Brief regering : Beleidsontwikkelingen rondom het Burgerservicenummer (BSN)

32 761
Verwerking en bescherming persoonsgegevens

Nr. 150
BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 21 december 2020

1. Inleiding

Met deze brief informeer ik uw Kamer over ontwikkelingen in het beleid rondom het
burgerservicenummer (BSN), zoals aangekondigd in de Kamerbrief over de voorgenomen
wijziging Uitvoeringswet AVG.1

Niemand wil behandeld worden als een nummer en de overheid mag haar burgers niet als
nummers behandelen. Toch is er in Nederland voor gekozen, in 2007, om iedere burger
(en alle anderen met een relatie met de Nederlandse overheid) een uniek identificerend
nummer toe te kennen – het burgerservicenummer. Een nummer dat bedoeld is voor efficiënte,
foutloze en privacybeschermende uitwisseling van gegevens tussen overheden en voor
communicatie tussen overheid en burger.

Dat het gebruik van zo’n nummer grote voordelen biedt, blijkt alleen al uit de vele
vragen vanuit organisaties binnen en buiten de overheid voor uitbreiding van de mogelijkheden
tot gebruik van het nummer. Bijvoorbeeld door banken bij monitoring van transacties
in het kader van de aanpak van witwassen. Maar ook door overheidsinstellingen in Caribisch
Nederland voor dienstverlening aldaar, waarnaar in 2019 onderzoek is gedaan.2

Het burgerservicenummer wordt uitgegeven bij registratie van een persoon in de Basisregistratie
Personen (BRP) en is opgenomen als een gegeven op de persoonslijst in de BRP, waarop
ook identificerende gegevens en adresgegevens staan. Bij vragen rond breder gebruik
speelt daarom vaak ook de vraag of toegang tot de Basisregistratie Personen verleend
kan worden. Bijvoorbeeld om verzekeraars te ondersteunen bij het opsporen van mensen
die aanspraak kunnen maken op een uitkering uit een levensverzekering («de onvindbare
begunstigden»).

2. Onderzoek werking BSN-stelsel

In de afgelopen periode heeft de Auditdienst Rijk (ADR) de werking van het BSN-stelsel
onderzocht. De ADR heeft met een breed palet aan gebruikers en andere relevante stakeholders
gesproken. Het rapport is begin september openbaar gemaakt.3 De onderzoekers komen tot de conclusie dat het BSN-stelsel voor veel gebruikers aan
de verwachtingen voldoet, maar dat er wel punten van aandacht zijn.

Zo’n punt van aandacht is de zorg om mogelijk misbruik van het BSN. Een ander punt
is de hierboven al benoemde vraag naar of en onder welke voorwaarden het gebruik van
het BSN kan worden uitgebreid. Ik ga in het vervolg van deze brief op deze onderwerpen
in.

3. Signalen van misbruik van voorzieningen met het BSN

Hoewel een BSN op zichzelf een niet bruikbaar, inhoudsloos nummer is dat geen rechten
op dienstverlening of voorzieningen geeft en altijd verwijst naar een controleerbare
identiteit, zijn er signalen ontvangen van misbruik van overheidsvoorzieningen of
diensten van bedrijven, waarbij een BSN zou zijn gebruikt.

Niet alleen de ADR vraagt naar aanleiding van het onderzoek daarvoor aandacht, maar
ook de voorzitters van het RIEC Amsterdam Amstelland en het RIEC Limburg hebben zich
tot mij gericht met zorgen daarover.

De afgelopen maanden zijn door de Rijksdienst voor Identiteitsgegevens (RvIG), naar
aanleiding van ontvangen signalen samen met andere overheidsorganisaties, diverse
casussen geanalyseerd om kennis te vergaren over waar precies de kwetsbaarheden in
het stelsel zich voordoen en om gezamenlijk oplossingen voor deze kwetsbaarheden uit
te werken.

Het analyseren van de casussen gaat nog door in 2021. Vooruitlopend op de uitkomsten
heb ik een aantal maatregelen in gang laten zetten. Daarbij gaat het met name om het
verbeteren van de registratie van niet-ingezetenen (RNI)4 in de BRP.

a. Inzet gelaatsscanners

Elke balie van de 19 RNI-loketten, waar niet-ingezetenen worden ingeschreven, is uitgerust
met een documentscanner voor het scannen van het identiteitsdocument van de persoon
die zich komt laten registreren in de BRP. Het document wordt op echtheid gecontroleerd
aan de hand van een database met echtheidskenmerken. Ik heb, als verantwoordelijk
bewindspersoon voor de registratie van niet-ingezetenen in de BRP, opdracht gegeven
deze scanopstelling in 2021 uit te breiden met gelaatsscanners. Op iedere balie, als
vast onderdeel van het proces. Daarmee wordt lookalike-fraude bestreden en wordt kennis
verzameld over de kwaliteit van de gezichtsherkenning (bij mens en machine). Dit kan
wellicht later ook toegepast worden in andere processen.

b. Verhogen kennis- en vaardighedenniveau ID-controle en herkennen mensenhandel

De trainingen van medewerkers van de RNI-loketten op het gebied van identiteitscontrole
worden geïntensiveerd door samen met de Koninklijke Marechaussee een train-de-trainer-concept
uit te werken. Hierdoor wordt het makkelijker om (met name) de flexibele schil van
baliepersoneel op het juiste niveau van kennis en vaardigheden te krijgen. Ook krijgen
de medewerkers van alle RNI-loketten training in het herkennen van signalen van mensenhandel
en hoe daarmee om te gaan.

c. Registreren en verstrekken van contactgegevens van niet-ingezetenen aan de RNI-balie

In het kader van het verbeteren van de registratie van met name arbeidsmigranten heb
ik in 2020 een project opgestart voor het gaan registreren van contactgegevens van
niet-ingezetenen die zich aan de RNI-balie melden voor inschrijving of voor wijziging
van hun gegevens. Hierover heb ik uw Kamer al bericht in de brief over de stand van
zaken BRP5 van 21 september 2020 en dit wordt ook vermeld in de kabinetsreactie6 naar aanleiding van het eerste advies van het aanjaagteam arbeidsmigranten.

4. Introductie van het BSN in Caribisch Nederland

In Caribisch Nederland, in de openbare lichamen Bonaire, Sint Eustatius en Saba, is
een eigen identificatienummer in gebruik, het ID-nummer. De bevindingen uit het onderzoek
naar de mogelijke invoering van het BSN in Caribisch Nederland worden op dit moment
door mijn ministerie, in overleg met de openbare lichamen en de Rijksdienst Caribisch
Nederland, nader uitgewerkt, met de bedoeling om op termijn het BSN in Caribisch Nederland
in te voeren.

Doordat het de gegevensuitwisseling met Europees Nederland vereenvoudigt en de kwaliteit
ervan verhoogt biedt de introductie van het BSN, naast efficiëntie aan de kant van
de rijksdiensten die in Caribisch Nederland taken uitvoeren, ook perspectief op de
verdere uitrol van DigiD op de eilanden en daarmee op digitale dienstverlening aan
alle burgers. Ook vereenvoudigt het de administratieve handelingen die nodig zijn
wanneer studenten uit Caribisch Nederland in Europees Nederland komen studeren.

Om tot invoering over te gaan zijn diverse wetswijzigingen nodig, waarnaar nu aanvullend
onderzoek wordt gedaan.

5. Heroverweging van bestaande wetgeving en criteria voor gebruik

Zoals hierboven gesignaleerd is er een toenemende vraag onder niet-BSN-gerechtigde
organisaties om het BSN te mogen gebruiken en/of om geautoriseerd te worden voor toegang
tot gegevens over burgers die door de overheid worden bijgehouden.

Een mogelijke oplossing is het scheppen van voorzieningen voor verificatie van burgerservicenummers
en de bijbehorende identiteit voor partijen die geen gebruik kunnen maken van gegevens
uit de Beheervoorziening BSN of BRP.7 Het zou dan kunnen gaan om voorzieningen om de eigen gegevens te kunnen toetsen aan
de gegevens in de overheidsvoorzieningen («matchen»). Dergelijke voorzieningen kunnen
ook worden overwogen voor partijen buiten de overheid die wel een BSN mogen of zelfs
moeten vragen en noteren, maar geen toegang hebben tot de huidige voorzieningen voor
verificatie.

Een andere oplossing die wordt onderzocht voor gevallen waarin het BSN niet mag worden
gebruikt is die van de zogenaamde decentralized identifier (DID). Daarmee kan een burger een uniek, van zijn of haar BSN afgeleid, nummer afgeven
aan een organisatie, die dat nummer kan verifiëren zonder dat daarvoor het BSN zelf
hoeft te worden gedeeld.

Niet elk type vraag zal beantwoord kunnen worden met een alternatieve verificatievoorziening.
Afhankelijk van het type vraag of de aard van de organisatie of haar taken, kan het
ook nodig zijn om een specifieke wettelijke grondslag te maken die de organisatie
in staat stelt om het BSN te gebruiken. Ook om het BSN op termijn te kunnen gebruiken
door overheidsorganisaties in Caribisch Nederland is een specifieke wettelijke grondslag
vereist.

In haar advies bij de Wet digitale overheid wijst de Afdeling advisering van de Raad
van State op het belang om het gebruik van het BSN alleen uit te breiden tot organisaties
buiten de overheid op basis van duidelijke, wettelijke criteria. Zij stelt vast dat
deze criteria niet in een wet zijn opgenomen. Ik heb in dat kader aangegeven dat bezien
zal worden of het opportuun is om bij gelegenheid de Wabb aan te passen.8

Met de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) in 2018
heeft de Nederlandse wetgever gebruik gemaakt van de mogelijkheid, die artikel 87
van de verordening biedt, om nationale regelgeving te maken voor het gebruik van een
nationaal identificatienummer. In Nederland wordt de basis voor het gebruik van het
burgerservicenummer sinds 25 mei 2018 geregeld in artikel 46 van de Uitvoeringswet
AVG (UAVG).

Het kabinet overweegt om artikel 46 van de UAVG zo aan te passen dat duidelijk wordt
dat voor BSN-gebruik steeds een specifieke formeel wettelijke grondslag nodig is.
Het ligt in de rede om naar aanleiding van de aanpassing van dat artikel inhoudelijke
criteria vast te stellen waaraan (breder) BSN-gebruik dient te voldoen en deze vast
te leggen in de Wabb. Hierbij moet bedacht worden dat het BSN een identifier (betekenisloze sleutel voor gegevensuitwisseling) is en moet blijven en dat de inhoudelijke
toets op aanspraken en verplichtingen moet liggen bij het beleidsverantwoordelijke
departement.

Aandachtspunten daarbij zijn dat er niet-overheidsorganisaties zijn die diverse taken
hebben waarbij ze bijvoorbeeld voor de ene taak het BSN mogen of zelfs moeten gebruiken,
terwijl het gebruik van het BSN voor andere taken niet is toegestaan. In een aantal
van dergelijke zaken hebben in het verleden de toezichthouder AP9 en de rechter richtinggevende uitspraken gedaan, die betrokken zullen worden in het
proces om te komen tot criteria voor het toelaten van BSN-gebruik buiten de overheid.
Behalve algemene kwaliteitseisen voor wetgeving, zijn dat ook specifieke criteria
die volgen uit de AVG, zoals noodzakelijkheid, evenredigheid, proportionaliteit en
subsidiariteit.

Vooruitlopend op het vaststellen van bovengenoemde criteria loopt er een aantal trajecten
om binnen de huidige mogelijkheden die de wet- en regelgeving bieden het gebruik van
BSN en BRP buiten de overheid uit te breiden. Begin 2021 zal er een besluit worden
genomen of en hoe het binnen de huidige regels mogelijk gemaakt kan worden verzekeraars
de BRP te laten gebruiken voor het opsporen van de «onvindbare begunstigden». Voor
de banken wordt overwogen om goed omschreven gebruik van het BSN mogelijk te maken
door wijzigingen in de wetgeving ten behoeve van de aanpak witwassen. Daarover is
mijn ministerie met het Ministerie van Financiën in overleg. Ik zal uw Kamer begin
2021 informeren over mijn besluiten ten aanzien van genoemde trajecten.

6. Slot

Bijna vijftien jaar na de invoering van het BSN kunnen we constateren dat het BSN-stelsel
voor een groot deel voldoet aan de doelstellingen. Maar we zien ook dat waar het gaat
om veiligheid en gebruik nieuw beleid nodig is. Waarbij een goede balans moet worden
gevonden tussen efficiënte dienstverlening en bestrijding van misbruik enerzijds en
bescherming van privacy anderzijds. De eerste stappen zijn gezet, er ligt een basis
voor verdere beleidsontwikkeling in de komende jaren.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
R.W. Knops