Besluit van 19 november 2020 tot wijziging van het Besluit SUWI in verband met de taken en verantwoordelijkheden van het Inlichtingenbureau

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op de voordracht van de Staatssecretaris van Sociale Zaken en Werkgelegenheid van 21 juli 2020, nr. 2020-0000095830;

Gelet op artikel 63 van de Wet structuur uitvoeringsorganisatie werk en inkomen;

De Afdeling advisering van de Raad van State gehoord (advies van 7 oktober 2020, no. W12.20.0285/III);

Gezien het nader rapport van de Staatssecretaris van Sociale Zaken en Werkgelegenheid van 17 november 2020, nr. 2020-0000140183;

Hebben goedgevonden en verstaan:

ARTIKEL I

Artikel 5.24 van het Besluit SUWI komt te luiden:

Artikel 5.24. Taken en verantwoordelijkheden

• 1. Het Inlichtingenbureau verwerkt gegevens die bij of krachtens enige wet door tussenkomst van het Inlichtingenbureau aan of door colleges van burgemeester en wethouders worden verstrekt, voor zover artikel 62 van de Wet SUWI van toepassing is. Het Inlichtingenbureau kan tevens, als verwerker, de gegevens verwerken die door het UWV, de Dienst wegverkeer of de Belastingdienst op grond van enig wettelijk voorschrift worden verstrekt aan colleges van burgemeester en wethouders, voor zover dit noodzakelijk is voor het verlenen van kwijtschelding van gemeentelijke belastingen, bedoeld in artikel 255 van de Gemeentewet.

• 2. De in het eerste lid genoemde gegevens kunnen justitiële gegevens betreffen, die aan de colleges van burgemeester en wethouders worden verstrekt op grond van artikel 13a, tweede lid, onderdelen l, m en n, van het Besluit justitiële en strafvorderlijke gegevens met het oog op het nemen van een besluit tot oplegging van een bestuurlijke boete op grond van de wetten, genoemd in die onderdelen.

• 3. Het Inlichtingenbureau en de betrokken colleges van burgemeester en wethouders zijn gezamenlijke verwerkingsverantwoordelijken als bedoeld in artikel 26 van de Algemene verordening gegevensbescherming, voor de verwerking van persoonsgegevens als bedoeld in het eerste lid, eerste volzin, en het tweede lid.

• 4. Bij ministeriële regeling kan worden bepaald welke gegevens door het Inlichtingenbureau worden verwerkt bij de uitoefening van de taken, genoemd in het eerste en tweede lid, en wat de respectievelijke verantwoordelijkheden zijn van het Inlichtingenbureau en de betrokken colleges van burgemeester en wethouders voor de nakoming van de verplichtingen uit hoofde van de Algemene verordening gegevensbescherming.

ARTIKEL II

Dit besluit treedt in werking met ingang van de eerste dag van de derde kalendermaand na de datum van uitgifte van het Staatsblad waarin het wordt geplaatst.

Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.

’s-Gravenhage, 19 november 2020

Willem-Alexander

De Staatssecretaris van Sociale Zaken en Werkgelegenheid, B. van ’t Wout

Uitgegeven de zesentwintigste maart 2021

De Minister van Justitie en Veiligheid, F.B.J. Grapperhaus

TOELICHTING

Algemeen

Aanleiding

Aanleiding voor deze wijziging is een briefwisseling tussen de Autoriteit Persoonsgegevens (AP) en de Staatssecretaris van Sociale Zaken en Werkgelegenheid met betrekking tot het Inlichtingenbureau (het IB). De AP signaleerde dat ten aanzien van de verschillende verwerkingen van persoonsgegevens door het IB onvoldoende duidelijk is wie daarvoor de verwerkingsverantwoordelijke is in de zin van (thans) de Algemene verordening gegevensbescherming (AVG). In de praktijk fungeert het IB vanuit zijn eigen dienstenaanbod als intermediair tussen gemeenten en andere instanties, en de AP constateerde dat de gegevensverwerkingen die gepaard gaan met deze intermediaire rol de reikwijdte overstijgen van de verantwoordelijkheden van individuele gemeenten, en dat deze verwerkingen onderdeel uitmaken van een stelselvoorziening die wordt beheerd door het IB. Vervolgens concludeert de AP dat de constructie met het IB als verwerker niet aansluit op de functionele inhoud van het begrip verwerkingsverantwoordelijke in de zin van de AVG. Ten eerste kan het IB niet namens individuele gemeenten optreden als verwerker, omdat het IB eigen taken verricht als gegevensknooppunt in opdracht van de minister. Ten tweede hebben de gegevensverwerkingen een gemeente-overstijgend karakter en kan daarom niet worden gezegd dat het IB uitsluitend gegevens verwerkt ten behoeve van een of meer gemeenten, en ten derde hebben gemeenten geen zeggenschap over het doel en de middelen van de betreffende verwerkingen. Daarom adviseerde de AP om de huidige regelgeving met betrekking tot de wettelijke taak en positionering van het IB op heldere wijze in lijn te brengen met de AVG. Met dit besluit wordt aan dit advies gehoor gegeven.

Het Inlichtingenbureau: wettelijk kader en taken

Het Inlichtingenbureau wordt in artikel 1 van de Wet SUWI gedefinieerd als de instelling die door de Minister van Sociale Zaken en Werkgelegenheid is belast met de coördinatie en dienstverlening ten behoeve van de gemeenten bij de verwerking van gegevens, voor zover dit noodzakelijk is voor de uitvoering van taken op het gebied van sociale zekerheid. De aanwijzing van de Stichting Inlichtingenbureau als Inlichtingenbureau, in de zin van artikel 1 van de wet, is geregeld in artikel 6.6 van de Regeling SUWI. Overigens levert het Inlichtingenbureau ook informatiediensten op beleidsterreinen van de Ministeries van VWS en OCW. Deze blijven in dit kader echter buiten beschouwing, gelet op de afbakening van de wettelijke taak van het IB tot de verwerking van gegevens op het gebied van sociale zekerheid van het IB in artikel 1 van de Wet SUWI.

In artikel 63 van de wet is bepaald dat bij of krachtens algemene maatregel van bestuur nadere regels worden gesteld voor de taken, de financiering en het beheer van het IB bij de toepassing van de in artikel 62 genoemde wetten. Dit zijn de Participatiewet, de Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte werkloze werknemers, de Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen, de Wet gemeentelijke schuldhulpverlening en andere wetten, voor zover het betreft taken die aan de colleges van burgemeester en wethouders zijn opgedragen en dit voortvloeit uit de samenwerking, bedoeld in artikel 9 van de Wet SUWI (hierna: de gemeentelijke wetten).

Deze nadere regels als bedoeld in artikel 63 zijn gesteld in §5.7 van het Besluit SUWI, in de artikelen 5.24 en 5.25. In artikel 5.24, eerste lid (oud), was bepaald dat het IB verwerker is in de zin van de AVG voor het verwerken van gegevens, die door tussenkomst van het IB aan of door colleges van burgemeester en wethouders worden verstrekt, voor zover artikel 62 van de Wet SUWI van toepassing is, en voor het verwerken van de gegevens noodzakelijk voor het verlenen van kwijtschelding van gemeentelijke belastingen als bedoeld in artikel 255 van de Gemeentewet, die door het UWV, de Dienst wegverkeer of de Belastingdienst op grond van enig wettelijk voorschrift worden verstrekt aan colleges van burgemeester en wethouders.

In Bijlage XVIII (Gegevensregister IB) bij de Regeling SUWI zijn de gegevens opgenomen als bedoeld in artikel 5.24, derde lid, van het Besluit SUWI, die door het IB worden verwerkt. Dit betreft een verwijzing naar het Gegevensregister Stichting Inlichtingenbureau (Verwerkingsactiviteiten Wet SUWI/Participatiewet).

Het IB heeft een ondersteunende en intermediaire rol bij de gegevensuitwisseling ten behoeve van de uitvoering van de gemeentelijke wetten. Zo zorgt het IB ervoor dat gemeenten en andere instanties, zoals het UWV, elkaars bestanden kunnen inzien door middel van de elektronische voorzieningen bedoeld in artikel 62 van de wet (dit betreft onder meer Suwinet), en routeert het deze gegevens. Ook voert het IB in bepaalde gevallen bestandsvergelijkingen uit. Deze rol als stelselvoorziening voor gemeenten is noodzakelijk in gevallen waarin het niet van alle afzonderlijke gemeenten gevergd kan worden om individueel op te treden in de samenwerking ten behoeve van de uitvoering van de gemeentelijke wetten. Zo voorkomt de wettelijke regeling van de verwerkingen door het IB dat alle gemeenten afzonderlijk verwerkersovereenkomsten zouden moeten afsluiten met betrekking tot de benodigde persoonsgegevens, afhankelijk van de relevante producten en diensten.

Verwerkingsverantwoordelijkheid voor de verwerking van persoonsgegevens door het IB

De colleges van burgemeester en wethouders zijn verwerkingsverantwoordelijken voor de verwerking van persoonsgegevens ten behoeve van de uitvoering van de gemeentelijke wetten. Daarnaast is in artikel 62 van de wet bepaald dat voor de gegevensuitwisseling tussen colleges, UWV en SVB met betrekking tot hun regionale samenwerking in de dienstverlening, deze partijen gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 van de AVG zijn. Voor de verwerkingen met tussenkomst van het IB was het IB in artikel 5.24 van het Besluit SUWI aangewezen als verwerker.

Deze verantwoordelijkheidsverdeling bleek aanscherping en verduidelijking te behoeven, gelet op de taken van het IB. Het IB verricht coördinerende en dienstverlenende taken ten behoeve van de gemeenten bij de verwerking van gegevens, en biedt in dat kader standaardvoorzieningen voor alle gemeenten. Individuele gemeenten kunnen op die voorzieningen niet de invloed op uitoefenen die past bij de rolverdeling verwerkingsverantwoordelijke-verwerker. Voorts kon het IB in bepaalde gevallen door de positie als verwerker genoodzaakt zijn tot een omslachtige werkwijze. Dit speelt bijvoorbeeld bij mutaties in de wijze waarop gegevens uit het BRP worden gebruikt, waarvoor toestemming moest worden gevraagd bij alle betreffende colleges van burgemeester en wethouders. Tot slot was de handelswijze bij onder meer eventuele datalekken bij het IB volgens de voormalige verantwoordelijkheidsverdeling onpraktisch.

Gezamenlijke verwerkingsverantwoordelijkheid

In plaats van de constructie met het IB als verwerker voor de verwerkingshandelingen ten behoeve van de uitvoering van de gemeentelijke wetten, is een ketensamenwerkingsverband met het IB als bovenlokaal en intermediair «Informatieknooppunt Gemeenten» passend. In dit knooppunt fungeert het IB als stelselvoorziening, en voert daarbij een taak uit van algemeen belang. Hierbij is gezamenlijke verwerkingsverantwoordelijkheid in de zin van artikel 26 van de AVG het uitgangspunt. Het IB is uit dien hoofde mede verwerkingsverantwoordelijk voor bepaalde verwerkingen van persoonsgegevens binnen dit samenwerkingsverband.

Op grond van artikel 26, eerste lid, van de AVG dienen gezamenlijke verwerkingsverantwoordelijken hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van de AVG vast. Deze taakverdeling dient te worden vastgelegd in een onderlinge regeling, tenzij en voor zover de verantwoordelijkheden reeds zijn vastgesteld bij een toepasselijke Unierechtelijke of lidstaatrechtelijke bepaling. Op grond van artikel 5.24, vierde lid, kan een deel van deze verantwoordelijkheidsverdeling worden geregeld in een ministeriële regeling.

In het «Aansluit- en samenwerkingsprotocol Stichting Inlichtingenbureau – Gemeenten 2020 (Verwerkingsactiviteiten Wet SUWI / Participatiewet» is verder uitgewerkt wat de respectieve verantwoordelijkheden van het IB en de betrokken colleges van burgemeester en wethouders zijn. Dit protocol bevat onder meer regelingen over de informatiebeveiliging, het melden van datalekken en de taakverdeling in het kader van het door betrokkenen uitoefenen van hun rechten. Dit betreft daarmee een onderlinge regeling als bedoeld in artikel 26, eerste lid, AVG. Indien een betrokkene zich tot een andere partij wendt dan degene die in de taakverdeling is aangewezen, dan wordt het verzoek, gelet op artikel 26, derde lid, AVG, doorgeleid naar de juiste verwerkingsverantwoordelijke. Indien de betrokkene niet doorgeleid wenst te worden dragen de gezamenlijke verwerkingsverantwoordelijken in goed onderling overleg zorg voor een passend antwoord op het verzoek.

Voorts geeft het Gegevensregister IB, als bedoeld in artikel 6.2, tweede lid, van de Regeling SUWI per informatiedienst gedetailleerde informatie over:

• Verwerkingsdoeleinde(n);

• Bronnen en categorieën van persoonsgegevens;

• Categorieën van betrokkenen;

• Categorieën van ontvangers;

• De maximale termijnen gedurende welke de verschillende categorieën van gegevens worden bewaard (bewaartermijnen);

De taakverdeling in deze samenhangende regelingen geeft invulling aan de bijzondere aard van de gegevensverwerkingen van het IB, dat als informatieknooppunt ten dienste staat van de gemeenten, maar daarbij als (beheerder van de) stelselvoorziening zelfstandige verantwoordelijkheden en taken heeft. De taakverdeling maakt een onderscheid tussen de verwerkingen waarvoor individuele gemeenten als aangesloten organisaties de verwerkingsverantwoordelijkheid dragen, zoals het behandelen van aanvragen voor een Participatiewet-uitkering, en de verwerkingen waarvoor het IB de verwerkingsverantwoordelijkheid draagt als beschreven in het «Gegevensregister Stichting Inlichtingenbureau (Verwerkingsactiviteiten Wet SUWI / Participatiewet)», zoals de ondersteuning van rechtmatigheidscontroles door gemeenten, door middel van het verstrekken van rapportages en signalen op basis van gegevens van andere organisaties en beslislogica.

Hiermee wordt beoogd onduidelijkheid weg te nemen over de rechtspositie en AVG-verantwoordelijkheden van het IB. Hierdoor kan het IB onder meer zelfstandig optreden bij het nakomen van AVG-verplichtingen waar dat in de rede ligt, zoals bij het melden van datalekken die optreden bij activiteiten van het IB. Ook stelt dit het IB en gemeenten beter in staat om recht te doen aan het uitgangspunt van een doeltreffende en evenredige bescherming van de betrokkenen. Dit heeft onder meer betrekking op de verplichting van de verwerkingsverantwoordelijke om de in de artikelen 13 en 14 van de AVG bedoelde informatie te verstrekken. Daarnaast versoepelt de nieuwe constructie de gegevensverstrekking door instanties als de Rijksdienst voor Identiteitsgegevens (RvIG) aan het IB. Zo kan het IB bijvoorbeeld, in geval van mutaties in het gebruik van BRP-gegevens, zelfstandig de nodige aanpassingen doen. Dit vermindert de administratieve lasten van zowel het IB als van gemeenten.

Met deze wijziging wordt recht gedaan aan de verplichtingen die volgen uit de AVG, op een wijze die passend is voor de betrekking tussen de Minister van Sociale Zaken en Werkgelegenheid als stelselverantwoordelijke, het IB als (beheerder van de) stelselvoorziening en gemeenten als op de stelselvoorziening aangesloten partijen.

Omdat met dit besluit technische materie wordt geregeld is afgezien van internetconsultatie. De verduidelijking met betrekking tot de taken en verantwoordelijkheden van het IB heeft geen verandering in de rechten en plichten van burgers, bedrijven en instellingen en heeft evenmin grote gevolgen voor de uitvoeringspraktijk.

Advies ATR

Het Adviescollege toetsing regeldruk kan zich vinden in bovenstaande beschrijving van de gevolgen voor de regeldruk.

Advies Autoriteit Persoonsgegevens

De AP geeft in het advies van 30 maart 2020 aan geen opmerkingen te hebben over het concept.

Artikelsgewijs

Artikel I (artikel 5.24)

Artikel 5.24 is opnieuw vastgesteld vanwege het aantal wijzigingen. Het opschrift is aangepast, zodat dit de inhoud van het artikel beter omschrijft en beter aansluit bij de delegatiegrondslag van artikel 63 van de Wet SUWI.

Het eerste lid en tweede lid zijn om redactionele redenen anders geformuleerd. De voornaamste inhoudelijke wijziging is dat het IB niet langer verwerker is voor de verwerkingen genoemd in het eerste lid, eerste volzin, en het tweede lid.

In het nieuwe derde lid is geregeld dat het IB voor die verwerkingen gezamenlijke verwerkingsverantwoordelijke is in de zin van artikel 26 van de AVG, samen met de betrokken colleges van burgemeester en wethouders. Betrokken onderdeel dient in dit verband aldus te worden begrepen, dat het IB niet voor alle verwerkingen gezamenlijk met alle colleges van burgemeester en wethouders verwerkingsverantwoordelijke is, maar steeds met uitsluitend het college dat voor een specifieke wettelijke taak de relevante gegevens aan het IB dient te verstrekken of van het IB dient te ontvangen, of in voorkomend geval met meerdere colleges.

Tot slot is het voormalige derde lid deels opgenomen in het vierde lid, en is toegevoegd dat tevens bij ministeriële regeling kan worden bepaald wat de respectievelijke verantwoordelijkheden zijn voor de nakoming van de verplichtingen uit hoofde van de AVG van het IB en de betrokken colleges van burgemeester en wethouders. De strekking hiervan is met name om een voor betrokkenen transparante regeling te treffen, onder meer over welke van de verwerkingsverantwoordelijke partijen in verschillende situaties als eerste aanspreekpunt fungeert en wat hun onderlinge rolverdeling is bij de verschillende taken en verplichtingen uit hoofde van de AVG.

Artikel II

Het artikel houdt rekening met de vaste invoertermijn voor de inwerkingtreding van algemene maatregelen van bestuur. Wel wordt afgeweken van de vaste verandermomenten 1 januari of 1 juli, omdat de bestaande praktijk onveranderd blijft en dit besluit enkel een einde maakt aan een onduidelijke situatie. Het is daarom niet bezwaarlijk om een afwijkende inwerkingtredingsdatum aan te houden die tot gevolg heeft dat dit besluit eerder in werking kan treden.

De Staatssecretaris van Sociale Zaken en Werkgelegenheid, B. van ’t Wout