Besluit experiment dataminimalisatie basisregistratie personen.

Bij Kabinetsmissive van 19 oktober 2023, no.2023002430, heeft Uwe Majesteit, op voordracht van de Staatssecretaris Koninkrijksrelaties en Digitalisering, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het ontwerpbesluit houdende regels waarmee tijdelijk wordt afgeweken van de Wet basisregistratie personen in het kader van een experiment met beperking van de verstrekking van gegevens uit de basisregistratie personen (Besluit experiment dataminimalisatie basisregistratie personen), met nota van toelichting.

Persoonsgegevens van inwoners in Nederland worden door de gemeente waar de burger woont bijgehouden in de Basisregistratie Personen (BRP). De gegevens maken deel uit van een centrale voorziening van waaruit gegevens kunnen worden verstrekt. Zo kunnen geautoriseerde instellingen in het publieke en semipublieke domein over de juiste gegevens beschikken. In de Wet basisregistratie personen en de daarop gebaseerde regelgeving is exact vastgelegd welke gegevens in de basisregistratie geregistreerd worden en aan wie deze gegevens mogen worden verstrekt.

De regering wil gaan experimenteren met het verstrekken van bewerkte gegevens in bijvoorbeeld vereenvoudigde, gesplitste of afgeleide vorm. Zo kan in plaats van iemands geboortedatum direct iemands leeftijd worden verstrekt. De regering hoopt dat het experiment aantoont dat het hierdoor mogelijk is om met minder gegevensverstrekking dezelfde dienstverlening te realiseren. In convenanten worden nadere afspraken gemaakt hoe gemeenten en afnemers moeten voldoen aan de rechten van burgers.

De Afdeling advisering van de Raad van State merkt op dat een convenant daarvoor niet een passend instrument is. Waarborgen voor grondrechten van burgers horen in het ontwerpbesluit zelf of, voor zover het uitvoeringstechnische aspecten betreft, in een ministeriële regeling. Een convenant kan wel uitkomst bieden voor het vastleggen van aanvullende afspraken met het oog op de uitvoering van het experiment. Verder adviseert de Afdeling het aantal afnemers dat aan het experiment kan meedoen in het ontwerpbesluit nader te begrenzen. Tot slot maakt de Afdeling opmerkingen over het oogmerk van het experiment en de evaluatiecriteria die daarbij passen.

In verband hiermee is aanpassing van het ontwerpbesluit en de toelichting wenselijk.

1. Inhoud van het experiment

De regering wenst met het ontwerpbesluit voor de duur van vier jaren experimenten mogelijk te maken om de verstrekking van gegevens uit de basisregistratie te beperken. De bedoeling is louter gegevens te verstrekken die de geautoriseerde instelling nodig heeft. Daarvoor is volgens de toelichting een bewerking nodig van de gegevens in de BRP.

In het ontwerpbesluit worden enkele bewerkingen genoemd die op grond van dit experiment mogelijk moeten zijn. Het gaat bijvoorbeeld om het vereenvoudigen, splitsen of afleiden van reeds in de BRP opgenomen gegevens. Zo noemt de regering de situatie waarbij voor een instelling de leeftijd van een ingeschrevene van belang is. In plaats van het verstrekken van de geboortedag, -maand en -jaar, kan worden volstaan met het verstrekken van een bewerking daarvan: de berekende leeftijd op dat moment. (zie noot 1) In dat geval hoeft de exacte geboortedatum niet verstrekt te worden.

Door persoonsgegevens te bewerken wordt volgens de toelichting allereerst de privacy van de burger beter beschermd. (zie noot 2) Slechts de minimaal noodzakelijke gegevens worden dan verstrekt. Deze doelstelling valt binnen de wettelijke experimenteergrondslag. (zie noot 3) Ten tweede moet de centrale bewerking de kans op bewerkingsfouten door gebruikers verkleinen. Gebruikers hoeven niet meer zelf de persoonsgegevens te interpreteren maar kunnen gebruikmaken van een op hun doeleinde toegesneden bewerking hiervan.

De bewerkingen worden centraal uitgevoerd, onder verantwoordelijkheid van de minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK). Het college van burgemeester en wethouders van de gemeente onder wiens verantwoordelijkheid de gegevens worden bijgehouden, kan besluiten om aan het experiment mee te doen. Ontvangers van de bewerkte gegevens kunnen publieke en semipublieke instellingen zijn die reeds zijn geautoriseerd om gegevens uit de BRP te mogen ontvangen.

Gelet op de afhankelijkheid van de BRP als centrale en primaire informatiebron, is het belangrijk goed na te gaan of dataminimalisatie geen belemmering vormt voor een betrouwbare gegevensverstrekking uit de BRP. Het voorgestelde experiment kan helpen die vraag te beantwoorden.

2. Waarborgen rechten van burgers

Met het verstrekken van persoonsgegevens in bewerkte, geminimaliseerde vorm wordt beoogd om een nieuwe stap te zetten in de richting van verdere bescherming van persoonsgegevens. Als het voor gebruikers van de BRP mogelijk blijkt om met bewerkte persoonsgegevens uit de voeten te kunnen, kan dat er uiteindelijk toe leiden dat met het verstrekken van minder persoonsgegevens vanuit de BRP kan worden volstaan. De inbreuk van de gegevensverstrekking op het recht op eerbiediging van de persoonlijke levenssfeer en op het recht op bescherming van persoonsgegevens zou daarmee kunnen worden verkleind. (zie noot 4)

De Afdeling onderschrijft deze doelstelling maar merkt op dat het tegelijkertijd van belang is dat de rechten van burgers gewaarborgd blijven bij de extra verwerkingen die met het experiment plaatsvinden. Deze kunnen immers ook van invloed zijn op de betrouwbaarheid van de persoonsgegevens.

De verstrekking van bewerkte gegevens aan een geautoriseerde instelling vindt pas plaats als deze instelling dat met de minister van BZK is overeengekomen. (zie noot 5) Hiertoe schrijft het ontwerpbesluit voor dat de minister een convenant sluit met een geautoriseerde instelling die aan het experiment mee wil doen. Ook met colleges van burgemeester en wethouders van de gemeenten die persoonsgegevens bijhouden worden convenanten gesloten om te zorgen dat zij in ieder geval voldoen aan de op hen rustende verplichtingen. (zie noot 6) Het afsluiten van een convenant wordt in het ontwerpbesluit als voorwaarde gesteld voor deelname aan het experiment. (zie noot 7)

Een convenant is een schriftelijke afspraak die partijen maken op basis van een in beginsel gelijkwaardige, horizontale relatie. In situaties waar belangen van derden aan de orde zijn moet worden nagegaan of een convenant als instrument voor het stellen van regels passend is of dat een ander instrument geschikter is. (zie noot 8) Het ontwerpbesluit bepaalt dat het convenant tot doel heeft om de rechten, de vrijheden en de gerechtvaardigde belangen van de burger te waarborgen en bevat "in ieder geval" de wijze waarop de betrokken instelling voldoet aan diens verplichtingen. (zie noot 9) Deze formulering roept de vraag op wat de precieze reikwijdte is van de nadere afspraken en of een convenant daarvoor een geschikt instrument is.

Als het gaat om de bescherming van persoonsgegevens door de overheid moeten regels, mede gelet op artikel 10 van de Grondwet, in beginsel bij of krachtens de wet worden gesteld. Wettelijke regels - tot stand gekomen na overleg met betrokken partijen - kunnen ook meer rechtszekerheid en rechtsgelijkheid bieden en meer duidelijkheid geven over de wijze waarop kan worden toegezien op de naleving van de regels. (zie noot 10) Voor zover het de bedoeling is om  regels te stellen die van substantiële invloed kunnen zijn op de bescherming van persoonsgegevens of die afwijken van de wet, (zie noot 11) is een convenant daarvoor niet een geschikt instrument. Indien die regels met het oog op het experiment noodzakelijk zijn, adviseert de Afdeling om deze regels in het ontwerpbesluit zelf op te nemen. Daarbij is subdelegatie naar een ministeriële regeling alleen mogelijk voor zover het louter uitvoeringstechnische aspecten betreft.

Of het in aanvulling op die regels nog noodzakelijk is om in een convenant afspraken vast te leggen met het oog op de uitvoering van het experiment, kan nader worden overwogen. Voorstelbaar is dat afspraken moeten worden gemaakt over bijvoorbeeld de samenwerking en rolverdeling tussen de betrokken partijen. Voor het vastleggen van dergelijke afspraken kan een convenant uitkomst bieden. De reikwijdte van wat daarover geregeld dient te worden, moet dan echter nauwkeurig zijn begrensd zodat daaruit duidelijk blijkt dat de nadere afspraken in het convenant geen zaken betreffen die thuishoren in een algemeen verbindend voorschrift.

De Afdeling adviseert het ontwerpbesluit in het licht van het voorgaande aan te passen.

3. Omvang van het experiment

Als het gaat om de omvang van het experiment is in het ontwerpbesluit geen begrenzing opgenomen. In principe kunnen alle gemeenten deelnemen aan het experiment. Dit brede bereik wordt in de toelichting gemotiveerd. (zie noot 12) Ook kunnen alle geautoriseerde instellingen aan het experiment deelnemen en zodoende bewerkte informatie ontvangen. Voor het brede bereik in dat opzicht wordt in de toelichting geen rechtvaardiging gegeven.

Gelet op het experimentele karakter geldt als uitgangspunt dat er een onder- en bovengrens moet worden gesteld aan het aantal deelnemers dat nodig is om verantwoorde conclusies te trekken voor het geheel. Deze grenzen zijn nu niet bepaald, terwijl het voor het experiment cruciaal is dat er daadwerkelijk instellingen zijn die met de bewerkte gegevens gaan werken (de ondergrens). Tegelijk is het om zinvolle conclusies te kunnen trekken niet nodig om alle afnemende instellingen de mogelijkheid te bieden aan het experiment deel te nemen (de bovengrens). Deelname brengt immers ook onzekerheid mee over de mogelijke nadelen en gevolgen, iets dat zoveel mogelijk vermeden moet worden. Een zekere begrenzing van het aantal afnemers dat aan het experiment deelneemt ligt daarom voor de hand.

De Afdeling adviseert de omvang van het experiment nader te begrenzen en daarin zo mogelijk nadere selectiecriteria op te nemen welke geautoriseerde afnemers kunnen deelnemen.

4. Oogmerk en evaluatie van het experiment

Met het oog op de ontwikkeling van de BRP bevat de Wet basisregistratie personen een grondslag om bij wijze van experiment tijdelijk af te wijken van bepalingen uit die wet. (zie noot 13) Het ontwerpbesluit maakt gebruik van deze grondslag. De wet bevat een zestal oogmerken waarvoor experimenten mogelijk kunnen zijn. Zo kan een experiment betrekking hebben op de vraag of het mogelijk is om de rechten van burgers uit te breiden, de verstrekking van gegevens uit de basisregistratie te beperken of de administratieve lasten voor burgers te verlagen. (zie noot 14)

Een heldere keuze voor het oogmerk waarom wordt geëxperimenteerd is in het bijzonder van belang voor de evaluatie. Daar wordt namelijk beoordeeld of de administratieve lasten van het experiment opwegen tegen de maatschappelijke baten. Wat die maatschappelijke baten zijn, moet worden bezien in het licht van de achterliggende maatschappelijke problemen en de daarmee verband houdende doelstelling die aanleiding gaven voor deze experimenten. (zie noot 15) In het ontwerpbesluit is als oogmerk van het experiment gekozen voor het beperken van de bijhouding van gegevens in of de verstrekking uit de basisregistratie. (zie noot 16)

Blijkens de toelichting heeft het experiment echter twee doelen. Naast de bescherming van de privacy ziet de regering ook meerwaarde voor het verbeteren van de consistentie van de dienstverlening. (zie noot 17) In de evaluatiecriteria wordt daarom ook betrokken of de verstrekking in bewerkte vorm voor de gebruiker "de voorkeur heeft" boven verstrekking van de gegevens in onbewerkte vorm. (zie noot 18)

Door het centraal bewerken van gegevens zou de kans afnemen dat op decentraal niveau bewerkingsfouten worden gemaakt. De Afdeling acht het niet uitgesloten dat dit inderdaad een neveneffect kan zijn van de centrale bewerking van gegevens. Zij merkt echter op dat, gegeven de gekozen wettelijke experimenteergrondslag, de efficiëntie voor de gebruiker als zodanig geen reden kan zijn om te gaan experimenteren en dat dit in de evaluatie van het experiment moet worden meegewogen.

In de toelichting wordt verder aansluiting gezocht bij een ander oogmerk: het verminderen van de administratieve lasten voor de burger. (zie noot 19) Hoewel dit oogmerk in de aanhef van het ontwerpbesluit ontbreekt, lijkt de regering deze wens te verbinden aan het belang van een consistente dienstverlening. Minder fouten in de gegevensverstrekking zou ertoe leiden dat burgers minder snel moeite moeten doen om fouten te bewijzen en te laten herstellen.

Als voorbeeld van een dergelijke fout noemt de toelichting het afleiden van het ouderlijk gezag door bijvoorbeeld ziekenhuizen, de GGD en de marechaussee. (zie noot 20) Volgens de regering is het niet eenvoudig voor hen om het ouderlijk gezag vast te stellen omdat dit moet worden afgeleid uit een combinatie van verschillende BRP-gegevens (onder andere geboortedatum, ouder- en partnergegevens) en in voorkomende gevallen ook aan de hand van bewijsstukken.

In hoeverre het experiment daadwerkelijk gericht is op dit oogmerk om te experimenteren, blijkt niet uit het ontwerpbesluit. Ook blijkt niet uit de toelichting welke signalen of onderzoeken laten zien wat momenteel de lasten zijn voor burgers die worden veroorzaakt door een verkeerde interpretatie van persoonsgegevens door gebruikers, bijvoorbeeld bij het vaststellen van het ouderlijk gezag door ziekenhuizen, de GGD en de marechaussee. Een dergelijke ‘nulmeting’ kan helpen de resultaten van het experiment in perspectief te plaatsen. Mocht de regering het tegengaan van administratieve lasten voor burgers eveneens als oogmerk zien voor het experiment, dan is het van belang om in dat verband in de evaluatie ook na te gaan of het experiment leidt tot minder lasten voor burgers.

De Afdeling adviseert om het oogmerk van het experiment nader te preciseren en de evaluatiecriteria daarop aan te passen.

De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het ontwerpbesluit en adviseert daarmee rekening te houden voordat een besluit wordt genomen.

De waarnemend vice-president van de Raad van State

Nader rapport (reactie op het advies) van 8 april 2024

2. Waarborgen rechten van burgers

In reactie op dit advies van de Afdeling is van belang dat de bewerking van gegevens binnen het experiment centraal wordt uitgevoerd (door de minister van BZK) in plaats van decentraal (door een gemeente, een ander overheidsorgaan of een derde). In de huidige situatie, waarin een organisatie gegevens uit de BRP zelf bewerkt tot informatie, kan deze organisatie zelf onderzoek doen naar de juistheid van de gegevens die zijn gebruikt bij de bewerking, en de bewerkingsregels. Als de gegevens centraal worden bewerkt, door de minister van BZK, kan de organisatie die de informatie verstrekt krijgt dit onderzoek niet zelf of maar ten dele verrichten.

Het is daarom belangrijk om afspraken te maken over het onderzoeken van gegevens en informatie waarover gerede twijfel over de juistheid daarvan bestaat, het herstellen van eventuele fouten en de communicatie daarover. Daarvoor wordt het al bestaande instrument van de terugmelding (artikel 2.34 van de Wet BRP) ingezet. Indien een overheidsorgaan gerede twijfel heeft over de juistheid van een authentiek gegeven dat aan de ontvangen informatie ten grondslag ligt, doet zij daarvan mededeling bij het college van B&W van de bijhoudingsgemeente. Dit was al geregeld in artikel 2.7 van het ontwerpbesluit.

Gelet op het advies van de Afdeling dat als het gaat om de bescherming van persoonsgegevens door de overheid regels, mede gelet op artikel 10 van de Grondwet, in beginsel bij of krachtens de wet moeten worden gesteld, is artikel 2.7 van het ontwerpbesluit uitgebreid met regels over het doen van onderzoek door de minister van BZK naar de juistheid van informatie. Indien uit het onderzoek van het college van B&W van de bijhoudingsgemeente blijkt dat er geen aanleiding is geweest voor verbetering, aanvulling of verwijdering van gegevens in de basisregistratie dan wel het plaatsen van een aantekening als bedoeld in artikel 2.26 van de wet, maar er nog steeds gerede twijfel bestaat over de juistheid van informatie, doet het college daarvan mededeling aan de minister van BZK. De minister stelt vervolgens onderzoek in naar de informatie en doet mededeling van de uitkomst van dat onderzoek aan het overheidsorgaan dat de oorspronkelijke gerede twijfel over het gegeven heeft gemeld, en het college van B&W van de bijhoudingsgemeente dat de gerede twijfel over de informatie heeft gemeld. Deze procedure was al beschreven in de toelichting bij het ontwerpbesluit.

Ten slotte is de reikwijdte van de convenanten begrensd in artikel 2.8, tweede en derde lid, tot afspraken over periodieke overleggen, de beheereisen, technische aansluitvoorwaarden en dienstverleningsafspraken, financiële verplichtingen, de periodiciteit van de monitoring en evaluatie en de wijze waarop het convenant kan worden gewijzigd.

3. Omvang van het experiment

Ook voor overheidsorganen en derden geldt dat door het experiment open te stellen voor alle geautoriseerde afnemers, nut en noodzaak van iedere afzonderlijke informatievraag zo goed mogelijk kan worden beoordeeld. Het streven is om verschillende geautoriseerde afnemers (waaronder in omvang) aan te kunnen sluiten, om zo alle informatievragen gedurende het experiment aan bod te laten komen en goed te kunnen evalueren. Het vooraf beperken van het soort (categorie) geautoriseerde afnemers dat kan deelnemen aan het experiment, staat mogelijk aan dit streven in de weg. De toelichting is op dit punt aangepast. Naar aanleiding van het advies van de Afdeling is de omvang van het experiment voor wat betreft geautoriseerde afnemers nader begrensd tot maximaal 75.

4. Oogmerk en evaluatie van het experiment

Het oogmerk van het experiment ziet enkel op het beperken van de verstrekking van gegevens uit de BRP en daarmee op een verbetering van de privacyrechten van ingeschrevenen. Daaronder valt ook het voorkomen van fouten in persoonsgegevens. Het verminderen van administratieve lasten van burgers is geen oogmerk van het experiment. De toelichting is op dit punt verduidelijkt.

Bij gelegenheid van het nader rapport is het besluit en de nota van toelichting op een aantal punten aangevuld. Dit betreft het volgende. In artikel 2.3, eerste lid, is geëxpliciteerd dat de in dat lid genoemde bewerkingen met elkaar kunnen worden gecombineerd. Dit is in een aantal gevallen noodzakelijk om de informatie bedoeld in artikel 2.3, tweede lid, te kunnen verstrekken. De bewerkingsmethode “vereenvoudigen” is geschrapt. Het opnemen van deze bewerkingsmethode in het besluit bleek niet nodig, omdat de informatie reeds kan worden verstrekt op basis van de huidige Wet BRP. In plaats daarvan is de bewerkingsmethode “aggregeren” toegevoegd aan het eerste lid. Het gaat dan om het afleiden van aantallen en gemiddelden afkomstig van meerdere persoonslijsten in de BRP. Bijvoorbeeld: het aantal in- en uitschrijvingen op adres binnen een bepaalde periode, of het gemiddelde aantal ingeschrevenen op een adres gedurende een periode.

In artikel 2.3, tweede lid, is in een aantal onderdelen de zinsnede “van de ingeschrevene” geschrapt. Daardoor wordt het ook mogelijk om persoonsgegevens van personen die geen ingeschrevene zijn in de BRP, maar wel als gerelateerde voorkomen op de persoonslijst van een ingeschrevene, te bewerken tot informatie. Daarnaast zijn de doeleinden uitgebreid met informatie over het geslacht en het tijdelijk verblijfsadres van de ingeschrevene.

Ten slotte is de uitleg van de bewerkingen in paragraaf 2.1.2 van de toelichting uitgebreid en/of aangepast, zodat inzichtelijker is welke bewerkingen precies zijn toegestaan onder het experiment en is een aantal tekstuele verbeteringen in het ontwerpbesluit en de nota van toelichting doorgevoerd.

Ik bied U hierbij het gewijzigde ontwerpbesluit en de gewijzigde nota van toelichting aan en verzoek U overeenkomstig dit ontwerp te besluiten.

De staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
Digitalisering en Koninkrijksrelaties

Voetnoten

(1) Toelichting op het wetsvoorstel, algemeen deel, paragraaf 1.1 (Dataminimalisatie voor de BRP: in het belang van de burger).
(2) Toelichting op het wetsvoorstel, algemeen deel, paragraaf 1.1 (Dataminimalisatie voor de BRP: in het belang van de burger).
(3) Artikel 4.16a, eerste lid, aanhef en onder b, van de Wet basisregistratie personen.
(4) Zie artikel 10 van de Grondwet, artikel 8 van het van het Europees Verdrag voor de Rechten van de Mens (EVRM) en de artikelen 7 en 8 van het EU-Grondrechtenhandvest.
(5) Voorgesteld artikel 2.6 van het ontwerpbesluit.
(6) Voorgesteld artikel 2.8 van het ontwerpbesluit.
(7) Toelichting op het wetsvoorstel, algemeen deel, paragraaf 2.1.3 (Grondslag voor de verstrekking van informatie).
(8) Aanwijzingen voor convenanten, aanwijzing 3.
(9) Artikel 2.8, tweede en derde lid, van het ontwerpbesluit. Zo wordt gedurende twintig jaar aantekening bijgehouden welke gegevens op grond van het experiment zijn verstrekt en kunnen burgers daarin inzage krijgen. Ook het recht op rectificatie of gedeeltelijke gegevenswissing is van toepassing op de bewerkte gegevens.
(10) Niet voldoende is in dat verband dat de rechten van burgers volgens de regering "zoveel mogelijk" op gelijke wijze worden gewaarborgd, zie: Toelichting op het ontwerpbesluit, algemeen deel, paragraaf 2.1.5 (Rechten van de burger).
(11) Aanwijzingen voor de regelgeving, aanwijzing 2.41.
(12) De regering stelt dat de effectiviteit van het experiment bij de afnemers beperkt wordt als aan de voorkant slechts een beperkte groep verstrekkers aan het experiment meedoet. Zie: toelichting op het ontwerpbesluit, algemeen deel, paragraaf 2.1.1 (Deelnemers aan het experiment en voorwaarden).
(13) Kamerstukken II 2020/21, 35648, nr. 3.
(14) Artikel 4.16a, eerste lid, van de Wet basisregistratie personen.
(15) Artikel 4.16a, vierde lid van de Wet basisregistratie personen.
(16) De aanhef van het ontwerpbesluit noemt daarvoor artikel 4.16a, eerste lid, aanhef en onder b, van de Wet basisregistratie personen.
(17) Toelichting op het ontwerpbesluit, algemeen deel, paragraaf 1.1 (Dataminimalisatie voor de BRP: in het belang van de burger).
(18) Voorgesteld artikel 3.2, aanhef en onder b, van het ontwerpbesluit.
(19) Artikel 4.16a, eerste lid, aanhef en onder c, van de Wet basisregistratie personen.
(20) Toelichting op het ontwerpbesluit, algemeen deel, paragraaf 1.1 (Dataminimalisatie voor de BRP: in het b