Brief regering : Bevindingen van het ministerie van Buitenlandse Zaken over het onderzoek gebruik afkomstgerelateerde gegevens en gebruik risicomodellen

32 761
Verwerking en bescherming persoonsgegevens

Nr. 1031
BRIEF VAN DE MINISTER VAN BUITENLANDSE ZAKEN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 11 mei 2023

Met deze brief informeer ik, mede namens de Minister voor Buitenlandse Handel en Ontwikkelingssamenwerking,
uw Kamer over de uitvoering van de moties van de leden Marijnissen c.s.1 en Klaver c.s.2 bij het Ministerie van Buitenlandse Zaken. Deze moties werden ingediend naar aanleiding
van de Parlementaire Ondervraging Kinderopvangtoeslag (POK)3, en betreffen het inventariseren van afkomstgerelateerde (persoons)gegevens (nationaliteit,
etniciteit en geboorteplaats) in risicomodellen en de daarbij behorende gegevensverwerkingen.
Bij onrechtmatig en oneigenlijk gebruik van de gegevens roepen de moties op tot beëindiging
daarvan en opruiming van vervuilde data.

Informatie, waaronder (persoons)gegevens, is voor het Ministerie van Buitenlandse
Zaken noodzakelijk voor het uitvoeren van zijn werk. Data-analyses worden steeds meer
gemeengoed binnen het ministerie, net als bij andere (overheids)organisaties. Het
ministerie werkt al langere tijd met toepassingen van data-analyse voor bedrijfsvoering
en consulaire dienstverlening, waarbij de kwaliteit en zorgvuldigheid van de diensten
voor de burger centraal staan. In dit kader worden gegevens betrokken die afkomstgerelateerde
(persoons)gegevens kunnen bevatten.

Het is voor de uitoefening van de publieke taak soms noodzakelijk om risicomodellen
in te zetten bij toezicht en handhaving. Het kabinet markeerde dit al in haar brief
van 8 april 20214. Bij de inzet van risicomodellen moet zorgvuldig worden gekeken naar proportionaliteit
en subsidiariteit, zodat deze inzet rechtmatig en eigenlijk is. Discriminatie kan
en mag nooit de bedoeling of het gevolg zijn.

Opzet en uitvoering inventarisatie en toetsing

Het onderzoek bij het ministerie richtte zich op relevante processen5 (wet- en regelgeving, registraties, systemen, procedures, risicomodellen), waarin
afkomstgerelateerde gegevens verwerkt worden. Het gebruik van afkomstgerelateerde
gegevens is in kaart gebracht aan de hand van het register van verwerkingsactiviteiten/het
verwerkingsregister, zoals bedoeld in artikel 30 van de AVG. De processen zijn geïnventariseerd
en vervolgens is beoordeeld of er sprake is van een risicomodel. Indien dat het geval
was, is het risicomodel op rechtmatigheid beoordeeld.

Daarbij is het van belang dat bepaalde processen en daaraan gekoppelde IT-applicaties
buiten de scope van het onderzoek van het ministerie vallen. Dit zijn de processen
van interne dienstverleners binnen het Rijk, zoals P-Direkt, Facilitair Management
Haaglanden, SSC-ICT (de ICT-dienstverlener van de overheid). Deze dienstverleners vallen onder de reikwijdte van het
onderzoek van BZK6. Een organisatie als de Rijksdienst voor Ondernemend Nederland (RVO), die subsidies
uitvoert in opdracht van het Ministerie van Buitenlandse Zaken, valt verder onder
het onderzoek van EZK7. De Basis Voorziening Vreemdelingen (BVV), waarin het ministerie KVV-aanvragers registreert,
ressorteert onder JenV8. Ook de hieraan gekoppelde processen zijn dus niet meegenomen in dit onderzoek.

Parallel aan het onderzoek heeft een inventarisatie plaatsgevonden van wet- en regelgeving
van het ministerie, zowel op het terrein van Buitenlandse Zaken als op dat van Buitenlandse
Handel en Ontwikkelingssamenwerking, waarin een referentie of vereiste/voorwaarde
is opgenomen ten aanzien van de registratie van nationaliteit/nationaliteiten van
een persoon. Dit betreft regelgeving van andere ministeries die mede namens de Minister
van Buitenlandse Zaken tot stand is gekomen omdat de Minister van Buitenlandse Zaken
een uitvoerende rol heeft. (Bijlage 3).

Het onderzoek is uitgevoerd door het ministerie zelf. De directies waar de relevante
processen plaatsvinden hebben conform een uniform stramien gerapporteerd over de processen
waarbij afkomstgerelateerde gegevens geregistreerd worden. Ten behoeve van de beoordeling
van de rechtmatigheid van het gebruik betrof dit: (i) de relevante grondslag zoals
bedoeld in artikel 6, lid 3, AVG; (ii) indien de grondslag ziet op de vervulling van
een taak die aan het ministerie is opgedragen, de relevante wet- en regelgeving waarin
deze taak is uitgewerkt; (iii) de vraag of het afkomstgerelateerde gegeven binnen
dat proces aangemerkt moet worden als bijzonder persoonsgegevens, en (iv) indien bijzondere
afkomstgerelateerde persoonsgegevens verwerkt worden welke uitzonderingsgrond zoals
bedoeld in artikel 9, lid 2, AVG en de artikelen 23–30 Uitvoeringswet Algemene Verordening
Gegevensbescherming (UAVG) de verwerking hiervan rechtvaardigt. Aan de hand van deze
informatie werd beoordeeld in hoeverre er sprake is van een risicomodel. De resultaten
van deze uniforme aanpak zijn samengevat in Bijlage 1

Bovengenoemde rapportage door de betrokken directies leverde, naast een antwoord op
de vraag of er bij de directies risicomodellen worden gehanteerd, de volgende resultaten
op: (i) een overzicht van gegevensverwerkingen incl. afkomstgerelateerde (persoons)gegevens
worden gebruikt; (ii) een inventarisatie en toetsing van wet- en regelgeving voor
de processen waarin afkomstgerelateerde gegevens functioneel worden gebruikt; en (iii)
een appreciatie van de verwerkingen en gebruik van afkomstgerelateerde gegevens.

Het ministerie heeft de inventarisatie van risicomodellen en de verwerking van afkomstgerelateerde
gegevens binnen de regelgeving en uitvoeringspraktijk van de eigen organisatie nauwgezet
uitgevoerd. Het geheel aan processen is echter omvangrijk9. Indien het geval zich voordoet dat er toch iets blijkt te zijn gemist, zal alsnog
een toetsing van het betreffende proces worden uitgevoerd en zal uw Kamer daarover
worden geïnformeerd.

In de processen waarin afkomstgerelateerde gegevens worden verwerkt is uiteindelijk
één risicomodel aangetroffen: het Informatie Ondersteund Beslissen (IOB) binnen het
Kort Verblijf Visum (KVV)-proces. Informatie en data ondersteunen het Ministerie van
Buitenlandse Zaken aan de voorkant bij de uitoefening van de taken rondom het visum
kort verblijf (KVV-Schengenvisum). Het IOB draagt bij aan het beoordelingsproces van
KVV-Schengenvisa ten behoeve van de bevordering van de economische diplomatie, familiebezoeken
en toerisme en ter voorkoming van eventuele gevaren voor de openbare orde, veiligheid
en vestiging. Deze methodiek is op hoofdlijnen al aan de orde gekomen in de Staat
van het Consulaire editie 202210.

Met betrekking tot dit model heeft het ministerie een informatieverzoek11 van de Autoriteit Persoonsgegevens ontvangen om aanvullende informatie te verstrekken
over de noodzakelijkheid en de proportionaliteit van de gegevensverwerking gegeven
de verplichtingen die voortvloeien uit de Algemene Verordening Gegevensbescherming.

Verwerkingsregister Buitenlandse Zaken (Bijlage 1 en 2)

De uitkomst van het onderzoek naar het gebruik van afkomstgerelateerde indicatoren
in het verwerkingsregister van het ministerie is dat in een vijftigtal van de ca.
300 verwerkingen deze bij diverse processen worden gebruikt (naast bijv. de wettelijk
verplichte verwerking bij indiensttreding van een medewerker). Dit gebruik is in Bijlage
1 voorzien van een toelichting en de wettelijke grondslag. Het betreft hier bijvoorbeeld
processen als het inburgeringsexamen met als basis de wet inburgering, of de taken
van het ministerie bij het verstrekken of weigeren van een Machtiging Voorlopig Verblijf
met de Vreemdelingenwet als basis. Bij het onderzoek binnen het verwerkingsregister
van het ministerie komen geen risicomodellen naar voren. In Bijlage 2 wordt de verwerking
en onderbouwing van de afkomstgerelateerde gegevens in de Protocollaire Basisadministratie
(PROBAS) beschreven. Ondanks dat dit proces niet aan te merken is als risicomodel
wordt het extra toegelicht vanwege het belang van het proces voor het ministerie.

Het is relevant om hier te benoemen dat afkomstgerelateerde gegevens ook onderdeel
zijn bij gegevens die het ministerie levert op verzoek, en ter ondersteuning van de
Immigratie- en Naturalisatiedienst als onderdeel van een individueel ambtsbericht.
Individuele ambtsberichten worden door het ministerie opgesteld op verzoek van de
Immigratie- en Naturalisatiedienst of Dienst Terugkeer en Vertrek. Onderdeel van dit
ambtsbericht kunnen de afkomstgerelateerde gegevens etniciteit en ras zijn12. Ook hierbij is geen sprake van het gebruik een risicomodel door het ministerie.

BHOS wet- en regelgeving (zie Bijlage 3)

De bevindingen van het onderzoek naar gehanteerde BHOS wet- en regelgeving13 en beleid waarin een vereiste of voorwaarde is opgenomen ten aanzien van de registratie
van de nationaliteit(en) van personen laten zien dat het afkomstgerelateerde gegeven
nationaliteit als «functioneel gebruik» omschreven kan worden. Deze processen zijn
verder toegelicht in Bijlage 3 en bevatten geen risicomodellen.

Zo regelt de Wet bescherming Antarctica14 dat de Minister van Buitenlandse Zaken iemand met de Nederlandse nationaliteit kan
aanwijzen als internationaal waarnemer. Bij de Rijkswet consulaire bescherming EU-burgers15 wordt nationaliteit functioneel gebruikt, namelijk in geval men in het bezit is van
de nationaliteit van een van de EU-lidstaten, levert Nederland consulaire bescherming
als ware het een Nederlander. Het instellingsbesluit Nationale Groep Permanent Hof
van Arbitrage16 bepaalt dat voor het lidmaatschap van de Groep de rechter in het Europees Hof voor
de Rechten van de Mens wordt verkozen op basis van een Nederlandse voordracht met
de Nederlandse nationaliteit als voorwaarde. Het beurzenprogramma MENA Scholarship17 was bedoeld voor individuele beursverstrekking aan kandidaten die voldoen aan een
aantal criteria. Een van de criteria is het hebben van de nationaliteit van een van
de doellanden. Het Voorschrift Vreemdelingen 200018 is door het Ministerie van Justitie en Veiligheid in overeenstemming, voor zover
nodig, met zijn ambtgenoten van Buitenlandse Zaken, Defensie en Financiën, opgesteld.
Hierin is opgenomen dat een aanvrager om erkenning als referent die niet op grond
van de Handelsregisterwet 2007 inschrijvingsplichtig is en niet is ingeschreven in
het handelsregister, bij de aanvraag naast naam, adres, geboortedatum, ook de nationaliteit,
het Burgerservicenummer en de functie van iedere bestuurder van de onderneming of
rechtspersoon in de aanvraag vermeldt.

De Minister van Buitenlandse Zaken,
W.B. Hoekstra