35 515 Bepalingen over gegevensuitwisseling ter bevordering van samenwerking binnen het zorgdomein en van doelmatige en rechtmatige zorg, maatschappelijke ondersteuning en jeugdhulp (Wet bevorderen samenwerking en rechtmatige zorg)

Nr. 4 ADVIES AFDELING ADVISERING RAAD VAN STATE EN NADER RAPPORT¹

Hieronder zijn opgenomen het advies van de Afdeling advisering van de Raad van State d.d. 26 maart 2020 en het nader rapport d.d. 2 juli 2020, aangeboden aan de Koning door de Minister van Volksgezondheid, Welzijn en Sport. Het advies van de Afdeling advisering van de Raad van State is cursief afgedrukt.

Blijkens de mededeling van de Directeur van Uw Kabinet van 3 januari 2020, no. 2019002731, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State haar advies inzake het bovenvermelde voorstel van wet rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 26 maart 2020, no. W13.19.0425/III, bied ik U hierbij aan.

De Afdeling advisering van de Raad van State (hierna: de Afdeling) adviseert het wetsvoorstel aan de Tweede Kamer te zenden, nadat rekening is gehouden met haar opmerkingen over (2) het opnemen van een definitie van fraude in de wettekst, (3) de rol van en rechtsbescherming betreffende registratie in het Waarschuwingsregister zorgfraude (hierna: het Waarschuwingsregister), (4) de bestaande wettelijke grondslagen voor gegevensuitwisseling versus de voorgestelde grondslag voor verstrekking van gegevens aan het Informatieknooppunt zorgfraude (hierna: het IKZ), (5) het al dan niet gebruikmaken van profilering bij de gegevensverwerking binnen het IKZ, (6) de keuze voor het aanwijzen van de Stichting IKZ en bijbehorende (politieke) verantwoordelijkheid, (7) de noodzaak voor verwerkingsverantwoordelijkheid van het Inlichtingenbureau (hierna: het IB) in het licht van haar faciliterende functie en (8) het beperken van de mogelijkheid tot subdelegatie tot enkel de onderwerpen die niet de rechtsbescherming van burgers raken.

1. Achtergrond en inhoud van het wetsvoorstel

De Afdeling geeft een samenvatting van wat in het wetsvoorstel is opgenomen en maakt hierbij geen opmerkingen waar de regering op dient in te gaan.

2. Definitie van fraude opnemen in de wettekst

De Afdeling geeft aan dat een definitie van fraude essentieel is voor het vaststellen van de reikwijdte van de wet. Zij adviseert daarom de in de toelichting genoemde definitie van fraude in de wettekst op te nemen en het wetsvoorstel aldus aan te passen.

Het advies van de Afdeling is overgenomen. Besloten is de definitie zoals deze reeds was opgenomen in de memorie van toelichting op te nemen in de begripsomschrijving in artikel 1.1 van dit wetsvoorstel, deze komt aldus te luiden: «opzettelijk misleidend handelen binnen het domein van de Zorgverzekeringwet, Wet langdurige zorg, Wet maatschappelijke ondersteuning 2015 of Jeugdwet, met het oog op eigen of andermans gewin, voor zover het in de wet strafbaar gestelde feiten betreft».

3. Het Waarschuwingsregister

a. Rol van het Waarschuwingsregister

De Afdeling geeft aan dat op basis van de toelichting de vraag ontstaat of er toch geen volgordelijkheid is tussen de gegevensverwerking in het Waarschuwingsregister en door het IKZ. Zij adviseert in de toelichting de verhouding tussen en in het bijzonder de volgordelijkheid van het Waarschuwingsregister en het IKZ te verduidelijken en zo nodig het wetsvoorstel aan te passen.

Uit het advies van de Afdeling maakt de regering op dat de onduidelijkheid voortvloeit uit de zinsneden waarin staat dat «in de praktijk echter een zekere samenhang (kan) bestaan (tussen de twee instrumenten; VWS)» en «dat gebruik van het Waarschuwingsregister kan leiden tot gegevensverstrekking via het IKZ». De regering erkent dat dit onderdeel verduidelijking behoefde. Naar aanleiding van het advies is daarom de verhouding tussen het Waarschuwingsregister en het IKZ te verduidelijkt. Dit is gedaan in zowel paragraaf 1.3 als 2.3 van de toelichting. Duidelijker is beschreven dat het in een centraal registratiesysteem, zoals het Waarschuwingsregister, onderling uitwisselen van (persoons)gegevens enerzijds en de uitwisseling van (persoons)gegevens met tussenkomst van het IKZ anderzijds, twee verschillende en apart van elkaar functionerende instrumenten zijn. Er is geen directe relatie tussen (het gebruik van) de twee instrumenten. Zij hebben elk eigen kenmerken en functies, dienen elk een eigen doel en worden elk op een ander moment in de bestrijding van fraude in de zorg ingezet. De mogelijkheden tot het gebruik van de instrumenten en de daarin opgenomen gegevens zijn, mede gelet op de te onderscheiden doelen, afzonderlijk van elkaar geregeld en voorzien van eigen voorwaarden en waarborgen. Aan de hand van een voorbeeld is in paragraaf 2.3 toegelicht hoe het gebruik van het ene instrument mogelijk indirect een gevolg kan hebben voor het gebruik van het andere instrument. Deze indirecte relatie of samenhang is daarin gelegen, dat het beide instrumenten zijn in de bestrijding van fraude in de zorg.

b. Rechtsbescherming betreffende registratie in het Waarschuwingsregister

De Afdeling geeft aan dat de gevolgen van opname in het Waarschuwingsregister aanzienlijk kunnen zijn. Daarbij tekent zij aan dat de kans bestaat dat de betrokkene niet wordt geïnformeerd over opname in het Waarschuwingsregister, te weten als de «verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt of ernstig in het gedrang dreigt te brengen». Bovendien moeten, als er sprake is van «een gerechtvaardigde overtuiging», deze gegevens worden beschouwd als gegevens van strafrechtelijke aard als bedoeld in artikel 10 van de AVG. In het licht van voorgaande adviseert de Afdeling in de toelichting nader in te gaan op de rechtsbescherming van betrokkenen en in het bijzonder dient te worden ingegaan op de wijze waarop wordt voorzien in de noodzakelijke passende maatregelen als bedoeld in de AVG die getroffen moeten worden als wordt afgezien van het informeren van de betrokkene en het wetsvoorstel zo nodig aan te passen.

De regering onderschrijft het grote belang van het bieden van passende waarborgen voor en een zorgvuldige omgang met de rechten van betrokkene(n) bij de verwerking van persoonsgegevens in het algemeen en bij de verwerking van gegevens van strafrechtelijke aard in het bijzonder. Naar aanleiding van het advies is de toelichting op dit punt uitgebreid. In paragraaf 3.4 van de toelichting is naar aanleiding van het advies een doorkijk gegeven naar hetgeen in de amvb (en het protocol) moet worden geregeld ten aanzien van waarborgen en rechtsbescherming. Beschreven is dat specifiek ten aanzien van het afzien van de informatieplicht kan worden gedacht aan het in het protocol inzichtelijk maken in welke gevallen hiervan gebruik wordt gemaakt en welke maatregelen worden getroffen om de betrokkene zo spoedig mogelijk alsnog te informeren. Betreffende rechtsbescherming is toegelicht dat instanties aan betrokkenen inzichtelijk kunnen maken wanneer welke (rechts)handeling wordt verricht en welke (juridische) procedures mogelijk zijn om daartegen op te komen. In het advies heeft de Afdeling ook gewezen op de waarborgen wat betreft de bewaartermijnen en het toezicht op de juistheid van de gegevens. In de toelichting is ten aanzien van nadere regels over bewaartermijnen opgemerkt dat rechtsgelijkheid, rechtszekerheid en uniformiteit voor betrokkenen het uitgangspunt moeten zijn. Voor de invulling ervan is meegegeven dat gedacht kan worden aan de mogelijkheid tot differentiatie in de te hanteren bewaartermijnen, mits dat is omkleed met voorwaarden en waarborgen. Voorts is in de toelichting nog geëxpliciteerd dat de betrokken instanties zelf verantwoordelijk zijn voor intern toezicht op de juistheid van de gegevens(verwerking).

In de toelichting is tot slot ook verduidelijkt dat de wijze waarop de wet is ingericht, de invulling die daaraan moet worden gegeven in de amvb en het door instanties op te stellen protocol, samen het geheel van passende maatregelen en waarborgen vormen waarmee de inbreuk op privacy en de mogelijke gevolgen daarvan voor betrokkenen steeds tot een minimum worden beperkt. Het betreft de in het algemeen geldende strikte voorwaarden voor de gegevensverwerking, procedurele voorschriften en vereisten (zie paragraaf 3.3 van de toelichting).

4. Bestaande wettelijke grondslagen van verstrekking aan het IKZ

De Afdeling geeft aan dat volgens de toelichting niet wordt beoogd om te veranderen wat op basis van geldende wet- en regelgeving al concreet mogelijk is. Echter, zij vraagt zich gelet daarop af of het wetsvoorstel beoogt alle signalen van zorgfraude via het IKZ te verstrekken en daarmee niet meer bilateraal of multilateraal of dat deze bestaande grondslagen blijven bestaan en naast de in dit wetsvoorstel opgenomen grondslagen van toepassing kunnen zin. Zij adviseert in de toelichting nader in te gaan op de mogelijke samenloop van beiden en indien nodig de grondslagen op elkaar af te stemmen.

De opmerking van de Afdeling geeft de regering de aanleiding om nogmaals te benadrukken dat het onderhavige wetsvoorstel beoogt te voorzien in een gesignaleerde lacune. Efficiënte en zorgvuldige samenwerking tussen instanties door middel van het IKZ, wordt in de eerste plaats bemoeilijkt doordat de huidige sectorale wetgeving onvoldoende wettelijke grondslagen biedt om persoonsgegevens uit te wisselen. (Sectorale) wetgeving bevat doorgaans enkel grondslagen voor verwerking van persoonsgegevens door de instantie die in die specifieke wet is aangewezen.

Als instanties multilateraal samenwerken teneinde fraude in de zorg te bestrijden en verstrekking en verwerking van persoonsgegevens nodig is, moet per instantie en per verwerking worden beoordeeld of er een grondslag is tot verwerking. Dit kost niet alleen veel werk en tijd, maar hierdoor kunnen verrijkte signalen ook niet of niet volledig met bepaalde instanties gedeeld worden en kan fraude onnodig lang(er) doorgaan. Ook maakt het de uitwisseling van persoonsgegevens foutgevoelig en risicovol.

Het is niet de bedoeling dat onderhavig wetsvoorstel de bestaande grondslagen vervangt en het is ook niet nodig om de grondslagen op elkaar af te stemmen, omdat deze binnen het eigen domein voor eigen doeleinden hun meerwaarde hebben. Om die reden is de toelichting ten aanzien van dit onderdeel verduidelijkt. Onder andere het volgende is opgenomen in paragraaf 4.1: «De in de wet gecreëerde grondslag bestaat naast de reeds bestaande grondslagen voor het verstrekken van persoonsgegevens in andere (specifieke) wetgeving en verandert die grondslagen ook niet. Deze wet doet niets af aan de bestaande grondslagen voor bilaterale of multilaterale uitwisseling van (persoons)gegevens tussen betrokken instanties. Die onderlinge uitwisseling van gegevens blijft mogelijk, maar daarbij moet ook de toepassing van onderhavige wet worden meegenomen. Benadrukt wordt dat de met deze wet gecreëerde grondslag voor uitwisseling van (persoons)gegevens alleen de gegevensuitwisseling tussen het IKZ en de in artikel 2.3, eerste lid, genoemde instanties betreft en geen grondslag biedt voor een uitwisseling tussen instanties onderling.»

5. Profilering

De Afdeling benoemt dat door het IKZ bij de uitvoering van de taak trends en ontwikkelingen te signaleren en beleidsinformatie en statistische informatie te ontwikkelen «nieuwe fenomenen (...) beter in beeld worden gebracht als bijvoorbeeld duidelijk is om welke zorgaanbieder(s) het gaat en in welke regio en welk domein deze zorgaanbieder actief is». Bovendien maakt de Afdeling op basis van de toelichting op dat persoonsgegevens onderdeel kunnen uitmaken van deze informatie. De Afdeling stelt in het advies dat dit kan duiden op het gebruik van profilering, zoals dat is omschreven in de AVG. De Afdeling vraagt of beoogd is profilering mogelijk te maken. Als dit niet wordt beoogd, dan zou dit in het wetsvoorstel uitdrukkelijk kunnen worden uitgesloten. Als dit wel is beoogd dan zijn meer wettelijke waarborgen noodzakelijk. Zij adviseert hier in de toelichting nader op in te gaan en zo nodig het wetsvoorstel aan te passen.

In dit onderdeel van het advies van de Afdeling wordt in de eerste alinea ook het verrijken van gegevens door het IKZ genoemd, waarna het vervolg van het advies ziet op de taak «onderzoek en analyse». Zekerheidshalve merken wij hier daarom eerst op dat het bij de taak van verrijking gaat om het staven van een signaal van fraude in de zorg in een concreet geval, betreffende een partij die daarbij al in beeld is. Bij het staven van het signaal kan aan de hand van een benchmark bijvoorbeeld een afwijking van het «normale» inzichtelijk worden gemaakt. Het gaat bij deze taak dan ook niet om het in beeld brengen van niet bij het signaal betrokken (mogelijke) fraudeurs of fenomenen of het signaleren van «nieuwe fraudeurs».

In het advies van de Afdeling gaat het vervolgens over de taak van het IKZ tot het signaleren van trends en fenomenen. De regering erkent dat de door de Afdeling met betrekking tot deze taak van het IKZ aangehaalde passage uit de toelichting de indruk kan wekken, dat sprake is van (het mogelijk maken van) profilering door het IKZ. Dat is echter niet beoogd en naar aanleiding van het advies van de Afdeling is dit dan ook expliciet uitgesloten in artikel 2.5 van de wet.

In de toelichting is daarover opgenomen dat is uitgesloten dat het IKZ profileert zoals bedoeld in artikel 4, onder 4, van de AVG. Er mag geen enkele vorm van geautomatiseerde verwerking van persoonsgegevens plaatsvinden waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen. Er worden geen personen in categorieën (profielen) ingedeeld op basis van hun persoonsgegevens en er is geen sprake van het in kaart brengen van personen met een verhoogd risico (op betrokkenheid bij fraude in de zorg). Tot slot vindt door het IKZ ook geen (geautomatiseerde individuele) besluitvorming plaats als bedoeld in artikel 22 van de AVG. Hoewel gegevens over (individuele) rechtspersonen mogelijk geen persoonsgegevens bevatten, mogen uitkomsten van de IKZ taak onderzoek en analyse nooit terug te herleiden zijn tot (individuele) rechtspersonen.

6. Aanwijzing stichting IKZ

De Afdeling wijst erop dat met de gekozen constructie voor de aanwijzing van het IKZ, de Stichting IKZ, onduidelijk blijft door wie en op welke wijze politieke verantwoordelijkheid voor de gegevensverwerking kan worden gedragen. Gedacht kan worden aan situaties waarin ten onrechte gegevens worden verwerkt, de toelichting gaat hier niet op in. De Afdeling merkt daarbij vervolgens op dat de verantwoordingsmechanismen zoals besproken in de toelichting voor deze situatie niet afdoende zijn, nu deze uitsluitend zien op de bedrijfsvoering en niet op de inhoud van de gegevensverwerking. Met het oog op de ministeriële verantwoordelijkheid rijst bovendien de vraag waarom in plaats van een stichting niet is gekozen voor een publiekrechtelijke rechtsvorm.

De opmerkingen van de Afdeling zijn te verdelen in twee punten, namelijk ten eerste de vraag wie (politiek) verantwoordelijk is voor de gegevensverwerking en ten tweede de keuze voor de vorm van een stichting en hoe deze zich verhoudt tot de ministeriële verantwoordelijkheid.

Ten aanzien van de gegevensverwerking wil de regering benadrukken dat expliciet is gekozen de gegevensverwerking in te vullen in wet- en regelgeving en vervolgens bij de stichting te beleggen. Op deze manier wordt deze taak op afstand van het ministerie geplaatst.

De kaders voor de gegevensverwerking door de stichting worden vastgesteld in wet- en regelgeving. De eerste verantwoordelijkheid voor een goede uitvoering van die wet- en regelgeving berust bij de stichting. De stichting wordt in het licht van de AVG beschouwd als verwerkingsverantwoordelijke. Zij is daarmee het eerste aanspreekpunt bij de uitvoering van de voor hen geldende wet- en regelgeving. De Minister van Volksgezondheid, Welzijn en sport (hierna: de Minister) kan politiek worden aangesproken op de inhoud en kwaliteit van de door hem in de wet- en regelgeving vastgestelde kaders en het toezicht op een deugdelijke uitvoering daarvan zoals dit ook geldt voor andere taken die bij wet- en regelgeving worden toebedeeld aan derden (instanties). De instrumenten die de Minister tot zijn beschikking heeft om toezicht te houden op de stichting worden hierna omschreven.

Ten aanzien van de opmerking van de Afdeling dat de gegeven verantwoordingsmechanismen onvoldoende zijn in het licht van de (politieke) verantwoordelijkheid ten opzichte van de stichting erkent de regering dat hier verduidelijking nodig is. Zoals hiervoor aangegeven is de Stichting IKZ verwerkingsverantwoordelijke en in zoverre op grond van de AVG aanspreekbaar. Echter, de Minister dient ten aanzien van de uitoefening van de toebedeelde taak voldoende instrumenten in handen te hebben om toe te zien op een deugdelijke uitvoering. Om die reden is allereerst in artikel 1.1 bepaald dat de Minister het IKZ bij ministeriële regeling kan aanwijzen. Dit geeft de bevoegdheid de taakuitoefening indien daartoe aanleiding bestaat bij een andere (geschiktere) instelling te beleggen. Voorts is door middel van delegatiegrondslagen bepaald dat bij of krachtens amvb regels worden gesteld over de inrichting, het beheer van, en de verantwoording door het IKZ. In de amvb worden regels opgenomen ten aanzien van vaststellen van het jaarplan van het IKZ en de hieraan verbonden bevoegdheid tot het geven van aanwijzingen. Hieronder zijn ook de begroting, het werkprogramma en beleidsvoornemens opgenomen. Deze grondslag in de wet ziet dus op actieve sturingsmogelijkheden voor de Minister op de inhoudelijke uitvoering van de taak door het IKZ en niet enkel op aspecten die te maken hebben met de bedrijfsvoering. Voorts is bepaald dat er regels kunnen worden gesteld over de financiering en financiële verslaglegging. Te denken valt aan het overleggen van de begroting, zoals welke verantwoordingsvereisten er zijn. Voorzien wordt dat het IKZ wordt opgenomen in de Planning & control-cyclus van het Ministerie van VWS. Tot slot is er een ruime grondslag opgenomen dat er bij of krachtens amvb regels kunnen worden gesteld aan het aanwijzen van het IKZ (bij ministeriële regeling) en welke voorwaarden aan die aanwijzing worden verbonden. Dit kan in zoverre worden beschouwd als een sluitstuk op basis waarvan minimumvereisten kunnen worden opgenomen waaraan de aan te wijzen instelling dient te voldoen.

Parallel aan dit wetsvoorstel wordt de Stichting IKZ opgericht. In de statuten van de stichting is opgenomen wat het doel van de stichting is, waarmee een duidelijke doelbinding met de wet is vastgelegd. Ook is hierin bepaald dat het doel van de stichting niet kan worden gewijzigd zonder tussenkomst van de Minister. De Minister heeft de bevoegdheid om de bestuurders aan te wijzen (gehoord hebbende VNG en ZN), te schorsen en te ontslaan. Dit geeft hem de mogelijkheid om bij eventueel wanbeleid exclusief en direct op te treden en is hij niet afhankelijk van derden om te kunnen handelen. Ook moet de stichting alle door de Minister verzochte inlichtingen aan de Minister verstrekken en heeft de Minister zitting in de raad van advies van de stichting.

Gelet op het advies van de Afdeling is nagegaan in hoeverre de gegeven instrumenten afwijken van de instrumenten die de Minister zou hebben bij een publiekrechtelijke variant. Hieruit blijkt dat het samenspel aan instrumenten voortvloeiend uit onderhavig wetsvoorstel en de statuten van de op te richten stichting een nagenoeg vergelijkbaar niveau aan sturingsmogelijkheden biedt als bij een publiekrechtelijke rechtsvorm. Het advies van de Afdeling heeft aanleiding gegeven om in de (onderliggende) regelgeving de nodige instrumenten op te nemen en een aantal extra instrumenten voor de Minister toe te voegen in de statuten voor de stichting, zodat een nog meer vergelijkbaar niveau aan sturingsmogelijkheden wordt gecreëerd.

Concreet is in de Wbsrz, artikel 2.7, bepaald dat bij of krachtens amvb regels worden gesteld over de inrichting en het beheer van en verantwoording door het IKZ. Ten aanzien van de verantwoording door het IKZ is in de Wbsrz bepaald dat de Minister expliciet de bevoegdheid heeft om een aanwijzing te geven ten aanzien van het jaarplan. In de amvb wordt vervolgens ook bepaald dat de Minister het jaarplan zal moeten goedkeuren. Daarnaast is in de Wbsrz nu aanvullend opgenomen dat de Minister het IKZ kan verzoeken om de verstrekking inlichtingen en kan hij ook naar aanleiding hiervan een aanwijzing geven. In de amvb zal dit nader worden uitgewerkt. Ook worden er in de amvb regels gesteld over inzage en inspraak in de begroting, het werkprogramma en de beleidsvoornemens van het IKZ. Voorts is in de Wbsrz geregeld dat er regels worden gesteld over de financiering en financiële verslaglegging, dit omvat in ieder geval dat de Minister hier inzage in krijgt. Tot slot is in de Wbsrz een bepaling opgenomen dat bij het aanwijzen van de instelling nog nadere regels kunnen worden gesteld, hiermee is beoogd om indien nodig in de amvb extra zekerheid te creëren rondom een zorgvuldige taakuitoefening van de aan te wijzen instelling.

In de statuten worden daarnaast de volgende aanvullende elementen opgenomen. Allereerst is bepaald dat twee leden van de Raad van Bestuur gezamenlijk kunnen overgaan tot ontslag van het derde lid van de Raad van Bestuur. Hieraan is toegevoegd dat dit plaatsvindt op grond van de door de Minister verleende goedkeuring, nadat hij daarover de VNG en ZN heeft gehoord. Ten tweede is bepaald dat de stichting een intern register van nevenfuncties van bestuurders en medewerkers van de stichting bijhoudt. Toegevoegd is dat de Minister te allen tijde recht heeft op kosteloze inzage van dit register en dat opname of wijzigingen in dit register onverwijld gemeld worden bij de Minister. Ten derde is bepaald dat de leden van de Raad van Advies worden toegelaten door de Raad van Bestuur. Hieraan is toegevoegd dat deze toelating door de Minister wordt goedgekeurd, nadat hij de VNG en ZN daarover gehoord heeft. Dit geldt tevens voor de opzegging en beëindiging van het lidmaatschap van de Raad van Advies. Tot slot is opgenomen dat de Minister het jaarplan van de stichting vaststelt.

De in onderliggende regelgeving opgenomen instrumenten bieden een extra waarborg, omdat de sturingsmogelijkheden ten aanzien van de stichting op deze manier niet alleen vastliggen in de statuten van de stichting maar ook verankerd zijn in de wet- en regelgeving. Met het totaal van deze instrumenten kan de Minister invulling geven aan zijn ministeriële verantwoordelijkheid ten opzichte van de stichting. Gelet op het feit dat een goede uitvoering van de wet- en regelgeving afhankelijk is van draagvlak bij alle betrokken instanties, ook de private partijen (zorgverzekeraars) en partijen met decentrale beleidsvrijheid (gemeenten), zoals ook toegelicht in paragraaf 4.2 van de toelichting, vindt de regering dat de keuze voor de stichtingsvorm van belang is voor het waarborgen van een goede betrokkenheid van de diverse instanties en sluit deze keuze aan bij de functie die het IKZ bekleedt. Het geheel aan instrumenten en waarborgen in wet- en regelgeving en hetgeen bepaald is in de statuten, biedt volgens de regering afdoende sturingsinstrumenten om invulling te geven aan de ministeriële verantwoordelijkheid, zonder afbreuk te doen aan de positie van betrokken instanties met oog voor de gelijkwaardigheid van die instanties. Daarmee zijn de uitgangspunten voor het noodzakelijke draagvlak onder en bereidheid tot actieve deelname van de betrokken instanties geborgd.

7. Verwerkingsverantwoordelijkheid van het Inlichtingenbureau

De Afdeling merkt op dat het IB een faciliterende functie heeft tussen het IKZ en gemeenten. Tegelijkertijd maakt het wetsvoorstel het IB echter verwerkingsverantwoordelijke, wat de wettelijke plichten van de AVG met zich mee brengt. Dit houdt onder meer in dat het IB een zelfstandige afweging zal moeten maken van de noodzaak van de verstrekking van de gegevens aan en verwerking van deze gegevens door het IKZ. Met andere woorden, het IB krijgt een verantwoordelijkheid die moeilijk past bij zijn faciliterende taak. Het is niet goed mogelijk om zowel slechts te faciliteren namens de gemeenten, als het tegelijkertijd fungeren als verwerkingsverantwoordelijke. De Afdeling adviseert het wetsvoorstel op dit punt nader toe te lichten en zo nodig aan te passen.

In het wetsvoorstel worden voor het IB wettelijke grondslagen gecreëerd voor de verwerking van persoonsgegevens ten behoeve van gemeenten ten aanzien van de Wmo 2015, Jeugdwet en uitwisseling van gegevens met het IKZ. De opmerking van de Afdeling gaat enkel over de rol en beoogde verwerkingsverantwoordelijkheid van het IB ten opzichte van die laatste rol, te weten de gegevensuitwisseling met het IKZ. Daarin signaleert zij dat een zelfstandige verwerkingsverantwoordelijkheid en de in de toelichting genoemde faciliterende rol voor het IB niet goed mogelijk zijn.

De regering erkent dat dit verwarrend overkomt, met name door het woord «faciliteren». Daarmee is bedoeld dat het IB gemeenten faciliteert door een knooppuntfunctie in de Wmo 2015 en Jeugdwet te bekleden die gemeenten anders allemaal zelf hadden moeten organiseren. Dit geldt in dezelfde mate voor de aansluiting van gemeenten op het IKZ. Beoogd is dat dit, zoveel mogelijk, geautomatiseerd gaat plaatsvinden. Het is daarbij ondenkbaar dat alle gemeenten hiervoor zelf een aansluiting moeten creëren.

Desalniettemin vervult het IB de rol van verwerkingsverantwoordelijke omdat er ten eerste onvoldoende sturingsrelatie tussen álle gemeenten enerzijds en het IB anderzijds kan bestaan. Dit heeft de AP, zoals in de toelichting aangegeven, reeds gesignaleerd. Anderzijds is ten aanzien van de verstrekking van gegevens aan het IKZ de rol van het IB bovendien groter. Het IB zal ten behoeve van gemeenten in de situatie dat een signaal is verstrekt aan het IKZ en het IKZ het signaal verrijkt en daarvoor gegevens opvraagt bij de betrokken instanties, zelf gegevens uit het Wmo- en Jw-berichtenverkeer verstrekken aan het IKZ. Bij die verwerking hebben gemeenten geen direct zicht op wat er bij die verwerking gebeurt, uitgaande van de nagestreefde automatisering van dit proces. Binnen de kaders van dit wetsvoorstel en beoogde onderlinge regelgeving zal het IB de noodzakelijke gegevens aan het IKZ verstrekken, in zoverre maakt het IB derhalve een zelfstandige afweging tot verstrekking van gegevens.

In paragraaf 4.8 is naar aanleiding van het advies van de Afdeling de rol en verwerkingsverantwoordelijkheid van het IB bij de gegevensuitwisseling met het IKZ verder verduidelijkt.

8. Subdelegatie

De Afdeling merkt op dat niet nader wordt toegelicht waarom wordt gekozen voor de ruime delegatiegrondslag zoals deze is opgenomen zowel ten aanzien van het Waarschuwingsregister als het IKZ. Zij geeft aan dat onderwerpen die betrekking hebben op de uitvoering op zichzelf kunnen worden gedelegeerd naar een ministeriële regeling. Echter, rechtsbescherming is een essentieel en voor de burger ingrijpend onderwerp dat niet kan worden beschouwd als uitvoering van een regeling, waarvan op het niveau van een ministeriële regeling regels kunnen worden gesteld. Dat geldt in elk geval voor de bewaartermijnen en de uitoefening van de rechten van betrokkenen. Zij adviseert om in het wetsvoorstel voor de onderwerpen die de rechtsbescherming raken alleen delegatie bij algemene maatregel van bestuur mogelijk te maken.

Naar aanleiding van het advies is het wetsvoorstel overeenkomstig de opmerking van de Afdeling aangepast. Zowel ten aanzien van het Waarschuwingsregister als het IKZ is subdelegatie voor de onderwerpen bewaartermijnen en rechten van betrokkenen uitgesloten. Voorts wordt opgemerkt dat het in de rede ligt dat ten aanzien van essentiële onderdelen, zoals de voorwaarden, vereisten, maatregelen en waarborgen waarbinnen de verwerking van gegevens in het kader van de wet moet plaatsvinden, de mogelijkheden tot subdelegatie beperkt zijn. Deze zaken worden in ieder geval gedetailleerd uitgewerkt op het niveau van algemene maatregel van bestuur. De mogelijkheden tot subdelegatie zien op aspecten die de uitvoeringspraktijk zodanig raken en aan verandering onderhevig zijn, dat het uit praktische overweging voor de hand ligt dit op het niveau van een ministeriële regeling te regelen. Het gaat dan bijvoorbeeld om (de technische) aspecten van inrichting van de elektronische voorzieningen van het IKZ en het mogelijk maken van geautomatiseerde koppelingen met systemen van betrokken instanties en de beveiliging van de elektronische voorzieningen. Wat betreft de beveiliging van persoonsgegevens bestaat het voornemen om het BIO voor te schrijven voor zowel het Waarschuwingsregister als het IKZ.²

Voorts wordt van de gelegenheid gebruik gemaakt om enkele wijzigingen aan te brengen in de wettekst en memorie van toelichting, anders dan hiervoor reeds aan de orde gekomen en toegelicht.

In de eerste plaats betreft het aanpassingen van tekstuele en redactionele aard in zowel de wettekst als toelichting.

In de tweede plaats betreft het verbetering van de wettekst, naar aanleiding van voortschrijdend inzicht die onder andere voortvloeien uit het schrijven van de onderliggende regelgeving en die in het verlengde liggen van wat reeds in het wetsvoorstel was beoogd. Het betreft de volgende aanpassingen:

• In artikel 2.3 is in een nieuw ingevoegd lid expliciet opgenomen welke openbare bronnen het IKZ in het kader van verrijken van gegevens mag raadplegen. Het betreft het Handelsregister en het Jaardocument Maatschappelijke Verantwoording (JMV). Daarnaast zijn in de toelichting de mogelijkheden tot het raadplegen van (openbare) bronnen in het kader van de onderzoek en analyse taak van het IKZ beter beschreven, waarbij beter is aangesloten op de wettekst.

• In afstemming met diverse betrokkenen in het kader van de totstandkoming van de bij dit wetsvoorstel behorende amvb, is de wettekst betreffende de verstrekking van gegevens door het IKZ aan geëigende instanties aangepast. De bepaling is zo vormgegeven dat de uitzondering die voor deze verstrekking geldt, ingegeven door de geheimhoudingsplicht in artikel 67 van de Algemene wet inzake rijksbelastingen, alleen geldt voor gegevens van de rijksbelastingdienst en voor gegevens van de FIOD, voor zover het gegevens uit fiscaal opsporingsonderzoek betreft. Als gevolg van deze wijziging geldt de bepaling niet voor gegevens uit niet-fiscale opsporingsonderzoeken van de FIOD en voor gegevens van de Inspectie SZW, zoals dat in de vorige versie van het wetsvoorstel het geval was.

• In afstemming met diverse betrokkenen in het kader van de totstandkoming van de bij dit wetsvoorstel behorende amvb is de toelichting ten aanzien van politiegegevens als bedoeld in de Wet politiegegevens aangescherpt. Het betreft met name paragraaf 4.7.

• In artikel 1.2 van het voorstel, waarin is opgenomen dat op grond van de wet geen gegevens worden verstrekt waarop het medisch beroepsgeheim rust is artikel 88 van de Wet op de beroepen in de individuele gezondheidszorg (Wet BIG) opgenomen, omdat deze wettelijke bepaling aangaande het beroepsgeheim onbedoeld nog ontbrak.

• In de Wmo 2015 en Jeugdwet is in de bepalingen waarin de verwerkingsverantwoordelijkheid voor het IB wordt geregeld, toegevoegd dat het gaat om de bij of krachtens amvb aangewezen verwerkingen. Dit is noodzakelijk gebleken om beter te verduidelijken bij welke verwerkingen het IB deze verantwoordelijkheid draagt. Daarbij wordt ten overvloede opgemerkt dat het niet gaat om een uitbreiding van bestaande verwerkingsgrondslagen, maar om een betere duiding welke verwerking het college verricht en welke door het IB (zullen) worden verricht.

Ik moge U verzoeken het hierbij gevoegde gewijzigde voorstel van wet en de gewijzigde memorie van toelichting aan de Tweede Kamer der Staten-Generaal te zenden.

De vice-president van de Raad van State,

Th.C. de Graaf

De Minister van Voklksgezondheid, Welzijn en Sport, H.M. de Jonge

---

1 De oorspronkelijke tekst van het voorstel van wet en van de memorie van toelichting zoals voorgelegd aan de Afdeling advisering van de Raad van State is ter inzage gelegd bij het Centraal Informatiepunt Tweede Kamer

2 Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO vervangt de bestaande baselines informatieveiligheid voor Gemeenten, Rijk, Waterschappen en Provincies. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek.