Ontwerpbesluit houdende regels betreffende de verwerking van persoonsgegevens in de voorzieningen voor de generieke digitale infrastructuur DigiD, DigiD Machtigen, MijnOverheid en BSN-Koppelregister (Besluit verwerking persoonsgegevens GDI), met nota van toelichting.

Bij Kabinetsmissive van 25 januari 2016, no.2016000102, heeft Uwe Majesteit, op voordracht van de Minister van Binnenlandse Zaken en Koninkrijksrelaties, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het ontwerpbesluit houdende regels betreffende de verwerking van persoonsgegevens in de voorzieningen voor de generieke digitale infrastructuur DigiD, DigiD Machtigen, MijnOverheid en BSN-Koppelregister (Besluit verwerking persoonsgegevens GDI), met nota van toelichting.

Het ontwerpbesluit regelt welke gegevens de Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) kan verwerken binnen MijnOverheid, DigiD en DigiD Machtigen, welke gegevens hij kan verstrekken aan de afnemers van die drie systemen en hoelang hij de gegevens mag bewaren. Daarnaast bevat het ontwerpbesluit regels voor particuliere authenticatiemiddelen, die via het BSN-Koppelregister toegang geven tot MijnOverheid.

De Afdeling advisering van de Raad van State adviseert het ontwerpbesluit vast te stellen, maar acht op onderdelen een specifieke wettelijke grondslag of aanpassing van het ontwerpbesluit aangewezen. Zij adviseert het ontwerpbesluit in een breder kader te plaatsen. Voorts merkt de Afdeling op dat er geen wettelijke grondslag is voor het verstrekken van het burgerservicenummer aan private partijen ten behoeve van authenticatiediensten. Daarnaast maakt de Afdeling opmerkingen over de verwerking en verstrekking van persoonsgegevens aan gemachtigden en de verstrekking van persoonsgegevens aan derden.

1. Inleiding
Het stelsel van voorzieningen voor het elektronisch verkeer met de overheid, is geleidelijk ontstaan. Het begon als een alternatief voor papieren communicatie waarvan alleen sommige burgers en bestuursorganen op vrijwillige basis gebruik maakten, met telkens het papieren alternatief achter de hand. In de loop van de tijd, en naarmate het belang van internet en e-mail in de maatschappij groeide, is ook de betekenis van elektronische communicatie met de overheid steeds verder toegenomen. (zie noot 1)

In bepaalde situaties is thans de elektronische weg voorgeschreven, zij het dat daarbij telkens voor bepaalde categorieën de papieren route is opengelaten:
- in het verkeer tussen burgers en het Uitvoeringsinstituut werknemersverzekeringen, (zie noot 2)
- bij de aanvraag om een omgevingsvergunning, (zie noot 3)
- in het verkeer tussen de overheidswerkgever en de ambtenaar. (zie noot 4)

Voor het elektronische berichtenverkeer met de burgers maakt de overheid gebruik van een persoonlijke website voor overheidszaken (MijnOverheid). Om toegang te krijgen tot MijnOverheid (en vele andere portalen van overheden en organisaties met een publieke taak) moet worden ingelogd met een voorziening voor elektronische authenticatie, thans is dat DigiD. (zie noot 5) Tot voor kort gebruikten burgers MijnOverheid alleen op basis van vrijwilligheid. (zie noot 6) Persoonsgegevens werden voor DigiD en MijnOverheid alleen verwerkt op basis van toestemming door de betrokken burger en acceptatie van de gebruiksvoorwaarden.

Vooralsnog kan alleen met DigiD worden ingelogd op MijnOverheid. Op termijn is het de bedoeling dat ook particuliere inlogmiddelen toegang tot MijnOverheid geven (ontwikkeling van Idensys, voorheen eID stelsel). Daarnaast is er eHerkenning, dat door de overheid in samenwerking met bedrijven is ontwikkeld. Het geeft bedrijven en beroepsbeoefenaren elektronische toegang tot de overheid, zoals DigiD dat voor burgers doet. De rijksoverheid, gemeenten en provincies zijn hierbij ruimer vertegenwoordigd dan bij MijnOverheid. (zie noot 7) Er zijn op dit moment zes leveranciers binnen eHerkenning. (zie noot 8)

Sinds de inwerkingtreding van de Wet elektronisch berichtenverkeer Belastingdienst in november 2015, verloopt het berichtenverkeer tussen burgers en de belastingdienst - behoudens bij ministeriële regeling aan te wijzen uitzonderingen - uitsluitend elektronisch. (zie noot 9) Het elektronisch communiceren met de overheid zal zich echter in de toekomst niet alleen beperken tot de belastingdienst. Het streven is erop gericht dat in 2017 diensten en producten 100% digitaal beschikbaar zullen zijn. Achtergrond van deze beleidsdoelstelling van de digitale overheid is om te komen tot een gestandaardiseerd en samenhangend gebruik van generieke voorzieningen voor het aanbod van overheidsdienstverlening. Het beoogde einddoel is dat burgers en bedrijven eenvoudig en snel de overheid kunnen vinden en betrouwbare en veilige dienstverlening kunnen krijgen, plaats- en tijdonafhankelijk. De beoogde wetgeving draagt ook bij aan het voornemen voor het realiseren van een "recht op elektronisch zakendoen" zoals neergelegd in het Regeerakkoord en uitgewerkt in de Visiebrief digitale overheid 2017. (zie noot 10) In beginsel zullen alle bestuursorganen verplicht worden om aan te sluiten tot in lagere regelgeving vastgestelde voorzieningen van de generieke digitale infrastructuur (GDI) om informatie te ontsluiten, informatie te ontvangen en informatie met burgers en bedrijven uit te wisselen, behoudens bepaalde categorieën bestuursorganen of processen van deze bestuursorganen. (zie noot 11)

Met het vervallen van het vrijwillig gebruik van MijnOverheid is een wettelijke regeling voor de verwerking van persoonsgegevens noodzakelijk. De Wet elektronisch berichtenverkeer Belastingdienst bepaalt in artikel X, eerste lid, dat de Minister van BZK zorg draagt voor "de inrichting, beschikbaarstelling, instandhouding, werking, beveiliging en betrouwbaarheid van voorzieningen voor elektronisch berichtenverkeer en informatieverschaffing alsmede van voorzieningen voor elektronische authenticatie en elektronische registratie van machtigingen."

Artikel X, tweede lid, bepaalt dat de Minister van BZK nadere regels kan vaststellen over de werking, beveiliging en betrouwbaarheid van de in het eerste lid genoemde elektronische voorzieningen. Deze regels zijn tot stand gekomen: de Regeling voorzieningen GDI.

Artikel X, derde lid, bepaalt dat de Minister van BZK persoonsgegevens, waaronder het burgerservicenummer (BSN), verwerkt voor zover dat noodzakelijk is voor de goede vervulling van de taak, bedoeld in het eerste lid. Bij algemene maatregel van bestuur wordt nader bepaald:
- welke persoonsgegevens worden verwerkt,
- aan wie deze worden verstrekt, en
- hoe lang deze worden bewaard.

Het voorliggende ontwerpbesluit geeft uitvoering aan de regelingsopdracht van artikel X, derde lid.

De Afdeling onderkent het belang van de steeds verder voortschrijdende digitalisering van onze samenleving. Zij onderschrijft dan ook het streven van de regering om diensten en producten van de overheid op veilige en betrouwbare digitale wijze toegankelijk te maken, waarbij bestuursorganen verplicht gebruik zullen maken van elektronisch gestandaardiseerde generieke toegangsvoorzieningen. De Afdeling maakt echter de volgende opmerkingen.

2. Breder kader ontwerpbesluit
Het ontwerpbesluit regelt welke persoonsgegevens de Minister kan verwerken ten behoeve van de generieke digitale infrastructuur (GDI), aan wie hij persoonsgegevens kan verstrekken en hoelang de gegevens bewaard mogen worden. Het betreft voornamelijk de burgerservicenummers (BSN) en andere tot de burger herleidbare persoonsgegevens.

De Afdeling begrijpt dat wetgeving inzake de digitale overheid in tranches tot stand zal worden gebracht. In de eerste tranche komen zaken aan bod betreffende rechten, verplichtingen en bevoegdheden over identificatie, authenticatie en machtiging zodat burgers en bedrijven eenduidig toegang tot de overheid krijgen, over de ontsluiting van algemene overheids- en personeelsgebonden informatie, over standaarden (waaronder webrichtlijnen en interoperabiliteit), informatieveiligheid, de naleving daarvan en de inrichting van het toezicht daarop. (zie noot 12) Met het voorliggend ontwerpbesluit loopt het kabinet vooruit op de brede wettelijke regeling voor de gehele digitale infrastructuur: het wetsvoorstel GDI. Beoogd wordt de wettelijke grondslag waarop voorliggend ontwerpbesluit is gebaseerd te laten vervallen zodra het wetsvoorstel GDI in werking is getreden. (zie noot 13)

De Afdeling mist in de toelichting het bredere kader waarbinnen het ontwerpbesluit gezien moet worden. In de toelichting wordt ook geen aandacht besteed aan de samenhang met andere wetten en de beoogde wetsvoorstellen, waaronder het aangekondigde wetsvoorstel GDI, de wijziging van de Algemene wet bestuursrecht (voorstel van Wet modernisering elektronisch bestuurlijk verkeer) die in februari 2016 in internetconsultatie is gegaan, en de verordening van de Europese Unie die regels stelt voor elektronische identificatie en vertrouwensdiensten voor elektronische transacties (de eidas-verordening). (zie noot 14)

De Afdeling adviseert voor de zelfstandige leesbaarheid van het ontwerpbesluit, in de inleiding van het algemeen deel van de toelichting op dit bredere kader in te gaan.

3. Gebruik BSN door private authenticatiediensten
De Minister van BZK wil burgers de mogelijkheid geven om in te loggen op MijnOverheid met een privaat authenticatiemiddel, als alternatief voor het publieke DigiD. In het ontwerpbesluit wordt hier al rekening mee gehouden: het voorziet in de verwerking van persoonsgegevens - waaronder het BSN - ten behoeve van het BSN-Koppelregister. (zie noot 15) Het is de bedoeling om door deze zogeheten "multimiddelen-benadering" de elektronische dienstverlening door de overheid te verbeteren en het gebruiksgemak voor burgers te verhogen. (zie noot 16)

De toelichting beschrijft hoe daarbij te werk wordt gegaan. Als een burger een authenticatiemiddel wil aanvragen bij een private authenticatiedienst, biedt hij de leverancier een geldig wettelijk identiteitsbewijs aan, waardoor een controle uitgevoerd kan worden op zijn identiteit. De authenticatiedienst levert een aantal van de bij het registratieproces verkregen persoonsgegevens aan bij het BSN-Koppelregister. Deze set bestaat uit naam, geboortedatum en het pseudo-ID van de gebruiker, die op basis van toestemming door gebruiker zijn verkregen. De authenticatiedienst levert ook het BSN aan aan het BSN-Koppelregister.

De vraag is of gebruik van het BSN door een private authenticatiedienst is toegestaan.

Bewerkersovereenkomst
Volgens de toelichting geschiedt de aanlevering van het BSN aan de authenticatiedienst op basis van een bewerkersovereenkomst tussen de Minister van BZK en de authenticatiedienst. (zie noot 17) Daarom wordt daar eerst op ingegaan. Volgens de toelichting is de Minister van BZK op grond van artikel X van de Wet elektronisch berichtenverkeer Belastingdienst verantwoordelijke voor de verwerking van het BSN door het BSN-Koppelregister en besteedt de aanlevering van het BSN ten behoeve van het koppelproces uit aan de authenticatiedienst in de hoedanigheid van bewerker voor de Minister van BZK, aldus de toelichting. (zie noot 18)

De Afdeling merkt op dat een bewerker in de zin van de Wet bescherming persoonsgegevens (Wbp) iemand is die persoonsgegevens verwerkt ten behoeve van de verantwoordelijke. De verantwoordelijke is degene die doel en middelen van de verwerking van persoonsgegevens vaststelt. De bewerker handelt dus niet vanuit een eigen bevoegdheid, maar in opdracht van de verantwoordelijke. (zie noot 19) In het stelsel van de GDI is het de bedoeling dat private authenticatiediensten burgers helpen om veilige elektronische toegang te krijgen tot websites van de overheid. Dit betekent dat een private authenticatiedienst niet optreedt als bewerker namens de Minister, maar handelt in opdracht van de klant. (zie noot 20) De Afdeling concludeert dat de relatie tussen de Minister en de authenticatiedienst om die reden niet kan worden aangemerkt als een bewerkersovereenkomst.

Wettelijke grondslag
In de toelichting wordt het gebruik van het BSN door authenticatiediensten niet gerechtvaardigd met de stelling dat daarvoor een wettelijke grondslag bestaat. De Afdeling gaat hier wel op in, nu het gebruik van het BSN door authenticatiediensten niet kan worden gebaseerd op een bewerkersovereenkomst tussen de Minister en de authenticatiedienst.

De Afdeling wijst er op dat artikel 10, derde lid, van de Grondwet bepaalt dat de wet regels stelt inzake het gebruik van persoonsgegevens. Voor het gebruik van het BSN is deze regelingsopdracht uitgewerkt in de Wbp en, in het bijzonder, in de Wet algemene bepalingen burgerservicenummer. Eerstgenoemde wet bepaalt dat een nummer dat ter identificatie van een persoon bij wet is voorgeschreven, bij de verwerking van persoonsgegevens slechts wordt gebruikt ter uitvoering van de betreffende wet dan wel voor doeleinden bij de wet bepaald (artikel 24, eerste lid). Wel kunnen bij algemene maatregel van bestuur andere gevallen worden aangewezen waarin een dergelijk nummer kan worden gebruikt (artikel 24, tweede lid). Laatstgenoemde wet bepaalt dat overheidsorganen bij de uitvoering van hun taak gebruik kunnen maken van het BSN. (zie noot 21) Organisaties die geen overheidsorgaan zijn mogen het BSN alleen gebruiken voor zover zij werkzaamheden verrichten waarbij het gebruik door hen van het BSN bij of krachtens de wet is voorgeschreven. (zie noot 22) In overeenstemming daarmee mogen bijvoorbeeld zorgverzekeraars, academische ziekenhuizen en onderwijsinstellingen het BSN gebruiken: daarvoor bestaat een specifieke wettelijke grondslag. (zie noot 23) Ook aan pensioenfondsen is dit recht bij bijzondere wet toegekend. (zie noot 24) Artikel X van de Wet elektronisch bestuurlijk verkeer Belastingdienst legt -kort gezegd - de zorg voor elektronisch berichtenverkeer neer bij de Minister van BZK. Op die basis is hij bevoegd het BSN te gebruiken. Een specifieke wettelijke grondslag voor het gebruik van het BSN door private authenticatiediensten is echter in artikel X niet te vinden.

Het voorgaande betekent dat private authenticatiediensten het BSN niet mogen verwerken nu daarvoor geen wettelijke grondslag bestaat, tenzij artikel 24, tweede lid, Wbp die grondslag biedt, en dat artikel X niet als zodanig kan worden beschouwd.

De Afdeling adviseert - tenzij artikel 24, tweede lid, Wbp de wettelijke grondslag biedt - het ontwerpbesluit met het bovenstaande in overeenstemming te brengen en de toelichting bij te stellen.

4. DigiD Machtigen

a. Definities
Beoogd wordt zowel natuurlijke als rechtspersonen (organisaties, afnemers en helpdesks van afnemers) als gemachtigde te laten optreden. (zie noot 25) De definities in het ontwerpbesluit zelf zijn op dit punt echter niet eenduidig. Volgens de definitie van "gebruiker van DigiD Machtigen" kan een niet nader omschreven "derde" gebruiker van DigiD Machtigen" zijn. Echter, een gemachtigde in MijnOverheid moet, blijkens de definitie van dat begrip, zelf gebruiker van MijnOverheid zijn. Het begrip "gebruiker van MijnOverheid" is gedefinieerd als een natuurlijk persoon; een gemachtigde in MijnOverheid moet dus eveneens een natuurlijke persoon zijn. De Afdeling adviseert de definities zodanig aan te passen dat ook rechtspersonen daar onder vallen.

b. Inloggen door organisaties
Als een organisatie als gemachtigde kan optreden, zal het in de praktijk noodzakelijk zijn dat meerdere medewerkers namens die organisatie als gemachtigde kunnen optreden. Dan is van belang hoe zij kunnen inloggen. Het lijkt niet voor de hand te liggen dat zij kunnen inloggen met hun persoonlijke DigiD of met een particulier authenticatiemiddel. Er is echter niet geregeld hoe zij wel kunnen inloggen.

Indien het inderdaad de bedoeling is dat anderen dan natuurlijke personen kunnen optreden als gemachtigde, adviseert de Afdeling de wijze waarop zij inloggen op MijnOverheid te regelen.

c. Anonieme aanvragen
Volgens de toelichting kan de aanvrager op verzoek en met instemming van de Helpdesk een aanvraag ook anoniem doen, zonder aangeven van zijn BSN. Dit BSN wordt niettemin bewaard. (zie noot 26)

Deze opmerking is niet goed begrijpelijk: is anoniem (letterlijk: zonder naam) hetzelfde als zonder nummer, hoe kan dan het BSN worden bewaard als het niet is verstrekt, en waarom is in deze mogelijkheid voorzien? De Afdeling adviseert de toelichting te verduidelijken.

d. Machtiging zonder machtigingscode
De toelichting meldt dat machtiging ook zonder machtigingscode mogelijk is, mits er op voorhand zekerheid is dat de vertegenwoordigde en de gemachtigde de registratie willen. (zie noot 27) Deze passage is niet in overeenstemming met de Regeling voorzieningen GDI. Daarin wordt bepaald dat bij het verlenen van een machtiging een machtigingscode dient te worden gebruikt, zonder dat in uitzonderingen is voorzien. (zie noot 28) De Afdeling adviseert de toelichting te verduidelijken.

5. Verstrekking persoonsgegevens aan derden
Verstrekking van persoonsgegevens aan derden over een bezoeker of gebruiker van DigiD, DigiD Machtigen of MijnOverheid vindt niet plaats zonder voorafgaande toestemming van de bezoeker of gebruiker, tenzij:
- dit noodzakelijk is voor de borging van de beveiliging en betrouwbaarheid van de voorziening, of
- hij daartoe gehouden is op grond van een wettelijke bepaling. (zie noot 29)

In het ontwerpbesluit wordt in de artikelsgewijze toelichting niet ingegaan op artikel 10 van het voorliggende ontwerpbesluit waarin deze "overige verstrekkingen" worden geregeld. De Afdeling acht het vanwege de inbreuk op de persoonlijke levenssfeer van de bezoeker of gebruiker en vanwege de kenbaarheid en voorzienbaarheid, onjuist verstrekking van persoonsgegevens mogelijk te maken aan niet nader omschreven "derden". Voorts is onduidelijk welke persoonsgegevens concreet verstrekt zullen worden.

De Afdeling adviseert op het voorgaande in de toelichting in te gaan en het ontwerpbesluit aan te passen.

6. Begripsomschrijvingen
Het ontwerpbesluit bevat in het eerste artikel twintig begripsomschrijvingen, die niet alfabetisch of logisch zijn geordend. Dat maakt het gebruik van de begripsomschrijvingen niet eenvoudig, terwijl begripsomschrijvingen zijn bedoeld om een regeling toegankelijker te maken.

Een deel van de gedefinieerde begrippen wordt in slechts één of twee artikelen van het ontwerpbesluit gebruikt. (zie noot 30) De Afdeling adviseert, ter verhoging van de toegankelijkheid, te bezien welke omschrijvingen kunnen worden overgebracht naar het artikel waarin zij worden gebruikt.

7. Terugwerkende kracht
Het ontwerpbesluit treedt in werking met ingang van de dag na de datum van uitgifte van het Staatsblad waarin het wordt geplaatst, en werkt terug tot en met 1 november 2015. Er is gekozen voor terugwerkende kracht, omdat de inwerkingtreding van dit besluit samenhangt met de inwerkingtreding van artikel X op 1 november 2015. (zie noot 31)

Wat er fout gaat als niet wordt voorzien in terugwerkende kracht, wordt niet aangeduid. Dat is van belang, omdat regelingen in beginsel alleen gelden voor het toekomende. Terugwerkende kracht is een uitzondering, waarvoor een bijzondere reden moet bestaan. (zie noot 32) Het is in het algemeen niet noodzakelijk dat een uitvoeringsregeling op hetzelfde moment werking krijgt als de grondslagregeling.

De Afdeling adviseert de terugwerkende kracht van een dragende motivering te voorzien en anders daarvan af te zien.

8. De Afdeling verwijst naar de bij dit advies behorende redactionele bijlage.

De Afdeling advisering van de Raad van State geeft U in overweging in dezen een besluit te nemen, nadat met het vorenstaande rekening zal zijn gehouden.

De vice-president van de Raad van State

---

Redactionele bijlage bij het advies van de Afdeling advisering van de Raad van State betreffende no.W04.16.0008/I

- In de citeertitel de afkorting "GDI" vermijden (aanwijzing 54, tweede lid, en 60 van de Aanwijzingen voor de regelgeving (Ar)).
- Uit oogpunt van eenheid in de regelgeving, in artikel 1 het begrip "overheidsorgaan" definiëren door verwijzing naar artikel 1, onderdeel c, van de Wet algemene bepalingen burgerservicenummer.
- In artikel 1, in de omschrijving van "gemachtigde" en "gemachtigde in MijnOverheid" het weinig bepaalde begrip "bepaalde" telkens vervangen door: in de machtiging omschreven.
- In artikel 1 het begrip "authenticatie", dat in het ontwerpbesluit centraal staat, van een definitie voorzien - bij voorkeur in aansluiting op de definitie in de eidas-verordening .
- In artikel 2, onderdeel c, subonderdeel 3, bepalen dat het wachtwoord versleuteld wordt opgeslagen (zie toelichting, paragraaf 3.1 (De aanvraag en activering)).
- In de artikelen 5 en 9 "authenticatiemiddel" telkens vervangen door: privaat authenticatiemiddel. Voorts in beide artikelen het niet nader omschreven begrip "het publieke domein" concretiseren.
- In artikel 8 "Onze Minister van BZK" wijzigen in: Onze Minister.
- In hoofdstuk 4 van het ontwerpbesluit opnemen dat persoonsgegevens waarvan de bewaartermijn is verstreken zo spoedig mogelijk worden vernietigd.

---

Nader rapport (reactie op het advies) van 10 mei 2016

2. Aan het advies van de Afdeling om in de inleiding van het algemeen deel van de nota van toelichting in te gaan op het bredere kader waarbinnen het ontwerpbesluit moet worden gezien, is gevolg gegeven.

3. Het feit dat een private authenticatiedienst middelen uitgeeft ten behoeve van gebruik door burgers bij hun toegang tot publieke dienstverlening, betekent niet dat een private authenticatiedienst geen bewerker voor de Minister kan zijn in de zin van de Wbp. Randvoorwaarde ter zake is dat passende maatregelen worden getroffen op het gebied van beveiliging en betrouwbaarheid, zowel aan de zijde van de bewerker als aan de zijde van de Minister. Daartoe dient primair de bewerkersovereenkomst. Hierin is gedetailleerd vastgelegd welke maatregelen, processen en waarborgen er door de opdrachtgever /verantwoordelijke respectievelijk de opdrachtnemer/bewerker moeten worden genomen, en is het doel en het - eenmalige - registratieproces met betrekking tot de koppeling pseudo-ID - BSN gespecificeerd. Daarnaast zijn voor wat betreft het BSN-Koppelregister relevant de, op het tweede lid van artikel X van de Wet EBV gebaseerde, voorschriften inzake werking, veiligheid en betrouwbaarheid, zoals opgenomen in de Regeling voorzieningen GDI.

Het gebruik van BSN door authenticatiediensten is gebaseerd op een wettelijke grondslag voor de Minister in combinatie met een bewerkersovereenkomst die hij sluit met de desbetreffende authenticatiedienst. De wettelijke grondslag voor BSN-verwerking ten behoeve van het functioneren van het BSN-koppelregister is gelegen in artikel X Wet EBV en is geformuleerd als de zorg van de Minister van Binnenlandse Zaken en Koninkrijksrelaties voor de inrichting, beschikbaarstelling, instandhouding, werking, beveiliging en betrouwbaarheid van onder meer voorzieningen voor elektronische authenticatie (eerste lid). Als beheerder van deze voorzieningen en verantwoordelijke voor de verwerking van persoonsgegevens is de Minister gerechtigd een bewerker in te schakelen.
Artikel X van de Wet EBV biedt in het verlengde daarvan aan authenticatiediensten de basis om het BSN te verstrekken in de hoedanigheid van bewerker voor de Minister van BZK. Deze wijze van reguleren heeft ten doel het beproeven van het gebruik van private authenticatiemiddelen in het publieke domein mogelijk te maken. Aard, omvang en duur van deze eID-pilots zijn beperkt. Met elke authenticatiedienst afzonderlijk is door de Minister een bewerkersovereenkomst gesloten, waarin gerichte afspraken over beveiliging, geheimhouding en privacybescherming zijn neergelegd. Wanneer, na de evaluatie van de pilots, zou worden besloten om voor de toekomst het gebruik van private authenticatiemiddelen in het publieke domein mogelijk te (blijven) maken en in dat verband een taak aan private authenticatiediensten toe te delen, zal dit, voorzien van een grondslag voor BSN-verwerking, worden opgenomen in de Wet generieke digitale infrastructuur (Wet GDI).

4a. Het advies van de Afdeling is opgevolgd. De definities van "gebruiker van DigiD Machtigen" en "gemachtigde in MijnOverheid" in samenhang met "gebruiker van MijnOverheid" waren in de versie van het ontwerpbesluit, zoals dat aan de Afdeling was voorgelegd, inderdaad verschillend. De reden daarvoor was dat het technisch gezien voor de voorziening MijnOverheid inderdaad niet mogelijk is voor rechtspersonen om als gemachtigde op te treden, ook niet als zij in de voorziening DigiD Machtigen wel als gemachtigde zijn geregistreerd. De voorziening DigiD Machtigen heeft meerdere afnemers en het is van de technische mogelijkheden van die afnemers afhankelijk of een gemachtigde rechtspersoon ook bij die afnemer als gemachtigde via DigiD Machtigen kan optreden. Die technische mogelijkheden houden vooral verband met de mogelijkheden die de afnemers bieden om met behulp van eHerkenning in te loggen; inloggen met DigiD is immers voorbehouden aan natuurlijke personen. Inmiddels is een aanpassing van de voorziening van MijnOverheid in ontwikkeling waardoor op termijn ook rechtspersonen met eHerkenning kunnen inloggen en aldus rechtspersonen als gemachtigde via DigiD Machtigen in MijnOverheid een deel van de inhoud van de berichtenbox van de vertegenwoordigde kunnen inzien, namelijk die berichten die behoren bij de diensten waarvoor ze gemachtigd zijn. Met het oog daarop is de definitie van "gemachtigde" in MijnOverheid aangepast. Ook in de definitie van de "gebruiker van DigiD Machtigen" is het begrip derde verduidelijkt en daarin ook de rechtspersoon verwerkt.

4b. Het is inderdaad de bedoeling dat anderen dan natuurlijke personen kunnen optreden als gemachtigde. Omdat zij niet inloggen met DigiD, maar met eHerkenning (een door een samenwerkingsverband tussen de overheid en het bedrijfsleven opgezet gestandaardiseerd inlogsysteem, waarmee rechtspersonen en natuurlijke personen die een onderneming drijven kunnen inloggen bij de overheid en andere instellingen met inlogmiddelen die afgegeven zijn door binnen eHerkenning erkende leveranciers), is het niet nodig om daaromtrent regels te stellen in het onderhavige ontwerpbesluit. In de nota van toelichting is wel een aanvulling gedaan wat betreft het gebruik van eHerkenning door rechtspersonen.

4c. Het advies van de Afdeling om de toelichting te verduidelijken is opgevolgd.

4d. De melding in de nota van toelichting dat machtiging ook zonder machtigingscode mogelijk is voor specifieke gevallen, is juist. Deze omissie in de Regeling voorzieningen GDI zal worden hersteld op een daarvoor geëigend moment in het proces van de totstandkoming van de Wet GDI en bijbehorende regelgeving.

5. Artikel 10 is waar mogelijk aangescherpt. Het niet nader omschreven begrip "derden" is vervangen door wat daarmee werd bedoeld, namelijk "anderen dan de bezoeker of de gebruiker zelf". Verder is de uitzondering betreffende verstrekking die noodzakelijk zijn voor de borging van de beveiliging en betrouwbaarheid van de betreffende voorziening uitdrukkelijk beperkt tot overheidsorganen en rechtspersonen met een wettelijke taak. Aan de zorgen van de Afdeling op dit punt wordt ten slotte tegemoet gekomen doordat alle verstrekkingen op grond van artikel 10 worden geprotocolleerd. Ook is, naast de aandacht voor artikel 10 in paragraaf 8.4 van de toelichting, een specifieke toelichting toegevoegd bij artikel 10.

6. Alle begripsbepalingen zijn nog eens doorgelopen. Dat heeft er ten eerste toe geleid dat de begrippen "gebruiker van" een van de voorzieningen en "bezoeker van" een van de voorzieningen in de artikelen waarin ze voorkomen ook steeds als zodanig zullen worden aangeduid (en niet meer, zoals in het aan de Afdeling voorgelegde ontwerpbesluit, soms enkel als "bezoeker" of "gebruiker" worden aangeduid). Hetzelfde is gedaan wat betreft het begrip "afnemer". Onnodige dubbeling binnen één zin is wel vermeden.
Ten tweede is in artikel 4 twee maal "e-mailnotificatie" vervangen door "notificatie".
Ten derde is het begrip "pseudo-ID" overgebracht naar de artikelen waarin dit begrip wordt gebruikt en is het aldaar omschreven als het uniek identificerende kenmerk op het private authenticatiemiddel.

Ten slotte zijn de begripsomschrijvingen alfabetisch geordend.

7. De motivering is aangevuld. Terugwerkende kracht van het bepaalde in dit besluit ligt in de rede, gelet op de inwerkingtreding van de Wet EBV op 1 november 2015. Het derde lid van artikel X van deze wet bepaalt dat Onze Minister persoonsgegevens verwerkt, waaronder het burgerservicenummer, voor zover dit noodzakelijk is voor de goede vervulling van de taak, bedoeld in het eerste lid; bij algemene maatregel van bestuur wordt nader bepaald welke persoonsgegevens worden verwerkt, aan wie deze worden verstrekt en hoe lang deze worden bewaard. Gelet op de geformuleerde opdracht aan de Minister, alsmede het feit dat de verwerking van persoonsgegevens aan strikte voorwaarden is gebonden, is er vanuit een oogpunt van rechtszekerheid en zorgvuldigheid voor gekozen om de door dit besluit beslagen gegevensverwerking in de GDI-voorzieningen van een zo deugdelijk mogelijke grondslag te voorzien. De terugwerkende kracht heeft geen benadeling van burgers tot gevolg.

8. De redactionele kanttekeningen van de Raad zijn in het gewijzigde ontwerpbesluit verwerkt, met uitzondering van het hierna volgende.

In de omschrijving van "gemachtigde" en "gemachtigde in MijnOverheid" is "bepaalde" ((rechts)handelingen) niet vervangen door "in de machtiging omschreven" ((rechts)handelingen)". Bij de registratie van de machtiging staat namelijk niet voorop welke (rechts)handelingen mogen worden verricht door de gemachtigde, maar voor welke afnemers de machtiging is geregistreerd (vgl. artikel 3, onderdeel b, onder 4°). Overigens is in beide beschrijving(en) het woord "bevoegd" vervangen door "kan", om beter tot uitdrukking te brengen dat het gaat om de registratie van de mogelijkheid dat een ander dan de betrokkene zelf namens hem (rechts)handelingen kan verrichten bij door hem bepaalde afnemers.

9. Van de gelegenheid is gebruik gemaakt om twee foutjes in de artikelen te herstellen. Ten eerste was in artikel 3, onderdeel b, onder 5°, over de persoonsgegevens die worden verwerkt bij DigiD Machtigen per abuis blijven staan dat het bij de aldaar genoemde categorie van gegevens mede gaat om gegevens over bezoekers; deze gegevens over bezoekers zijn namelijk al onderdeel van artikel 3, onderdeel a. Ten tweede is de bewaartermijn van deze categorie gegevens over zowel de bezoekers als de gebruikers toegevoegd aan artikel 12 (nieuw eerste lid en vernummerd derde lid) en wel in lijn met de vergelijkbare bewaartermijnen voor deze gegevens in MijnOverheid. Ook de nota van toelichting is op dit punt aangevuld.

Ook zijn in de artikelen en nota van toelichting enkele redactionele verbeteringen aangebracht. Zo is bijvoorbeeld in artikel 10, onderdeel b, de bewoording dat een uitzondering van toepassing is als de Minister "gehouden is" op grond van een wettelijke bepaling gegevens te verstrekken, gewijzigd in het meer accurate "gerechtigd is".

Ik moge U hierbij het gewijzigde ontwerpbesluit en de gewijzigde nota van toelichting doen toekomen en U verzoeken overeenkomstig dit ontwerp te besluiten.

De minister van Binnenlandse Zaken en Koninkrijksrelaties

---

(1) Gedacht kan worden aan elektronische aangifte bij de politie, uittreksel uit de basisregistratie personen en melding van voorgenomen huwelijk of geregistreerd partnerschap.
(2) Artikel 32e, eerste lid, van de Wet structuur uitvoeringsorganisatie werk en inkomen. De uitzonderingen zijn neergelegd in de Beleidsregel elektronische communicatie UWV van het UWV.
(3) Artikel 2.8, eerste lid, van de Wet algemene bepalingen omgevingsrecht. In artikel 4.1 van het Besluit omgevingsrecht wordt de uitzondering ruim omschreven: bepaald wordt dat aanvragen langs elektronische weg kunnen worden ingediend.
(4) Artikel 125n, eerste lid, onderdeel m, van de Ambtenarenwet, artikel 12, onderdeel q, van de Militaire Ambtenarenwet 1931 en artikel 54, onderdeel i, van de Wet rechtspositie rechterlijke ambtenaren.
(5) Inloggen met DigiD is mogelijk met een wachtwoord (beveiligingsniveau 2) of met een wachtwoord in combinatie met een Sms-bericht (beveiligingsniveau 2+). Er loopt een pilot, waarbij de gebruiker inlogt via de identiteitskaart of het rijbewijs, die dan kunnen worden uitgelezen met een kaartlezer. Een tweede pilot is in voorbereiding, waarbij wordt ingelogd met de bankpas en het daarachter gelegen betalingssysteem iDeal.
(6) In april 2015 had DigiD 12 miljoen gebruikers en werden 45 miljoen authenticaties verwerkt.
(7) Een overzicht is te vinden op https://www.eherkenning.nl/aansluiten-op-eherkenning/wie-zijn-aangesloten.
(8) Overzicht op https://www.eherkenning.nl/inloggen-met-eherkenning/waar-kunt-u-inloggen.
(9) De uitgezonderde personen betreffen, kort gezegd, personen jonger dan 14 jaar, nabestaanden van een overledene wat betreft diens belastingheffing, personen die onder bewind, mentorschap of curatele zijn gesteld, personen die in staat van faillissement zijn of voor wie een schuldsaneringsregeling geldt, personen die geen ingezetene van Nederland zijn, en de leden van diplomatieke en consulaire vertegenwoordigingen. Daarnaast kunnen burgers de meeste berichten aan de belastingdienst nog op papier versturen. De artikelen 2 en 3 en de bijlage van de Regeling elektronisch berichtenverkeer Belastingdienst.
(10) Kamerstukken II 2012/13, 26 643, nr. 280.
(11) Kamerstukken II, 2015/16, 26 643, nr. 373, blz. 4.
(12) Kamerstukken II 2015/16, 26 643, nr. 373, blz. 4.
(13) Kamerstukken II 2014/15, 34 196, nr. 3, blz. 11.
(14) Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG, PB 2014, L 257, blz. 73. Een wetsvoorstel om de eidas-verordening om te zetten in wetgeving is op 17 februari 2016 bij de Tweede Kamer aanhangig gemaakt (Kamerstukken II 2015/16, 34 413, nrs. 1-3).
(15) Voorgestelde artikelen 5 en 9.
(16) Toelichting, paragraaf 7.1 (Doel en functie BSN-Koppelregister).
(17) Terecht wordt in de toelichting gesteld dat gebruik van het BSN door een authenticatiedienst niet mogelijk is op basis van toestemming door de gebruiker/de burger, aangezien het BSN een bijzonder persoonsgegeven is in de zin van de Wbp (toelichting, paragraaf 7.2 (Het koppelproces): artikel 24 Wbp noch de Wet algemene bepalingen burgerservicenummer noemt toestemming als grond voor verwerking van het BSN.
(18) Toelichting, paragraaf 7.2 (Het koppelproces).
(19) Artikel 1, onderdelen d en e, van de Wbp. Kamerstukken II 1997/98, 25 892, nr. 3, blz. 61-62.
(20) Volgens de toelichting ligt het initiatief namelijk bij de burger, die aangeeft dat hij het authenticatiemiddel niet alleen in het private maar ook in het publieke domein wil gebruiken (toelichting, paragraaf 7.2 (Het koppelproces).
(21) Artikel 10 van de Wet algemene bepalingen burgerservicenummer.
(22) Artikel 1, onderdeel d, van de Wet algemene bepalingen burgerservicenummer.
(23) Artikelen 4 en 9 van de Wet gebruik burgerservicenummer in de zorg.
(24) Artikel 94 van de Pensioenwet.
(25) Toelichting, paragraaf 4.1 (De aanvraag en activering), onder "Aanvragen".
(26) Toelichting, paragraaf 4.1 (De aanvraag en activering), voorlaatste alinea.
(27) Toelichting, paragraaf 4.1 (De aanvraag en activering), eerste alinea.
(28) Artikel 5, vierde en vijfde lid, van de Regeling voorzieningen GDI.
(29) Voorgesteld artikel 10.
(30) Dit betreft de begrippen pseudo-ID, gebruiker van DigiD Machtigen, vertegenwoordigde in MijnOverheid en notificatie. Het begrip "gemachtigde" wordt in het ontwerpbesluit niet als zodanig gebruikt (wel wordt gebruikt het - gedefinieerde - begrip "gemachtigde in MijnOverheid") en kan dus worden geschrapt.
(31) Artikel 15 en de toelichting op dat artikel.
(32) Aanwijzing 167 van de Aanwijzingen voor de regelgeving.

---

Gehele tekst ontwerpregeling met toelichting (pdf, 463 kB)