Wijziging van het Besluit basisregistratie personen in verband met onder andere de aanwijzing van Onze Minister van Onderwijs, Cultuur en Wetenschap ten behoeve van de inschrijving als niet-ingezetene van studenten.

Bij Kabinetsmissive van 5 april 2023, no.2023000956, heeft Uwe Majesteit, op voordracht van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het ontwerpbesluit tot wijziging van het Besluit basisregistratie personen in verband met onder andere de aanwijzing van Onze Minister van Onderwijs, Cultuur en Wetenschap ten behoeve van de inschrijving als niet-ingezetene van studenten uit met name het Caribisch deel van het Koninkrijk, alsmede van het Besluit burgerservicenummer in verband met een aanpassing in de beheervoorziening burgerservicenummer, met nota van toelichting.

Het ontwerpbesluit regelt de aanwijzing van de Minister van OCW als bestuursorgaan dat bevoegd is om de Minister van BZK een verzoek te doen tot inschrijving als niet-ingezetene van studenten uit met name het Caribisch deel van het Koninkrijk. Aldus kunnen deze studenten alvast zaken regelen zoals studiefinanciering of een bankrekening zonder dat zij eerst naar (Europees) Nederland hoeven te reizen. De Nationale Ombudsman heeft gewezen op de problemen waar deze studenten tegenaan lopen en de Tweede Kamer heeft de regering opgeroepen te voorzien in een oplossing. (zie noot 1)

Daarnaast regelt het ontwerpbesluit enkele andere inhoudelijke en technische wijzigingen van het Besluit basisregistratie personen. Het betreft het uitbreiden van de registratie van kiesrechtgegevens in de basisregistratie personen (hierna: BRP) over mobiele EU-burgers, een uitzondering op de verschijningsplicht bij de eerste inschrijving van een niet-ingezetene en het uitbreiden van de aanwijzing van gouverneurs en gezaghebbers voor gegevensverstrekking uit de BRP.

De Afdeling advisering van de Raad van State adviseert in de toelichting een samenhangende beschouwing op te nemen waarin de vraag wordt beantwoord in hoeverre de wetgeving en de praktijk in het Caribisch deel van het Koninkrijk zich verhouden tot de Algemene verordening gegevensbescherming (AVG) (zie noot 2) en de richtsnoeren (zie noot 3) daaromtrent. De Afdeling motiveert dit als volgt.

In het ontwerpbesluit wordt voorgesteld de categorieën van persoonsgegevens uit te breiden die ten hoogste verstrekt kunnen worden aan gouverneurs van de landen Aruba, Curaçao en Sint Maarten en gezaghebbers van de openbare lichamen Bonaire, Sint-Eustatius en Saba. (zie noot 4) Deze uitbreiding betreft gegevens over curatele, gezag, nationaliteit, verblijfsrecht en paspoortgegevens en is volgens de toelichting noodzakelijk om de identiteit van de aanvrager te verifiëren en om de aanvraag van een reisdocument inhoudelijk te toetsen. Omdat het bij dit onderdeel van het ontwerpbesluit gaat om doorgifte van persoonsgegevens naar gebieden buiten de EU, moet voldaan zijn aan de regels van de AVG daaromtrent. (zie noot 5) Deze schrijven voor dat in het betreffende gebied sprake moet zijn van ‘passende waarborgen'.

Volgens de toelichting is een adequaat beschermingsniveau gewaarborgd voor het Caribische deel van het Koninkrijk door de Wet bescherming persoonsgegevens BES en de relevante Landsverordeningen van Aruba, Curaçao en Sint Maarten. (zie noot 6) Kortheidshalve verwijst de regering naar de toelichting bij een recente wijziging van de Wet BRP voor een nadere motivering. (zie noot 7) Elders in de toelichting geeft de regering naar aanleiding van de consultatie een aanvullende beschouwing. (zie noot 8) De kern hiervan is dat in diverse regelingen (de Wet BRP, de Paspoortwet, de Wet bescherming persoonsgegevens BES, de landsverordeningen en het ontwerpbesluit zelf) de in de toelichting genoemde waarborgen zijn opgenomen en dat deze in hun onderlinge samenhang het vereiste (‘passende’) beschermingsniveau garanderen. Daarbij merkt de regering op dat de genoemde regelgeving bij de toetsing aan artikel 46 AVG moet worden bezien ‘in haar staatsrechtelijke context’; de uitwisseling vindt plaats tussen overheidsorganisaties binnen het Koninkrijk, ter uitvoering van rijkswetgeving. (zie noot 9)

Deze toelichting is ontoereikend. Uit onderzoek blijkt dat niet zonder meer kan worden aangenomen dat het beschermingsniveau van de genoemde wetgeving in Caribisch Nederland en de Caribische landen een voldoende deugdelijke grondslag biedt voor uitwisseling van gegevens. (zie noot 10) Bovendien laten implementatie, uitvoering en toezicht volgens het onderzoek nog sterk te wensen over. (zie noot 11) De regering kan in de toelichting daarom niet volstaan met alleen een beschouwing over de toepasselijke wettelijke regelingen.

Daarbij komt dat de vraag naar de passende waarborgen op verschillende plaatsen in de toelichting wordt behandeld en deze passages een verschillende inhoud kennen. (zie noot 12) Niet duidelijk is hoe deze passages met het oog op het geldende beschermingsniveau zich tot elkaar verhouden. Ten slotte is niet duidelijk wat de regering bedoelt met de opmerking dat de toepassing van artikel 46 AVG dient te worden bezien ‘in haar staatsrechtelijke context’. De toelichting gaat niet in op de vraag of, en zo ja op welke wijze, het feit dat de gegevensuitwisseling plaatsvindt in de verhoudingen binnen het Koninkrijk van invloed kan zijn op de interpretatie van de AVG.

De Afdeling adviseert de toelichting in het licht van het voorgaande aan te vullen.

De Afdeling advisering van de Raad van State heeft een opmerking bij het ontwerpbesluit en adviseert daarmee rekening te houden voordat een besluit wordt genomen.

De vice-president van de Raad van State

Nader rapport (reactie op het advies) van 30 juni 2023

De opmerking van de Raad van State ziet op de verstrekking van BRP-gegevens aan gouverneurs en gezaghebbers voor de uitgifte van reisdocumenten. Op grond van artikel 3.12 van de Wet BRP kent het Besluit BRP reeds de grondslag voor de verstrekking van BRP-gegevens aan gouverneurs en gezaghebbers voor deze taak. Met het onderhavige besluit wordt die grondslag uitgebreid, in die zin dat er een beperkt aantal categorieën gegevens wordt toegevoegd aan de afgebakende set gegevens die ten hoogste verstrekt kan worden. In de nota van toelichting is de noodzaak van deze uitbreiding onderbouwd. (zie noot 13)

Naar aanleiding van het advies van de Raad van State is de toelichting bij het besluit aangepast. Er wordt nu nog slechts op één plaats in de toelichting inhoudelijk ingegaan op het beschermingsniveau in het Caribisch deel van het Koninkrijk, in plaats van op twee. Deze toelichting is naar aanleiding van het advies van de Raad van State niet beperkt tot een verwijzing naar de toepasselijke wettelijke regelingen voor de bescherming van de privacy. In aanvulling op de aanwezigheid van die regelingen wordt ingegaan op de uitvoering van die regelingen in de praktijk. In de eerste plaats is hier van belang dat de verstrekking (raadpleging) van BRP-gegevens aan de gezaghebbers en gouverneurs plaatsvindt via de beveiligde kanalen die ook gebruikt worden voor de verstrekkingen van BRP-gegevens binnen Europees Nederland. De verstrekking van BRP-gegevens wordt gelogd: voor de ingeschrevene is opvraagbaar of en aan welke instanties zijn persoonsgegevens uit de BRP verstrekt zijn. Vervolgens worden de BRP-gegevens verwerkt in de systemen voor aanvraag en uitgifte van reisdocumenten. Deze voorzieningen (systemen voor verstrekking en gebruik) worden ook in Europees Nederland gebruikt en voldoen aldus aan de Baseline Informatiebeveiliging Overheid (BIO): het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen.

Voor wat betreft de staatsrechtelijke context geldt in de eerste plaats dat de uitbreiding van gegevensverstrekking plaatsvindt ten behoeve van de uitvoering van rijkswetgeving (in casu de Paspoortwet). Het gaat om verstrekking van gegevens voor de uitvoering van dezelfde taken als waarvoor Europees Nederlandse gemeenten reeds gegevens ontvangen. De Paspoortwet stelt regels ten aanzien van de verwerking van persoonsgegevens in het aanvraag- en uitgifteproces van reisdocumenten. Die regels gelden aldus ook voor de Caribische autoriteiten (gouverneurs en gezaghebbers). In dit verband wordt nog gewezen op artikel 8.1 van het Paspoortbesluit, waarin is bepaald dat de tot uitreiking bevoegde autoriteiten passende technische en organisatorische maatregelen treffen ter beveiliging van de onder hen berustende gegevens tegen verlies of aantasting van deze gegevens en tegen onbevoegde kennisneming, wijziging of verstrekking van deze gegevens. Het gaat daarbij onder andere om maatregelen gericht op een deugdelijke werking en beveiliging van de apparatuur, programmatuur en opslagmedia, en om maatregelen voor het geval de geheimhouding of integriteit van de gegevens is geschaad.

De tweede reden waarom de staatsrechtelijke context in deze relevant is, is dat in koninkrijksverband samengewerkt wordt om de privacybescherming te verbeteren en verder te harmoniseren. Door een in 2018 ingestelde interlandelijke werkgroep is de vraag onderzocht of de harmonisatie van het gegevensbeschermingsniveau van het Caribische deel van Nederland en van de Caribische landen mogelijk is, en zo ja, wat daarvoor nodig is. Ingevolge de conclusie van de werkgroep hebben de Minister van Justitie en Sociale Zaken van Aruba en de Ministers van Justitie van Sint Maarten, van Curaçao en van Nederland in het Justitieel Vierpartijen Overleg (JVO) van 14 januari 2021 geconstateerd dat het aangewezen is om een geharmoniseerd niveau van gegevensbescherming binnen het Caribisch deel van het Koninkrijk te realiseren en besloten om een consensusrijkswet tot stand te brengen waarmee de beschermingsregimes voor de verwerking van persoonsgegevens binnen de Caribische delen van het Koninkrijk worden geharmoniseerd en het beschermingsniveau wordt verhoogd. Bij brief van 22 augustus 2022 is een gezamenlijk verzoek voor personele en financiële bijstand ingediend door de Minister van Justitie en Sociale Zaken van Aruba en de Ministers van Justitie van Sint Maarten en van Curaçao, bij de Minister van Justitie van Nederland, die inmiddels heeft aangegeven hier welwillend naar te kijken. Het verzoek ziet op bijstand gericht op opleiding en training, de uitvoering van een bewustwordingscampagne en wetgevingstechnische bijstand, en dekt hiermee de belangrijkste aspecten van de uitvoering van de privacyregelgeving. In overleg met de Caribische landen wordt onderzocht op welke wijze gevolg kan worden gegeven aan het betreffende verzoek.

Concluderend zorgt het onderhavige besluit voor een beperkte en afgebakende uitbreiding van de set gegevens die verstrekt wordt voor de uitvoering rijkswetgeving (paspoortwet). Hierbij zijn behalve juridische, ook technische en organisatorische maatregelen getroffen voor een zorgvuldige en rechtmatige verwerking van persoonsgegevens. De in dit besluit bepaalde uitbreiding van de verstrekking aan gouverneurs en gezaghebbers steunt - gelet op het bovenstaande - op artikel 46, eerste en tweede lid, onderdeel a, van de AVG: doorgifte op basis van passende waarborgen, gelegen in een juridisch bindend en afdwingbaar instrument tussen overheidsinstanties of -organen. De nota van toelichting is aangevuld in lijn met het vorengaande.

Bij gelegenheid van het nader rapport is ook overigens de wijziging van bijlage 3 van het Besluit BSN herzien (artikel II van het Ontwerpbesluit). Dit betreft het volgende. Op grond van artikel 12 van de Wabb dienen de organisaties die het BSN gebruiken (hierna: gebruikers), zoals UWV en de Belastingdienst, in hun uitvoeringsprocessen zich ervan te vergewissen dat het BSN betrekking heeft op de persoon wiens gegevens worden verwerkt. Om dit te kunnen vaststellen, heeft de gebruiker toegang tot de beheervoorziening burgerservicenummer (hierna: BV BSN). Vanuit de BV BSN wordt een aantal identificerende gegevens verstrekt, zodat - mede in combinatie met het identiteitsdocument van de betrokkene - vastgesteld kan worden of het BSN hoort bij de betreffende persoon. In de bijlage bij artikel 14 van het Besluit BSN (bijlage 3 bij het Besluit BSN) zijn die gegevens opgenomen. Deze gegevens zijn afkomstig uit de BRP. Verondersteld werd dat de gebruikers in de meeste gevallen aan de wettelijke controleplichten kunnen voldoen met een beperktere set gegevens dan die is vastgesteld in bijlage 3 bij het Besluit BSN. Het ontwerpbesluit bevat aldus een wijziging van bijlage 3, door daarin een beperktere set gegevens op te nemen. Uit een eerste verkenning van de uitvoeringconsequenties van deze inperking van bijlage 3 volgt evenwel dat over een aantal van de te schrappen gegevens onvoldoende vaststaat of gebruikers (instanties) zonder die gegevens nog wel kunnen voldoen aan de wettelijke controleplichten. Bij gelegenheid van het nader rapport is de aanpassing van bijlage 3 aldus beperkt tot het schrappen van de gegevens over geboorteplaats en geboorteland.

De staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, Digitalisering en Koninkrijksrelaties

Voetnoten

(1) Kamerstukken II 2021/22, 31288, nr. 940.
(2) Artikel 46 AVG. Incidenteel kan doorgifte eveneens plaatsvinden om gewichtige redenen van algemeen belang (artikel 49, eerste lid, onder d, AVG), mits het door de AVG gewaarborgde beschermingsniveau niet wordt ondermijnd (artikel 44 AVG). Vgl. EDPB, Richtsnoeren 2/2018 inzake afwijkingen op grond van artikel 49 van Verordening 2016/679, 25 mei 2018, p. 11.
(3) EDPB, Richtsnoeren 2/2020 betreffende artikel 46, lid 2, punt a), en lid 3, punt b), van Verordening 2016/679 inzake doorgiften van persoonsgegevens tussen overheidsinstanties en overheidsorganen binnen en buiten de EER, vastgesteld op 15 december 2020. In de toelichting wordt aan deze richtsnoeren nog geen aandacht besteed.
(4) Voorgesteld artikel I, onderdeel H.
(5) Artikel 44 e.v. AVG.
(6) Nota van toelichting, paragraaf 3.3.3.
(7) Kamerstukken II 2020/21, 35648, nr. 3, p. 10-12.
(8) Nota van toelichting, paragraaf 5.3. Zie ook paragraaf 3.3.1.
(9) Nota van toelichting, paragraaf 5.3.
(10) Brief van de minister voor Rechtsbescherming van 13 maart 2020, Kamerstukken II 2019/20, 32761, nr. 161, p. 2. Zie Pro Facto, Evaluatie Wet bescherming persoonsgegevens BES, WODC 2019, paragraaf 6.2.4.
(11) Pro Facto, Evaluatie Wet bescherming persoonsgegevens BES, paragraaf 6.2.4. Zie voor vergelijkbare kritiek de reacties op het ontwerpbesluit van de Commissie toezicht bescherming persoonsgegevens BES, 16 februari 2023 en van de Autoriteit Persoonsgegevens, 9 november 2022.
(12) Nota van toelichting, paragraaf 3.3.3, laatste alinea, resp. paragraaf 5.3, tweede tot en met vijfde alinea.
(13) Nota van toelichting, paragraaf 2.3.