Antwoord schriftelijke vragen : Antwoord op vragen van het lid Stoffer over het lekken en illegaal verhandelen van persoonsgegevens uit het kentekenregister

Antwoord van Minister Van Nieuwenhuizen Wijbenga (Infrastructuur en Waterstaat) (ontvangen
26 augustus 2019).

Vraag 1

Heeft u kennisgenomen van het bericht dat vertrouwelijke persoonsgegevens uit het
kentekenregister illegaal verhandeld worden?1

Antwoord 1

Ja.

Vraag 2

Hoe waardeert u het feit dat dit heeft kunnen gebeuren ondanks de aanscherping van
de privacyregels?

Antwoord 2

Ondanks dat nog niet is vastgesteld dat er daadwerkelijk persoonsgegevens rechtstreeks
uit het kentekenregister illegaal worden verhandeld neem ik de berichtgeving, net
als de RDW, zeer serieus. De RDW heeft aangifte gedaan bij de politie die samen met
de RDW (en het Landelijk Informatiecentrum Voertuigcriminaliteit (LIV)) een onderzoek
naar een mogelijk datalek is gestart. De politie leidt dit onderzoek dat in volle
gang is. Daarnaast is de Autoriteit Persoonsgegevens uiteraard op de hoogte gesteld.

Vraag 3

Kunt u een volledige lijst geven van instanties en personen die toegang hebben tot
deze persoonsgegevens?

Antwoord 3

De RDW verstrekt gegevens uit het kentekenregister aan overheidsorganen voor de uitvoering
van hun publieke taken. Het register is een basisregistratie en moet daarom door overheden
voor wat betreft de authentieke gegevens verplicht geraadpleegd worden. De kaders
voor de gegevensverstrekking en het gebruik liggen vast in de wegenverkeerswetgeving
en in algemene wetgeving zoals de Algemene wet bestuursrecht, de Wet openbaarheid
van bestuur en de Algemene verordening gegevensbescherming. Voor de verstrekking moet
onderscheid worden gemaakt tussen overheidsorganen en aangewezen personen of organisaties
met een publieke taak enerzijds en beroepsbeoefenaren anderzijds.

Voor wat betreft overheidsorganen als bedoeld in artikel 41a, eerste lid, onderdeel
a, van de Wegenverkeerswet 1994, zoals de politie, het Centraal Justitieel Incasso
Bureau, de Belastingdienst en gemeenten respectievelijk aangewezen personen of instanties
die publieke taken uitvoeren als bedoeld in artikel 41a, tweede lid, van de Wegenverkeerswet
1994, zoals curatoren en bewindvoerders gaat de RDW voorafgaande aan de verstrekking
na of er inderdaad sprake is van een overheidsorgaan of een aangewezen persoon of
instantie. Na de gegevensverstrekking houdt de RDW geen toezicht op het gebruik van
de gegevens. Het overheidsorgaan of de aangewezen persoon of instantie met een publieke
taak is zelf verantwoordelijk voor het juiste gebruik.

Ten aanzien van verstrekkingen aan beroepsbeoefenaren is in de Wegenverkeerswet 1994
vastgelegd aan welke beroepsbeoefenaren en voor welk doel de RDW persoonsgegevens
mag verstrekken. Het gaat dan om door de Minister van IenW aangewezen beroepsbeoefenaren,
zoals verzekeraars voor schadeafwikkeling, advocaten voor het voeren van gerechtelijke
procedures en auto-importeurs alleen voor de uitvoering van terugroepacties. De RDW
houdt toezicht op deze doelbinding. Deze organisaties moeten zelf in het kader van
de Algemene verordening gegevensbescherming passende technische en organisatorische
maatregelen treffen om de verkregen persoonsgegevens te beschermen. In het jaarverslag
van de RDW is de lijst opgenomen van het aantal informatieverstrekkingen onderverdeeld
naar categorie.2 Verstrekking kan daarnaast ook onder bepaalde voorwaarden plaatsvinden aan buitenlandse
autoriteiten en internationale organisaties. Dan gaat het onder meer om met de registratie
van voertuigen belaste autoriteiten en autoriteiten die zijn belast met de handhaving
van verkeersregels en de opsporing van verkeersovertredingen.

Vraag 4, 5, 6

Hoe heeft dit kunnen gebeuren?

Wat gaat u doen om na trekken hoe dit kon gebeuren?

Wat gaat u in overleg met de Rijksdienst voor Wegverkeer en betrokken instanties en
personen doen om te voorkomen dat dit blijft gebeuren? Betrekt u daarbij alle betrokken
instanties en personen?

Antwoorden 4, 5, 6

De RDW heeft naar aanleiding van de berichtgeving aangifte gedaan bij de politie en
deze is samen met de RDW (en het LIV) direct een onderzoek gestart. Het onderzoek
moet uitwijzen waar de gegevens vandaan komen en of er sprake is van misbruik. De
politie leidt dit onderzoek dat in volle gang is. Totdat de uitkomsten daarvan bekend
zijn, kan ik hier geen uitspraken over doen. Ook heeft de RDW naar aanleiding van
het vermoeden van RTL nieuws de Autoriteit Persoonsgegevens op de hoogte gesteld.
Daarnaast hebben de directie en de raad van toezicht van de RDW besloten om een externe
partij de opdracht te geven tot een onderzoek naar mogelijke extra maatregelen van
de RDW om het kentekenregister nog veiliger te laten raadplegen door eigen medewerkers,
andere overheidsdiensten en overige beroepsbeoefenaren. Ik heb de RDW gevraagd mij
over de uitkomsten hiervan te informeren. De RDW monitort maatregelen om privacygevoelige
data te beschermen tegen misbruik door onbevoegden en de processen worden ieder jaar
onafhankelijk getoetst. Uiteraard worden de bevindingen uit de lopende onderzoeken
benut om te bezien of, en zo ja, door wie en welke aanvullende maatregelen getroffen
moeten worden.