Antwoord schriftelijke vragen : Antwoord op vragen van de leden Simons en Van Ginneken over een lek van privéadressen van volksvertegenwoordigers en politieke en maatschappelijke organisaties door de Kamer van Koophandel

Antwoord van Staatssecretaris Keijzer (Economische Zaken en Klimaat) (ontvangen 9 september
2021).

Vraag 1

Bent u op de hoogte van het feit dat (ex-)bestuursleden van in ieder geval de politieke
partij BIJ1, de politieke jongerenorganisatie DWARS, de studentenvakbond LSVb, alsook
meerdere Kamerleden een brief hebben ontvangen van de Kamer van Koophandel (KvK) waarin
zij geïnformeerd werden dat hun privéadressen onrechtmatig zijn gedeeld met een voormalig
advocaat?1

Antwoord 1

Ja.

Vraag 2

Bent u ervan op de hoogte dat, zo blijkt uit navraag bij de KvK, er naar verluid 2000
privéadressen uit het historisch handelsregister zijn gelekt? Kunt u exacte cijfers
geven van de omvang van dit lek?

Antwoord 2

In totaal zijn door de voormalig advocaat 596 producten uit het Handelsregister opgevraagd.
Met deze producten zijn in totaal 1785 privéadressen meegeleverd waarvan het in 1776
gevallen het actuele privéadres van de betrokkene betrof. De overige negen adressen
waren niet meer actueel. Dat wil zeggen dat de persoon dus niet meer woonachtig is
op het adres zoals vermeld bij de inschrijving. Dit is het geval als een persoon niet
meer als actief functionaris in het Handelsregister staat en om die reden zijn actuele
woonadres niet meer wordt bijgehouden.

Vraag 3

Is bij u bekend wie de voormalig advocaat in kwestie is?

Antwoord 3

Ja, de identiteit is bekend.

Vraag 4

Indien de voormalig advocaat in kwestie bij u bekend is, weet u wat de aanleiding
dan wel reden was dat deze persoon zichzelf uit het tableau (advocatenregister) heeft
laten schrappen?

Antwoord 4

Nee, het is niet bekend waarom de voormalig advocaat zichzelf heeft laten schrappen
uit het tableau.

Vraag 5

Is er een algemene deler in de doelgroepen die slachtoffer zijn geworden van dit lek?
En vanuit welke motieven heeft deze persoon gehandeld? Is er sprake van politieke
motieven, criminele motieven of andere motieven?

Antwoord 5

Het gaat om een brede waaier aan organisaties met uiteenlopende maatschappelijke en
economische doelstellingen. De voormalig advocaat heeft aangegeven de openbare registers
te gebruiken voor onderzoek en begrip van maatschappelijke misstanden. De politie
doet onderzoek naar diens handelwijze en motieven. In verband met de mogelijke herleidbaarheid
van de informatie naar personen is het niet mogelijk meer bekend te maken over de
achtergrond van de betrokkenen.

Vraag 6 en 7

Weet u of de voormalig advocaat in kwestie op zichzelf handelde of dat hier sprake
is van een samenwerkingsverband, zoals een actiegroep, politieke groepering of criminele
organisatie? Zo ja, kunt u de inhoud hiervan delen met de Kamer?

Indien er niks bekend is bij u over de identiteit, motieven en eventuele samenwerkingsverbanden
van de voormalig advocaat in kwestie, bent u bereid deze te onderzoeken? En over de
motieven en eventuele samenwerkingsverbanden de Kamer te informeren, zodat de Kamer
in politieke oplossingen kan meedenken over de relatie tussen veiligheid van politieke
organisaties en datalekken?

Antwoord 6 en 7

Het is niet bekend of de voormalig advocaat onderdeel is van een samenwerkingsverband.
De KVK heeft naar aanleiding van de onbevoegde opvraging aangifte gedaan tegen de
advocaat. De zaak ligt nu bij de politie die verder onderzoek doet. De KVK staat in
contact met het hoofd van de beveiliging van de Tweede Kamer zodat hij zijn werk adequaat
kan doen.

Zie antwoorden op vraag 3, 4, 5 en 6.

Vraag 8 en 9

Is deze persoon verzocht tot het vernietigen van de gegevens? Zo ja, wordt dit gecontroleerd
en hoe wordt dit gecontroleerd? Zo nee, waarom niet? Is de KvK van plan dit alsnog
te gaan doen? Hoe gaat erop worden toegezien dat de voormalige advocaat in kwestie
niet langer over de gegevens kan beschikken?

Kan er gecontroleerd worden of de voormalig advocaat in kwestie de gegevens vervolgens
niet weer heeft doorgedeeld aan derden? Zo ja, bent u bereid om die controle te gaan
uitvoeren?

Antwoord 8 en 9

De voormalige advocaat verklaart de gegevens te hebben vernietigd en niet met derden
te hebben gedeeld. De KVK heeft naar aanleiding van de onbevoegde opvraging aangifte
gedaan tegen deze persoon. De autorisatie is per direct ingetrokken. De zaak ligt
nu bij de politie die verder onderzoek doet en vervolgens besluit of er tot vervolging
wordt overgegaan. De KVK heeft ook niet de bevoegdheid op basis waarvan zij aanvullend
aan de politie onderzoek kan doen.

Vraag 10 en 11

Hoe groot schat u de dreiging voor de nationale veiligheid, gezien het feit dat het
lek meerdere politici en politieke organisaties betreft? Kunt u die dreiging duiden?

Zijn er signalen dat er bedreigingen zijn voortgevloeid uit het lek van deze data?

Antwoord 10 en 11

Het inschatten van een dreiging voor de nationale veiligheid is aan de Nationaal Coördinator
Terrorismebestrijding en Veiligheid. De voormalig advocaat heeft aangegeven de openbare
registers te hebben gebruikt voor onderzoek en begrip van maatschappelijke misstanden.
Tevens heeft de voormalig advocaat verklaard dat het hem niet ging om het woonadres
en dat de gegevens zijn vernietigd. De zaak is bij de politie in onderzoek.

Vraag 12

Is uw inschatting dat er situaties van chantage of andere strafbare feiten kunnen
voortvloeien uit het feit dat deze voormalige advocaat in bezit is van deze persoonsgegevens?

Antwoord 12

Ik wil niet speculeren over welke strafbare handelingen kunnen worden verricht met
de gegevens. De KVK heeft geconstateerd dat de voormalige advocaat onbevoegd heeft
gehandeld. Uit het onderzoek van de politie zal blijken of er reden is voor vervolging.

Vraag 13

Welke veiligheidsmaatregelen worden er getroffen om de adressen van deze 2000 mensen,
waaronder Kamerleden, te beveiligen?

Antwoord 13

De KVK heeft aangifte tegen de voormalige advocaat gedaan en de maatregelen getroffen
zoals beschreven in de antwoorden op de navolgende vragen. Daarnaast staat de KVK
in contact met het hoofd Beveiliging van de Tweede Kamer zodat hij zijn werk adequaat
kan doen.

Vraag 14

Zijn alle personen die getroffen zijn door dit datalek door de KvK geïnformeerd?

Antwoord 14

De KVK heeft conform AVG de betrokken personen geïnformeerd over het onbevoegd opvragen
van hun organisatiegegevens waardoor actuele privégegevens inzichtelijk waren. Alle
betrokkenen waarbij het actuele privéadres is meegeleverd als onderdeel van een HR-product
zijn geïnformeerd over de onbevoegde opvraging.

Vraag 15

Meerdere door dit datalek getroffen personen hebben vanwege hun politieke en publieke
functie via hun gemeenten geheimhouding gekregen op de van hen bekende gegevens in
het Basisregistratie Personen (BRP), evenzo zij geheimhouding hebben gekregen op hun
bij de KvK bekende persoonsgegevens; hoe is het mogelijk dat zij alsnog slachtoffer
konden worden van dit datalek? Welke personen en instanties hebben ondanks deze geheimhoudingen
toegang tot persoonsgegevens a) in de BRP, en b) in de KvK? Kunt u daar voor beide
categorieën van geheimhouding over uitweiden?

Antwoord 15

De KVK is een overheidsorgaan. Er kan op grond van de Wet BRP geen geheimhouding worden
gevraagd voor verstrekkingen van persoonsgegevens uit de BRP aan overheidsorganen.
Welke persoonsgegevens een overheidsorgaan verstrekt krijgt is vastgelegd in een (BRP-)autorisatiebesluit.
Er worden enkel persoonsgegevens verstrekt voor zover dit noodzakelijk is voor de
goede vervulling van de taak van het overheidsorgaan. De KVK is op grond van het aan
haar afgegeven BRP-autorisatiebesluit geautoriseerd voor het verkrijgen van onder
andere adresgegevens ten behoeve van het kunnen bijhouden van het handelsregister.

Het uitgangspunt van de BRP is dat overheidsorganisaties en bepaalde derden persoonsgegevens
ontvangen die zij nodig hebben bij hun taakuitvoering. Indien een burger dit zou kunnen
verhinderen komt het functioneren van de overheid in het geding. Personen die zijn
ingeschreven in de BRP kunnen hun gemeenten wel verzoeken om een «aantekening omtrent
de verstrekking van gegevens aan derden» te plaatsen bij de persoonslijst. Die geheimhouding
is op grond van de Wet BRP enkel van toepassing op verstrekking aan derden in de zin
van de Wet BRP (niet- overheidsorganisaties die werkzaamheden van gewichtig maatschappelijk
belang verrichten) en voor zover de geheimhouding in bijlage 4 van het Besluit BRP
van toepassing is verklaard ten aanzien van een categorie derden. Deze uitzondering
wordt beperkt toegepast. Gemeenten kunnen tevens de mogelijkheid tot geheimhouding
bieden voor gemeentelijke verstrekkingen aan derden.

De KVK krijgt op grond van het BRP-autorisatiebesluit automatisch verstrekt of een
burger heeft verzocht om geheimhouding, en kan dit indien nodig ook opvragen. Indien
de burger heeft verzocht om geheimhouding, kan de KVK aanvullende maatregelen treffen
ter bescherming van de privacy van de burger. De KVK gebruikt het gegeven over de
verzochte geheimhouding in die gevallen dat zij een verzoek krijgt tot afscherming
van een woonadres van een natuurlijk persoon, zoals geregeld in het huidig artikel
51 lid 3 Handelsregisterbesluit. Als onderdeel van de toetsing van dat verzoek door
de KVK geldt namelijk als toetsingscriterium dat een persoon zelf maatregelen heeft
genomen om de bekendheid van zijn adres te verminderen, zoals het vragen van geheimhouding
voor verstrekkingen uit de BRP. Na afscherming van de openbaarheid door de KVK is
het adres enkel nog inzichtelijk voor notarissen, advocaten, deurwaarders en bestuursorganen,
als bedoeld in artikel 1:1, eerste lid, onderdeel a, van de Algemene wet bestuursrecht.

Op basis van art 51 van het Handelsregisterbesluit 2008 zijn de woonadressen van bestuurders
en functionarissen van rechtspersonen standaard afgeschermd. Die gegevens kunnen uitsluitend
worden ingezien door advocaten, notarissen, deurwaarders en bepaalde bestuursorganen.
Voor deze partijen is het noodzakelijk de woonadressen van de functionarissen te kennen
om hun publieke taken uit te voeren.

Nadat de betreffende persoon zich had laten schrappen van het tableau als advocaat,
was de persoon niet langer bevoegd om in die hoedanigheid gebruik te maken van de
autorisatie om privéadressen in het handelsregister in te zien. Hij had de autorisatie
moeten laten intrekken door KVK conform de voorwaarden bij de gebruikersovereenkomst
waarmee hij bij het verkrijgen van de autorisatie heeft ingestemd. Zie het antwoord
op vraag 18 voor een toelichting op deze procedure.

Vraag 16

Door wie of welk orgaan wordt de controle verricht op het proces van gegevensverwerking
en specifiek gegevensverstrekking door de KvK? Wie of welk orgaan controleert bij
de KvK of een persoon die gegevens opvraagt daadwerkelijk daartoe bevoegd is?

Antwoord 16

De Autoriteit Persoonsgegevens is de nationale toezichthouder op de naleving van de
Algemene Verordening Gegevensbescherming. Voor beroepsgroepen en instanties die de
gegevens nodig hebben voor de uitoefening van hun taak (zie antwoord vraag 15) bestaat
een autorisatieproces. Tijdens de aanvraag van de autorisatie wordt getoetst of de
persoon of instantie aan de benodigde eisen voldoet. Indien dit het geval is, wordt
een autorisatie verstrekt. Het is niet zo dat iedere opvraging van gegevens wordt
getoetst, wel wordt elke autorisatie getoetst voordat die wordt afgegeven. Is eenmaal
een autorisatie afgegeven, dan is de persoon zelf verantwoordelijk voor een correct
gebruik van de gegevens. Deze verantwoordelijkheid is vastgelegd in de gebruikersvoorwaarden
zoals die van toepassing zijn op de autorisaties.

Vraag 17

Wat zijn de exacte criteria op basis waarvan de KvK toegang verleend aan personen
om niet-openbare gegevens op te vragen en wie heeft die criteria bepaald?

Antwoord 17

In artikel 51 van het Handelsregisterbesluit 2008 staat wie bevoegd is om een autorisatie
aan te vragen voor het opvragen van afgeschermde woonadressen. Voor de beroepsgroep
advocaten controleert KVK via het tableau van de Nederlandse Orde van Advocaten (NOvA)
bij aanvraag van de autorisatie of de betreffende persoon ook daadwerkelijk advocaat
is en of de aanvrager gerechtigd is om zijn organisatie te vertegenwoordigen. Daarnaast
vinden er een aantal checks plaats om de identiteit van de aanvrager te verifiëren.
Als de aanvrager van de autorisatie voldoet aan de eisen zoals in de wet gesteld,
wordt een autorisatie afgegeven.

Vraag 18

Hoe kan het dat uitschrijving uit het advocatenregister niet automatisch heeft geleid
tot het ontzeggen van de toegang tot deze gegevens?

Antwoord 18

Er bestaat geen automatische koppeling tussen het tableau en het Handelsregister.
Het is de verantwoordelijkheid van de advocaat om integer om te gaan met de door de
wet toegekende bevoegdheden. Dit betekent dat een advocaat de autorisatie enkel gebruikt
in het kader van de uitoefening van zijn/haar beroep. Wanneer een advocaat stopt met
de uitoefening van het beroep, heeft de advocaat de verantwoordelijkheid om hiervan
melding te doen bij KVK en de autorisatie in te laten trekken.

Vraag 19

Is het gebruikelijk dat een, al dan niet voormalig, advocaat in één klap duizenden
persoonsgegevens opvraagt? Gaat er geen alarm af – in het systeem of bij de persoon
dan wel het orgaan dat belast is met het verstrekken van deze persoonsgegevens – op
het moment dat iemand van 2000 personen privégegevens opvraagt?

Antwoord 19

De privéadressen zijn geleverd als onderdeel van een product op basis van het KVK-nummer.
Hierbij gaat het om 596 individuele bevragingen in de periode januari–juni 2021. Het
betreft dus niet een eenmalige bevraging van het Handelsregister.

Vraag 20

Hoe is dit datalek aan het licht gekomen en weet u of er vaker op vergelijkbare wijze
niet-openbare gegevens zijn opgevraagd door een persoon die daar geen toegang (meer)
toe had mogen hebben?

Antwoord 20

KVK heeft een melding gekregen van de onbevoegde bevraging en heeft naar aanleiding
daarvan gelijk actie ondernomen, zoals het intrekken van de betreffende autorisatie.
Daarnaast heeft KVK alle autorisaties van advocaten die toegang hadden tot niet openbare
privéadressen gecontroleerd en ingetrokken als zij niet meer ingeschreven stonden
bij de Nederlandse Orde van Advocaten. Hieruit is gebleken dat er 164 gevallen zijn
van autorisaties op een naam die niet meer in het tableau staan ingeschreven. KVK
doet nader onderzoek of middels deze autorisaties ook onbevoegde opvragingen hebben
plaatsgevonden.

Vraag 21

Welke consequenties heeft dit, potentieel gevaarlijke, datalek voor het beleid omtrent
gegevensverwerking bij de KvK?

Antwoord 21

KVK heeft naar aanleiding van de melding maatregelen genomen. KVK gaat een controle
uitvoeren voor alle autorisaties die zijn afgegeven. KVK werkt aan een structurele
oplossing om het beheer van autorisaties aan te scherpen. Deze oplossingen vragen
meer tijd aangezien er aanpassingen aan het IT-systeem nodig zijn.

Vraag 22

Welke maatregelen gaat u nemen om a) de huidige situatie recht te zetten met veiligheid
voor de getroffenen op de eerste plaats, en om b) dergelijke situaties in de toekomst
te voorkomen?

Antwoord 22

In afstemming met de Koninklijke Notariële Beroepsorganisatie (KNB) en de Koninklijke
Beroepsorganisatie van Gerechtsdeurwaarders (KBVG) worden de komende weken ook de
autorisaties van notarissen, respectievelijk gerechtsdeurwaarders gecontroleerd. Eind
oktober is dit onderzoek naar verwachting afgerond. Daarna zullen alle overige autorisaties
gecontroleerd worden, zoals autorisaties van bestuursorganen. Dit onderzoek is naar
verwachting eind december gereed.

Zie antwoorden vragen 10 tot en met 21.

Vraag 23

Er zijn meer privacy-problemen met het Handelsregister, zoals bijvoorbeeld dat in
tegenstelling tot de wens van de Kamer de privéadressen van de meeste zzp’ers de facto
nog steeds openbaar zijn via hun vestigingsadres; hoe beoordeelt u de algehele attitude
van de KvK ten aanzien van de bescherming van de privacy van ingeschrevenen?

Antwoord 23

De huidige situatie is te wijten aan het onbevoegd handelen van een individu. Ik stel
vast dat KVK maatregelen treft om nieuwe gevallen in de toekomst te voorkomen. KVK
is zich naar aanleiding van dit incident bewust dat het beheer van autorisaties onvoldoende
bescherming biedt tegen onbevoegd gebruik en dat dit beveiligingsrisico’s met zich
meebrengt. De attitude van de KVK staat mijn inziens niet ter discussie.

Ik heb u geïnformeerd over de Datavisie Handelsregister, die ik samen met de KVK ontwikkel.
Voor de zomer ben ik daarover een brede maatschappelijke discussie gestart met belanghebbenden.2 Het doel van de visie is om een balans te vinden tussen de uiteenlopende belangen
die spelen rondom het Handelsregister. De visie zal een nieuw beleidskader vormen
voor de verwerking en verstrekking van gegevens uit het Handelsregister.

Ik tref voorts maatregelen voor wat betreft de openbaarheid van adresgegevens in het
Handelsregister. De afscherming van woonadressen, zoals die nu bestaat voor bestuurders
en andere functionarissen, wordt uitgebreid naar de woonadressen van alle natuurlijke
personen. Ik streef ernaar het ontwerpbesluit van die strekking dit najaar te publiceren
in het Staatsblad.

De Kamer heeft in de motie-Yesilgöz-Zegerius c.s. (Kamerstuk 35 570 VI, nr. 36) verzocht om alle vestigingsadressen van ondernemingen en rechtspersonen, die tevens
als woonadres fungeren, standaard af te schermen. Ik heb u laten weten dat deze motie
op onderdelen niet uitvoerbaar is en ook niet zonder meer recht doet aan een zorgvuldige
afweging van alle betrokken belangen. Het afschermen van een vestigingsadres van een
onderneming (ook wanneer dat tevens als woonadres wordt gebruikt) is met het oog op
de rechtszekerheid in het handelsverkeer en het naleven van de Wwft-verplichtingen
van bepaalde afnemers van deze informatie onwenselijk, en waar het vennootschappen
betreft, onmogelijk met het oog op Europeesrechtelijke verplichtingen.

In de motie Verhoeven (Kamerstuk 25 421 nr. 15) spreekt de Kamer de wens uit dat vestigingsadressen die tevens als woonadres fungeren,
op verzoek van de ingeschrevene wordt afgeschermd. De indiener van de motie heeft
mij daarbij de ruimte gelaten om meerdere oplossingsrichtingen te onderzoeken. Dat
heb ik gedaan door het mee te nemen in de ontwikkeling van de datavisie en ik zal
u over de uitkomst dit najaar informeren met een brief. Ondertussen maakt de KVK gebruik
van de beleidsruimte die de huidige wetgeving aangaande het Handelsregister biedt
om de privacy van ingeschrevenen te beschermen.

Vraag 24

Welke maatregelen gaat u nemen tegen de voormalig advocaat in kwestie die, blijkens
het feit dat deze persoon zichzelf heeft uitgeschreven uit het advocatenregister,
zich logischerwijs bewust moet zijn geweest van het feit dat hij/zij/hen hierdoor
geen toegang had mogen hebben tot deze gegevens?

Antwoord 24

De autorisatie is direct ingetrokken. De zaak ligt nu bij de politie die verder onderzoek
doet en vervolgens besluit of er tot vervolging wordt overgegaan. Zie antwoorden 8
en 9.

Vraag 25

Heeft de KvK van dit lek melding gemaakt bij de Autoriteit Persoonsgegevens?

Antwoord 25

Ja.