Autorisatiebesluit selectie voor de Minister van Binnenlandse Zaken en Koninkrijksrelaties in verband met het tegengaan van fraude met DigiD, Rijksdienst voor Identiteitsgegevens

Datum: 22 november 2018

Kenmerk: 2018-0000899388

In het verzoek van 8 november 2018, 2018-0000888536, heeft de Minister van Binnenlandse Zaken en Koninkrijksrelaties verzocht om de selectieverstrekking van gegevens als bedoeld in artikel 37, eerste lid, onder b, van het Besluit BRP in verband met het tegengaan van fraude met DigiD.

Gelet op de artikelen 3.1 en 3.2 van de Wet basisregistratie personen wordt op dit verzoek als volgt besloten.

Paragraaf 1. Begripsbepalingen

Artikel 1

In dit besluit wordt verstaan onder:

a. de Minister van BZK:

de Minister van Binnenlandse Zaken en Koninkrijksrelaties;

b. de Wet BRP:

de Wet basisregistratie personen;

c. het Besluit BRP:

het Besluit basisregistratie personen;

d. de basisregistratie personen:

de basisregistratie personen, bedoeld in artikel 1.2 van de Wet BRP;

e. de systematische verstrekking:

de systematische verstrekking, bedoeld in artikel 1.1, onder g, van de Wet BRP;

f. de systeembeschrijving:

de systeembeschrijving, bedoeld in artikel 1 van het Besluit BRP;

g. de persoonslijst:

de persoonslijst, bedoeld in artikel 1.1, onder c, van de Wet BRP;

h. de ingeschrevene:

de ingeschrevene, bedoeld in artikel 1.1, onder e, van de Wet BRP;

i. de selectieverstrekking van gegevens:

de selectieverstrekking van gegevens, bedoeld in artikel 37, eerste lid, onder b, van het Besluit BRP;

j. de Rijksdienst voor Identiteitsgegevens:

de Rijksdienst voor Identiteitsgegevens van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties.

Paragraaf 2. De selectieverstrekking van gegevens aan de Minister van BZK

Artikel 2

• 1. Op de selectiedatum worden de persoonslijsten van ingeschrevenen geselecteerd van wie het door de Minister van BZK aangeleverde burgerservicenummer actueel voorkomt in de basisregistratie personen.

• 2. De doelgroep zoals omschreven in het eerste lid betreft uitsluitend ingeschrevenen die op de selectiedatum op een ander adres in de basisregistratie personen zijn ingeschreven dan het adres waar zij 18 maanden voorafgaand aan de selectiedatum waren ingeschreven.

• 3. Van de geselecteerde persoonslijsten wordt op de leveringsdatum het burgerservicenummer aan de Minister van BZK verstrekt voor zover dit gegeven op de persoonslijsten is opgenomen.

• 4. De selectiedatum en de leveringsdatum worden door de Rijksdienst voor Identiteitsgegevens in overleg met de Minister van BZK vastgesteld.

Paragraaf 3. Overige verstrekkingen aan de Minister van BZK

Artikel 3

• 1. Indien een verstrekking aan de Minister van BZK op grond van dit besluit een gegeven betreft dat op juistheid wordt of is onderzocht, bevat de verstrekking naast dit gegeven tevens de gegevens over dat onderzoek.

• 2. De verstrekking van gegevens aan de Minister van BZK die op grond van dit besluit plaatsvindt, bevat geen gegeven waarbij ‘indicatie onjuist dan wel strijdigheid met de openbare orde’ is vermeld.

• 3. Indien aan de Minister van BZK gegevens worden verstrekt van een persoonslijst waarvan de bijhouding is opgeschort, bevat de verstrekking tevens de gegevens omtrent de reden en de datum van de opschorting, alsmede, voor zover deze gegevens zijn opgenomen op de persoonslijst, gegevens over de verificatie en de aanlevering van de verstrekte gegevens.

Paragraaf 4. De verzending en de ontvangst van berichten

Artikel 4

Nadat schriftelijke overeenstemming is bereikt met de Rijksdienst voor Identiteitsgegevens kan de Minister van BZK gebruik maken van een alternatief medium als bedoeld in de systeembeschrijving bij verstrekking van gegevens als bedoeld in paragraaf 2.

Paragraaf 5. Slotbepalingen

Artikel 5

• 1. De Minister van BZK verstrekt aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties onverwijld alle nieuw gebleken informatie die betrekking heeft op hetgeen geregeld is in dit besluit.

• 2. Deze informatie betreft in ieder geval wijzigingen in:

  • a. de taak of de wijze van uitvoering van de taak van de Minister van BZK;

  • b. de regelgeving ten aanzien van de taak of de wijze van uitvoering van de taak van de Minister van BZK;

  • c. de gegevens uit de basisregistratie personen die noodzakelijk zijn voor de uitvoering van de taak van de Minister van BZK.

Artikel 6

Dit besluit treedt in werking met ingang van 22 november 2019 en werkt terug tot en met 9 november 2018.

Het besluit en de bijlage bij het besluit worden gepubliceerd in de Staatscourant.

's-Gravenhage, 22 november 2018

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, namens deze, R. Maas Directeur Rijksdienst voor Identiteitsgegevens

Bezwaar

Belanghebbenden kunnen binnen zes weken na bekendmaking van dit besluit daartegen per brief bezwaar maken bij de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, Postbus 10451, 2501 HL Den Haag. Het bezwaarschrift moet zijn ondertekend, voorzien zijn van een datum alsmede de naam en het adres van de indiener en dient vergezeld te gaan van de gronden waarop het bezwaar berust en, zo mogelijk, een afschrift van het besluit waartegen het bezwaar is gericht.

TOELICHTING

1. Algemeen

Inleiding

De Wet basisregistratie personen (Wet BRP) vormt de juridische basis voor de basisregistratie personen. In de basisregistratie personen zijn persoonsgegevens opgeslagen in de vorm van persoonslijsten.

De basisregistratie personen bevat gegevens over personen die zijn ingeschreven bij een van de gemeenten in Nederland. De gemeenten houden deze gegevens bij.

Verder zijn in de basisregistratie personen gegevens opgenomen van personen die buiten Nederland woonachtig zijn, zogenoemde niet-ingezetenen. Gegevens van niet-ingezetenen worden bijgehouden door de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties. Deze registratie van niet-ingezetenen in de basisregistratie personen wordt aangeduid als de Registratie Niet-Ingezetenen (RNI). Over niet-ingezetenen wordt een beperkter aantal gegevens bijgehouden dan over ingezetenen. De gegevens in de RNI zijn niet aangemerkt als authentieke gegevens. Gegevens over niet-ingezetenen kunnen namelijk minder gemakkelijk actueel gehouden worden dan gegevens over ingezetenen.

De Wet BRP biedt de grondslag voor systematische gegevensverstrekking over ingezetenen en niet-ingezetenen aan overheidsorganen en daartoe aangewezen andere organisaties. Bij de systematische verstrekking worden vanuit een centraal bestand op geautomatiseerde wijze persoonsgegevens uit de basisregistratie personen verstrekt.

Organisaties die in aanmerking komen voor systematische gegevensverstrekking

Allereerst komen overheidsorganen in aanmerking voor systematische gegevensverstrekking uit de basisregistratie personen. Daarnaast kunnen ook organisaties die werkzaamheden verrichten met een gewichtig maatschappelijk belang daarvoor in aanmerking komen, indien deze werkzaamheden en deze organisaties op grond van artikel 3.3 van de Wet BRP zijn aangewezen. Voorts voorziet artikel 3.13 Wet BRP in systematische gegevensverstrekking aan onderzoeksinstellingen. Waar in het vervolg van deze toelichting zal worden gesproken over ‘de afnemer’ worden daarmee zowel overheidsorganen als derden als onderzoeksinstellingen bedoeld.

Het autorisatiebesluit

Afnemers die systematisch gegevens verstrekt willen krijgen uit de basisregistratie personen dienen hiertoe een verzoek in bij de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties. Het verzoek wordt gedaan in de vorm van een autorisatieaanvraagformulier. In dit formulier is aangegeven welke gegevens, over welke personen en voor welke taken de aanvrager op systematische wijze verstrekt wenst te krijgen. Het verzoek wordt getoetst, waarbij wordt uitgegaan van de beoordelingscriteria zoals deze zijn neergelegd in de Wet BRP en het Besluit basisregistratie personen (Besluit BRP). Onder meer bepalend is of en in hoeverre de verstrekking van de gegevens noodzakelijk is voor de goede vervulling van de taak van de aanvrager. Hierbij wordt steeds de bescherming van de persoonlijke levenssfeer van de personen, van wie de aanvrager gegevens verstrekt wenst te krijgen, gewaarborgd.

Na toetsing van het autorisatieverzoek wordt door de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties een autorisatiebesluit ten behoeve van de aanvrager genomen. In dit autorisatiebesluit wordt bepaald welke gegevens over welke categorieën van personen en in welke gevallen aan de afnemer worden verstrekt. Aan het autorisatiebesluit kunnen voorschriften en beperkingen worden verbonden in het belang van een zorgvuldige en doelmatige gegevensverstrekking.

Het autorisatiebesluit wordt voor zover mogelijk technisch vertaald in een zogenoemde autorisatietabelregel. Aan de hand van de autorisatietabelregel wordt de geautoriseerde afnemer herkend en kan de gegevensverstrekking vanuit de basisregistratie personen geautomatiseerd afgewikkeld worden.

2. Toelichting op de wijzen van verstrekken

De systematische gegevensverstrekking uit de basisregistratie personen kan op verschillende wijzen plaatsvinden. Op grond van dit besluit vindt de verstrekking op de volgende manieren plaats:

De selectieverstrekking van gegevens

Eenmalig worden persoonslijsten geselecteerd van ingeschrevenen van wie het A-nummer of het burgerservicenummer voorkomt op een lijst met nummers, die de aanvrager zelf aanlevert aan de Rijksdienst voor Identiteitsgegevens.

Van de persoonslijsten behorend bij de nummers op de lijst wordt een vastgestelde set gegevens verstrekt.

Overige verstrekkingen

Indien een onderzoek is ingesteld of afgerond naar een gegeven of een verzameling van gegevens, wordt hiervan bij het verstrekte gegeven melding gedaan.

Op een persoonslijst kan bij historische gegevens de indicatie ‘onjuist dan wel strijdigheid met de openbare orde’ geplaatst worden. Deze gegevens zijn foutief en worden daarom in principe niet verstrekt.

Indien gegevens worden opgevraagd van een persoonslijst die is opgeschort, hetgeen onder meer gebeurt indien een ingeschrevene is overleden of geëmigreerd, worden de reden en datum opschorting bijhouding van de persoonslijst meeverstrekt. Bij verstrekking van gegevens van een persoonslijst van een niet-ingezetene, is het van belang om aan te geven wanneer de gegevens op de persoonslijst geverifieerd zijn en welke organisatie de in een categorie opgenomen gegevens heeft aangeleverd. Om dit te bereiken, worden de verificatiegegevens of de gegevens over de aanleverende organisatie, voor zover die gegevens zijn opgenomen op de persoonslijst, meeverstrekt als er gegevens worden verstrekt uit een categorie waarin die gegevensgroepen voorkomen.

3. De verzending en ontvangst van berichten

Over de verstrekking van gegevens via alternatieve media, al dan niet naar aanleiding van infrastructurele wijzigingen, over de leverings- en selectiedata en over andere relevante onderwerpen dient overeenstemming te zijn met de Rijksdienst voor Identiteitsgegevens.

4. De Minister van Binnenlandse Zaken en Koninkrijksrelaties

Dit besluit is een autorisatiebesluit dat is genomen ten behoeve van de Minister van Binnenlandse Zaken en Koninkrijksrelaties (in deze toelichting genoemd: de Minister van BZK). De Minister van BZK is een overheidsorgaan als bedoeld in artikel 1. 1, onder t, van de Wet BRP.

4.1. Taak van de Minister van BZK

Op grond van artikel X van de wet elektronisch berichtenverkeer Belastingdienst (Wet Ebv) is de Minister van BZK verantwoordelijk voor de ‘beveiliging en betrouwbaarheid’ van voorzieningen voor elektronisch berichtenverkeer tussen burgers en de overheid. Artikel X van de wet Ebv is verder uitgewerkt in het Besluit verwerking persoonsgegevens generieke digitale infrastructuur en de Regeling voorzieningen GDI. Een van de voorzieningen voor elektronisch berichtenverkeer tussen burgers en de overheid is DigiD. De Minister van BZK zet zich in om fraude met DigiD tegen te gaan. De Minister van BZK doet dit door signalen te onderzoeken die erop kunnen wijzen dat fraudeur misbruik probeert te maken van het DigiD van een ander.

4.2. Wijzen van verstrekken aan de Minister van BZK

De Minister van BZK heeft voor de uitvoering van zijn hiervoor omschreven taak systematische gegevensverstrekking nodig uit de basisregistratie personen. De Minister van BZK krijgt hiervoor een eenmalige selectieverstrekking op basis van een door hem zelf aan te leveren lijst met burgerservicenummers van ingeschrevenen die tot de doelgroep van de Minister van BZK behoren voor de uitvoering van zijn taak.

Eenmalig worden de persoonslijsten geselecteerd van ingeschrevenen van wie het burgerservicenummer voorkomt op de lijst van de Minister van BZK en actueel voorkomt in de basisregistratie personen. De ingeschrevenen op de lijst zijn uitsluitend personen die op de selectiedatum op een ander adres in de basisregistratie personen zijn ingeschreven dan het adres waar zij 18 maanden voorafgaand aan de selectiedatum waren ingeschreven. Van de geselecteerde persoonslijsten wordt het burgerservicenummer verstrekt aan de Minister van BZK.

4.3. Toelichting te verstrekken gegevens

De Minister van BZK beschikt over de burgerservicenummers van personen bij wie er signalen zijn dat een fraudeur heeft geprobeerd misbruik te maken van de DigiD van de rechthebbende van de DigiD. Een wijziging van het adres waarop de rechthebbende van de DigiD is ingeschreven in de basisregistratie personen, in combinatie met de andere signalen, kan een aanvullend teken van fraude zijn. Er is dan mogelijk door een fraudeur bij de gemeente waar de rechthebbende van de DigiD als inwoner in de basisregistratie personen is ingeschreven aangifte gedaan van een verhuizing die niet heeft plaatsgevonden. Om die reden probeert de Minister van BZK vast te stellen of er bij de personen die mogelijk het slachtoffer zijn van fraude met hun DigiD, ook een verhuizing is geregistreerd in de basisregistratie personen.

Dit proces verloopt als volgt:

• 1. De Minister van BZK verstrekt eenmalig aan de basisregistratie personen een lijst met burgerservicenummers van personen die mogelijk het slachtoffer zijn van fraude met hun DigiD.

• 2. In de basisregistratie personen worden uit die lijst de personen geselecteerd die voldoen aan de voorwaarde dat zij op de selectiedatum op een ander adres in de basisregistratie personen zijn ingeschreven dan het adres waar zij 18 maanden eerder waren ingeschreven. Personen die gedurende deze 18 maanden op een ander adres zijn geregistreerd, maar die gedurende deze periode ook weer op hun oude adres zijn geregistreerd, worden dus niet geselecteerd.

• 3. De burgerservicenummers van de personen die voldoen aan de voorwaarde worden verstrekt aan de Minister van BZK.

5. Inlichtingenplicht

Teneinde de autorisatie actueel te houden dient de Minister van BZK tijdig inlichtingen te verschaffen over wijzigingen die zich voordoen in zijn taak, in de regelingen waarop die taak is gebaseerd of wijzigingen in de gegevens uit de basisregistratie personen die noodzakelijk zijn voor de uitvoering van die taak. Het is de uitdrukkelijke verantwoordelijkheid van de Minister van BZK om deze informatie onverwijld kenbaar te maken aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties. Eventuele gevolgen van onjuistheden in de autorisatie als gevolg van het niet of niet tijdig doorgeven van dergelijke wijzigingen komen voor de verantwoordelijkheid van de Minister van BZK.

6. Publicatie

Dit besluit wordt gepubliceerd in de Staatscourant. Het besluit wordt tevens geplaatst op de internetpagina van de Rijksdienst voor Identiteitsgegevens, publicaties.rvig.nl.