Besluit van 28 juni 2023, houdende wijziging van het Besluit verwerking persoonsgegevens generieke digitale infrastructuur in verband met het stellen van regels over de bevoegdheidsverklaringsdienst en gezagsmodule

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op de voordracht van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties van 3 oktober 2022, nr 2022-0000529373/CZW/SB;

Gelet op artikel X, derde lid, van de Wet elektronisch berichtenverkeer Belastingdienst;

De Afdeling advisering van de Raad van State gehoord (advies van 21 december 2022, WO W04.22.00116/I);

Gezien het nader rapport van de Minister van Binnenlandse Zaken en Koninkrijksrelaties van 20 juni 2023 nr 2023-0000361019/CZW/SB;

Hebben goedgevonden en verstaan:

ARTIKEL I

Het Besluit verwerking persoonsgegevens generieke digitale infrastructuur wordt als volgt gewijzigd:

A

Artikel 1 wordt als volgt gewijzigd.

1. In de alfabetische volgorde worden de volgende begrippen ingevoegd:

– afnemer van de bevoegdheidsverklaringsdienst:

een overheidsorgaan dat, of een rechtspersoon met een wettelijke taak, niet zijnde een overheidsorgaan, die in het kader van elektronische dienstverlening gebruik maakt van de bevoegdheidsverklaringsdienst;

– bevoegdheidsverklaring:

een verklaring als bedoeld in artikel 7a;

– bevoegdheidsverklaringsdienst:

de door Onze Minister beheerde voorziening die aan afnemers van de bevoegdheidsverklaringsdienst een bevoegdheidsverklaring afgeeft over de vertegenwoordigingsbevoegdheid van een beoogd vertegenwoordiger;

– gezagsmodule:

de door Onze Minister beheerde module die een gezagsverklaring genereert en verstrekt;

– gezagsverklaring:

een verklaring als bedoeld in artikel 7b;

– vertegenwoordiger:

de natuurlijke persoon of rechtspersoon die een andere natuurlijke persoon vertegenwoordigt bij elektronische dienstverlening door een bestuursorgaan of aangewezen organisatie.

2. In de begripsbepaling voor «gebruiker van DigiD machtigen» wordt «gemachtigde» vervangen door «vertegenwoordiger».

3. De begripsbepaling voor «gemachtigde» vervalt.

4. De begripsbepaling voor «vertegenwoordigde» komt te luiden: vertegenwoordigde: een natuurlijk persoon of rechtspersoon die zich ter behartiging van zijn belangen in het elektronisch verkeer met bestuursorganen en aangewezen organisaties laat vertegenwoordigen door een andere natuurlijke persoon of rechtspersoon.

B

Na artikel 3 worden twee artikelen ingevoegd, luidende:

Artikel 3a. Persoonsgegevens bevoegdheidsverklaringsdienst

Onze Minister verwerkt voor de inrichting, beschikbaarstelling, instandhouding, werking, beveiliging en betrouwbaarheid van de bevoegdheidsverklaringsdienst de volgende persoonsgegevens over:

  • a. de beoogd vertegenwoordiger waarvoor een bevoegdheidsverklaring wordt gevraagd:

    • 1. de naam en de noodzakelijke gegevens om deze correct weer te geven;

    • 2. een nummer dat ter identificatie van een persoon kan worden gebruikt of tot een persoon kan worden herleid, waaronder het burgerservicenummer of een versleutelde of afgeleide vorm daarvan, of het door de Kamer van Koophandel bedoeld in artikel 2 van de Wet op de Kamer van Koophandel, uniek toegekende nummer aan een rechtspersoon of een onderneming die in Nederland is gevestigd en toebehoort aan een natuurlijke persoon;

    • 3. de gebruiksgegevens, waaronder het IP-adres en de kenmerken van de gebruikte software en hardware van het apparaat waarmee de beoogd vertegenwoordiger is ingelogd, handelingen van de beoogd vertegenwoordiger, het door die persoon gebruikte identificatiemiddel en betrouwbaarheidsniveau, de website van de organisatie waar de beoogd vertegenwoordiger een middel heeft aangevraagd of vanuit welke de authenticatie van de identiteit van deze persoon wordt uitgevoerd, sessiegegevens, waaronder cookies, en overige gegevens met betrekking tot het soort en tijdstip, kenmerken van het gebruik waaronder gegevens over toegang tot medische diensten waar mogelijk in versleutelde vorm;

    • 4. de dienst waar de beoogd vertegenwoordiger gebruik van wil maken en de naam van de afnemer van de bevoegdheidsverklaringsdienst;

    • 5. het gegeven dat de gebruiker voor een ander in wil loggen;

    • 6. de aard van de bevoegdheid van de beoogd vertegenwoordiger om te handelen namens de beoogd vertegenwoordigde;

  • b. de beoogd vertegenwoordigde voor wie een bevoegdheidsverklaring wordt gevraagd:

    • 1. de naam en de noodzakelijke gegevens om deze correct weer te geven en de geboortegegevens of eventueel datum van overlijden;

    • 2. een nummer dat ter identificatie van de vertegenwoordigde kan worden gebruikt of tot de vertegenwoordigde kan worden herleid, waaronder het burgerservicenummer of een versleutelde of afgeleide vorm daarvan;

  • c. afnemers van de bevoegdheidsverklaringsdienst: administratieve gegevens noodzakelijk in verband met het gebruik door de afnemer van de bevoegdheidsverklaringsdienst, waaronder, indien van toepassing, de naam van de bevoegde bestuurder van de rechtspersoon die gebruik maakt van de bevoegdheidsverklaringsdienst en de naam, de functie, het e-mailadres en het telefoonnummer van contactpersonen bij de betreffende afnemer.

Artikel 3b. Persoonsgegevens gezagsmodule

Onze Minister verwerkt voor de inrichting, beschikbaarstelling, instandhouding, werking, beveiliging en betrouwbaarheid van de gezagsmodule, voor het opstellen van een verklaring als bedoeld in artikel 7b, onderdeel a, de volgende persoonsgegevens over:

  • a. de beoogd vertegenwoordiger waarvoor een gezagsverklaring wordt gevraagd:

    • 1. de naam en de noodzakelijke gegevens om deze correct weer te geven, de geboortegegevens en, in voorkomend geval, de reden voor de opschorting van de verwerking van de gegevens op de persoonslijst in de basisregistratie personen;

    • 2. een nummer dat ter identificatie van een persoon kan worden gebruikt of tot een persoon kan worden herleid, waaronder het burgerservicenummer of een versleutelde of afgeleide vorm daarvan of het door de Kamer van Koophandel, bedoeld in artikel 2 van de Wet op de Kamer van Koophandel, uniek toegekende nummer aan een rechtspersoon of een onderneming die in Nederland is gevestigd en toebehoort aan een natuurlijke persoon;

    • 3. de gebruiksgegevens, waaronder het IP-adres en de kenmerken van de gebruikte software en hardware van het apparaat waarmee de beoogd vertegenwoordiger is ingelogd, handelingen van de beoogd vertegenwoordiger, het door die persoon gebruikte identificatiemiddel en betrouwbaarheidsniveau, de website van de organisatie waar de beoogd vertegenwoordiger een middel heeft aangevraagd of vanuit welke de authenticatie van de identiteit van deze persoon wordt uitgevoerd, sessiegegevens, waaronder cookies, en overige gegevens met betrekking tot het soort en tijdstip, kenmerken van het gebruik waaronder gegevens over toegang tot medische diensten waar mogelijk in versleutelde vorm;

    • 4. gegevens ter vaststelling van de familierechtelijke betrekkingen van de beoogd vertegenwoordiger met de beoogd vertegenwoordigde;

    • 5. gegevens over de inschrijving van de beoogd vertegenwoordiger in de Basisregistratie personen, bedoeld in artikel 1.2 van de Wet basisregistratie personen;

    • 6. gegevens betreffende eventuele beperkingen van de handelingsbevoegdheid van de beoogd vertegenwoordiger;

    • 7. gegevens betreffende de ouderlijk gezagsrelatie tussen de beoogd vertegenwoordiger en de beoogd vertegenwoordigde;

    • 8. de dienst en de naam van de dienstaanbieder waar de beoogd vertegenwoordiger gebruik van wil maken;

    • 9. de aard van de bevoegdheid van de beoogd vertegenwoordiger om te handelen namens de beoogd vertegenwoordigde.

  • b. de huwelijkspartner of geregistreerd partner van de beoogd vertegenwoordiger waarvoor een gezagsverklaring wordt gevraagd:

    • 1. de naam en de noodzakelijke gegevens om deze correct weer te geven, de geboortegegevens en, in voorkomend geval, de reden voor de opschorting van de verwerking van de gegevens op de persoonslijst in de basisregistratie personen;

    • 2. een nummer dat ter identificatie van een persoon kan worden gebruikt of tot een persoon kan worden herleid, waaronder het burgerservicenummer of een versleutelde of afgeleide vorm daarvan of het door de Kamer van Koophandel, bedoeld in artikel 2 van de Wet op de Kamer van Koophandel, uniek toegekende nummer aan een rechtspersoon of een onderneming die in Nederland is gevestigd en toebehoort aan een natuurlijke persoon;

  • c. de beoogd vertegenwoordigde waarvoor een gezagsverklaring wordt gevraagd:

    • 1. de naam en de noodzakelijke gegevens om deze correct weer te geven, de geboortegegevens en, in voorkomend geval de reden voor de opschorting van de verwerking van de gegevens op de persoonslijst in de basisregistratie personen;

    • 2. een nummer dat ter identificatie van een persoon kan worden gebruik of tot een persoon kan worden herleid, waaronder het burgerservicenummer of een versleutelde of afgeleide vorm daarvan of het door de Kamer van Koophandel, bedoeld in artikel 2 van de Wet op de Kamer van Koophandel, uniek toegekende nummer aan een rechtspersoon of een onderneming die in Nederland is gevestigd en toebehoort aan een natuurlijke persoon;

    • 3. gegevens betreffende de familierechtelijke betrekkingen van de beoogd vertegenwoordigde met de beoogd vertegenwoordiger;

    • 4. gegevens betreffende de inschrijving van de beoogd vertegenwoordigde in de Basisregistratie personen, bedoeld in artikel 1.2 van de Wet basisregistratie personen;

    • 5. gegevens betreffende de ouderlijk gezagsrelatie tussen de beoogd vertegenwoordiger en de beoogd vertegenwoordigde.

C

Na artikel 7 worden twee artikelen ingevoegd, luidende:

Artikel 7a. Verstrekkingen in verband met de bevoegdheidsverklaringsdienst

Onze Minister verstrekt:

  • a. op verzoek van afnemers van de bevoegdheidsverklaringsdienst aan die afnemers een verklaring over de bevoegdheid van een beoogd vertegenwoordiger om te handelen namens een beoogd vertegenwoordigde of een bericht zonder deze informatie, wanneer een bevoegdheid om te handelen namens de beoogd vertegenwoordigde niet is vastgesteld;

  • b. aan de gezagsmodule uit de bevoegdheidsverklaringsdienst ter verkrijging van een gezagsverklaring:

    • 1. het burgerservicenummer van de beoogd vertegenwoordiger en de beoogd vertegenwoordigde; en

    • 2. de dienst en de naam van de dienstaanbieder waar de beoogd vertegenwoordiger gebruik van wil maken.

Artikel 7b. Verstrekkingen in verband met de gezagsmodule

Onze Minister verstrekt uit de gezagsmodule aan de bevoegdheidsverklaringsdienst, indien sprake is van een ouderlijk gezagsrelatie tussen de beoogd vertegenwoordiger en de beoogd vertegenwoordigde:

  • 1. het burgerservicenummer van de beoogd vertegenwoordiger en de beoogd vertegenwoordigde; en

  • 2. een bevestiging van het bestaan van een ouderlijk gezagsrelatie tussen de beoogd vertegenwoordiger en de beoogd vertegenwoordigde.

D

Aan artikel 8 worden, onder vervanging van de punt aan het slot van onderdeel c door een puntkomma, twee onderdelen toegevoegd, luidende:

  • c. op verzoek van een afnemer, informatie of voor een gebruiker van MijnOverheid een emailadres of ander kanaal is verwerkt waarop die gebruiker van MijnOverheid notificaties ontvangt als bedoeld in artikel 4, onderdeel b, subonderdeel 3°, en het bijbehorende burgerservicenummer;

  • d. op verzoek van een afnemer, gegevens over het ontvangen door een gebruiker van een notificatie over een bericht waarop het verzoek ziet of het eventueel falen daarvan, de bijbehorende datum en de tijd en het bijbehorende burgerservicenummer.

E

De aanhef van artikel 10 komt te luiden:

Onverminderd het bepaalde in de artikelen 6 tot en met 9, verstrekt Onze Minister geen gegevens over een bezoeker of gebruiker van DigiD, DigiD Machtigen of MijnOverheid aan anderen dan de bezoeker of de gebruiker zelf of over een beoogd vertegenwoordiger of vertegenwoordigde waarover een bevoegdheidsverklaring is gevraagd aan de bevoegdheidsverklaringsdienst of waarover een gezagsverklaring is gevraagd aan de gezagsmodule aan anderen dan die beoogd vertegenwoordiger of beoogd vertegenwoordigde zelf, zonder voorafgaande toestemming van die persoon, tenzij:.

F

Na artikel 12 worden twee artikelen ingevoegd, luidende:

Artikel 12a. Bewaartermijnen in verband met de bevoegdheidsverklaringsdienst

  • 1. De gegevens bedoeld in artikel 3a worden niet langer bewaard dan de duur van de sessie.

  • 2. In afwijking van het eerste lid worden de gebruiksgegevens, bedoeld in artikel 3a, onderdeel a, onder 3, maximaal 5 jaar bewaard, met uitzondering van de sessiegegevens, die slechts worden bewaard tot het moment van uitloggen door de gebruiker.

  • 3. In afwijking van het eerste lid worden de gegevens over afnemers, bedoeld in artikel 3a, onderdeel c, bewaard voor de duur van het gebruik door de afnemer, en daarna maximaal vijf jaar.

Artikel 12b. Bewaartermijnen in verband met de gezagsmodule

  • 1. De gegevens bedoeld in artikel 3b worden niet langer bewaard dan de duur van de sessie.

  • 2. In afwijking van het eerste lid worden de gebruiksgegevens, bedoeld in artikel 3b, eerste lid, onderdeel a, onder 3, maximaal 5 jaar bewaard, met uitzondering van de sessiegegevens, die slechts worden bewaard tot het moment van uitloggen door de gebruiker.

G

In artikel 13, zesde lid, aanhef, wordt «gemachtigde» vervangen door «vertegenwoordiger».

ARTIKEL II

Dit besluit treedt in werking met ingang van de dag na de datum van uitgifte van het Staatsblad waarin het wordt geplaatst.

’s-Gravenhage, 28 juni 2023

Willem-Alexander

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, Digitalisering en Koninkrijksrelaties A.C. van Huffelen

Uitgegeven de elfde juli 2023

De Minister van Justitie en Veiligheid, D. Yeşilgöz-Zegerius

NOTA VAN TOELICHTING

I Algemeen

1. Inleiding

Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties draagt, ingevolge artikel X, eerste lid, van de Wet elektronisch berichtenverkeer Belastingdienst (hierna: Wet EBV) zorg voor de inrichting, beschikbaarstelling, instandhouding, werking, beveiliging en betrouwbaarheid van voorzieningen voor elektronisch berichtenverkeer en informatieverschaffing alsmede van voorzieningen voor elektronische authenticatie en elektronische registratie van machtigingen.

Voor zover dit noodzakelijk is voor de goede vervulling van zijn taak, worden hierbij persoonsgegevens verwerkt. Bij algemene maatregel van bestuur wordt nader bepaald welke persoonsgegevens worden verwerkt, aan wie deze worden verstrekt en hoe lang deze worden bewaard (artikel X, derde lid, Wet EBV). Bedoelde algemene maatregel van bestuur is het Besluit verwerking persoonsgegevens generieke digitale infrastructuur dat thans wordt gewijzigd.

De functionele omschrijving in artikel X van de Wet EBV maakt het mogelijk dat het ook de grondslag biedt voor het reguleren van eventuele opvolgers van de huidige voorzieningen en eventuele nieuwe voorzieningen. Van de grondslag wordt gebruik gemaakt om, in het verlengde van de publieke machtigingsvoorziening, de persoonsgegevensverwerking in twee nieuwe voorzieningen te reguleren. Het betreft de bevoegdheidsverklaringsdienst en de gezagsmodule. Deze voorzieningen maken het mogelijk voor wettelijk vertegenwoordigers, zoals bewindvoerders, curatoren en personen met ouderlijk gezag, langs digitale weg zaken te doen voor een andere persoon die dit zelf niet mag. Om vast te stellen dat sprake is van een bevoegdheid om namens een ander te handelen moeten persoonsgegevens worden verwerkt. Dit wordt nader uitgewerkt met het onderhavige wijzigingsbesluit. Verder wordt met dit besluit de juridische systematiek geüniformeerd, met het oog op toekomstige uitbreiding van het gebruik van de bevoegdheidsverklaringsdienst voor andere vormen van vertegenwoordiging. Tot slot wordt een aanpassing gedaan die noodzakelijk is als gevolg van een rechterlijke uitspraak over het verzenden van overheidsberichten via de Berichtenbox van MijnOverheid.

2. Hoofdlijnen

Tot inwerkingtreding van dit wijzigingsbesluit was het aan dienstverleners om een procedure in te richten om vertegenwoordiging door wettelijke vertegenwoordigers van een andere persoon mogelijk te maken bij toegang tot dienstverlening. De bevoegdheidsverklaringsdienst en de gezagsmodule maken het mogelijk om bij vertegenwoordiging rechtstreekse toegang mogelijk te maken tot digitale publieke dienstverlening door wettelijk vertegenwoordigers op grond van beschikbare bronnen. Een wettelijk vertegenwoordiger hoeft dus niet langer bijvoorbeeld via de papieren weg aan te tonen dat er een vertegenwoordigingsrelatie bestaat maar toegang kan rechtstreeks op basis van bij de overheid beschikbare informatie mogelijk worden gemaakt.

Wettelijke vertegenwoordiging houdt in dit besluit in dat een persoon of rechtspersoon op grond van de wet namens een ander toegang krijgt tot publieke dienstverlening en handelingen kan verrichten voor die andere persoon. Het gaat in dit geval om curatoren, bewindvoerders, mentoren, maar ook om personen met het ouderlijk gezag over minderjarigen. De bevoegdheidsverklaringsdienst en de gezagsmodule fungeren als technische voorzieningen voor private of publieke verleners van publieke diensten (hierna: publieke dienstverleners) om gegevens over verschillende vormen van vertegenwoordiging uit verschillende bronnen toegankelijk te maken.

2.1 Bevoegdheidsverklaringsdienst

De bevoegdheidsverklaringsdienst is een voorziening die op verzoek van publieke dienstverleners een verklaring kan afleveren over verschillende vormen van vertegenwoordiging. De bevoegdheidsverklaringsdienst kan, indien de desbetreffende dienstverlener daarop is aangesloten, bij alle vormen van overheidsdienstverlening tijdens het inlogproces worden gebruikt om vast te stellen of de persoon die de dienst afneemt daartoe wel bevoegd is.

Deze verklaring wordt opgesteld op basis van informatie in de hiervoor beschikbare overheidsbron. Ouders kunnen daarmee bijvoorbeeld inloggen namens de kinderen waarover zij ouderlijk gezag kunnen uitoefenen. Met de bevoegdheidsverklaring kan de dienstverlener vervolgens besluiten een persoon die namens een ander inlogt toegang te verlenen tot haar dienstverlening. Wanneer toegang wordt verleend tot een dienst krijgt de vertegenwoordiger op dezelfde wijze toegang als de vertegenwoordigde heeft. De vertegenwoordiger moet immers dezelfde keuzes kunnen maken en moet kunnen beschikken over dezelfde informatie als de vertegenwoordigde om de vertegenwoordigingstaken goed uit te kunnen voeren.

In eerste instantie is het mogelijk om via de bevoegdheidsverklaringsdienst een verklaring te verkrijgen of iemand als bewindvoerder namens een ander mag handelen en om een verklaring te verkrijgen over het bestaan van een ouderlijk gezagsrelatie tussen twee personen. De verklaring over bewind wordt opgesteld door rechtstreekse bevraging van gegevens in het systeem Toezicht van de raad voor de rechtspraak. Voorlopig kunnen enkel verklaringen over professioneel bewind worden gegeven. Verklaringen over andere vormen van wettelijke vertegenwoordiging als curatele, mentorschap en familiair bewind volgen in een later stadium. De verklaring van het bestaan van ouderlijk gezag van één of meerdere ouders wordt in eerste instantie gemaakt op basis van informatie uit de basisregistratie personen. Later zal gezagsinformatie op basis van het centraal gezagsregister toegevoegd worden. Informatie uit deze bron is op dit moment enkel verkrijgbaar via rechtbanken in de vorm van een uittreksel. Centrale digitale ontsluiting van het gezagsregister moet nog gerealiseerd worden.

2.2 Gezagsmodule

Om de informatie over het bestaan van een ouderlijk gezagsrelatie uit de basisregistratie personen te krijgen, is de gezagsmodule ontwikkeld. De gezagsmodule is een technische module waarin afleidingsregels voor het bepalen van ouderlijk gezag als bedoeld in Boek 1 van het Burgerlijk Wetboek, zijn geïmplementeerd. Dit besluit regelt niet de werking van de gezagsmodule, maar voorziet enkel in de grondslagen voor het verwerken van de gegevens die nodig zijn om de afleidingsregels toe te kunnen passen. Op initiatief van een beoogd vertegenwoordiger bevraagt de gezagsmodule, na een signaal van de bevoegdheidsverklaringsdienst, op basis van de afleidingsregels gezag de basisregistratie personen en stelt vervolgens vast of er een ouderlijk gezagsrelatie bestaat. Dit wordt vervolgens doorgegeven aan de bevoegdheidsverklaringsdienst.

De juistheid van de verklaring die door de gezagsmodule wordt afgegeven is afhankelijk van de juistheid van de gegevens waarop deze wordt gebaseerd. Het kan voorkomen dat bijvoorbeeld een recent rechtelijke beslissing over ouderlijk gezag nog niet kan worden meegenomen bij het opstellen van een gezagsverklaring omdat deze handmatig in de Basisregistratie Personen moet worden verwerkt. Ook kan het voorkomen dat een enkele vaststellen van het bestaan van ouderlijk gezag onvoldoende is om te kunnen beslissen over toegang tot elektronische diensten. Gedacht kan bijvoorbeeld worden aan beslissingen die alleen door beide ouders gezamenlijk kunnen worden genomen, of waarvoor een bijzonder leeftijdsgrens geldt (zoals medische beslissingen). Gelet op het voorgaande is het telkens aan de publieke dienstverlener om bij het inrichten van een proces voor toegang rekening te houden met de specifieke omstandigheden die samenhangen met de desbetreffende dienst. Het kan bijvoorbeeld nodig zijn om een procedure in te richten om toegang te krijgen met andere vormen van bewijs of om de leeftijd van de vertegenwoordigde vast te kunnen stellen. In paragraaf 5.4 van deze toelichting wordt ingegaan op de verhouding met het vraagstuk van geautomatiseerde besluitvorming in de zin van de AVG en op de verantwoordelijkheid van publieke dienstverleners voor het inrichten van een zorgvuldig proces voor toegang tot elektronische diensten.

2.3 Toekomstbestendige systematiek voor bevoegdheidsverklaringsdienst

De bevoegdheidsverklaringsdienst zal in eerste instantie verklaringen verstrekken over ouderlijk gezag en bewindvoering. Het toepassingsbereik van de bevoegdheidsverklaringsdienst zal verder uitgebreid worden naar andere vormen van wettelijke vertegenwoordiging, zoals curatele en mentorschap. Verder in de toekomst zou de bevoegdheidsverklaringsdienst ook gebruikt kunnen worden om verklaringen te leveren op basis van andere bronnen, zoals het publieke machtigingsregister «DigiD Machtigen», of eventueel het Centraal Testamentenregister. Daarom wordt met dit wijzigingsbesluit ook een juridisch systeem geïntroduceerd dat is voorbereid op dergelijke uitbreidingen. Het gaat vooral om uniformering van begrippen die voor de verschillende voorzieningen worden gebruikt. In het artikelsgewijze deel van deze toelichting wordt daarop uitgebreider ingegaan, bij de wijzigingen van de begripsbepalingen voor «vertegenwoordigde» en «vertegenwoordiger». Wanneer in de toekomst voor mogelijke aanvullende gegevensverwerkingen andere verwerkingsgrondslagen nodig zijn wordt met aanvullende wijzigingsbesluiten in de noodzakelijk grondslagen voorzien.

2.4 Notificaties Berichtenbox MijnOverheid

Op 9 september 2021 heeft de Centrale Raad van Beroep uitspraak gedaan in een procedure over de betekenis van de e-mailnotificaties die worden verstuurd voor berichten in de Berichtenbox van MijnOverheid (ECLI:NL:CRVB:2021:2174). In die uitspraak is bepaald dat bestuursorganen zich ervan moeten vergewissen dat de e-mailnotificatie verloopt conform de opgegeven notificatievoorkeuren van de geadresseerde. Dit vindt de rechter van belang, omdat de burger erop moet kunnen vertrouwen dat de Berichtenbox inclusief notificatieservice functioneert zoals aangegeven en dat hij dit niet zelf hoeft te controleren.

Om onder deze randvoorwaarden het gebruik van de Berichtenbox door bestuursorganen mogelijk te blijven maken is het noodzakelijk dat bestuursorganen kunnen nagaan of een ontvanger heeft ingesteld dat een notificatie wordt verzonden bij het plaatsen van een bericht in de Berichtenbox en of een verzonden notificatie is ontvangen. Tot het moment van inwerkingtreden van dit besluit was het verstrekken aan bestuursorganen van deze gegevens uit MijnOverheid over de notificatieinstellingen en het al dan niet succesvol ontvangen van een notificatie niet voorzien van een verstrekkingsgrondslag. Met dit wijzigingsbesluit wordt voorzien in een basis voor die verstrekkingen.

3. Verhouding tot de Wet digitale overheid

Dit besluit is gebaseerd op artikel X van de Wet EBV. Het derde lid van dat artikel maakt het mogelijk om bij algemene maatregel van bestuur regels te stellen over het verwerken van persoonsgegevens voor dit type voorzieningen.

Dit besluit treedt eerder in werking dan de Wet digitale overheid. De beide voorzieningen waarop dit besluit ziet zijn namelijk al eerder dan inwerkingtreding van die wet gereed voor gebruik. Gelet op de – vanuit dienstverleningsperspectief – wenselijkheid van spoedige introductie van deze voorzieningen, wordt het eerste moment van gebruik ervan niet gekoppeld aan inwerkingtreding van de Wet digitale overheid. Op het moment van inwerkingtreding van de Wet digitale overheid vervalt de Wet EBV en krijgen de bepalingen die met dit besluit worden geïntroduceerd een plaats in het Besluit digitale overheid en worden deze onderdeel van het juridische stelsel onder de Wet digitale overheid.

4. Verwerking persoonsgegevens

4.1 De verwerking van persoonsgegevens in het kader van de bevoegdheidsverklaringsdienst

Doel van de bevoegdheidsverklaringsdienst is om aan publieke dienstverleners een verklaring af te geven over de bevoegdheid van een natuurlijke persoon, al dan niet handelend voor een rechtspersoon, om namens een ander te handelen.

Om deze verklaring tot stand te brengen, verwerkt de bevoegdheidsverklaringsdienst de volgende persoonsgegevens: nummers ter identificatie, waaronder het burgerservicenummer van de (beoogd) vertegenwoordiger en vertegenwoordigde of een versleutelde of afgeleide vorm daarvan of het door de Kamer van Koophandel toegekende nummer aan een rechtspersoon of onderneming die in Nederland is gevestigd en toebehoort aan een natuurlijke persoon. In geval van een verzoek om een verklaring over ouderlijk gezag: de naam (voornamen, voorvoegsel, geslachtsnaam of achternaam) van beoogd vertegenwoordiger en de naam (voornamen, voorvoegsel, geslachtsnaam of achternaam), geboortegegevens en indien van toepassing ook de datum van overlijden van vertegenwoordigde.

Verder worden aan het gebruik gerelateerde gegevens verwerkt, zoals de gegevens van het besturingssysteem en het browsertype (user-agent) van een gebruiker en het IP-adres. Deze gegevens zijn nodig om de voorziening technisch te kunnen laten functioneren, onder meer in combinatie met de apparatuur die door de beoogd vertegenwoordiger wordt gebruikt om in te loggen.

Het proces voor het afgeven van een bevoegdheidsverklaring is voor alle vormen van wettelijke vertegenwoordiging gelijk.

De beoogd vertegenwoordiger logt in bij een dienstverlener, selecteert de af te nemen dienst, geeft het burgerservicenummer van de beoogd vertegenwoordigde op. De bevoegdheidsverklaringsdienst ontvangt deze gegevens, bevraagt hiermee de benodigde bron en stuurt de bevoegdheidsverklaring door aan de publieke dienstverlener waarbij de beoogd vertegenwoordiger wil inloggen.

De beoogd vertegenwoordiger kan inloggen met zijn eigen inlogmiddel, bijvoorbeeld DigiD, of namens de organisatie waarvoor hij of zij werkt, met een bedrijvenmiddel, bijvoorbeeld eHerkenning. Afhankelijk van het inlogmiddel dat wordt gebruikt, wordt bij het inloggen een burgerservicenummer van de beoogd vertegenwoordiger verwerkt of het KvK nummer van de organisatie waarvoor deze werkt. Deze gegevens zijn nodig ter identificatie van de vertegenwoordiger.

De geselecteerde dienst en de naam van de publieke dienstverlener worden verwerkt zodat de bevoegdheidsverklaringsdienst weet welke dienstverlener om een bevoegdheidsverklaring vraagt en welke bron bevraagd moet worden.

Het burgerservicenummer van de beoogd vertegenwoordigde wordt verwerkt ter identificatie van de vertegenwoordigde en om de relatie tussen vertegenwoordiger en vertegenwoordigde vast te stellen. Het burgerservicenummer van de vertegenwoordigde kan opgegeven worden of, als de relatie ouderlijk gezag betreft, geselecteerd worden uit de persoonslijst uit de basisregistratie personen.

Wanneer er een geldige vertegenwoordigingsrelatie tussen beoogd vertegenwoordiger en de vertegenwoordigde wordt vastgesteld, wordt er een bevoegdheidsverklaring opgesteld waarin het burgerservicenummer van vertegenwoordiger en vertegenwoordigde en de specifieke bijbehorende dienst staan. Indien er geen vertegenwoordigingsrelatie wordt vastgesteld, wordt een blanco verklaring opgesteld. De verklaring wordt in beide gevallen door de bevoegdheidsverklaringsdienst gestuurd aan de afnemer, dus de publieke dienstverlener die om de verklaring verzoekt. Een blanco verklaring betekent overigens niet dat er geen vertegenwoordigingsrelatie is, enkel dat deze niet vastgesteld kan worden. De reden dat deze relatie niet kan worden vastgesteld, geeft de verklaring echter niet mee. De publieke dienstverlener is vervolgens zelf verantwoordelijk voor de beslissing om de dienst te verlenen en kan op basis van de verklaring, dan wel op verzoek van de beoogd vertegenwoordiger besluiten om nader onderzoek te doen of de dienst toch te verlenen.

4.2 De verwerking van persoonsgegevens door de gezagsmodule

Voor het vaststellen van een ouderlijk gezagsrelatie wordt naast de bevoegdheidsverklaringsdienst de gezagsmodule gebruikt, waarmee uiteindelijk de ouderlijk gezagsrelatie wordt vastgesteld en de bevoegdheidsverklaringsdienst in de gelegenheid wordt gesteld deze verklaring te verstrekken.

Teneinde op basis van gegevens uit de basisregistratie personen de gezagsrelatie tussen personen, vast te kunnen stellen, verwerkt de gezagsmodule de volgende gegevens. De basis voor de gegevensverwerking zijn de regels voor het bepalen van ouderlijk gezag bedoeld in titel 14, afdeling 2 van Boek 1 van het Burgerlijk Wetboek.

Over de beoogd vertegenwoordiger worden de volgende gegevens verwerkt:

Het burgerservicenummer, de naam en de noodzakelijke gegevens om deze correct weer te geven worden gebruikt ter identificatie. Minderjarigen zijn onbevoegd tot ouderlijk gezag (artikel 1:246 BW). Het gegeven van de geboortedatum wordt gebruikt om de leeftijd van beoogd vertegenwoordiger, en diens bevoegdheid tot het hebben van gezag te bepalen. De reden voor opschorting van de persoonslijst in de basisregistratie personen is nodig om te bepalen of ingeschrevene is overleden of geëmigreerd. Het eerste geval resulteert in het einde van een ouderlijk gezagsrelatie, het tweede geval niet.

Om de gezagsrelatie tussen beoogd vertegenwoordiger en beoogd vertegenwoordigde vast te kunnen stellen zijn gegevens betreffende de familierechtelijke betrekking over de betrokken personen nodig. Hierbij gaat het onder andere over het aantal juridische ouders van de minderjarige, namelijk twee ouders, één ouder, geen ouders of het feit dat er geen ouders bekend zijn in de basisregistratie personen. Ook is de burgerlijke staat van desbetreffende ouder(s) van belang, namelijk het feit of ouders een huwelijk of geregistreerd partnerschap aan zijn gegaan, of juist het feit dat ouders zijn gescheiden. Daarbij kunnen dus bijvoorbeeld gegevens betreffende de (ex)partners van de ouders van de minderjarige verwerkt worden. Verder is de reden van ontbinding van het huwelijk of geregistreerd partnerschap relevant. De gezagsrelatie van desbetreffende ouder(s) tot de minderjarige wordt beïnvloed door de reden van ontbinding. In geval van bijvoorbeeld scheiding blijft het ouderlijk gezag in stand, terwijl dat niet het geval is bij het overlijden van de partner of bij een nietig huwelijk. De burgerlijke staat van de desbetreffende ouders is dus van belang op het moment dat de minderjarige geboren wordt, tot het moment dat de minderjarige de leeftijd van 18 jaar bereikt.

Gegevens betreffende de inschrijving van de beoogd vertegenwoordiger in de basisregistratie personen worden verwerkt omdat de vaststelling van het gezag plaatsvindt aan de hand van de gegevens in de basisregistratie personen. Wanneer de beoogd vertegenwoordiger niet staat ingeschreven in de basisregistratie personen kunnen mogelijke gezagsrelaties niet worden afgeleid aan de hand van de gegevens in de basisregistratie personen. Dat kan bijvoorbeeld het geval zijn wanneer de desbetreffende persoon in het buitenland verblijft.

Gegevens betreffende eventuele beperkingen van de handelingsbevoegdheid van de beoogd vertegenwoordiger worden verwerkt ter controle of beoogd vertegenwoordiger handelingsbevoegd is. Zo kan de beoogd vertegenwoordiger onder curatele staan, waardoor deze geen gezag kan uitoefenen over de beoogd vertegenwoordigde.

Bij de gegevens betreffende de gezagsrelatie tussen beoogd vertegenwoordiger en beoogd vertegenwoordigde worden de gegevens betreffende de gezagsindicatie van het minderjarig kind verwerkt. Indicatie «gezag minderjarige» wordt gebruikt om te bepalen of zich een rechtsfeit heeft voorgedaan, zoals een rechterlijke uitspraak, met betrekking tot het gezag over de minderjarige en, indien dit zo is, wie als gevolg van dit rechtsfeit het gezag over de minderjarige heeft. Indien het gezag als gevolg van het rechtsfeit (mede) toekomt aan een derde (bijvoorbeeld op grond van artikel 253sa of 253t van het boek 1 van het Burgerlijk wetboek), dan kan niet of niet met voldoende zekerheid worden bepaald wie het gezag over de minderjarige heeft.

De naam van de dienst en de naam van de publieke dienstverlener waar de beoogd vertegenwoordiger gebruik van wil maken, worden verwerkt om te kunnen bepalen of beoogd vertegenwoordiger, na het vaststellen van het ouderlijk gezag, gerechtigd toegang kan worden gegeven in naam van de beoogd vertegenwoordigde. Dit is bijvoorbeeld van belang in geval van inzage in medische dossiers, waarvoor kinderen vanaf 16 jaar dezelfde rechten hebben als volwassenen. Zorgverleners zijn verplicht de toegang van de vertegenwoordiger tot het medisch dossier van vertegenwoordigde te loggen. NEN7513 voorziet in deze verplichting. Op deze wijze wordt de informatiepositie van de vertegenwoordigde ten opzichte van vertegenwoordiger gewaarborgd.

Tevens wordt aan de afnemers van de gezagsmodule de aard van de bevoegdheid (de gezagssoort) van beoogd vertegenwoordiger om te handelen namens de beoogde vertegenwoordigde verstrekt. Het gaat er daarbij om of bijvoorbeeld sprake is van ouderlijk gezag tweehoofdig, ouderlijk gezag eenhoofdig, gezamenlijk gezag, geen gezag of een geval waarin niet kan worden bepaald of er een gezagsrelatie is.

Over de huwelijkspartner of geregistreerd partner van de beoogd vertegenwoordiger worden de volgende gegevens verwerkt:

Er worden enkel gegevens over de huwelijkspartner of geregistreerd partner van de beoogd vertegenwoordiger verwerkt indien de gegevens die zijn verstrekt over de minderjarige of de beoogd vertegenwoordiger daar aanleiding toe geven. Dit doet zich voor als een kind is geboren tijdens een huwelijk of geregistreerd partnerschap, waarbij een van de partners niet de juridische ouder is van dat kind. In dat geval is in beginsel wel sprake van ouderlijk gezag van die partner over het kind.

Het burgerservicenummer, naam en de noodzakelijke gegevens om deze correct weer te geven worden gebruikt ter identificatie. De geboortedatum wordt gebruikt om de leeftijd van de partner van de beoogd vertegenwoordiger, en diens bevoegdheid tot het hebben van gezag te bepalen. De reden voor opschorting van de registratie van gegevens op de persoonslijst in de basisregistratie personen is nodig om te bepalen of partner van de beoogd vertegenwoordiger is overleden of geëmigreerd. Het burgerservicenummer wordt tevens gebruikt om te verifiëren dat de partner van de beoogd vertegenwoordiger de huwelijkspartner of geregistreerd partner is van de beoogd vertegenwoordiger.

Over de beoogd vertegenwoordigde worden de volgende gegevens verwerkt:

Het burgerservicenummer, naam en de noodzakelijke gegevens om deze correct weer te geven worden gebruikt ter identificatie. Het gegeven geboortedatum wordt gebruikt om de leeftijd van beoogd vertegenwoordigde te bepalen, of beoogd vertegenwoordigde jonger is dan 18 jaar. De reden voor opschorting van de persoonslijst in de basisregistratie personen is nodig om te bepalen of de minderjarige is overleden of geëmigreerd.

Dit besluit maakt het verder mogelijk om gegevens te verwerken ter vaststelling van de familierechtelijke betrekkingen. Die gegevens worden verwerkt om vast te stellen of de ouders van de beoogd vertegenwoordigde op dit moment met elkaar zijn getrouwd dan wel een geregistreerd partnerschap hebben en of de beoogd vertegenwoordigde staande een huwelijk of geregistreerd partnerschap is geboren. Dat is van belang voor het al dan niet bestaan van een gezagsrelatie over deze minderjarige. Het gaat verder om gegevens die worden gebruikt om te bepalen wat de reden van ontbinding van een huwelijk of geregistreerd partnerschap is geweest. Dit kan namelijk van invloed zijn op het gezag over de minderjarige. Deze gegevens worden ook gebruikt bij de bepaling of door een recente gebeurtenis het gezag toch (weer) van rechtswege is ontstaan, ondanks een eerder rechtsfeit. Dat is bijvoorbeeld het geval bij adoptie of hertrouwen van gescheiden ouders.

De inschrijving van de beoogd vertegenwoordigde in de Basisregistratie personen wordt verwerkt om te bepalen of de beoogd vertegenwoordiger in het buitenland is geboren of in het buitenland woonachtig is geweest. Als dit zo is dan kan niet of niet met voldoende zekerheid worden bepaald wie het gezag over de minderjarige heeft.

Gegevens betreffende de gezagsrelatie tussen de beoogd vertegenwoordiger en de beoogd vertegenwoordigde worden gebruikt om te bepalen of zich een rechtsfeit heeft voorgedaan, zoals een rechterlijke uitspraak, met betrekking tot het gezag over een minderjarige en, indien dit zo is, wie als gevolg van dit rechtsfeit het gezag over die minderjarige heeft. Indien het gezag als gevolg van het rechtsfeit (mede) toekomt aan een derde, dan kan niet of niet met voldoende zekerheid worden bepaald wie het gezag over de minderjarige heeft.

4.3 Verstrekking van persoonsgegevens over notificatie door de Berichtenbox van MijnOverheid

Zoals in paragraaf 2.4 uiteen is gezet is het noodzakelijk dat afnemers van MijnOverheid bij gebruik van de Berichtenbox van MijnOverheid kunnen nagaan of het verzenden van een elektronisch bericht, inclusief de notificatie over die verzending, succesvol en conform de voorkeuren van de geadresseerde is verlopen. Daarom maakt dit besluit het mogelijk om, op verzoek van een publieke dienstverlener, uit MijnOverheid persoonsgegevens te verstrekken over de notificatieinstellingen van gebruikers van MijnOverheid en een ontvangstbevestiging van de notificatie te sturen aan de afnemers van MijnOverheid die het bericht verzenden. Op grond van de reeds geldende tekst (artikel 8, onderdeel a) mogen al persoonsgegevens worden verstrekt over het al dan niet ontvangen van het bericht waarop de notificatie betrekking heeft en de relevante berichtvoorkeuren ten aanzien van het gebruik van de Berichtenbox. Een verzendend bestuursorgaan kan met die gegevens vaststellen of het bericht succesvol in de Berichtenbox is geplaatst en of een geadresseerde de Berichtenbox als voorkeurskanaal heeft ingesteld. Met dit besluit wordt het ook mogelijk om het verzendende bestuursorgaan op de hoogte te stellen van de verzending van een notificatie en van de instellingen van die gebruiker voor het ontvangen van notificaties.

Deze gegevens zijn noodzakelijk voor afnemers van MijnOverheid om vast te kunnen stellen dat een bericht daadwerkelijk is ontvangen. Als gevolg daarvan mag worden aangenomen dat het bericht bij de gebruiker van MijnOverheid voldoende kenbaar is gemaakt en dat daarmee aan de verzending gevolgen mogen worden verbonden. Wanneer een afnemer van MijnOverheid gebruik wil maken van de Berichtenbox zijn de notificatieinstellingen van belang om te bepalen of dat gebruik voor verzending van het desbetreffende bericht opportuun is. Wanneer een gebruiker van MijnOverheid geen notificaties ontvangt kan dat bijvoorbeeld aanleiding zijn om het bericht op andere wijze te verzenden. Wanneer die gebruiker heeft aangegeven wel notificaties te willen ontvangen is het, gelet op de jurisprudentie over dit onderwerp, tevens van belang dat een afnemer van MijnOverheid kan vaststellen of het notificeren succesvol verlopen is. Dit besluit voorziet derhalve in een basis voor gegevensverstrekkingen die noodzakelijk zijn voor het functioneren van de Berichtenbox.

Om vast te stellen dat het geregistreerde gegeven «ik wens geen emailnotificatie te ontvangen» daadwerkelijk de bedoeling van de gebruiker is- waarschuwt MijnOverheid de gebruiker bij het aanvinken van «ik wens geen emailnotificatie te ontvangen» wat hier de consequenties van zullen zijn. Ook wordt dit een aantal keren herhaald bij bezoek aan de berichtenbox, om ook op deze manier de gebruiker erop te wijzen wat de consequenties zijn.

Uit het beginsel van dataminimalisatie volgt dat niet meer gegevens mogen worden verstrekt dan noodzakelijk is. In dat licht wordt met dit besluit mogelijk gemaakt om op verzoek van afnemers van MijnOverheid aan die afnemers kenbaar te maken óf een notificatiekanaal is gekozen, maar niet welk kanaal dat is. Daarmee is het voor deze afnemers mogelijk om vast te stellen of een gebruiker van MijnOverheid op de hoogte wordt gesteld van verzenden van een bericht via de Berichtenbox.

Met artikel 2.10 en 2.11 van de Wet modernisering elektronisch bestuurlijk verkeer wordt het verzenden van een notificatie aan ontvangers van een bericht via de Berichtenbox van MijnOverheid verplicht. Ook in die context is het noodzakelijk om te voorzien in een grondslag voor het verstrekken van persoonsgegevens over notificaties aan bestuursorganen.

4.4 Bewaartermijnen

Als gevolg van de in het voorgaande beschreven processen is het bewaren van de verwerkte gegevens na het afgeven van een verklaring niet meer nodig. De bewaartermijn is daarom gesteld op de duur van de sessie, na een sessie moeten deze gegevens zijn verwijderd.

Een uitzondering geldt voor de gebruiksgegevens. Deze worden bewaard ten behoeve van het herstellen van misbruik of fraude. Voor dit type gegevens wordt in het Besluit verwerking persoonsgegevens generieke digitale infrastructuur standaard een bewaartermijn van vijf jaar gehanteerd. Sessiegegevens, die enkel worden verwerkt voor het functioneren van de voorzieningen, zijn ook gebruiksgegevens, maar deze moeten na de sessie worden verwijderd, omdat voor het bewaren daarvan geen aanleiding is.

Verder worden gegevens verwerkt die nodig zijn voor contact met de publieke dienstverleners voor welke de bevoegdheidsverklaringsdienst en de gezagsmodule een verklaring opstellen. Die gegevens worden bewaard zolang de desbetreffende dienstverlener gebruik maakt van deze voorzieningen en ten hoogste vijf jaar daarna.

4.5 Pilots en evaluatie

In samenwerking met het Ministerie van Justitie en Veiligheid en de Rijksdienst voor Identiteitsgegevens is gewaarborgd dat de gezagsvaststelling door de gezagsmodule op de juiste manier plaatsvindt, namelijk via de wetssystematiek van Boek 1 van het Burgerlijk Wetboek en aan de hand van de juiste gegevens uit de Basisregistratie Personen. Voorafgaand aan inwerkingtreding van dit besluit zijn pilots uitgevoerd. Uit de evaluatie van die pilots is gebleken dat de gezagsmodule in alle geëvalueerde gevallen de gegevens in de Basisregistratie personen juist heeft verwerkt in de opgeleverde gezagsverklaring. De resultaten van deze evaluaties worden separaat bekend gemaakt.

De inhoud van dit besluit wordt geëvalueerd. Met de inwerkingtreding van artikel 4 van de Wet digitale overheid wordt de inhoud van dit besluit gebaseerd op dat artikel van de Wet digitale overheid. Vervolgens vindt op grond van artikel 23 van die wet een evaluatie plaats van de werking van die wet, met alle onderliggende regelgeving, drie jaar na inwerkingtreding. Bij die evaluatie wordt derhalve ook de inhoud van dit besluit, en dus ook de werking, de betrouwbaarheid en het gebruik van de beide voorzieningen, betrokken.

5. Privacy en verhouding tot Algemene verordening gegevensbescherming

De Algemene verordening gegevensbescherming (AVG) werkt rechtstreeks en in dat verband bevat dit besluit enkel bepalingen die aanvullend zijn op of uitwerking vormen van de waarborgen van de AVG ten aanzien van de bescherming van persoonsgegevens. Andersom is het zo, dat voor alles wat dit besluit niet regelt over de verwerking van persoonsgegevens in het kader van toegang tot elektronische dienstverlening, de bepalingen van de AVG gelden, zoals voorschriften over transparantie en recht van inzage en rectificatie. De diverse aspecten van de bescherming van persoonsgegevens in verband met dit besluit, zullen hieronder nader worden toegelicht.

5.1 Grondslag voor verwerking

De grondslag voor regels over de gegevensverwerking ten aanzien waarvan dit besluit regels stelt over de verstrekkingsmogelijkheden en bewaartermijnen is gelegen in artikel X van de Wet elektronisch berichtenverkeer Belastingdienst. In dat artikel zijn de doelen van de gegevensverwerking vastgelegd. Bij de verwerkingsgrondslagen in dit besluit is sprake van verwerking op grond van de in artikel 6, eerste lid, onder e, van de AVG genoemde rechtsgrond (verwerking noodzakelijk voor de vervulling van een taak van algemeen belang.

Met dit besluit is verder voldaan aan het vereist in artikel 6, derde lid, onder b, van de AVG dat de rechtsgrond voor verwerking moet zijn vastgelegd bij lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.

De beide voorzieningen die met dit besluit worden geregeld verwerken het burgerservicenummer. Wat betreft de verwerking van het burgerservicenummer bepaalt artikel 87 van de AVG dat bij nationaal recht specifieke voorwaarden kunnen worden gesteld voor de verwerking van een nationaal identificatienummer. De Uitvoeringswet AVG regelt het gebruik van wettelijk voorgeschreven nummers; voor de verwerking van het burgerservicenummer dient te worden voorzien in een wettelijke grondslag. De Wet algemene bepalingen burgerservicenummer biedt die grondslag voor overheidsorganisaties. Daarbij geldt dat gebruik van het burgerservicenummer tot een minimum wordt beperkt en zoveel mogelijk wordt gewerkt met pseudonimisering en polymorfe identiteiten. Gelet op het voorgaande is de verwerking van het burgerservicenummer in overeenstemming met de AVG.

5.2 Proportionaliteit en subsidiariteit

De wenselijkheid van verwerking van gegevens moet worden beoordeeld met inachtneming van de beginselen van proportionaliteit en subsidiariteit. Deze beginselen zijn daarom ook leidend geweest bij de totstandkoming van dit besluit.

Wat betreft de eis van proportionaliteit is relevant of de verwerking van persoonsgegevens die met dit besluit mogelijk wordt gemaakt opweegt tegen de effecten voor burgers. Dat is het geval, gelet op de positieve effecten van deze voorzieningen op de mogelijkheden om een ander te vertegenwoordigen en in dat kader toegang te krijgen tot elektronische overheidsdienstverlening. Dit besluit is daarom het resultaat van een zorgvuldige afweging tussen het belang van gebruikers bij deze toegang enerzijds en het belang van de bescherming van de persoonlijke levenssfeer van die gebruikers anderzijds. Dit uit zich in de eerste plaats in het feit dat de verwerking van persoonsgegevens beperkt is tot zo min mogelijk gegevens en alleen tot die gegevens van de burger die echt essentieel zijn om de voorzieningen beschikbaar te kunnen stellen, in stand te kunnen houden, te laten werken en beveiligen en betrouwbaar te houden. Het burgerservicenummer speelt hierbij een cruciale rol.

In het algemeen deel en het artikelsgewijze deel van deze nota van toelichting is uitgebreid ingegaan op de noodzaak en de wijze van de verwerking van de nieuwe gegevens die als gevolg van dit besluit in de bestaande voorzieningen en in nieuwe voorzieningen zullen worden gebruikt. Hetzelfde geldt voor de verstrekkingen die mogelijk worden gemaakt voor het gebruik van de Berichtenbox van MijnOverheid. De proportionaliteit van de gegevensverwerking valt ook af te leiden uit de bepalingen over de bewaartermijnen van de gegevens, waarbij de bewaartermijn duidelijk is onderbouwd en beperkt tot het doel van de verwerking. Ook is duidelijk vastgelegd aan wie welke gegevens mogen worden verstrekt. De desbetreffende bepalingen waarborgen dat gegevens niet langer worden bewaard en niet meer gegevens worden verstrekt dan noodzakelijk.

Wat betreft de eis van subsidiariteit moet worden bezien of er nog andere, minder ingrijpende manieren zijn om het doel te bereiken. Ook aan die eis is voldaan. Het afleiden van de conclusies die nodig zijn voor toegang tot publieke dienstverlening namens een ander is niet op andere minder ingrijpende wijze mogelijk. Door toepassing van het beginsel van dataminimalisatie is geborgd dat slechts gegevens worden verwerkt die nodig zijn voor het trekken van die conclusies.

5.3 Privacy impact assessments

Voor de toepassing van de beide voorzieningen die met dit besluit worden gereguleerd is een privacy impact assessment (DPIA) uitgevoerd.

Conform artikel 35 AVG zullen ook in de toekomst DPIA’s worden opgesteld (het betreft een voortdurend proces) en zullen waar nodig de resultaten leiden tot aanpassing van de processen van of de regelgeving over deze voorzieningen.

5.4 Geautomatiseerde besluitvorming

Geautomatiseerde besluitvorming is aan de orde wanneer er sprake is van een besluit dat volledig geautomatiseerd, zonder menselijke tussenkomst tot stand komt en waaraan rechtsgevolgen zijn verbonden, of dat de betrokkene in aanmerkelijke mate treft. Dergelijke besluitvorming is in beginsel niet toegestaan op grond van artikel 22, eerste lid van de AVG en artikel 40 van de Uitvoeringswet AVG.

De gezagsmodule is een module waarbij software aan de hand van afleidingsregels ouderlijk gezag, gebaseerd op de wetgeving uit Boek 1 van het Burgerlijk Wetboek, helpt bij het afgeven van een elektronische verklaring aan een publieke dienstverlener omtrent de gezagssituatie tussen een meerderjarige en een minderjarige persoon. De verklaring wordt op verzoek van een persoon die elektronische dienstverlening namens een minderjarige wil afnemen, of op verzoek van een publieke dienstverlener, samengesteld op basis van actuele gegevens in de Basisregistratie Personen. Wanneer deze module zonder aanvullende waarborgen wordt gebruikt in het inlogproces kan sprake zijn van geautomatiseerde besluitvorming.

De verklaring over de gezagsrelatie is een van de, naast mogelijk ook andere, hulpmiddel(en) voor een publieke dienstverlener om al dan niet over te gaan tot toegang tot een elektronische dienst. De dienstverlener blijft verantwoordelijk voor de beslissing om al dan niet elektronische toegang tot dienstverlening te verlenen en om de processen voor het verkrijgen van die toegang zorgvuldig in te richten. De dienstverlener beslist daarbij wat de rol van een gezagsverklaring is in dat proces. Afhankelijk van de specifieke context en dienst zal een keuze moeten worden gemaakt over de toegang tot de elektronische dienstverlening toestaan, weigeren of aanvullende waarborgen die het mogelijk maken om bij een negatieve uitkomst uit de gezagsmodule toch te bewijzen dat sprake is van gezag. Daarbij zal die publieke dienstverlener ook artikel 22 van de AVG en artikel 40 van de Uitvoeringswet AVG moeten meewegen. Deze afweging is onderdeel van de verantwoordelijkheid van dienstverleners voor het deugdelijk inrichten van hun inlogprocessen en de kans op een onjuiste uitkomst die gepaard gaat met het gebruik van de gezagsmodule. Mocht een gebruiker, in zijn optiek, onterecht geen toegang krijgen tot een dienst of andere problemen ondervinden bij het afnemen van de elektronische dienst, dient de dienstverlener de gebruiker via een ander kanaal verder kunnen te helpen. Indien dat niet mogelijk is ontstaat namelijk geautomatiseerde besluitvorming in de zin van de AVG, omdat de automatisch gegenereerde gezagsverklaring in dat geval rechtstreeks leidt tot het niet verlenen van toegang tot elektronische diensten.

Wanneer dienstverleners niet zorgen voor aanvullende waarborgen kan dus sprake zijn van geautomatiseerde besluitvorming. De keuzes van dienstverleners bij het inrichten van het inlogproces zijn dus bepalend voor het beantwoorden van deze vraag. Zij zijn ook verantwoordelijk voor het voorkomen van strijd met het verbod op geautomatiseerde besluitvorming. Publieke dienstverleners worden op de gezagsmodule worden aangesloten met een specifiek daarvoor ingerichte procedure. Tijdens die procedure worden de desbetreffende dienstverleners gewezen op de waarborgen die zij moeten nemen om strijd met artikel 22 van de AVG te voorkomen. Tijdens het aansluitproces, waarmee publieke dienstverleners op de gezagsmodule worden aangesloten, worden zij hierop gewezen.

5.5 Bijzondere persoonsgegevens

In de artikelen 3a en 3b is geregeld dat persoonsgegevens mogen worden verwerkt die zien op de dienst waarvoor wordt ingelogd. Die gegevens zijn nodig om de toegang technisch mogelijk te maken (hierop wordt in hoofdstuk 4 ingegaan). Wanneer wordt ingelogd bij een medische dienst kan het gaan om bijzondere persoonsgegevens, omdat het mogelijk is dat uit de aard van de medische dienst informatie kan worden afgeleid over de gezondheid van het persoons die toegang krijgt tot die dienst.

6. Gevolgen en uitvoerbaarheid

6.1. Regeldruk

Tot inwerkingtreding van dit besluit kon niet rechtstreeks met gebruik van gegevens uit de Basisregistratie personen toegang worden verkregen tot dienstverlening. Publieke dienstverleners hanteerden verschillende procedures voor het verlenen van toegang aan vertegenwoordigers, waarbij in veel gevallen papieren bewijs moet worden overgelegd om een vertegenwoordigingsbevoegdheid te bewijzen. Met dit besluit wordt het mogelijk om op eenvoudigere wijze als wettelijk vertegenwoordiger toegang te krijgen tot elektronische overheidsdienstverlening. Dit levert een vermindering van regeldruk op, omdat tot inwerkingtreding van dit besluit de wijze waarop deze toegang werd verkregen verschilde per publieke dienstverlener en niet rechtstreeks werd gebaseerd op gegevens uit een gezaghebbende bron.

Een voorbeeld is het inloggen bij een zorgverlener door een ouder namens een minderjarige. Om dat inloggen mogelijk te maken moest bij die publieke dienstverlener tot inwerkingtreding van dit besluit aan die dienstverlener fysiek bewijs worden overlegd van gezag. Daarna werd de desbetreffende gezaghebber als zodanig bij die dienstverlener geregistreerd. Daarmee werd het voor die dienstverlener mogelijk om als gezaghebber in te loggen en handelingen te verrichten, maar niet bij andere dienstverleners. Met dit besluit wordt het onder meer voor ouders mogelijk om, zonder voorafgaande procedure, met een beperkt aantal muisklikken in te loggen en handelingen te verrichten namens hun kind.

Gelet op de grote verscheidenheid aan procedures bij de verschillende publieke dienstverleners kan de vermindering in regeldruk slechts op basis van aannames worden gekwantificeerd. In de onderstaande berekening is dat gebeurd voor het gebruik van de gezagsmodule via de bevoegdheidsverklaringsdienst waarmee een verklaring omtrent ouderlijk gezag wordt afgegeven.

Op het moment van inwerkingtreden van dit besluit telt Nederland 3,3 miljoen minderjarigen, waarvan 2,9 miljoen kinderen onder de 16 jaar. Naar schatting wordt voor kinderen onder de 16 jaar gemiddeld ongeveer 1 keer per jaar ingelogd door een gezaghebber. Dat getal is een aanname met een ruime onzekerheidsmarge, waarbij rekening is gehouden met het feit dat het gebruik van elektronische publieke diensten onder meer door de vereenvoudigingen van dit besluit naar verwachting zal toenemen. Voor de tijdsbesparing wordt 30 minuten aangehouden. Dat is een reële tijdsinvestering, zowel voor het overleggen van fysieke bewijsstukken en als voor het aanvragen van een DigiD. Als uurtarief is het standaard uurtarief voor burgers van € 15,– aangehouden.

Met deze berekening leveren de wijzigingen van dit besluit een lastenverlichting op van € 21.750.000,–.

6.2 Informatiebeveiliging

Op de werking van de voorzieningen die in dit besluit worden geregeld is de Baseline informatiebeveiliging Overheid van toepassing. Bij de technische werking en de organisatorische inrichting wordt dus voldaan aan de eisen van die Baseline.

7. Toezicht en handhaving

Het toezicht op de naleving van de bepalingen in dit Besluit over de verwerking van persoonsgegevens geschiedt door de Autoriteit persoonsgegevens (artikel 6 Uitvoeringswet AVG), wat betreft toezicht op de beveiliging van persoonsgegevens (artikel 51, eerste lid, AVG in samenhang met artikel 32 AVG).

8. Uitgebrachte adviezen

8.1 Autoriteit persoonsgegevens

Op 28 juni 2022 heeft de Autoriteit Persoonsgegevens (hierna: AP) over een concept van dit besluit geadviseerd. Op de verschillende punten in dat advies wordt in het hiernavolgende ingegaan.

Noodzaak voorgestelde regeling verstrekking notificatiegegevens

De AP adviseert nader in te gaan op de noodzaak van de wijziging ten aanzien van de notificatiegegevens in relatie tot de mogelijkheden die de onderdeel a en b van artikel 8 van het Besluit verwerking persoonsgegevens generieke digitale infrastructuur al bieden voor het verstrekken van gegevens over notificaties aan afnemers van MijnOverheid en op de verhouding tot artikel 2.10 van de Algemene wet bestuursrecht zoals dat komt te luiden indien de wijziging in de Wet modernisering elektronisch bestuurlijk verkeer wordt doorgevoerd.

Dit advies is overgenomen in de paragrafen 2.4 en 4.3. Samengevat is in deze paragrafen vermeld dat zonder de in dit besluit opgenomen wijziging artikel 8 slechts ruimte biedt voor het verstrekken van gegevens over het correct ontvangen van een bericht via de berichtenbox en niet over de ontvangst van een notificatie over een ontvangen bericht. Na inwerkingtreding van de Wet modernisering elektronisch bestuurlijk verkeer wordt het verzenden van een notificatie aan de geadresseerde verplicht. Dat doet niet af aan de noodzaak om een grondslag te regelen voor het verstrekken van gegevens over die notificatie aan het verzendende bestuursorgaan.

Invulling vergewisplicht

De AP adviseert om in het licht van het beginsel van juistheid uit de AVG dat meebrengt dat alle redelijke maatregelen worden getroffen om te zorgen dat persoonsgegevens juist zijn, in de nota van toelichting in te gaan op de invulling van de vergewisplicht of de mededeling van de betrokkene die heeft aangevinkt geen email met notificatie te willen ontvangen dat een bericht in zijn Berichtenbox is geplaatst overeenstemt met zijn bedoeling, dan wel deze in het licht van de aankomende regeling in het Wetsvoorstel modernisering elektronisch bestuurlijk verkeer, dit nader te regelen. Dit advies is overgenomen in paragraaf 4.3.

Informeren kind over kennisneming medisch dossier vertegenwoordiger

De AP vraagt om in de nota van toelichting in te gaan op de informatiepositie van het kind ten opzichte van het feit dat een vertegenwoordiger het medisch dossier van het kind in heeft gezien. De informatiepositie van het kind bij het raadplegen van een dienst(enset) in de zorgsector door een vertegenwoordiger is uiteengezet in paragraaf 4.2.

Verwerkingsgrondslag

De AP merkt in het advies over dit besluit op dat de beoordeelde concept-toelichting niet aangaf of sprake is van een verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een verwerking die noodzakelijk is om te voldoen aan een wettelijke plicht. Dat onderscheid is op grond van de AVG onder meer relevant voor de mogelijkheden om bezwaar te maken tegen een verstrekking. De verwerkingsgrondslagen met betrekking tot de werking van de bevoegdheidsverklaringsdienst en de gezagsmodule zijn noodzakelijk voor de vervulling van een taak van algemeen belang, namelijk het ontsluiten van deze informatie zodat het inloggen namens een vertegenwoordigde wordt vereenvoudigd. De verwerking van gegevens die zien op notificaties van in de Berichtenbox geplaatste berichten vindt niet plaats op basis van de artikelen die met dit besluit worden geïntroduceerd, in de zin dat daarin de verwerkingsgrondslag is gelegen. Deze bepalingen bevatten immers geen verplichting voor het verwerken. Deze bepalingen maken het voor bestuursorganen mogelijk om hun taak van algemeen belang in te vullen. De taak bestaat er onder meer uit dat zij zich ervan te vergewissen dat een emailnotificatie conform de opgegeven voorkeuren is verzonden.

8.2 Adviescollege toetsing regeldruk

Gedurende de internetconsultatie is een concept van dit besluit getoetst door het adviescollege toetsing regeldruk (hierna: ATR). Het ATR heeft naar aanleiding daarvan op drie punten adviezen meegegeven, waarop in het hiernavolgende wordt ingegaan.

Ten eerste adviseert het ATR om voor burgers en professionals inzichtelijk en overzichtelijk te maken welke digitale diensten op welke manier toegankelijk zijn. Daaraan zal bij het inrichten van het inlogproces gevolg worden gegeven. Met dit besluit wordt een centrale voorziening mogelijk gemaakt en het is aan de verschillende publieke dienstverleners om een keuze te maken of deze wordt gebruikt om toegang tot publieke diensten door vertegenwoordigers mogelijk te maken. Door een burger of professional kan dit eenvoudig worden achterhaald doordat in het inlogproces overzichtelijk kenbaar gemaakt wordt of het inloggen voor de desbetreffende specifieke groepen vertegenwoordigers mogelijk is. Voor het inrichten van dat inlogproces wordt gebruik gemaakt van een gebruikerspanel waarmee ervaringen van burgers en professionals worden gevraagd en waar mogelijk verbeteringen worden doorgevoerd.

Ten tweede adviseert het ATR om toe te lichten hoe gemachtigden en vertegenwoordigden inzage kunnen krijgen in de status van de machtigingen en het afgeven van verklaringen daarover, ook nadat de machtiging niet meer bestaat. De gegevens op basis waarvan wordt geconcludeerd of een vertegenwoordigingsbevoegdheid bestaat kunnen worden ingezien bij de bron van die gegevens. Bij ouderlijk gezag is dat bijvoorbeeld de Basisregistratie personen. Bij vrijwillige machtigingen kan via DigiD machtigen de status van een machtiging worden ingezien en worden gewijzigd. Deze voorbeelden zien op de op dat moment geldende gegevens. Wanneer een gemachtigde of een vertegenwoordigde wil weten welke verklaringen over een vertegenwoordigingsbevoegdheid zijn gebruikt kan een inzageverzoek op grond van de AVG worden ingediend bij de desbetreffende publieke dienstverlener.

Het derde en laatste advies betreft de berekening van de regeldrukeffecten die is opgenomen in hoofdstuk 6 van deze toelichting. Het college adviseert om de berekening van de regeldrukgevolgen te beperken tot de effecten voor burgers die voorheen nog geen gebruik maakten van digitale toegang. De reden daarvoor is dat in de praktijk in veel gevallen door burgers gebruik wordt gemaakt van een DigiD van een ander. In die gevallen vermindert de regeldruk volgens het ATR niet. Deze conclusie wordt niet gedeeld. Het gebruiken van een DigiD van een ander is niet toegestaan op grond van artikel 3, zevende lid, van de Regeling voorzieningen GDI. Dat gebruik is dus in strijd met de regels. De regeldruk, de druk die voortvloeit uit het naleven van de regels, wordt daarom met dit besluit verlaagd omdat daarmee een legale manier wordt gecreëerd om in te loggen.

8.3. Resultaten internetconsultatie

Op een concept van dit besluit kon van 4 april 2022 tot en met 5 mei 2022 worden gereageerd via een internetconsultatie. Op deze consultatie zijn meerdere reacties binnengekomen. Ten algemene wordt door de verschillende respondenten positief gereageerd op de mogelijkheid voor wettelijke vertegenwoordigers om rechtstreeks elektronische diensten af te nemen.

In verschillende reacties wordt aangegeven dat het wenselijk is om deze mogelijkheid voor wettelijk vertegenwoordigers van mensen met een verstandelijke beperking ook zo snel mogelijk te effectueren. Deze groep ondervindt in de dagelijkse praktijk nu problemen met het langs digitale weg afnemen van diensten van de overheid namens hun verwanten. Soms leidt dit tot extra kosten bij zorgverzekeraars. Op dit onderwerp wordt uitgebreid ingegaan in de reactie op Kamervragen over het bericht «Zonder DigiD lukt zorgen bijna niet». Samengevat wordt daarin aangegeven dat met de betrokken organisaties wordt gewerkt aan het zo spoedig mogelijk vinden van een structurele oplossing en dat, tot die oplossing er is, ten aanzien van deze groep geen stappen worden gezet die de noodzakelijke hulp in de weg staan.

In een van de ingezonden reacties wordt aangegeven dat het gebruik van DigiD machtigen bij zorgverzekeraars en ziekenhuis verplicht mogelijk zou moeten worden gemaakt.

9. Inwerkingtreding

Dit besluit treedt in werking met ingang van de dag na de datum van uitgifte van het Staatsblad waarin het wordt geplaatst. Daarmee wordt afgeweken van het kabinetsbeleid voor vaste verandermomenten. Met de wijzigingen in dit besluit worden de mogelijkheden voor natuurlijke personen vergroot om toegang te krijgen tot elektronische dienstverlening. Deze mogelijkheden zijn van belang voor een goed functionerende digitale overheid. Wanneer met inwerkingtreding van dit besluit wordt gewacht tot het volgende verandermoment heeft dat aanmerkelijke ongewenste nadelen. Daarom wordt afgeweken van het beleid van vaste verandermomenten en de minimale invoeringstermijn.

II Artikelsgewijs

Artikel I

Onderdeel A

Met dit onderdeel worden de begripsbepalingen in artikel 1 van het Besluit verwerking persoonsgegevens generieke digitale infrastructuur gewijzigd. Een aantal van deze wijzigingen is noodzakelijk om de bevoegdheidsverklaringsdienst en de gezagsmodule te regelen. De overige wijzigingen zijn nodig om een toekomstbestendig systeem te creëren voor het ontsluiten van gegevens over vertegenwoordigingsbevoegdheid. Voor een algemene uiteenzetting van de laatstgenoemde categorie wijzigingen wordt verwezen naar paragraaf 2.3 van het algemene deel van deze nota van toelichting.

Begripsbepalingen die zien op de bevoegdheidsverklaringsdienst

De «bevoegdheidsverklaringsdienst» is een voorziening die voor publieke dienstverleners uit verschillende bronnen gegevens kan ontsluiten over de bevoegdheid van een natuurlijke persoon of rechtspersoon om namens een andere natuurlijke persoon te handelen. Met dit besluit wordt voor de dienstverleners die een dergelijke verklaring verzoeken het begrip «afnemers van de bevoegdheidsverklaringsdienst» geïntroduceerd. Voor de door de bevoegdheidsverklaringsdienst verstrekte verklaring wordt het begrip «bevoegdheidsverklaring» geïntroduceerd. Op de werking van deze voorziening wordt uitgebreid ingegaan in paragraaf 2.1 van het algemene deel van deze nota van toelichting.

«Vertegenwoordiger» en «vertegenwoordigde»

De bevoegdheidsverklaringsdienst zal in de toekomst meer bronnen kunnen ontsluiten en daarover een verklaring afgegeven aan afnemers van die dienst. Te denken valt aan gegevens over curatele en mentorschap. Met dit besluit wordt bewerkstelligd dat deze wijzigingen eenvoudig kunnen worden toegevoegd aan de systematiek van dit besluit. Daarvoor worden de begrippen «vertegenwoordiger» en «vertegenwoordigde» en het gebruik daarvan geüniformeerd in de verschillende relevante artikelen. «Vertegenwoordiger» is de natuurlijke persoon of rechtspersoon die namens een ander (de «vertegenwoordigde») een bevoegdheid uitoefent. Wanneer deze begrippen worden gebruikt in het artikel dat ziet op de gezagsmodule, dan is duidelijk dat het een ouder met ouderlijk gezag betreft.

De artikelen in het Besluit verwerking persoonsgegevens GDI die zien op DigiD machtigen bevatten nog een specifieke aanduiding van de vertegenwoordiger voor die context, namelijk de «gemachtigde». Met dit wijzigingsartikel wordt bewerkstelligd dat dit begrip vervalt. In de artikelen die zien op DigiD machtigen wordt dit begrip telkens vervangen door «vertegenwoordigde».

Onderdeel B

Met dit onderdeel worden twee artikelen ingevoegd die de verwerking van gegevens door de bevoegdheidsverklaringsdienst (artikel 3a) en de gezagsmodule (artikel 3b) regelen.

Artikel 3a

De bevoegdheidsverklaringdienst wordt door de minister van Binnenlandse Zaken en Koninkrijksrelaties beheerd. Op grond van artikel 3a is het die minister toegestaan om in verband met de inrichting, beschikbaarstelling, instandhouding, werking, beveiliging en betrouwbaarheid van de bevoegdheidsverklaringsdienst persoonsgegevens te verwerken. Het gaat om gegevens die de bevoegdheidsverklaringsdienst gebruikt om bronnen te bevragen die de gegevens bevatten die nodig zijn om over de vertegenwoordigingsbevoegdheid van een bepaalde persoon conclusies te kunnen trekken. Daarom bevat dit artikel op dit moment enkel gegevens die nodig zijn voor het opstellen van dergelijke verklaringen en het voorkomen of herstellen van fraude en misbruik van de voorziening. In het algemeen deel is uitgebreid ingegaan op de persoonsgegevens die in dit artikel worden genoemd.

Onder de «gegevens die nodig zijn om de naam juist weer te geven» worden bijvoorbeeld verstaan adellijke titels of predicaten.

Artikel 3b

De gezagsmodule wordt ook door de minister van Binnenlandse Zaken en Koninkrijksrelaties beheerd. Op grond van artikel 3b is het die minister toegestaan om in verband met de inrichting, beschikbaarstelling, instandhouding, werking, beveiliging en betrouwbaarheid van de bevoegdheidsverklaringsdienst persoonsgegevens te verwerken. De gezagsmodule gebruikt daarvoor informatie uit de basisregistratie personen en daarvoor is een verwerkingsgrondslag noodzakelijk.

Zoals in paragraaf 2.2 uiteen is gezet kan de gezagsmodule door de bevoegdheidsverklaringsdienst of rechtstreeks door specifieke publieke dienstverleners worden bevraagd. De inhoud van de door de gezagsmodule af te geven gezagsverklaring en de gegevens die daarvoor moeten worden verwerkt verschillen bij rechtstreekse bevraging ten opzichte van een verklaring die aan de bevoegdheidsverklaringsdienst wordt afgegeven. Artikel 3b bevat daartoe twee leden, het eerste lid regelt de gegevensverwerking voor een gezagsverklaring voor de bevoegdheidsverklaringsdienst (een verklaring als bedoeld in artikel 7b, onderdeel a) en het tweede lid regelt de verwerking wanneer een gezagsverklaring rechtstreeks wordt afgegeven aan dienstverleners (een verklaring als bedoeld in artikel 7b, onderdeel b).

Artikel 3b, eerste lid, bevat de verwerkingsgrondslagen voor het opstellen van een verklaring als bedoeld in artikel 7b, onderdeel a; de verklaring op verzoek van de bevoegdheidsverklaringsdienst. Bij toepassing van het eerste lid gaat het om een verklaring over het ouderlijk gezag van een specifieke persoon over een andere specifieke persoon. Deze personen worden geduid in het verzoek dat aan het opstellen van de verklaring ten grondslag ligt. Dat verzoek is afkomstig van de bevoegdheidsverklaringsdienst en bevat informatie over de personen waarover een gezagsverklaring wordt gevraagd. Voor het opstellen van een dergelijke verklaring wordt in de basisregistratie personen onder meer vastgesteld wie de ouders zijn van de persoon waarop het verzoek ziet, welke andere personen op basis van familierelaties ouderlijk gezag kunnen uitoefenen (bijvoorbeeld huwelijkspartners van de ouders) en of sprake is van bekende beperkingen van hun handelingsbekwaamheid. Van die personen wordt relevante informatie verwerkt.

Onderdeel C

Met onderdeel C worden twee artikelen ingevoegd die het verstrekken van persoonsgegevens door de bevoegdheidsverklaringsdienst (artikel 7a) en de gezagsmodule (artikel 7b) regelen.

Artikel 7a

De bevoegdheidsverklaringsdienst verstrekt aan publieke dienstverleners een bevoegdheidsverklaring over de bevoegdheid van natuurlijke personen of rechtspersonen om te handelen namens een andere natuurlijke persoon of rechtspersoon. Op het moment van inwerkingtreden van dit besluit kan een dergelijke verklaring slechts worden verstrekt over bewindvoering en ouderlijk gezag, maar in de toekomst kan de toepassing worden uitgebreid, wanneer de bevoegdheidsverklaringsdienst over aanvullende vormen van vertegenwoordiging een verklaring kan afgeven.

Artikel 7b

Artikel 7b regelt het afgeven van een verklaring door de gezagsmodule over de ouderlijk gezagsrelatie tussen twee specifieke personen. Het afgeven van een dergelijke verklaring wordt door de gezagsmodule verstrekt aan en op verzoek van de bevoegdheidsverklaringsdienst.

Wanneer door de gezagsmodule is vastgesteld dat geen sprake is van een gezagsrelatie wordt aan de bevoegdheidsverklaringsdienst een reactie gestuurd zonder informatie. Op basis van die reactie kan de bevoegdheidsverklaringsdienst vaststellen dat de gezagsmodule heeft gefunctioneerd en dat de uitkomst van de gezagsvraag negatief is. Omdat met een dergelijke reactie geen persoonsgegevens worden verstrekt bevat artikel 7b, aanhef en onderdeel a, geen grondslag voor het verstrekken van persoonsgegevens bij een dergelijke uitkomst.

Onderdeel D

Met dit onderdeel worden wijzigingen doorgevoerd die noodzakelijk zijn voor het gebruik van de Berichtenbox van MijnOverheid. Daarop wordt ingegaan in de paragrafen 2.4 en 4.3 van het algemene deel van deze nota van toelichting.

Onderdeel E

Artikel 10 bepaalt tot het moment van inwerkintreding van dit wijzigingsbesluit dat door DigiD, DigiD Machtigen en MijnOverheid verwerkte gegevens in beginsel niet mogen worden verstrekt aan anderen dan de personen op wie de gegevens zien en aan de publieke dienstverleners die als gebruikers van de voorzieningen kunnen worden aangemerkt. Het artikel bevat uitzonderingen voor verstrekkingen die noodzakelijk zijn voor de veiligheid en de betrouwbaarheid en in gevallen waarin het verstrekken is toegestaan op grond van een wettelijke bepaling. Deze verplichtingen moeten ook gelden voor de bevoegdheidsverklaringsdienst en de gezagsmodule, maar voor die voorzieningen wordt geen gebruik gemaakt van de begrippen «gebruiker» en «bezoeker». Met deze wijziging wordt daarom bepaald dat de verplichting om geen gegevens te verstrekken ook geldt ten aanzien van gegevens over de beoogd vertegenwoordiger en vertegenwoordigde.

Onderdeel F

Met dit onderdeel worden twee artikelen toegevoegd waarin de maximale bewaartermijnen worden geregeld voor de gegevens die voor de bevoegdheidsverklaringsdienst en voor de gezagsmodule worden verwerkt. In hoofdstuk 4 van het algemene deel van deze toelichting wordt ingegaan op deze bewaartermijnen.

Onderdeel G

Met dit onderdeel wordt in artikel 13 van het Besluit verwerking persoonsgegevens GDI het uniforme gebruik doorgevoerd van het begrip «vertegenwoordiger», zoals uiteengezet in de toelichting bij wijzigingsonderdeel A, bij het begrip «vertegenwoordiger en vertegenwoordigde». Voor een inhoudelijke uiteenzetting wordt verwezen naar dat deel van deze toelichting.

Artikel II

Zowel de bevoegdheidsverklaringsdienst als de gezagsmodule zijn naar verwachting gereed voor gebruik op 1 november 2022. Daarom treedt dit besluit in werking op die datum. Omdat uit deze regeling geen verplichtingen of gevolgen voortvloeien voor burgers en bedrijven waarop deze zich moeten kunnen voorbereiden, wordt afgeweken van het kabinetsbeleid inzake vaste verandermomenten voor regelgeving. Daarmee wordt het voor vertegenwoordigers sneller mogelijk om op eenvoudige en verantwoorde wijze namens een ander toegang te krijgen tot elektronische publieke dienstverlening.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, Digitalisering en Koninkrijksrelaties A.C. van Huffelen

Naar boven