Besluit van 1 september 2014 tot wijziging van het Besluit SUWI in verband met regels voor fraudeaanpak door gegevensuitwisselingen en het effectief gebruik van binnen de overheid bekend zijnde gegevens met inzet van SyRI

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op de voordracht van Onze Minister van Sociale Zaken en Werkgelegenheid van 17 april 2014, nr. 0056263;

Gelet op de artikelen 64, vijfde lid, en 65, achtste lid, van de Wet structuur uitvoeringsorganisatie werk en inkomen;

De Afdeling advisering van de Raad van State gehoord (advies van 15 mei 2004, No. W12.14.0102/III);

Gezien het nader rapport van Onze Minister van Sociale Zaken en Werkgelegenheid van 14 augustus 2014, nr. 2014-0000099208;

Hebben goedgevonden en verstaan:

ARTIKEL I

Het Besluit SUWI wordt als volgt gewijzigd:

A

Aan artikel 1.1 worden de volgende onderdelen toegevoegd:

v. bestand:

elk gestructureerd geheel van persoons- of bedrijfsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografische bepaalde wijze, dat volgens de bepaalde criteria toegankelijk is en betrekking heeft op verschillende natuurlijke- of rechtspersonen;

w. bedrijfsgegeven:

een gegeven betreffende een geïdentificeerde of identificeerbare rechtspersoon;

x. bewerker:

een bewerker als bedoeld in artikel 1, onderdeel e, van de Wet bescherming persoonsgegevens;

y. indicator:

een gegeven dat de aanwezigheid van een bepaalde omstandigheid aannemelijk maakt;

z. risicomelding:

de melding, bedoeld in artikel 65, tweede lid, van de Wet SUWI;

aa. risicomodel:

een model dat bestaat uit vooraf bepaalde indicatoren en aangeeft of er sprake is van een verhoogd risico op:

• onrechtmatig gebruik van overheidsgelden en overheidsvoorzieningen op het terrein van sociale zekerheid en de inkomensafhankelijke regelingen,

• belasting- en premiefraude, of

• het niet naleven van arbeidswetten;

bb. samenwerkingsverband:

de samenwerking tussen twee of meer van de bestuursorganen of personen, bedoeld in artikel 64, eerste lid, van de Wet SUWI, met het oogmerk SyRI in te zetten en waarbij ieder van de samenwerkende bestuursorganen en personen tevens partij is bij de Samenwerkingsovereenkomst voor interventieteams;

cc. SyRI:

het systeem risico indicatie, bedoeld in artikel 65, eerste lid, van de wet;

dd. SyRI-project:

het project dat met gebruikmaking van SyRI informatie vergaart voor de doelstelling van dat project en past binnen het doel, bedoeld in artikel 64, eerste lid, van de Wet SUWI;

ee. verzoek:

een verzoek als bedoeld in artikel 65, eerste lid, van de Wet SUWI.

B

Na hoofdstuk 5 wordt een hoofdstuk ingevoegd, luidende:

Hoofdstuk 5a. SYRI

Artikel 5a.1 Voorwaarden inzet SyRI

• 1. Indien het verzoek van het samenwerkingsverband voldoet aan de voorwaarden, bedoeld in het tweede tot en met vierde lid, en uit de in het zesde lid bedoelde prioritering blijkt dat er voldoende capaciteit beschikbaar is voor de koppeling, bedoeld in artikel 5a.2, en de analyse, bedoeld in artikel 5a.3, verwerkt Onze Minister de gegevens, bedoeld in artikel 64, tweede lid, van de Wet SUWI in SyRI.

• 2. Uit het verzoek blijkt in ieder geval:

  • a. met welke bestuursorganen en personen in het kader van artikel 64, eerste lid, van de Wet SUWI ten behoeve van het SyRI-project wordt samengewerkt, wat de concrete doelstelling van de samenwerking is, hoe de samenwerking is georganiseerd en vormgegeven, en de beoogde aanvangsdatum en de duur van het SyRI-project;

  • b. welke concrete gegevens door de bestuursorganen en personen van het samenwerkingsverband zullen worden aangeleverd;

  • c. de beoogde wijze van terugkoppeling van de risicomeldingen door Onze Minister, en

  • d. op welke indicatoren en welk risicomodel het verzoek betrekking heeft.

• 3. Voor verwerking in SyRI komen uitsluitend een of meer van de volgende categorieën gegevens in aanmerking:

  • a. arbeidsgegevens, zijnde gegevens waarmee een door een persoon verrichte werkzaamheden vastgesteld kunnen worden;

  • b. gegevens inzake bestuursrechtelijke maatregelen en sancties, zijnde gegevens waaruit blijkt dat een natuurlijke persoon of een rechtspersoon een bestuursrechtelijke boete opgelegd heeft gekregen dan wel dat een andere bestuursrechtelijke maatregel is getroffen;

  • c. fiscale gegevens, zijnde gegevens waarmee de fiscale verplichtingen van een natuurlijk persoon of rechtspersoon kunnen worden vastgesteld;

  • d. gegevens roerende en onroerende goederen, zijnde gegevens waarmee het bezit en het gebruik van bepaalde goederen door een natuurlijk persoon of rechtspersoon kunnen worden vastgesteld;

  • e. gegevens over uitsluitingsgronden van bijstand of uitkeringen, zijnde gegevens waaruit blijkt dat een persoon niet in aanmerking komt voor een uitkering;

  • f. handelsgegevens, zijnde gegevens waarmee de aard en werkzaamheden van een rechtspersoon kunnen worden vastgesteld;

  • g. huisvestingsgegevens, zijnde gegevens waarmee de (daadwerkelijke) verblijfs- of vestigingsplaats van een natuurlijk persoon of rechtspersoon kunnen worden vastgesteld;

  • h. identificerende gegevens, zijnde bij een natuurlijk persoon: naam, adres, woonplaats, postadres, geboortedatum, geslacht en administratieve kenmerken en bij een rechtspersoon: naam, adres, postadres, rechtsvorm, vestigingsplaats en administratieve kenmerken;

  • i. inburgeringsgegevens, zijnde gegevens waarmee kan worden vastgesteld of aan een persoon inburgeringsverplichtingen zijn opgelegd;

  • j. nalevingsgegevens, zijnde gegevens waarmee de nalevingshistorie van wet- en regelgeving van een natuurlijk persoon of rechtspersoon kan worden vastgelegd;

  • k. onderwijsgegevens, zijnde gegevens waarmee de financiële ondersteuning ten behoeve van de bekostiging van onderwijs kan worden vastgesteld;

  • l. pensioengegevens, zijnde gegevens waarmee de pensioenrechten kunnen worden vastgesteld;

  • m. re-integratiegegevens, zijnde uitsluitend de gegevens waarmee kan worden vastgesteld of aan een persoon re-integratieverplichtingen zijn opgelegd en of deze worden nageleefd;

  • n. schuldenlastgegevens, zijnde gegevens waarmee de eventuele schulden van een natuurlijk persoon of rechtspersoon kunnen worden vastgesteld;

  • o. uitkerings-, toeslagen- en subsidiegegevens, zijnde gegevens waarmee de financiële ondersteuning van een natuurlijk persoon of rechtspersoon kan worden vastgesteld;

  • p. vergunningen en ontheffingen, zijnde gegevens waarmee kan worden bepaald voor welke activiteiten een natuurlijk persoon of rechtspersoon toestemming heeft gevraagd of verkregen;

  • q. zorgverzekeringsgegevens, zijnde uitsluitend de gegevens waarmee kan worden vastgesteld of een persoon is verzekerd voor de Zorgverzekeringswet.

• 4. Voorts blijkt uit het verzoek, dat ieder van de bestuursorganen en personen, bedoeld in artikel 64, eerste lid, van de wet:

  • a. met het verzoek instemt;

  • b. de voorgenomen bestandslevering heeft getoetst aan de gegevens die nodig zijn voor de risico analyses, ten behoeve van het doel van het SyRI-project, waaronder het doel in artikel 64, eerste lid, van de Wet SUWI;

  • c. heeft onderbouwd dat een mogelijke aantasting van de belangen van de natuurlijke personen of rechtspersonen op wie de verwerking van gegevens betrekking heeft niet onevenredig is in verhouding tot het doel dat met de inzet van SyRI wordt beoogd;

  • d. alleen die gegevens verstrekt, die voor de risicoanalyses, bedoeld in artikel 65, eerste lid, van de Wet SUWI nodig zijn, en

  • e. in redelijkheid geen minder ingrijpende wijze voor de betrokken personen of rechtspersonen kan hanteren om het doel dat met de inzet van SyRI wordt beoogd, te bereiken.

• 5. Voor zover een bestuursorgaan dat of een persoon die deel uitmaakt van een samenwerkingsverband voor een SyRI-project niet beschikt over de noodzakelijke gegevens, bedoeld in artikel 64, tweede lid, van de Wet SUWI is het vierde lid, onderdelen b tot en met e, niet van toepassing.

• 6. Onze Minister stelt een prioritering van de analysecapaciteit voor SyRI vast.

• 7. Onze Minister stelt een of meer risicomodellen vast.

• 8. Bij ministeriële regeling kunnen nadere regels worden gesteld over de wijze waarop het verzoek door het samenwerkingsverband wordt opgesteld en ingediend en de inhoud van dit verzoek.

Artikel 5a.2 Koppeling door bewerker

• 1. Indien het verzoek voldoet aan artikel 5a.1, tweede tot en met vierde lid, worden de gegevens overeenkomstig artikel 65, eerste lid, van de Wet SUWI verwerkt, nadat het samenwerkingsverband de noodzakelijke bestanden kosteloos en voldoende beveiligd aan de bewerker heeft aangeleverd.

• 2. Als bewerker voor de koppeling van de bestanden in SyRI wordt de Stichting Inlichtingenbureau aangewezen.

• 3. De bewerker verricht achtereenvolgens de volgende activiteiten ten behoeve van het SyRI-project:

  • a. hij brengt de door het samenwerkingsverband aangeleverde bestanden die ten behoeve van de uitvoering van het risicomodel noodzakelijk zijn samen;

  • b. hij creëert bestanden met versleutelde persoons- en bedrijfsgegevens, zodanig dat deze voor anderen niet meer tot natuurlijke personen en rechtspersonen herleidbaar zijn;

  • c. hij creëert een afzonderlijk bestand met de sleutels voor de ontsleuteling van de versleutelde gegevens, bedoeld in onderdeel b;

  • d. hij maakt de bestanden gereed voor koppeling;

  • e. hij neemt de gegevens op in SyRI door het koppelen van de bestanden, bedoeld in onderdeel b, overeenkomstig het risicomodel;

  • f. hij ontsleutelt alleen die gegevens die op basis van de resultaten van de koppeling van de bestanden duiden op een verhoogd risico op onregelmatigheden als bedoeld in artikel 64, eerste lid, van de Wet SUWI en legt daar een bestand van aan;

  • g. hij verstrekt het bestand, bedoeld in onderdeel f, aan Onze Minister.

• 4. De bewerker vernietigt de in het kader van het SyRI-project aan hem verstrekte bestanden, de door hem bewerkte bestanden en de bestanden, bedoeld in het derde lid, onderdeel c, binnen vier weken nadat het bestand, bedoeld in het derde lid, onderdeel g, aan Onze Minister is verstrekt.

Artikel 5a.3 Analyse resultaten

• 1. Onze Minister analyseert de verstrekte gegevens, bedoeld in artikel 5a.2, derde lid, onderdeel g, en bepaalt in welke gevallen deze leiden tot een risicomelding.

• 2. Onze Minister verstrekt aan de betreffende bestuursorganen en personen van het samenwerkingsverband de in aanmerking komende risicomeldingen die noodzakelijk zijn voor een goede uitvoering van hun wettelijke taak.

• 3. Indien een natuurlijk persoon of rechtspersoon geen onderwerp is van een risicomelding worden zijn of haar gegevens binnen vier weken na afronding van de analyse, bedoeld in het eerste lid, door Onze Minister vernietigd.

• 4. De terugkoppeling, bedoeld in artikel 65, zesde lid, van de Wet SUWI vindt plaats binnen twintig maanden te rekenen vanaf de aanvang van het SyRI-project.

• 5. Onverminderd de regels krachtens artikel 5a.5, vernietigt Onze Minister na de terugkoppeling, bedoeld in artikel 65, zesde lid, van de Wet SUWI, maar in ieder geval uiterlijk twee jaar nadat het SyRI-project is aangevangen, alle in het kader van dat project verkregen gegevens, waaronder de via de terugkoppeling verkregen gegevens.

Artikel 5a.4 Aanvang en einde SyRI-project

• 1. Onze Minister bepaalt de aanvangsdatum van het SyRI-project indien het verzoek aan artikel 5a.1, eerste lid, voldoet. Hiervan doet hij mededeling in de Staatscourant.

• 2. Het SyRI-project eindigt zodra de terugkoppelingen, bedoeld in artikel 65, zesde lid, van de Wet SUWI bij Onze Minister zijn ingediend of Onze Minister hiertoe besluit.

Artikel 5a.5 Register risicomeldingen

• 1. Er is een register risicomeldingen waarin gegevens over risicomeldingen worden verwerkt teneinde projectdeelnemers en bestuursorganen te informeren over de risicomeldingen die zijn verstrekt en om subjecten van risicomeldingen op aanvraag te informeren of zijn gegevens in het register zijn opgenomen.

• 2. Onze Minister is de verantwoordelijke in de zin van de Wet bescherming persoonsgegevens voor de verwerking van gegevens in het register risicomeldingen.

• 3. De gegevens uit het register risicomeldingen die noodzakelijk zijn voor de in het eerste lid genoemde doeleinden, worden verstrekt aan projectdeelnemers en subjecten van projecten.

• 4. Gelet op het bepaalde in het eerste lid worden subjecten niet na afloop van het onderzoek afzonderlijk geïnformeerd over de risicomeldingen die in het register worden verwerkt.

• 5. Indien een risicomelding wordt gedaan, worden de gegevens over de risicomelding direct opgenomen in het register risicomeldingen. De gegevens over de risicomeldingen worden bewaard tot twee jaren nadat de risicomelding in het register risicomeldingen is opgenomen.

Artikel 5a.6 Evaluatie

• 1. Met inachtneming van de bewaartermijnen, bedoeld in artikel 65, vijfde lid, van de Wet SUWI evalueert Onze Minister het voor het SyRI-project gehanteerde risicomodel aan de hand van de ontvangen terugkoppelingen, bedoeld in artikel 65, zesde lid, van de Wet SUWI.

• 2. De terugkoppeling vindt op de volgende onderdelen plaats:

  • a. voor zover beschikbaar: de resultaten van de risicomeldingen;

  • b. de bruikbaarheid van de risicomeldingen;

  • c. indien een of meer risicomeldingen niet tot vervolgacties hebben geleid: de redenen hiervan.

• 3. Bij ministeriële regeling kunnen nadere regels worden gesteld omtrent de terugkoppeling van de resultaten van de risicomeldingen, bedoeld in artikel 65, zesde lid, van de Wet SUWI, en de evaluatie, bedoeld in het eerste lid.

Artikel 5a.7 Proces-verbaal vernietiging

• 1. De bewerker respectievelijk Onze Minister stelt bij vernietiging van gegevens als bedoeld in artikel 5a.2, vierde lid, respectievelijk artikel 5a.3, derde en vijfde lid, en artikel 5a.5, vijfde lid, ter zake een proces-verbaal van vernietiging op waarin staat op welke wijze de gegevens zijn vernietigd alsmede de datum waarop en de locatie waar de vernietiging heeft plaatsgevonden.

• 2. Het proces-verbaal, bedoeld in het eerste lid, wordt door de bewerker respectievelijk Onze Minister ter kennisname aan het samenwerkingsverband verzonden.

ARTIKEL II INWERKINGTREDING

Dit besluit treedt in werking met ingang van de dag na de datum van uitgifte van het Staatsblad waarin het wordt geplaatst.

Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.^histnoot

Wassenaar, 1 september 2014

Willem-Alexander

De Minister van Sociale Zaken en Werkgelegenheid, L.F. Asscher

Uitgegeven de elfde september 2014

De Minister van Veiligheid en Justitie, I.W. Opstelten

NOTA VAN TOELICHTING

Algemeen

1. Inleiding en achtergrond

De wijziging van het Besluit SUWI in verband met regels voor fraudeaanpak door gegevensuitwisselingen en het effectief gebruik van binnen de overheid bekend zijnde gegevens met inzet van SyRI (hierna: dit besluit) strekt ter uitvoering van artikel 65 van de Wet structuur uitvoeringsorganisatie werk en inkomen (hierna: Wet SUWI). Dit besluit bevat nadrukkelijk alleen regels voor zover de inzet van het in artikel 65 van de wet beschreven systeem risico indicatie (hierna: SyRI) aan de orde is. Artikel 65 is tezamen met artikel 64 ingevoegd bij de wet van 9 oktober 2013 tot wijziging van de Wet structuur uitvoeringsorganisatie werk en inkomen en enige andere wetten in verband met de fraudeaanpak door gegevensuitwisselingen en het effectief gebruik van binnen de overheid bekend zijnde gegevens (Stb. 405) (hierna: wijzigingswet SUWI).

De belangrijkste onderwerpen van het besluit betreffen:

• 1. de voorwaarden waaraan een verzoek om gebruik te maken van SyRI moet voldoen (artikel 5a.1);

• 2. de aanwijzing en de taak van de bewerker in het kader van SyRI (artikel 5a.2);

• 3. de analyse van de resultaten uit SyRI (artikel 5a.3);

• 4. de aanvang en het einde van een SyRI-project (artikel 5a.4);

• 5. het register voor risicomeldingen (artikel 5a.5);

• 6. de evaluatie van het gehanteerde risicomodel (artikel 5a.6).

2. Hoofdlijnen van het besluit

2.1 Algemeen

Fraude met of misbruik of oneigenlijk gebruik van overheidsgelden en overheidsvoorzieningen is een ernstige zaak. Hierdoor ontstaat niet alleen schade voor de overheid, maar ook de integriteit van het stelsel, de betaalbaarheid van de voorzieningen en het maatschappelijk draagvlak voor sociale voorzieningen worden hiermee aangetast. Het kabinet geeft hoge prioriteit aan het voorkomen en het opsporen van fraude.

Een belangrijke manier om dit te bereiken is door gebruik te maken van gegevens die de overheid of andere organisaties met een publieke taak al beschikbaar hebben. De mogelijkheden van gegevensuitwisseling moeten daarom optimaal worden benut. Dit draagt bij aan het draagvlak in de sociale zekerheid en een adequate fraudebestrijding. Dit is het uitgangspunt van SyRI.

SyRI is een instrument waarmee in een beveiligde omgeving op een zorgvuldige manier data worden gekoppeld en vervolgens geanalyseerd, zodat risicomeldingen kunnen worden gegenereerd. SyRI wordt ingezet in het kader van een integraal optreden ter voorkoming en bestrijding van onrechtmatig gebruik van overheidsgelden en – voorzieningen op het terrein van de sociale zekerheid en de inkomensafhankelijke regelingen, de voorkoming en bestrijding van belasting – en premiefraude, en het niet naleven van arbeidswetten.

De gegevensverwerking in SyRI gebeurt onder verantwoordelijkheid van de Minister van Sociale Zaken en Werkgelegenheid (hierna: de Minister).

De grondslag van de gegevensverwerking is artikel 8, aanhef en onder e, van de Wet bescherming persoonsgegevens (hierna: Wbp) Volgens deze bepaling kunnen persoonsgegevens worden verwerkt indien dit noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt. Verwezen wordt ter zake tevens naar paragraaf 3 van het algemeen deel van de memorie van toelichting bij de wijzigingswet SUWI.¹

Met de wijzigingswet SUWI is in de Wet SUWI bepaald dat onder gegevens mede wordt verstaan persoonsgegevens in de zin van de Wbp. De verwerking van de gegevens in SyRI op grond van dit besluit is gebaseerd op de Wet SUWI. Het gaat hier dus om het verwerken van gegevens, waarop de Wbp van toepassing is. Het kan daarbij ook om bijzondere gegevens gaan. Echter uit de omschrijving van de gegevens in artikel 5a.1 van dit besluit die in SyRI kunnen worden verwerkt, blijkt dat het veelal geen bijzondere persoonsgegevens betreft. Zo worden er geen gegevens betreffende de gezondheid in SyRI verwerkt. Ook bij re-integratiegegevens gaat het niet om gegevens betreffende de gezondheid. Het gaat om gegevens waarmee kan worden vastgesteld of aan iemand re-integratieverplichtingen zijn opgelegd, of anders gezegd, dat er geen ontheffing van re-integratieverplichtingen is in verband met bijvoorbeeld mantelzorg. Daarbij horen niet eventuele gezondheidsgegevens die aan die besluiten ten grondslag liggen. Dit besluit heeft ook geen betrekking op gegevensverwerkingen die vallen onder het regime van de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg). Of politiegegevens en justitiële en strafvorderlijke gegevens in SyRI kunnen worden verwerkt, moet beoordeeld worden aan de hand van de Wpg respectievelijk de Wjsg. Er kan dus wel sprake zijn van het verwerken van strafrechtelijke gegevens, indien die gegevens op grond van deze wetten aan de bij de samenwerking betrokken bestuursorganen zijn verstrekt.

2.2 Verzoek inzet SyRI

Alleen een samenwerkingsverband van bestuursorganen en personen als bedoeld in artikel 64, eerste lid, van de Wet SUWI, kan een verzoek tot de inzet van SyRI bij de Minister indienen. Als mogelijke deelnemers aan het samenwerkingsverband zijn in de Wet SUWI aangewezen:² de gemeenten, het Uitvoeringsinstituut werknemersverzekeringen (hierna: UWV), de Sociale verzekeringsbank (hierna: SVB), de Belastingdienst en de personen³ die zijn belast met het houden van toezicht op de naleving en uitvoering van de regelgeving op het terrein van de Minister, in dit geval de Inspectie van het Ministerie van SZW (hierna: Inspectie SZW). De Wet SUWI laat de mogelijkheid open ook andere bestuursorganen en personen die belast zijn met een publiekrechtelijke taak ter zake bij ministeriële regeling aan te wijzen als mogelijke deelnemers. De samenwerking dient een structureel karakter te hebben.⁴ De kern van de samenwerking betreft het integraal overheidsoptreden ten aanzien van:

• a. het voorkomen en bestrijden van onrechtmatig gebruik van overheidsgelden en overheidsvoorzieningen;

• b. het voorkomen en bestrijden van belasting- en premiefraude, of

• c. het niet naleven van arbeidswetten.

Bovengenoemde bestuursorganen en personen werkten tot de inwerkingtreding van de wijzigingswet SUWI al samen binnen zogenaamde interventieprojecten ten behoeve van integraal overheidsoptreden. Hiertoe zijn zij op 8 oktober 2003 de Samenwerkingsovereenkomst voor interventieteams aangegaan. Andere partijen bij deze overeenkomst zijn het Openbaar Ministerie en de Sociale Inlichtingen- en Opsporingsdienst (tegenwoordig: Inspectie SZW, directie Opsporing). Op grond van de samenwerkingsovereenkomst is een Landelijke Stuurgroep Interventieteams (hierna: LSI) in het leven geroepen. In de LSI hebben de Belastingdienst, de Inspectie SZW, het UWV, de Vereniging Nederlandse Gemeenten (hierna: VNG), de Vereniging Divosa, de SVB, het openbaar ministerie, de politie en de ministeries van Financiën en van Sociale Zaken en Werkgelegenheid zitting.⁵ De LSI-structuur maakt een steviger en beter gecoördineerde aanpak van fraude mogelijk door middel van afstemming en aansturing op landelijk niveau. Ook heeft de LSI veel deskundigheid in huis, onder meer omdat zij in het verleden ten behoeve van bestandskoppelingen projectplannen van samenwerkingsverbanden beoordeelde binnen de interventieteamstructuur.

Alleen degenen die partij zijn bij de Samenwerkingsovereenkomst voor interventieteams kunnen een samenwerkingsverband in de zin van het besluit aangaan (zie de begripsomschrijving in artikel 1.1 Besluit SUWI) met uitzondering van het openbaar ministerie en de politie. Het openbaar ministerie en de politie maken dus geen deel uit van een samenwerkingsverband in de zin van het besluit en zij verstrekken ook geen gegevens. Anderzijds is het niet zo dat degenen die partij zijn bij de Samenwerkingsovereenkomst voor interventieteams daarmee automatisch tevens een samenwerkingsverband in de zin van het besluit vormen. Naast het feit dat men partij moet zijn bij de genoemde samenwerkingsovereenkomst zal uit het verzoek voor de inzet van SyRI moeten blijken met welke bestuursorganen en personen ten behoeve van een concreet project wordt samenwerkt, wat de concrete doelstelling van de samenwerking is en hoe de samenwerking is georganiseerd en vormgegeven.⁶ Indien aan deze elementen tezamen wordt voldaan is tevens sprake van een structureel samenwerkingsverband zoals bedoeld in de memorie van toelichting bij de wet.⁷

Een bestuursorgaan of persoon die op dit moment geen partij is bij de samenwerkingsovereenkomst heeft de mogelijkheid – eventueel tijdelijk voor de duur van het SyRI-project – toe te treden. De Samenwerkingsovereenkomst voor interventieteams en eventuele wijzigingen hierop worden door de Minister in de Staatscourant gepubliceerd.

Een van de deelnemers aan een samenwerkingsverband is de Inspectie SZW in haar rol van toezichthouder op de naleving van regelgeving van de Minister. De Inspectie SZW neemt hierbij een bijzondere positie in. Zij kan in haar rol van toezichthouder samen met anderen een verzoek tot inzet van SyRI indienen.

Daarnaast speelt de Inspectie SZW een centrale rol bij de analyse van de gekoppelde gegevens. Het gaat hier om een ander onderdeel van de Inspectie SZW, te weten de analyse-eenheid. Deze analyse-eenheid is verantwoordelijk voor het risicomodel en het afgeven van de risicomeldingen. De analyse-eenheid voert de werkzaamheden die zijn neergelegd in artikel 5a.3 Besluit SUWI namens de Minister uit.

Het risicomodel is een model dat bestaat uit vooraf bepaalde indicatoren en geeft aan of er sprake is van een verhoogd risico. Bij het ontwerp van het risicomodel beschrijft de Inspectie SZW voor welke specifieke fraudevorm het instrument SyRI wordt ingezet en onderbouwt gemotiveerd welke gegevens daartoe bij elkaar worden gebracht.

Wanneer de deelnemers aan een samenwerkingsverband SyRI willen inzetten voor een SyRI-project dienen zij daartoe een verzoek bij de Minister in. Het verzoek dient aan een aantal criteria te voldoen die zijn neergelegd in artikel 5a.1 Besluit SUWI. Zo zal uit het verzoek moeten blijken dat het daadwerkelijk om een samenwerkingsverband gaat.⁸ Hiertoe geven de bestuursorganen en personen het gezamenlijke doel van de samenwerking in hun verzoek weer evenals de gegevens die daarvoor moeten worden samengebracht en de bestuursorganen en personen die deelnemen aan de samenwerking.⁹ De doelstelling van het samenwerkingsverband moet passen binnen de doelbinding die geldt voor de te verstrekken gegevens door deelnemers en dient welbepaald en uitdrukkelijk te zijn omschreven. De concrete doelstelling van de samenwerking is bepalend voor de vraag welke gegevens moeten worden aangeleverd. In het verzoek dient zoveel mogelijk te worden geconcretiseerd welke persoonsgegevens exact nodig zijn om de doelstelling te behalen. Meestal zal het gaan om actuele gegevens. Indien deelnemers niet-actuele gegevens in het project willen brengen, omdat zij bijvoorbeeld de geschiedenis in beeld willen brengen, moeten zij dit motiveren. Voorts zijn de gegevens die ten behoeve van de inzet van SyRI kunnen worden aangeleverd gelimiteerd.¹⁰

In het verzoek tot inzet van SyRI wordt tevens de beoogde aanvangsdatum van het SyRI-project evenals de verwachte duur opgegeven.¹¹ Ook staat in het verzoek op welke wijze de Minister (feitelijk: de analyse-eenheid van de Inspectie SZW namens de Minister) de risicomeldingen dient terug te koppelen aan de deelnemers aan het samenwerkingsverband.¹²

Dit is van belang omdat er grote verschillen tussen SyRI-projecten op het vlak van tijd en capaciteit kunnen bestaan. Dit vergt daarom afspraken over de aard en omvang van de terugkoppeling.

Voorts dienen de indicatoren en het te hanteren risicomodel in het verzoek voldoende helder benoemd te zijn.¹³ Zonder deze bepaling zou het koppelen van bestanden kunnen leiden tot een «fishing expedition» en zelfs tot willekeur. Overeenkomstig het advies van het College Bescherming Persoonsgegevens (hierna: CBP) van 18 februari 2014 ten aanzien van dit besluit wordt op deze manier recht gedaan aan het principe «select before you collect».

Ieder van de bestuursorganen en personen aan het samenwerkingsverband gaat afzonderlijk na of er een noodzaak tot gegevensverstrekking is.¹⁴ Hiertoe wordt door ieder van de deelnemers aan het samenwerkingsverband aangetoond dat binnen de eigen organisatie goedkeuring is verkregen voor deelname aan het SyRI-project en dat zij vooraf hebben getoetst welke gegevens noodzakelijk zijn in relatie tot het specifieke doel van het project.¹⁵ Het gaat hier om het proportionaliteitsbeginsel. Dit beginsel vloeit direct voort uit artikel 8 van het Europese Verdrag voor de Rechten van de Mens. Voorts dient iedere deelnemer aan het samenwerkingsverband zijn keuze tevens te toetsen aan het subsidiariteitsbeginsel.¹⁶ De onderbouwing van deze eisen wordt in belangrijke mate bepaald door de inhoud van het concrete SyRI-project en dit zal per geval anders zijn.

Met het proportionaliteitsbeginsel wordt beoogd te voorkomen dat de inperking van de belangen van de natuurlijke personen of rechtspersonen op wie de verwerking van de gegevens betrekking heeft, onevenredig is in verhouding tot het doel dat met de verwerking gediend wordt.¹⁷ Voor een uitgebreide toelichting wordt verwezen naar paragraaf 3 van het algemeen deel van de memorie van toelichting bij de wijzigingswet SUWI.¹⁸

Het subsidiariteitsbeginsel houdt in dat het doel waarvoor de persoons- of bedrijfsgegevens zouden moeten worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van de gegevens betrokken natuurlijke personen of rechtspersonen minder nadelige wijze kan worden bereikt.¹⁹ Voor een uitgebreide toelichting wordt verwezen naar paragraaf 3 van het algemeen deel van de memorie van toelichting bij de wijzigingswet SUWI.²⁰

Omdat zowel persoons- als bedrijfsgegevens onderdeel kunnen zijn van SyRI en de bijbehorende risicomeldingen, gelden de beoordelingscriteria «proportionaliteit» en «subsidiariteit» niet alleen voor persoonsgegevens maar ook voor bedrijfsgegevens.

Op vorenstaande geldt een uitzondering: er kunnen deelnemers aan een samenwerkingsverband zijn die geen bestanden ten behoeve van SyRI aanleveren, maar wel risicomeldingen ontvangen. Meer concreet beschikken zij dan niet over de noodzakelijke gegevens die nodig zijn voor de uitvoering van het betrokken SyRI-project. Anderzijds kunnen de via het SyRI-project verkregen risicomeldingen wel informatie bevatten die deze deelnemers kunnen inzetten met het oog op de bestrijding van fraude als onderdeel van de integrale aanpak hiervan in het kader van het samenwerkingsverband. Voor deze deelnemers gelden dus ook alle verplichtingen die voor de andere deelnemers aan het samenwerkingsverband gelden. Alleen de eisen met betrekking tot de bestandsleveringen en de hieraan gekoppelde toetsing (artikel 5a.1, vierde lid, onderdelen b tot en met e) zijn niet op hen van toepassing.²¹

Voorbeeld: Aanpak van malafide[22] uitzendbureaus in de schoonmaakbranche

De Inspectie SZW, de Belastingdienst en het UWV constateren dat in de schoonmaaksector een deel van de uitzendbureaus zich niet aan de regels houdt. Deze bedrijven betalen hun werknemers minder dan het wettelijk minimumloon, laten hun werknemers langer werken dan wettelijk is toegestaan en dragen geen premies en belastingen af[23]. Zij ondermijnen op deze wijze de rechtstaat en doen een aanslag op de solidariteit van het sociale stelsel.

De Inspectie SZW, de Belastingdienst en het UWV gaan daarom een samenwerkingsverband aan en zijn voornemens een SyRI-project te starten. Het doel van het SyRI-project is het aantal malafide uitzendbureaus in de schoonmaakbranche terug te dringen. Dit doel past binnen artikel 64 van de wet omdat het hier – in ieder geval – gaat om het voorkomen en het bestrijden van onrechtmatig gebruik van overheidsgelden en overheidsvoorzieningen op het terrein van de sociale zekerheid en het voorkomen en bestrijden van het niet naleven van de arbeidswetten.

De Inspectie SZW, de Belastingdienst en het UWV geven in het verzoek tot de inzet van SyRI ieder afzonderlijk aan dat zij enkel die gegevens zullen verstrekken die nodig zijn voor het doel van het project en geven concreet aan welke gegevens zij zullen uitwisselen. Hierdoor wordt de inperking van het recht op privacy zo klein mogelijk gehouden. In dit voorbeeld heeft de Belastingdienst de gegevens over de fiscale afdrachten van bedrijven, de Inspectie SZW de gegevens betreffende gecontroleerde en beboete bedrijven en het UWV de gegevens van bedrijven die premies voor werknemersverzekeringen afdragen en gegevens betreffende tewerkstellingsvergunningen. Door de koppeling van de betreffende gegevens in SyRI worden natuurlijke- en rechtspersonen niet onnodig belast en overvraagd. Met de inzet van SyRi wordt in casu beoogd om zoveel mogelijk belasting- en premiefraude te reduceren en de niet naleving van arbeidwetten te voorkomen. Gezien de verhouding tussen de geringe inperking van het recht op privacy en de opbrengst in de vorm van fraudebestrijding en het bewerkstelligen dat de arbeidswetten worden nageleefd en het feit dat voldoende helder is welke concrete gegevens worden samengebracht is in casu aan het proportionaliteitsbeginsel voldaan.

Voor het beoogde doel is het in dit geval nodig drie bestanden te koppelen. Het is in casu niet mogelijk met minder verstrekkende maatregelen en op een even adequate wijze de belasting- en premiefraude te bestrijden en de niet naleving van de arbeidswetten te voorkomen. Het is immers ondoenlijk voor de Inspectie SZW, de Belastingdienst en het UWV om bij iedere individuele ondernemer en werknemer in de schoonmaakbranche na te gaan of er voldoende belasting- en premie wordt afgedragen en of de arbeidswetten ten aanzien van iedere werknemer goed worden nageleefd. Ondernemers die frauderen zullen bovendien geen toestemming geven voor gegevensuitwisselingen om te voorkomen dat gepleegde fraude aan het licht komt. De inzet van SyRI is daarom noodzakelijk; deze biedt de mogelijkheid de betreffende gegevens te koppelen. Uit de resultaten van de bestandskoppeling sec zal nog niet één op één kunnen worden afgeleid dat er sprake is van een malafide bedrijf. Hiervoor is een nadere analyseslag noodzakelijk. Ook dit is onderdeel van SyRI. Er wordt geconcludeerd dat in casu is voldaan aan het subsidiariteitsbeginsel.

22 Er is sprake van moedwillige en systematische uitbuiting van werknemers door bijvoorbeeld illegale tewerkstelling en/ of het overtreden van de Arbeidstijdenwet en/ of frauderen met loon en/ of hoge bedragen inhouden op het loon van arbeidskrachten voor huisvesting, reiskosten en »boetes» en/ of slechte huisvesting en arbeidsomstandigheden en/ of het niet naleven van de Wet minimumloon en/of cao-loon en/ of schijnzelfstandigheid en/ of het niet voldoen aan fiscale verplichtingen en/ of ontduiken van de Nederlandse wet- en regelgeving door internationale constructies.

23 Het gaat in dit voorbeeld niet om werkgevers die loondispensatie toepassen en om die reden minder dan het wettelijk minimumloon betalen of werkgevers die een of meerdere premiekortingen toepassen.

2.3 Voldoen aan voorwaarden

Het verzoek tot inzet van SyRI dient niet alleen aan de voorwaarden die zijn neergelegd in artikel 5a.1, tweede tot en met vierde lid, Besluit SUWI te voldoen maar ook aan het zesde lid. Het laatstgenoemde lid bepaalt dat voorwaarde voor de verwerking van gegevens in SyRI is dat er voldoende capaciteit beschikbaar is om het SyRI-project te kunnen uitvoeren. De Minister stelt de prioritering van de analysecapaciteit vooraf vast.²⁴ De prioritering is zowel gerelateerd aan de beschikbare capaciteit van de Minister (lees: de analyse-eenheid van de Inspectie SZW) als die van de bewerker. Om te bepalen of het verzoek aan artikel 5a.1, eerste lid, Besluit SUWI voldoet kan de Minister een advies inwinnen bij de LSI. In de praktijk zal het advies van de LSI standaard door de Minister worden gevraagd, tenzij op voorhand al duidelijk is dat het verzoek niet voldoet aan artikel 5a.1, eerste lid. De LSI beziet concreet of aan de voorwaarden die zijn neergelegd in artikel 5a.1, tweede tot en met vijfde lid, Besluit SUWI is voldaan.

Indien het verzoek aan de voorwaarden, bedoeld in artikel 5a.1, Besluit SUWI voldoet, geeft de Minister na overleg daarover met het samenwerkingsverband en de bewerker, aan wanneer het SyRI-project van start gaat. Vanaf de aanlevering van de bestanden aan het IB tot het verstrekken van de risicomeldingen aan de deelnemers van het samenwerkingsverband is de Minister verantwoordelijke in de zin van de Wbp. Voorafgaand aan de aanlevering van de bestanden aan het IB en na ontvangst van de risicomeldingen zijn de ontvangers, te weten de bestuursorganen en personen van het samenwerkingsverband, weer verantwoordelijken.

Bij ministeriële regeling kunnen door de Minister nadere eisen worden gesteld aan de wijze waarop het verzoek wordt opgesteld, hoe en waar het moet worden ingediend en aan de bij het verzoek te verstrekken informatie (artikel 5a.1, achtste lid).

2.4 Bewerking en analyse

2.4.1 Algemeen

Na vaststelling dat het verzoek tot inzet van SyRI aan de voorwaarden voldoet en voor aanvang van het SyRI-project zal een kick off meeting met het samenwerkingsverband en de bewerker, de Stichting Inlichtingenbureau (hierna: IB), plaatsvinden. Tijdens die bijeenkomst ontvangt het samenwerkingsverband onder meer informatie en instructies over de wijze waarop de bestanden moeten worden aangeleverd en het te hanteren beveiligingsniveau.²⁵

De gegevensverwerking bestaat uit twee fasen:

• Fase 1²⁶

  In de eerste fase brengt de bewerker de bestanden samen en pseudonimiseert deze. Hierna wordt door de bewerker de eerste stap in de risicoselectie toegepast op deze versleutelde gegevens: de bestanden worden getoetst aan het risicomodel (met alle indicatoren). Dit genereert potentiële treffers. Onder potentiële treffer wordt een treffer verstaan die een verhoogd risico op fraude aanduidt. Vervolgens worden de potentiële treffers door de bewerker ontsleuteld. Elk risicomodel met vooraf bepaalde indicatoren kan evenwel leiden tot verklaarbare toevalstreffers die niet op fraude duiden. Deze toevalstreffers dienen terzijde te worden gelegd. Daarom is een vervolgstap nodig (fase 2).

• Fase 2²⁷

  In de tweede fase worden de ontsleutelde potentiële treffers nader geanalyseerd door de analyse-eenheid van de Inspectie SZW. Op basis van de definitieve risicoselectie doet de Minister (lees: de analyse-eenheid van de Inspectie SZW) risicomeldingen.

Indien in het hiernavolgende over bewerker wordt gesproken wordt telkens IB bedoeld.

2.4.2 Fase 1: bewerking

Fase 1 van de gegevensverwerking wordt uitsluitend door de bewerker uitgevoerd. Omdat dit gespecialiseerde activiteiten betreffen waarbij grote hoeveelheden gegevens betrokken kunnen zijn en het tevens vraagt om de nodige waarborgen op het gebied van veiligheid, is ervoor gekozen om het IB als bewerker aan te wijzen. Het IB is in 2001 door het Ministerie van Sociale Zaken en Werkgelegenheid opgericht en brengt al vele jaren gegevensbestanden uit verschillende bronnen samen. De afgelopen jaren, voor de inwerkingtreding van de wijzigingswet SUWI en het onderhavige besluit, heeft het IB fase 1 in het kader van de inzet van SyRI al uitgevoerd. Met de inschakeling van het IB is een passend veiligheidsniveau voor de gegevens en de vereiste onafhankelijkheid geborgd.

De bewerker vult en beheert twee bestanden. Het eerste bestand (het bronbestand) bevat de gegevens die het samenwerkingsverband heeft aangeleverd. Persoons- en bedrijfsgegevens worden in dat bestand gepseudonimiseerd. Hierbij worden onder meer persoons- en bedrijfsnamen, burgerservicenummers en adressen vervangen door een code (een pseudoniem). De bewerker toetst het bronbestand geautomatiseerd aan het in casu te hanteren risicomodel met indicatoren.

Voorts creëert de bewerker een sleutelbestand waarin is aangegeven welke persoons- of bedrijfsnaam, burgerservicenummer of adres bij een bepaald pseudoniem hoort. Wanneer bepaalde natuurlijke personen, rechtspersonen of adressen aan de hand van het risicomodel als verhoogd risico worden aangemerkt, worden deze weer ontsleuteld aan de hand van het sleutelbestand. Daarna worden alle gegevens die met deze verhoogde risico’s samenhangen (met uitzondering van het sleutelbestand) doorgeleid aan de Minister ten behoeve van de tweede fase van de risico analyse door de analyse-eenheid van de Inspectie SZW.

De bewerker vernietigt binnen vier weken na doorgeleiding de bij hem nog aanwezige bestanden van het SyRI-project.²⁸ De vernietiging wordt vastgelegd in een proces-verbaal.²⁹

2.4.3 Fase 2: analyse

De tweede fase wordt uitgevoerd door de analyse-eenheid van de Inspectie SZW en bestaat uit een nadere analyse van de potentiële treffers. In deze fase gaat het om ontsleutelde gegevens. Deze worden beoordeeld op onderzoekswaardigheid.

Op basis van de definitieve risicoselectie doet de Minister de risicomeldingen (in praktijk zal dit de analyse-eenheid van de Inspectie SZW namens de Minister zijn). Een risicomelding geeft aan dat een rechtspersoon of een natuurlijk persoon onderzoekswaardig wordt geacht in verband met de doelstelling van het betrokken samenwerkingsverband. De risicomeldingen worden vervolgens aan de betreffende bestuursorganen en personen van het samenwerkingsverband verstrekt voor zover deze voor hen relevant zijn.³⁰ Het Openbaar Ministerie en de politie kunnen voor zover dat noodzakelijk is voor de uitvoering van hun wettelijke taak op hun verzoek eveneens risicomeldingen ontvangen.³¹

Indien een natuurlijk persoon of rechtspersoon met een verhoogd risico geen onderwerp is van een risicomelding worden zijn of haar gegevens binnen vier weken na afronding van de analyse vernietigd.³² De Minister (lees: de analyse-eenheid van de Inspectie SZW namens de Minister) vernietigt eventueel resterende gegevens na terugkoppeling door de deelnemers aan het samenwerkingsverband. Dit hoeft niet onmiddellijk na ontvangst te zijn, maar wel uiterlijk twee jaar na aanvang van het SyRI-project.³³ De vernietiging wordt vastgelegd in een proces-verbaal.³⁴

Deze opdracht tot vernietiging strekt zich niet uit tot de gegevens in het register risicomeldingen.³⁵ Hiervoor geldt op grond van artikel 65, vijfde lid, van de wet een bewaartermijn van twee jaar.

2.5 Register risicomeldingen

Er wordt een register risicomeldingen ingericht waarin de definitieve selectie van risicomeldingen wordt opgeslagen. Dit register heeft als doel projectdeelnemers en bestuursorganen te informeren over de risicomeldingen die zijn verstrekt en om subjecten van risicomeldingen op eigen aanvraag te informeren of zij in het register staan opgenomen. De risicomeldingen worden voor twee jaar bewaard in het register en na deze termijn vernietigd.

De definitieve selectie van risicomeldingen wordt opgeslagen in het register risicomeldingen.

Het register wordt beheerd door de Minister (lees: de analyse-eenheid van de Inspectie SZW namens de Minister). Indien er een verzoek tot inzage door een natuurlijk persoon of een rechtspersoon wordt gedaan over de aanwezigheid van zijn of haar gegevens in risicomeldingen kan het register hiervoor worden gehanteerd. Indien er sprake is van een lopend onderzoek dan kan dit verzoek worden geweigerd omdat het de modus operandi zou kunnen vrijgeven waaraan calculerende burgers hun gedragingen zouden kunnen aanpassen. Bij ministeriële regeling kunnen nadere regels worden gesteld waaronder regels over de vernietiging van de gegevens in het register.³⁶

2.6 Terugkoppeling en evaluatie

De bestuursorganen en personen die een of meer risicomeldingen ontvangen hebben, geven hierover een terugkoppeling aan de Minister (lees: de analyse-eenheid van de Inspectie SZW) op grond van artikel 65, zesde lid, van de wet. De terugkoppeling dient binnen twintig maanden na de aanvang van het SyRI project plaats te hebben gevonden (artikel 5a.3 vierde lid, van het besluit). Deze bestaat in ieder geval uit de resultaten van de risicomeldingen, een onderbouwing indien risicomeldingen niet zijn opgevolgd en een terugkoppeling over de bruikbaarheid van de risicomeldingen. Met deze bepaling wordt beoogd de effectiviteit van het risicomodel te verhogen. Aan de hand van de terugkoppeling kan het risicomodel dat wordt toegepast op de bestandskoppeling en de analysefase daarna zo nodig door de analyse-eenheid van de Inspectie SZW worden aangepast.

2.7 Stroomschema

Onderstaand zijn de procedurele stappen bij de inzet van SyRI globaal in een stroomschema weergegeven.

Partij Samenwerkingsovereenkomst voor interventieteams (art. 1.1)

|

Aangaan samenwerkingsverband (bestuursorganen en personen) (artt. 1.1, en 5a.1, 2e lid, onderdeel a)

|

Voornemen indienen verzoek inzet SyRI (samenwerkingsverband)

|

Goedkeuring voornemen indienen verzoek inzet SyRI en toetsing voorwaarden door individuele bestuursorganen en personen samenwerkingsverband (art. 5a.1, 4e lid)

|

Indienen verzoek door samenwerkingsverband bij Minister (art. 5a.1, 2e lid)

|

Advies LSI

|

Vaststelling of verzoek aan voorwaarden voldoet (Minister) (art. 5a.2, 1e lid)

|

Indien verzoek aan voorwaarden voldoet: kick off bewerker

|

Aanleveren bestanden (samenwerkingsverband) (art. 5a.2, 1e lid)

|

Koppelen bestanden door IB (art. 5a.2, 3e lid)

|

Verstrekken bestanden door IB (art. 5a.2, 3e lid, onderdeel g)

|

Beoordeling resultaten door I-SZW (*) (art. 5a.3, 1e lid)

|

Verstrekken risicomeldingen aan individuele bestuursorganen en personen (door I-SZW(*)) (artt. 5a.3, 2e lid, 5a.5, 1e lid)

|

Terugkoppeling (door bestuursorganen en personen aan I-SZW (*)) (art. 65, 6e lid, wet)

|

Verwerken resultaten terugkoppeling door I-SZW (*) (art. 5a.6, 1 en 2e lid)

|

Zo nodig: aanpassen risicomodel door I-SZW (*) (art. 5a.6, 3e lid)

(*) = analyse-eenheid Inspectie SZW

3. Financiële gevolgen

De financiële gevolgen van de maatregel SyRI zijn in onderstaande tabel weergegeven. Dit budget is bedoeld voor de werkzaamheden van het IB.

Tabel: Uitvoeringskosten SyRi³⁷

(bedragen x € 1.000)		2014	2015	2016	2017	2018
SyRI		264	264	264	264	264

37 Kamerstukken II 2012/13, 33 579, nr. 7, p. 14.

4. Ontvangen adviezen en commentaar

4.1 Algemeen

Het besluit is voor een uitvoeringstoets voorgelegd aan het UWV, de VNG, het uitvoeringspanel van gemeenten en de Belastingdienst. Deze partijen achten het besluit uitvoerbaar. De VNG heeft enkele toelichtende vragen gesteld. De SVB heeft afgezien van een uitvoeringstoets.

4.2 Inspectie SZW

De Inspectie SZW heeft geen opmerkingen vanuit haar rol als toezichthouder. Vanuit haar andere twee rollen heeft de Inspectie SZW een aantal technische opmerkingen geplaatst welke merendeels zijn overgenomen. De Inspectie SZW adviseert om de samenwerkingsovereenkomst voor interventieteams aan te passen aan het onderhavige besluit. Dit is de bedoeling.

4.3 CBP

Omdat het hier met name om de verwerking van persoonsgegevens gaat is het CBP op grond van artikel 51, tweede lid, van de Wbp om advies gevraagd. Het CBP heeft bezwaar tegen het besluit en adviseert het besluit niet aldus in te dienen. De opmerkingen van het CBP zijn nauwlettend bestudeerd en verwerkt.

Select before you collect

Het CBP adviseert om vooraf zoveel mogelijk inzichtelijk te maken welke selectie van persoonsgegevens wordt gemaakt. Dit punt wordt geheel onderschreven.

Echter, omdat de selectie van gegevens per samenwerkingsverband en per project verschilt is het niet mogelijk dit in de regelgeving voor alle individuele projecten uit te werken. Het principe wordt gewaarborgd doordat deelnemende partijen voorafgaand aan elk project toetsen welke gegevens noodzakelijk zijn voor het specifieke opsporingsdoel. Deelnemende partijen geven in hun verzoek het gezamenlijke doel van de samenwerking weer evenals de gegevens die daarvoor moeten worden samengebracht. De doelstelling van het samenwerkingsverband moet passen binnen de doelbinding die geldt voor de te verstrekken gegevens door deelnemers en dient welbepaald en uitdrukkelijk te zijn omschreven. De concrete doelstelling van de samenwerking is bepalend voor de vraag welke gegevens moeten worden aangeleverd. In het verzoek dient zoveel mogelijk te worden geconcretiseerd welke persoonsgegevens exact nodig zijn om de doelstelling te behalen. Voorts zijn de gegevens die ten behoeve van de inzet van SyRI kunnen worden aangeleverd gelimiteerd.³⁸ Hierdoor wordt de inperking van het recht op privacy zo klein mogelijk gehouden. Bovenstaande is toegelicht in de memorie van toelichting bij de wet en nader uitgewerkt in onderhavig besluit.

Zo is het begrip gegevens in de artikelen 64 en 65 van de wet in het besluit uitgewerkt in een concrete lijst van gegevens. Voorts is aan de hand van een voorbeeld aangegeven welke gegevens wel en welke gegevens niet worden verstrekt en hoe het aspect van «select before you collect» bij de beoordeling van het verzoek wordt beoordeeld. Zie het voorbeeld op pagina 11 en 12 van deze nota van toelichting.

Anders dan het CBP adviseert horen aspecten als het tijdstip en de wijze waarop de indicator en het risicomodel worden gebruikt niet thuis in de begripsomschrijvingen.

Proportionaliteit en subsidiariteit

Het CBP adviseert een nadere toelichting te geven op de proportionaliteit en subsidiariteit van de gegevensverwerking waarbij het soort persoonsgegevens, de aard van de gegevensverwerkingen en de context waarbinnen de gegevensverwerkingen in SyRI plaatsvinden worden geadresseerd. Het CBP vraagt terecht aandacht voor deze aspecten. Op wetsniveau heeft deze afweging al plaatsgevonden en die is uitvoerig toegelicht. Die afweging werkt door in dit besluit. In deze nota van toelichting is verwezen naar de relevante passages in de memorie van toelichting bij het wetsvoorstel.

Het CBP stelt terecht dat de toelichting bij het subsidiariteitsvereiste niet helemaal correct is. Het advies is overgenomen en de toelichting ter zake gecorrigeerd.

Wettelijk verplichting

Volgens het CBP heeft «wettelijke verplichting» in de zin van de Wbp betrekking op iedere verplichting tot gegevensverwerking die krachtens een algemeen verbindend voorschrift wordt opgelegd. Het is daarom niet mogelijk om in artikel 65 Wet SUWI de Minister van SZW beleidsruimte te geven in de zin dat een verzoek om SyRI kan worden afgewezen, zoals wordt voorgesteld. Deze opmerking van het CBP lijkt betrekking te hebben op de grondslag uit de Wbp die voor de gegevensverwerking op grond van dit besluit is gekozen. Die grondslag is in ieder geval de noodzaak voor een goede vervulling van de publiekrechtelijke taak door de bestuursorganen, die daartoe op grond van artikel 64 van de Wet SUWI samenwerken. De bestuursorganen en personen die op grond van artikel 64 samenwerken kunnen gegevens verwerken in SyRI, maar daartoe moet een verzoek worden gedaan. Het is voor samenwerkingsverbanden niet verplicht om gebruik te maken van SyRI. In die zin is geen sprake van een wettelijke verplichting voor de gegevensverwerking via SyRI. De verwijzing naar de grondslag voor de gegevensverwerking in de Wbp is in deze nota van toelichting beperkt tot artikel 8, aanhef en onder e, Wbp om hierover in dit verband geen onduidelijkheid te laten bestaan.

Bijzondere persoonsgegevens

Het CBP stelt dat het bij de gegevensverwerking binnen SyRI ook op bijzondere persoonsgegevens kan gaan. Op grond van het gegevensbegrip in de Wet SUWI is dat in beginsel mogelijk. Echter, uit de opsomming van de soorten gegevens in artikel 5a.1 Besluit SUWI blijkt dat het in beginsel geen bijzondere gegevens betreft waarover op grond van de Wet SUWI bijzondere regels zouden kunnen worden gesteld. Dit besluit heeft geeft betrekking op gegevensverwerkingen die vallen onder het regime van de Wpg en de Wjsg. Het besluit en de toelichting op het besluit zijn aldus aangepast.

Terugkoppelingen

Het advies van het CBP om te expliciteren dat het bij terugkoppelingen door bestuursorganen ten behoeve van de evaluatie van het risicomodel ook termijnen aan het gebruik van de teruggekoppelde persoonsgegevens moeten worden gesteld, is overgenomen.

Evaluatiebepaling

Het CBP adviseert bij de evaluatie van SyRI ook verslag te doen van de privacyaspecten en gevolgen die het besluit heeft gehad voor de bescherming van de persoonsgegevens. Over de precieze vormgeving van de evaluatie in 2020 vindt nog nader overleg plaats. Het advies van het CBP zal hierbij betrokken worden. Voorts is er nader overlegd over de rol van de Functionaris voor de Gegevensbescherming bij de maatregel SyRI, nu het om gegevensverwerking door de Minister gaat

Het CBP adviseert, vanwege de aard en omvang van de gegevensverwerkingen, binnen SyRI de Functionaris voor de Gegevensbescherming (FG) jaarlijks schriftelijk te laten rapporteren over de gevolgen die het besluit in de praktijk heeft gehad voor de privacy van betrokkenen. De toezichtsinstrumenten van de FG bestaan uit privacy audits en het openbare register van meldingen van persoonsgegevensverwerkingen³⁹

5. Regeldrukeffecten

Met SyRI wordt het vooral mogelijk om reeds door de burgers of bedrijven aangeleverde gegevens bij de ene overheidsorganisatie of organisatie met een publieke taak te delen met bepaalde andere overheidsorganisaties ten behoeve van de fraudebestrijding. Het besluit heeft geen gevolgen voor de administratieve lasten en inhoudelijke nalevingkosten. Om die reden treedt dit besluit in werking direct na plaatsing in het Staatsblad. Dit ook omdat de wijzigingswet SUWI reeds op 1 januari 2014 in werking is getreden en de uitvoering op dit besluit is voorbereid.

6. Privacy Impact Assessment

Gezien de aard van het instrument SyRI is in de fase van beleidsontwikkeling een Privacy Impact Assessment (hierna: PIA) uitgevoerd.⁴⁰ Met behulp hiervan is de noodzaak van gegevensverwerking bekeken, en zijn op gestructureerde wijze de implicaties van SyRI op de gegevensbescherming in kaart gebracht. Hierbij is in het bijzonder aandacht besteed aan de beginselen van gegevensminimalisering en doelbinding, het vereiste van een goede beveiliging en de rechten van betrokkenen.

In SyRI worden persoonsgegevens verwerkt. Artikel 64, eerste lid, van de Wet SUWI geeft de doelbinding waarvoor SyRI kan worden ingezet. Per project wordt door de samenwerkende partijen het doel bepaald waarvoor SyRI wordt ingezet. Het doel voor de inzet van SyRI verschilt per project, maar dat doel moet passen binnen de doelbinding van artikel 64, eerste lid. Bij het indienen van het verzoek voor de inzet van SyRI wordt de concrete doelstelling aangegeven alsmede de concrete gegevens die worden aangeleverd. De doelstelling is voor alle samenwerkende partijen dezelfde. In het besluit is nader uitgewerkt hoe de verantwoordelijkheid voor de verwerking van gegevens in SyRI is belegd. De gegevensverwerking vindt in twee fasen plaats en zal worden gebruikt om risicomeldingen te genereren. De verwerkte gegevens worden niet verwerkt om buiten de doelbinding van SyRI het gedrag, de aanwezigheid of de prestaties van betrokkenen in kaart te brengen en of te beoordelen of te voorspellen. Door de regels die aan het instrument SyRI worden gesteld in dit besluit wordt bewerkstelligd dat met de inzet van het instrument op een zorgvuldige manier data worden verwerkt en vervolgens geanalyseerd onder verantwoordelijkheid van de Minister.

7. Evaluatie

De juridische basis van SyRI worden gevormd door de artikelen 64 en 65 van de Wet SUWI. De Wet SUWI, waaronder de betreffende artikelen, wordt iedere vijf jaar geëvalueerd. Meer in het bijzonder wordt dan naar de doeltreffendheid en de effecten van de wet gekeken. Bij de voorgenomen evaluatie van de Wet SUWI in 2020 zal ook SyRI worden geëvalueerd. Van de evaluatie zal te zijner tijd verslag worden gedaan aan de Staten-Generaal.

Artikelsgewijs

Artikel 1.1 Begripsbepalingen

Aan artikel 1.1 worden een aantal begripsomschrijvingen toegevoegd. Zo is een begripsomschrijving van «bestand» opgenomen. Qua inhoud is aangesloten op de begripsomschrijving van bestand in artikel 1 van de Wbp met dien verstande dat de begripsomschrijving in het besluit niet beperkt is tot persoonsgegevens, maar ook betrekking heeft op bedrijfsgegevens. Onder persoonsgegevens wordt elk gegeven verstaan betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Een bedrijfsgegeven is een gegeven betreffende een geïdentificeerde of identificeerbare rechtspersoon. Tussen een persoonsgegeven en een bedrijfsgegeven kan overlap zitten. Zo kan informatie over een eenmanszaak direct te herleiden zijn tot een natuurlijk persoon en daarmee tot persoonsgegevens. Wanneer in het kader van de Wet SUWI over gegevens wordt gesproken omvat dit ook persoonsgegevens in de zin van de Wbp.

Voor het begrip «bewerker» is één op één aangesloten op de begripsomschrijving in artikel 1, onderdeel e, van de Wbp. Een bewerker is degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag onderworpen te zijn. De verantwoordelijke is de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt (artikel 1, onderdeel d, van de Wbp). In een samenwerkingsverband zijn de samenwerkende bestuursorganen en personen gezamenlijk verantwoordelijke (artikel 64, tweede lid, Wet SUWI).

Voorts is een begripsomschrijving van «indicator» opgenomen. De indicatoren zijn van belang voor de risicoselectie; de risicoselectie resulteert in risicomeldingen. Aan de hand van de indicatoren worden de potentiële treffers bepaald die moeten duiden op een verhoogd risico in relatie tot het doel van de bestandskoppeling. Met andere woorden: de aanwezigheid van een indicator maakt het waarschijnlijker dat een bepaalde omstandigheid zich voordoet.

Voorbeelden van indicatoren zijn:

• a. als personen met een uitkering volgens de basisregistratie personen (Brp) op verschillende adressen ingeschreven staan terwijl zij op een adres woonachtig zijn dan kan sprake zijn van samenleeffraude;

• b. indien het vermogen van iemand in een jaar explosief stijgt kan sprake zijn van verzwegen inkomsten of vermogen;

• c. als personen met een uitkering onroerend zaak belasting betalen voor een bedrijfspand kan dat duiden op uitkeringsfraude.

Ten behoeve van de duidelijkheid is een begripsomschrijving van «samenwerkingsverband» opgenomen. In de begripsomschrijving in artikel 1.1 is verwezen naar artikel 64, eerste lid, Wet SUWI. De begripsomschrijving is daarmee tweeledig: in artikel 64, eerste lid, van de wet staan namelijk zowel het doel van de samenwerking als de bestuursorganen en personen die kunnen samenwerken genoemd. Het doel van de samenwerking is integraal overheidsoptreden op een beperkt aantal terreinen. Het aantal partijen dat kan samenwerken is gelimiteerd. De bestuursorganen en personen die deelnemen aan een samenwerkingsverband zijn in het kader van het verwerken van de gegevens gezamenlijke verantwoordelijke⁴¹ in de zin van de Wbp. Onder «verwerken» wordt hier verstaan: elke handeling of elk geheel van handelingen met betrekking tot persoons- of bedrijfsgegevens. Hieronder vallen in ieder geval het verzamelen, het vastleggen, het ordenen, het bewaren, het bijwerken, het wijzigen, het opvragen, het raadplegen, het gebruiken, het verstrekken door middel van doorzending, de verspreiding of enige andere vorm van terbeschikkingstelling, het samenbrengen, het met elkaar in verband brengen en het afschermen, het uitwisselen en het vernietigen van gegevens. Van een samenwerkingsverband is voorts alleen sprake indien het bestuursorganen en personen betreft die tevens partij zijn bij de Samenwerkingsovereenkomst voor interventieteams. Voorts heeft de begripsomschrijving alleen betrekking op samenwerkingsverbanden die gebruik willen maken van SyRI. Voor samenwerkingsverbanden die geen gebruik maken van artikel 65 geldt deze begripsomschrijving nadrukkelijk niet. Deze vallen buiten de reikwijdte van het besluit.

Zie ook paragraaf 2.2 van het algemeen deel van deze nota van toelichting.

De begripsomschrijving «samenwerkingsverband» geldt nadrukkelijk alleen voor de werkingssfeer van SyRI en wordt dus slechts gehanteerd als bestuursorganen en personen samenwerken en gebruik willen maken van SyRI. Met andere woorden: deze begripsomschrijving geldt niet in situaties dat SyRI niet wordt ingezet en het samenwerkingsverband alleen is gebaseerd op artikel 64 Wet SUWI.

In artikel 1.1 is ook een begripsomschrijving van «SyRI» opgenomen, een kernbegrip in de systematiek van SyRI. SyRI omvat de technische infrastructuur en de bijbehorende procedures waarmee in een beveiligde omgeving op een zorgvuldige manier versleutelde data kunnen worden gekoppeld en vervolgens geanalyseerd, zodat risicomeldingen kunnen worden gegenereerd. Een risicomelding betekent dat een natuurlijk persoon of rechtspersoon onderzoekswaardig wordt geacht in verband met mogelijke fraude, onrechtmatig gebruik of niet naleving van wetgeving.

Nog een kernbegrip in de systematiek van SyRI is het «SyRI-project». Dit is het project dat beoogd met gebruikmaking van SyRI informatie te vergaren voor de doelstelling van dat project (artikel 1.1). Het SyRI-project vangt op een door de Minister vast te stellen datum aan, nadat is vastgesteld dat het verzoek tot inzet van SyRI aan de voorwaarden voldoet (artikel 5a.4, eerste lid). In de praktijk zal die aanvangsdatum in samenspraak met het samenwerkingsverband en de bewerker worden bepaald. Het SyRI-project eindigt zodra de deelnemers aan het samenwerkingsverband een terugkoppeling aan de Minister hebben gegeven over de ontvangen risicomeldingen (artikel 5a.4, tweede lid).

Artikel 5a.1 Voorwaarden inzet SyRI

Dit artikel vormt een van de belangrijkste bepalingen van SyRI en betreft het verzoek van het samenwerkingsverband aan de Minister tot het inzetten van SyRI ten behoeve van een beoogd SyRI-project. Overeenkomstig het advies van het CBP bij het wetvoorstel wijzigingswet SUWI bevat het tweede lid de soorten van gegevens die in SyRI mogen worden verwerkt. Bij deze gegevens is aangesloten bij de set gegevens die aan gemeenten moeten worden verstrekt op grond van artikel 64 WWB respectievelijk gegevens die aan het UWV en de SVB moeten worden verstrekt op grond van artikel 54 Wet SUWI. Deze gegevens worden gebruikt bij het vaststellen van de rechtmatigheid van de uitkering en kunnen op basis van artikel 64 Wet SUWI ook worden gebruikt in het SyRI-project. In het artikel is op zichzelf concreet aangegeven om welke gegevens het gaat. Bij arbeidsgegevens kan gedacht worden aan arbeidsverhoudingen. Bij fiscale gegevens zijn onder meer inkomsten, omzet en vermogen relevant. Bij uitsluitingsgronden van bijstand uitkering gaat het onder meer om gegevens waaruit blijkt dat een persoon rechtens zijn vrijheid is ontnomen of zich onttrekt aan de tenuitvoerlegging van een vrijheidsstraf of vrijheidsbenemende maatregel. Bij gegevens roerende en onroerende goederen gaat het onder meer om woning- en voertuigbezit, bij handelsgegevens gaat het om bedrijfsactiviteiten, concernstructuur en rechtsvorm, bij huisvestigingsgegevens gaat het om Brp-, nuts- en huurgegevens. Nalevingsgegevens en schuldenlastgegevens zijn blijkens de omschrijving gegevens waarmee de nalevingshistorie van wet- en regelgeving van een natuurlijk persoon of rechtspersoon kan worden vastgesteld respectievelijk gegevens waarmee de eventuele schulden van een natuurlijk persoon of rechtspersoon kunnen worden vastgesteld. Deze gegevens kunnen ook strafrechtelijke persoonsgegevens bevatten mits de verantwoordelijken die gegevens verkregen hebben op grond van de Wpg en de Wjsg. Nalevingsgegevens en schuldenlastgegevens kunnen verwerkt worden indien dit past bij de doelstellingen van het SyRI project. Bij vergunningen en ontheffingen gaat het onder meer om omgevingsvergunningen en drank- en horecavergunningen.

Voor de toelichting op de prioritering en de analysecapaciteit wordt verwezen naar het algemeen deel van de toelichting op pagina 12 en 13.

De Minister stelt een prioritering van de analysecapaciteit op basis van de beschikbare capaciteit bij de Minister en de bewerker en aan de hand van bepaalde thema’s. De prioritering wordt na vaststelling door de Minister door de LSI met de partijen van de Samenwerkingsovereenkomst voor interventieteams gecommuniceerd.

Voor een uitvoerige toelichting wordt verwezen naar paragraaf 2.2 van het algemeen deel van deze nota van toelichting.

De Minister stelt een of meer risicomodellen vast. In de praktijk is dat de analyse-eenheid van de Inspectie SZW. De evaluatie, bedoeld in artikel 5a.6, wordt gebruikt om de risicomodellen te verfijnen.

Artikel 5a.2 Koppeling door bewerker

Artikel 5a.2 is pas aan de orde nadat is vastgesteld dat het verzoek van het samenwerkingsverband aan de voorwaarden van artikel 5a.1 voldoet.

In artikel 5a.2 zijn de werkzaamheden van de bewerker (IB) nader uitgewerkt. De bewerker voert de eerste fase van de risicoselectie uit (zie ook paragraaf 2.4 van het algemeen deel van deze nota van toelichting). De deelnemers aan het samenwerkingsverband leveren de bestanden met persoons- en bedrijfsgegevens aan bij de bewerker. Deze bestanden kunnen ook gegevens bevatten die instanties in het kader van de inlichtingenplicht, bedoeld in artikel 64 Wet werk en bijstand en artikel 54 van de Wet SUWI, aan gemeenten, UWV en SVB moeten verstrekken. Een voorbeeld hiervan zijn gegevens in het kader van openbare nutsvoorzieningen energie en water.

In de eerste fase brengt de bewerker de bestanden samen en versleutelt deze. Hierna worden de bestanden gekoppeld. Deze koppeling wordt aangemerkt als de opname in SyRI. Na afgifte van de risicomeldingen maken de gegevens geen deel meer uit van het systeem. De deelnemers aan het samenwerkingsverband zijn verantwoordelijken in de zin van de Wbp voor wat betreft dit voortraject, dat wil zeggen tot het aanleveren van de gegevens aan het IB. Vanaf de aanlevering aan het IB is de Minister verantwoordelijke in de zin van de Wbp⁴². Deze verantwoordelijkheid eindigt weer na het afgeven van de risicomeldingen. Vanaf de ontvangst van de risicomeldingen zijn de deelnemers aan het samenwerkingsverband ieder afzonderlijk verantwoordelijke in de zin van de Wbp voor de informatie die zij via de risicomeldingen ontvangen hebben.

Via de koppeling overeenkomstig het risicomodel worden potentiële treffers gegenereerd.

Na de ontsleuteling en verstrekking van de potentiële treffers door de bewerker (derde lid, onderdelen f en g) wordt een nadere analyse van de potentiële treffers uitgevoerd. In deze fase gaat het om ontsleutelde gegevens. Deze worden beoordeeld op onderzoekswaardigheid.

Artikel 5a.3 Analyse resultaten

Op basis van de definitieve risicoselectie bepaalt de Minister (lees: de analyse-eenheid van de Inspectie SZW) welke treffers leiden tot een risicomelding (eerste lid). Deze worden vervolgens verstrekt aan die bestuursorganen en personen van het samenwerkingsverband die deze nodig hebben ter uitvoering van hun wettelijke taak.

Zie ter zake ook artikel 65, derde lid, onderdeel a, Wet SUWI. Dit betekent dat de inhoud van de risicomelding per bestuursorgaan en persoon over eenzelfde natuurlijk persoon of rechtspersoon kan verschillen. Ook kan de Minister op verzoek van het openbaar ministerie of de politie risicomeldingen verstrekken.⁴³ Gelijktijdig met de risicomelding informeert de Minister het betrokken bestuursorgaan of persoon over de grondslag van de van toepassing zijnde geheimhoudingsplicht. Ingevolge artikel 65, vierde lid, Wet SUWI blijft de geheimhoudingsplicht namelijk gelden van de organisatie die de gegevens heeft verstrekt. Dit betekent bijvoorbeeld dat op gegevens afkomstig van de Belastingdienst de geheimhoudingsplicht van artikel 67 Algemene wet inzake rijksbelastingen van toepassing blijft.⁴⁴

De risicomeldingen die de bestuursorganen en personen van de Minister ontvangen kunnen ook aanleiding zijn deze tevens door te geleiden naar het openbaar ministerie of politie. Dit doen zij rechtstreeks zonder tussenkomst van het samenwerkingsverband of de Minister.

Het derde en vijfde lid zijn mede opgenomen naar aanleiding van de reactie van het CBP op het wetsvoorstel wijzigingswet SUWI. Door middel van deze leden wordt geborgd dat de persoons- en bedrijfsgegevens niet langer worden bewaard dan strikt noodzakelijk is.

In het derde lid is tevens bepaald dat indien een natuurlijk persoon of rechtspersoon geen onderwerp van een risicomelding is, zijn of haar gegevens binnen vier weken na afronding van de analyse worden vernietigd. Het gaat om al die gegevens die niet resulteren in een constatering van een verhoogd risico op onrechtmatige gebruik van overheidsgelden en overheidsvoorzieningen op het terrein van de sociale zekerheid en de inkomensafhankelijke regelingen, belasting- en premiefraude en het niet naleven van arbeidswetten.

In artikel 65, zesde lid, Wet SUWI is neergelegd dat de bestuurorganen en personen die een risicomelding van de Minister ontvangen de resultaten hiervan terugkoppelen aan de Minister. In artikel 5a.3, vierde lid, is bepaald binnen welke termijn die terugkoppeling moet plaatsvinden: twintig maanden te rekenen vanaf de aanvang van het SyRI-project. Feitelijk betekent dit dat het gebruik van de risicomeldingen – ruimschoots – binnen die twintig maanden moet liggen. Zie ook de paragrafen 2.4 en 2.6 van het algemeen deel van deze nota van toelichting.

Artikel 5a.4 Aanvang en einde SyRI-project

Artikel 5a.4 bepaalt wanneer een SyRI-project aanvangt en eindigt. Indien is vastgesteld dat het verzoek tot inzet van SyRI aan de voorwaarden voldoet, bepaalt de Minister vervolgens de aanvangsdatum van het SyRI-project (eerste lid). Uiteraard gebeurt dit in overleg met dat samenwerkingsverband. Het vaststellen van de aanvangsdatum hangt direct samen met de beschikbare capaciteit van het IB en de prioritering van de analysecapaciteit (zie artikel 5a.1, zevende lid). Van het SyRI-project doet de Minister vervolgens mededeling in de Staatscourant.

Het SyRI-project eindigt zodra alle deelnemers aan het samenwerkingsverband een terugkoppeling aan de Minister hebben gegeven over het nut en de bruikbaarheid van de risicomeldingen (tweede lid). Hierbij wordt de ontvangst van de laatste terugkoppeling als einddatum gehanteerd. In artikel 5a.3, vierde lid, is hieraan ook een termijn gekoppeld: binnen twintig maanden na aanvang van het SyRI-project moet de terugkoppeling aan de Minister hebben plaatsgevonden. Zie ook paragraaf 2.6 van het algemeen deel van deze nota van toelichting.

Artikel 5a.5 Register risicomeldingen

De risicomeldingen die worden gedaan worden opgeslagen in een register risicomeldingen waarvan de Minister de verantwoordelijke in de zin van de Wet bescherming persoonsgegevens is (tweede lid). Het eerste lid bepaalt voor welk doel de risicomeldingen in het register risicomeldingen worden opgenomen en het derde lid bepaalt dat de gegevens uit het register risicomeldingen gelet op de doelomschrijving in het eerste lid alleen aan projectdeelnemers en subjecten van onderzoeken worden verstrekt. De subjecten worden niet geïnformeerd over de risicomeldingen die in het register risicomeldingen worden verwerkt (vierde lid). Indien een subject een verzoek om informatie over de verwerking in het register risicomeldingen indient, wordt het verzoek beoordeeld met inachtneming van de Wet bescherming persoonsgegevens.

De risicomeldingen worden, gelet op het bepaalde in het vijfde lid, voor de duur van twee jaar in het register risicomeldingen opgenomen. Na die twee jaar worden de risicomeldingen vernietigd.

Zie ook paragraaf 2.5 van het algemeen deel van deze nota van toelichting.

Artikel 5a.6 Evaluatie

Vooralsnog bestaan er twee standaard risicomodellen. Op termijn is het de bedoeling dat de mogelijkheid te creëren om voor een SyRI-project een speciaal op dat project toegesneden risicomodel te hanteren. Op grond van dit artikel is de Minister verplicht het risicomodel te evalueren aan de hand van de ontvangen terugkoppelingen (eerste lid). Hiervoor worden de ontvangen terugkoppelingen van de bestuursorganen en personen die hebben deelgenomen aan het SyRI-project op grond van artikel 65, zesde lid, Wet SUWI als basis gebruikt evenals het register. Het tweede lid beschrijft de voorwaarden waaraan de terugkoppeling moet voldoen. Indien nodig kunnen op grond van het derde lid nadere voorwaarden worden gesteld aan de wijze van terugkoppeling en voor het proces van evaluatie.

Artikel 5a.7 Proces-verbaal vernietiging

Bij de vernietiging van gegevens in het kader van de artikelen 5a.2, vierde lid, 5a.3, derde en vijfde lid, en 5a.5, vijfde lid, door de Minister of de bewerker, zijn zij verplicht een proces-verbaal vernietiging op te stellen. Dit is een extra waarborg voor bestuursorganen en personen van het samenwerkingsverband dat de eerder aangeleverde gegevens daadwerkelijk vernietigd worden. Om te zorgen dat dit telkens eenduidig aan de samenwerkingsverbanden wordt gecommuniceerd zal door de Minister een model proces-verbaal worden vastgesteld dat standaard moet worden gebruikt.

De Minister van Sociale Zaken en Werkgelegenheid, L.F. Asscher

---

1 P. 25.

2 Artikel 64, eerste lid.

3 Onder personen worden toezichthoudende organen, zoals de Inspectie SZW, verstaan; dit zijn dus geen individuele personen (Kamerstukken II 2012/13, 33 579, nr. 3, p. 4).

4 Kamerstukken II 2012/13, 33 579, nr. 3, p. 37.

5 Artikel III van de Samenwerkingsovereenkomst voor interventieteams d.d. 8 oktober 2003.

6 Kamerstukken II 2012/13, 33 579, nr. 3, p. 4.

7 Kamerstukken II 2012/13, 33 579, nr. 3, p. 4, 37.

8 Artikel 5a.1, tweede lid.

9 Zie artikel 5a.1, tweede lid, onderdelen a en b, en Kamerstukken II 2012/13, 33 579, nr. 3, p. 4 en 36.

10 Zie artikel 5a.1, derde lid.

11 Zie artikel 5a.1, tweede lid, onderdeel a.

12 Zie artikel 5a.1, tweede lid, onderdeel c.

13 Zie artikel 5a.1, tweede lid, onderdeel d.

14 Zie artikel 5a.1, vierde lid en Kamerstukken II 2012/13, 33 579, nr. 3, p. 37.

15 Kamerstukken II 2012/13, 33 579, nr. 3, p. 24–25.

16 Zie artikel 5a.1, vierde lid, onderdelen c en e en Kamerstukken II 2013/14, 33 579, nr. 3, p. 4.

17 Zie artikel 5a.1, vierde lid, onderdeel c en Kamerstukken II 2013/14, 33 579, nr. 3, p. 25.

18 P. 18–20.

19 Zie artikel 5a.1, vierde lid, onderdeel e.

20 P. 20–23.

21 Zie artikel 5a.1, vijfde lid.

24 Artikel 5a.1, zesde lid.

25 Artikel 5a.2, eerste lid.

26 Zie p. 4–5 van het algemeen deel van de memorie van toelichting bij de wijzigingswet SUWI.

27 Zie p. 5 van het algemeen deel van de memorie van toelichting bij de wijzigingswet SUWI.

28 Artikel 5a.2, vierde lid.

29 Artikel 5a.7, eerste lid.

30 Artikel 65, derde lid, onderdeel a, van de Wet SUWI.

31 Artikel 65, derde lid, onderdeel b, van de Wet SUWI.

32 Artikel 5a.3, derde lid.

33 Artikel 5a.3, vijfde lid.

34 Artikel 5a.7, eerste lid.

35 Artikel 5a.3, vijfde lid.

36 Artikel 5a.5, derde lid.

38 Zie artikel 5a.1, derde lid, van het Besluit SUWI.

39 Regeling van de Minister van Sociale Zaken en Werkgelegenheid van 21 april 2011, nr. BO/BVA/2011/1037, houdende de toedeling van toezichtsbevoegdheden aan de functionaris voor de gegevensbescherming van het Ministerie van Sociale Zaken en Werkgelegenheid (Regeling toezichtsbevoegdheden functionaris voor de gegevensbescherming SZW) (Stcrt. 2011, 7524)

40 Zie ook Kamerstukken I 2010/11, 31 051, nr. D; motie-Franken.

41 De natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt (artikel 1, onderdeel e, van de Wbp).

42 Kamerstukken II 2012/13, 33 579, nr. 3, p. 38.

43 Zie art. 65, derde lid, onderdeel b van de Wet SUWI.

44 Kamerstukken II 2012/13, 33 579, nr. 3, p. 39.

histnoot Het advies van de Afdeling advisering van de Raad van State wordt met de daarbijbehorende stukken openbaar gemaakt door publicatie in de Staatscourant.