minister inzichtelijk kan maken op welke termijn de gegevens verwijderd worden.

Antwoord

Dit besluit is in openbare consultatie geweest en aan de Autoriteit Persoonsgegevens (AP) aangeboden voor advies. Afhankelijk van de uitkomsten van de consultatie moet de datum van inwerkingtreding worden bezien. Het gevolg van het schrappen van gegevens is dat de gegevens niet langer worden verstrekt aan BSN-gebruikers die in de Beheervoorziening BSN controleren of een BSN hoort bij een bepaalde persoon. De gegevens worden door het schrappen uit bijlage 3 van het Besluit BRP niet verwijderd uit de Beheervoorziening BSN. De gegevens kunnen namelijk nodig zijn voor bij de vaststelling of aan een persoon reeds een BSN is toegekend (artikel 11 en bijlage 2 van het Besluit BSN).

5.

De leden van de D66-fractie verwelkomen dat het gegeven «geboorteland» niet langer opgenomen wordt in het Register Paspoortsignalering (RPS). De leden vragen of de Minister kan aangeven op welke termijn de gegevens verwijderd worden.

Antwoord

De verwachting is dat de wijziging in het tweede kwartaal van 2023 doorgevoerd wordt.

6.

De leden van de D66-fractie lezen de intentie om bij het proces inhuur (van externe personen) nader te bekijken of er minder afkomstgerelateerde persoonsgegevens kunnen worden verwerkt. De leden van de D66-fractie vragen wanneer dit onderzoek zal zijn afgerond? Verder vragen de leden van de D66-fractie of de Minister bereid is de Kamer over de uitkomsten te informeren.

Antwoord

De verwachting is dat dit onderzoek in het tweede kwartaal van 2023 is afgerond. Ik ben bereid om de uitkomsten van dit onderzoek met de Kamer te delen.

7.

De leden van de D66-fractie vernemen dat de verwerking van de combinatie «datum inschrijving» en «geboortedatum» is gestopt per 1 februari 2022. De leden vragen of de gegevens inmiddels zijn verwijderd. Verder vragen de leden of de Minister erkent dat, hoewel de combinatie niet valt onder de gehanteerde definitie van «afkomstgerelateerd», de combinatie wel informatie verstrekt over de afkomst van de betrokkene, zijnde niet-Nederland.

Antwoord

De leden van de D66-fractie vragen naar de stopzetting van een beslisregel binnen de Landelijke Aanpak Adreskwaliteit (LAA). Zoals aangegeven in de brief van 11 november jl. is in het kader van LAA door RvIG² het gegeven «datum eerste inschrijving in Nederland» verwerkt in relatie met het gegeven «geboortedatum». Dit gebeurde tot 1 februari 2022 in het kader van het profiel «veelverhuizers», om zo naast verhuizingen binnen Nederland ook verhuizingen naar Nederland mee te kunnen tellen. Bij personen met een groot aantal adreswijzigingen in een relatief korte tijd, ontstaat immers twijfel over de juistheid van registratie op het huidige adres in de BRP. Dit profiel beperkte zich aldus uitdrukkelijk niet tot personen die vanuit het buitenland naar Nederland verhuisden, ook personen die enkel binnen Nederland relatief vaak verhuisden, vielen binnen het profiel. De leden van de D66-fractie constateren terecht dat deze combinatie (datum inschrijving en geboortedatum) niet onder de gehanteerde definitie van «afkomstgerelateerd» valt. Als de geboortedatum is gelegen voor de datum eerste inschrijving (in Nederland), betekent dat dat de betrokkene in het buitenland geboren is en naar Nederland verhuisd is. Die verhuizing werd meegeteld in het profiel «veelhuizers», net als binnenlandse verhuizingen. De combinatie van deze gegevens geeft geen inzicht in de geboorteplaats, nationaliteit of etniciteit; het kan dus ook gaan om een persoon met de Nederlandse nationaliteit die in het buitenland geboren is en naar Nederland verhuisd is.

8.

De leden van de D66-fractie maken zich zorgen over het gebruik van afkomstgerelateerde gegevens bij de toepassing van de Rotterdamwet. De toepassing richt zich specifiek op bepaalde wijken en wordt vaak gelinkt aan de afkomst van de mensen die er wonen. In het verleden werd afkomst ook bij de toepassing meegenomen. De leden van de D66-fractie vragen of dit gebruik geschrapt is en of de gegevens zijn verwijderd. Verder vragen de leden of er voldoende is gewaarborgd dat discriminatie niet meer voorkomt.

Antwoord

De zorgen van de leden van de D66-fractie over het vermeende gebruik van afkomstgerelateerde gegevens bij de toepassing van selectieve woningtoewijzing op grond van de Wet bijzondere maatregelen grootstedelijke problematiek (Wbmgp) neem ik graag weg. Er wordt bij de toepassing van selectieve woningtoewijzing geen gebruik gemaakt van afkomstgerelateerde gegevens. Ook in het verleden is afkomst bij de toepassing niet meegenomen of gebruikt. Het betreft hier het al dan niet verlenen van een huisvestingsvergunning (op basis van de huisvestingsverordening) aan woningzoekende huurders in aangewezen wooncomplexen, straten of gebieden, waar de leefbaarheid en veiligheid onder druk staat. Daarbij speelt afkomst geen rol. Dat er geen sprake is van discriminatie, is begin dit jaar nog eens bevestigd door een uitspraak van de Afdeling advisering van de Raad van State met betrekking tot artikel 8 Wbmgp, waarbij is aangegeven dat het beleid dat erop gericht is om de instroom van huishoudens zonder inkomen uit werk te beperken in bepaalde aangewezen gebieden, geen discriminatoir karakter heeft (ECLI:NL:RVS:2022:363).

9.

De leden van de D66-fractie vragen wanneer de Staatssecretaris terug zal komen met de derde voortgangsrapportage over de uitvoering van de motie van het lid Marijnissen c.s.

Antwoord

Naar verwachting zal de Staatssecretaris van BZK de Kamer op korte termijn informeren over de procedurele stand van zaken met de derde voortgangsrapportage³.

Vragen en opmerkingen van de leden van de SP-fractie

10.

De leden van de SP-fractie hebben de conclusie van het onderzoek naar het gebruik van afkomstgerelateerde gegevens in de processen en applicaties van het Ministerie van BZK gelezen en hebben hierover nog enkele vragen en opmerkingen. Deze leden lezen dat er ook gegevens worden verwerkt in het kader van Wob/Woo-verzoeken. Daarover wordt geschreven: «In beginsel zijn dergelijke gegevens niet nodig voor de afhandeling van Woo-verzoeken en wordt hier ook niet om gevraagd door de directie Constitutionele Zaken en Wetgeving (CZW). In voorkomende gevallen worden deze persoonsgegevens door indieners met een reden aangeleverd en is verwerking hiervan nodig voor de afhandeling van het Woo-verzoek.» Zij vragen in welke gevallen verwerking dan wel noodzakelijk is. Welke redenen kunnen dit zijn? Ook lezen de leden van de SP-fractie dat hier, en bij meerdere instanties, de gegevens door mensen zelf zijn aangeleverd en daarom verwerkt worden. De leden van de SP-fractie vragen of hierbij ook gekeken is of er een invulveld is waarbij naar deze gegevens wordt gevraagd, ook al is het niet verplicht om deze gegevens aan te leveren?.

Antwoord

Om het verzoek in behandeling te kunnen nemen dient de indiener diverse persoonsgegevens te delen waaronder zijn naam, adres, telefoonnummer en mailadres. CZW vraagt aan indieners niet om bijzondere persoonsgegevens aan te leveren. In een voorkomend geval verstrekt een indiener daarbij ongevraagd ook nog bijzondere persoonsgegevens om hem moverende redenen. Bijvoorbeeld om zo de bijzondere interesse in de gevraagde informatie nader onder het voetlicht te brengen. In het vormvrije invulveld via de website bestaat hiertoe de mogelijkheid. Dit alhoewel verzoeker geen belang hoeft te stellen bij de indiening van zijn verzoek. Ten behoeve van behoud van authenticiteit van het verzoek worden dergelijke bijzondere persoonsgegevens niet door CZW verwijderd.

Burgers kunnen contact met het Ministerie van BZK opnemen via verschillende kanalen. Een kanaal is het formulier op rijksoverheid.nl. Dit formulier heeft diverse invulvelden, waarbij alleen het invulveld «emailadres» een verplicht veld is.

11.

De leden van de SP-fractie lezen dat alle risicoprofielen van de Landelijke Aanpak Adreskwaliteit (LAA), zowel de risicoprofielen van het Ministerie van BZK als die van derden, op dit moment onafhankelijk getoetst worden, onder andere aan de «Handreiking non-discriminatie by design» en met behulp van een «Data protection impact assessment» (DPIA). Daarbij is het voornemen om de profielbeschrijvingen van het Ministerie van BZK ook te publiceren in een algoritmeregister. De leden van de SP-fractie vragen of er op dit moment algoritmes in werking zijn die nog niet getoetst zijn. Ook vragen zij welke dit zijn en of hierbij op bijzondere persoonsgegevens getoetst wordt? Indien dit het geval is, vragen de leden van de SP-fractie waarom er niet wordt gewacht met het inzetten van dit soort algoritmes totdat de toets klaar is en voldoende is bevonden.

Antwoord

Met betrekking tot LAA kan ik melden dat de profielbeschrijvingen van het Ministerie van BZK (RvIG) inmiddels gepubliceerd zijn in een algoritmeregister. Dit register is te raadplegen op https://www.rvig.nl/over-rvig/algoritmeregister. LAA is als project gestart in 2014 en sindsdien wordt binnen de aanpak gewerkt met risicoprofielen (algoritmen) om mogelijk onjuiste adresgegevens in de BRP te vinden. In oktober 2021 deelde de Staatssecretaris van BZK met de Kamer samenvattingen van alle risicoprofielen die sinds de start van het project in 2014 zijn gebruikt. Binnen LAA zijn voor de inzet van nieuwe profielen toetsingsmomenten ingebouwd, met het oog op een zorgvuldige en rechtmatige verwerking van persoonsgegevens. De inzet van een nieuw profiel gebeurt stapsgewijs, eerst op kleine schaal waarbij steeds – voor opschaling – een evaluatie plaatsvindt. In 2018 is voor het project een onafhankelijke DPIA uitgevoerd, deze DPIA is door de Staatssecretaris van BZK met de Kamer gedeeld in het kader van de plenaire behandeling van het wetsvoorstel BRP LAA. Deze wetswijziging zorgt voor een structurele inbedding van LAA bij RvIG, waarbij de Minister van BZK verantwoordelijk wordt voor de centrale gegevensverwerking. Ter uitvoering van de motie van de leden Dekker-Abdulaziz en Ceder (Kamerstuk 35 772, nr. 30) worden alle risicoprofielen, voorafgaand aan de inwerkingtreding van de wetswijziging en de structurele inbedding, onafhankelijk getoetst, onder andere aan de hand van een DPIA. Standaard onderdeel van een DPIA is de beoordeling of sprake is van de verwerking van bijzondere persoonsgegevens. De Staatssecretaris van BZK zal de Kamer over de uitkomst van die toetsing informeren.

---

1 Kamerstuk 26 448, nr. 653.

2 Rijksdienst voor Identiteitsgegevens, onderdeel van het Ministerie van BZK.

3 Kamerstukken 26 643 en 32 761, nr. 931