Verslag van een schriftelijk overleg : Verslag van een schriftelijk overleg over de conclusie onderzoek naar het gebruik van afkomstgerelateerde gegevens in de processen en applicaties van het ministerie van BZK (Kamerstuk 26643-938)

32 761
Verwerking en bescherming persoonsgegevens

Nr. 967
VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 31 januari 2023

De vaste commissie voor Binnenlandse Zaken heeft een aantal vragen en opmerkingen
voorgelegd aan de Minister van Binnenlandse Zaken en Koninkrijksrelaties over de brief
van 10 november 2022 over de conclusie van het onderzoek naar het gebruik van afkomstgerelateerde
gegevens in de processen en applicaties van het Ministerie van BZK (Kamerstukken 26 643 en 32 761, nr. 938).

De vragen en opmerkingen zijn op 8 december 2022 aan de Minister van Binnenlandse
Zaken en Koninkrijksrelaties voorgelegd. Bij brief van 30 januari 2023 zijn de vragen
beantwoord.

De voorzitter van de commissie, Hagen

Adjunct-griffier van de commissie, Muller

I Vragen en opmerkingen vanuit de fracties

Vragen en opmerkingen van de leden van de VVD-fractie

De leden van de VVD-fractie hebben met belangstelling kennisgenomen van de brief van
de Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) d.d. 10 november 2022
over de conclusies van het onderzoek naar het gebruik van afkomstgerelateerde gegevens
in de processen en applicaties van het Ministerie van BZK. Graag willen deze leden
daarover een paar vragen stellen.

De onderhavige rijksbrede aanpak begint met het inventariseren van gegevensverwerkingen
waarin afkomstgerelateerde indicatoren worden verwerkt. In hoeverre is het ministerie
met de genoemde afkomstgerelateerde indicatoren aangesloten bij de indicatoren die
rijksbreed zijn gebruikt? In hoeverre is daar op een andere manier mee omgegaan? Gaarne
krijgen zij een reactie.

Aan het slot van haar brief kan de Minister niet uitsluiten dat bijvoorbeeld beleidsregels,
registraties in oude systemen of zeldzame uitzonderingssituaties buiten het zicht
van de inventarisatie zijn gebleven. Hoe groot is de kans dat bepaalde registraties,
processen en risicomodellen buiten beeld zijn gebleven? De leden van de VVD-fractie
gaan ervan uit dat mochten er alsnog registraties, processen of risicomodellen bekend
worden, dat de Kamer daarover wordt geïnformeerd. Hoe wordt in de toekomst het rechtmatig
en eigenlijk gebruik van afkomstgerelateerde gegevens geborgd op het Ministerie van
BZK? Graag krijgen deze leden een reactie van de Minister.

Vragen en opmerkingen van de leden van de D66-fractie

Algemeen

De leden van de D66-fractie hebben met interesse kennisgenomen van de onderzoeksconclusies
en willen de Minister nog enkele vragen voorleggen.

Onderzoeksopzet

Deze leden zijn de Minister erkentelijk voor de toetsing van de afkomstgerelateerde
gegevensverwerking op grondslag, doelbinding, proportionaliteit, subsidiariteit en
op onrechtmatig onderscheid (de discriminatietoets). Zij vragen zich wel af waarom
het gegeven «postcode» niet als afkomstgerelateerd gegeven is onderzocht?

Onderzoeksconclusies

De leden van de D66-fractie ondersteunen het voorgestelde (concept) Besluit wijziging
BRP, d.d. 3 oktober 2022, om het gegeven «geboorteland en/of -plaats» te schrappen
in het proces Beheervoorziening burgerservicenummer (BSN) en het Foutenmeldpunt BSN.
Kan de Minister aangeven wanneer dit besluit definitief wordt? Kan de Minister inzichtelijk
maken op welke termijn de gegevens verwijderd worden?

Deze leden verwelkomen dat het gegeven «geboorteland» niet langer opgenomen wordt
in het Register Paspoortsignalering (RPS). Kan de Minister aangeven op welke termijn
de gegevens verwijderd worden?

Zij lezen de intentie om bij het proces inhuur (van externe personen) nader te bekijken
of er minder afkomstgerelateerde persoonsgegevens kunnen worden verwerkt. Wanneer
zal dit onderzoek zijn afgerond? Is de Minister bereid de Kamer over de uitkomsten
te informeren?

De leden van de D66-fractie vernemen dat de verwerking van de combinatie «datum inschrijving»
en «geboortedatum» is gestopt per 1 februari 2022. Zijn de gegevens inmiddels verwijderd?
Erkent de Minister dat, hoewel de combinatie niet valt onder de gehanteerde definitie
van «afkomstgerelateerd», de combinatie wel informatie verstrekt over de afkomst van
de betrokkene, zijnde niet-Nederland?

Deze leden maken zich zorgen over het gebruik van afkomstgerelateerde gegevens bij
de toepassing van de Rotterdamwet. De toepassing richt zich specifiek op bepaalde
wijken en wordt vaak gelinkt aan de afkomst van de mensen die er wonen. In het verleden
werd afkomst ook bij de toepassing meegenomen, is dit gebruik geschrapt en zijn de
gegevens verwijderd? Is er voldoende gewaarborgd dat discriminatie niet meer voorkomt?

Afsluitend

Zij vragen afsluitend wanneer de Staatssecretaris terug zal komen met de derde voortgangsrapportage
over de uitvoering van de motie van het lid Marijnissen c.s.?

Vragen en opmerkingen van de leden van de SP-fractie

De leden van de SP-fractie hebben de conclusie van het onderzoek naar het gebruik
van afkomstgerelateerde gegevens in de processen en applicaties van het Ministerie
van BZK gelezen en hebben hierover nog enkele vragen en opmerkingen. Deze leden lezen
dat er ook gegevens worden verwerkt in het kader van Wob/Woo-verzoeken. Daarover wordt
geschreven: «In beginsel zijn dergelijke gegevens niet nodig voor de afhandeling van
Woo-verzoeken en wordt hier ook niet om gevraagd door de directie Constitutionele
Zaken en Wetgeving (CZW). In voorkomende gevallen worden deze persoonsgegevens door
indieners met een reden aangeleverd en is verwerking hiervan nodig voor de afhandeling
van het Woo-verzoek.» Zij vragen in welke gevallen verwerking dan wel noodzakelijk
is. Welke redenen kunnen dit zijn? Ook lezen de leden van de SP-fractie dat hier,
en bij meerdere instanties, de gegevens door mensen zelf zijn aangeleverd en daarom
verwerkt worden. Is hierbij ook gekeken of er een invulveld is waarbij naar deze gegevens
wordt gevraagd, ook al is het niet verplicht om deze gegevens aan te leveren?

Deze leden lezen dat alle risicoprofielen van de Landelijke Aanpak Adreskwaliteit
(LAA), zowel de risicoprofielen van het Ministerie van BZK als die van derden, op
dit moment onafhankelijk getoetst worden, onder andere aan de «Handreiking non-discriminatie
by design» en met behulp van een «Data protection impact assessment» (DPIA). Daarbij
is het voornemen om de profielbeschrijvingen van het Ministerie van BZK ook te publiceren
in een algoritmeregister. Zijn er op dit moment algoritmes in werking die nog niet
getoetst zijn? Welke zijn dit? Worden hierbij op bijzondere persoonsgegevens getoetst?
Zo ja, waarom wordt er niet gewacht met het inzetten van dit soort algoritmes totdat
de toets klaar is en voldoende is bevonden?

II Antwoord/reactie van de Minister

Vragen en opmerkingen van de leden van de VVD-fractie

1.

De leden van de fractie van de VVD vragen in hoeverre het ministerie met de genoemde
afkomstgerelateerde indicatoren is aangesloten bij de indicatoren die rijksbreed zijn
gebruikt? Deze leden vragen hierbij in hoeverre daar op een andere manier mee is omgegaan.

Antwoord

In lijn met het SZW-onderzoek Inventarisatie Nationaliteit van juni vorig jaar1 zijn aanvullend op de motie van het lid Marijnissen c.s. (Kamerstuk 35 510, nr. 21) en motie van het lid Klaver c.s. (Kamerstuk 35 510, nr. 16) de afkomstgerelateerde indicatoren van SZW als uitgangspunt gebruikt. Elk ministerie
heeft de vrijheid en ruimte om betreffende indicatoren sectoraal, naar relevantie,
te gebruiken in het eigen onderzoek. Het Ministerie van BZK heeft de motie zo ruim
mogelijk geïnterpreteerd en gekeken naar alle afkomstgerelateerde indicatoren naast
in de motie genoemde indicatoren, ook indicatoren als geboorteland, migratieachtergrond,
geboorteland ouders, woonland niet ingezetene etc. In de inventarisatie zijn bovendien
processen geïdentificeerd waarbinnen geen afkomstgerelateerde persoonsgegevens worden
verwerkt, maar wel de indruk kunnen wekken dat dit gebeurt. Hiermee geeft het Ministerie
van BZK op een zo ruim mogelijke manier invulling aan de uitvoering van de motie.

2.

Aan het slot van haar brief kan de Minister niet uitsluiten dat bijvoorbeeld beleidsregels,
registraties in oude systemen of zeldzame uitzonderingssituaties buiten het zicht
van de inventarisatie zijn gebleven. De leden van de fractie van de VVD vragen hoe
groot de kans is dat bepaalde registraties, processen en risicomodellen buiten beeld
zijn gebleven? De leden van de VVD-fractie gaan ervan uit dat mochten er alsnog registraties,
processen of risicomodellen bekend worden, dat de Kamer daarover wordt geïnformeerd.
Verder vragen de leden van de VVD-fractie hoe in de toekomst het rechtmatig en eigenlijk
gebruik van afkomstgerelateerde gegevens wordt geborgd op het Ministerie van BZK.

Antwoord

Het Ministerie van BZK heeft de inventarisatie uitgevoerd bij alle organisatieonderdelen
van het ministerie. Het Ministerie van BZK heeft alle verwerkingen waarin afkomst
een rol speelt die zijn geïnventariseerd, ook daadwerkelijk gerapporteerd. Bovendien
zijn ook verwerkingen gerapporteerd waarbinnen geen afkomstgerelateerde persoonsgegevens
worden verwerkt, maar wel de indruk kunnen wekken dat dit gebeurt. Deze zijn in de
kamerbrief opgenomen. De inventarisatie is via de hoogste managementlaag uitgevraagd.
Ik acht daarom de kans klein dat verwerkingen van afkomstgerelateerde persoonsgegevens
buiten beeld zijn gebleven. Mochten zich situaties voordoen met registraties, processen
en risicomodellen, die eerder tijdens het onderzoek toch buiten beeld zijn gebleven,
dan wordt de Kamer daarover geïnformeerd.

Uit de inventarisatie is niet gebleken dat afkomstgerelateerde gegevens onrechtmatig
en/of oneigenlijk zijn verwerkt. Het rechtmatig en eigenlijk gebruik van persoonsgegevens
wordt geborgd binnen de beheerafspraken die gelden binnen het departement op het gebied
van privacy. Er is een centraal beleidskader wat geldt voor alle onderdelen van het
ministerie. Door privacyfunctionarissen wordt actief gestuurd op naleving van het
beleid en er vindt periodieke verantwoording aan het eigen management en de CIO plaats.
Het stelsel en de uitwerking daarvan door de onderdelen staat daarnaast onder intern
toezicht van de Functionaris Gegevensbescherming en extern onder toezicht van de Audit
Dienst Rijk en de Algemene Rekenkamer. Het beleidskader, de processen en procedures
worden via een control cyclus continu geëvalueerd en bijgewerkt indien nodig.

Vragen en opmerkingen van de leden van de D66-fractie

3.

De leden van de fractie van D66 zijn de Minister erkentelijk voor de toetsing van
de afkomstgerelateerde gegevensverwerking op grondslag, doelbinding, proportionaliteit,
subsidiariteit en op onrechtmatig onderscheid (de discriminatietoets). Zij vragen
zich wel af waarom het gegeven «postcode» niet als afkomstgerelateerd gegeven is onderzocht.

Antwoord

Het kenmerk «postcode» alleen wordt niet als een afkomstgerelateerde indicator beschouwd.
Echter, in combinatie met andere gegevens kan dit wel als een persoons-indicator worden
gebruikt. In de inventarisatie is daarom het kenmerk postcode meegenomen, wanneer
dit in combinatie met andere gegevens is verwerkt. In de kamerbrief is er gerapporteerd
over de quickscan programma Leefbaarheid & Veiligheid, waarin op postcodeniveau gegevens
zijn verwerkt. Echter, betrof dit een gegevensverwerking op een hoog en abstract niveau
dat er van (afkomstgerelateerde)persoonsgegevensverwerking geen sprake is.

4.

De leden van de D66-fractie ondersteunen het voorgestelde (concept) Besluit wijziging
BRP, d.d. 3 oktober 2022, om het gegeven «geboorteland en/of -plaats» te schrappen
in het proces Beheervoorziening burgerservicenummer (BSN) en het Foutenmeldpunt BSN.
De leden van de D66-fractie vragen of de Minister kan aangeven wanneer dit besluit
definitief wordt en of de Minister inzichtelijk kan maken op welke termijn de gegevens
verwijderd worden.

Antwoord

Dit besluit is in openbare consultatie geweest en aan de Autoriteit Persoonsgegevens
(AP) aangeboden voor advies. Afhankelijk van de uitkomsten van de consultatie moet
de datum van inwerkingtreding worden bezien. Het gevolg van het schrappen van gegevens
is dat de gegevens niet langer worden verstrekt aan BSN-gebruikers die in de Beheervoorziening
BSN controleren of een BSN hoort bij een bepaalde persoon. De gegevens worden door
het schrappen uit bijlage 3 van het Besluit BRP niet verwijderd uit de Beheervoorziening
BSN. De gegevens kunnen namelijk nodig zijn voor bij de vaststelling of aan een persoon
reeds een BSN is toegekend (artikel 11 en bijlage 2 van het Besluit BSN).

5.

De leden van de D66-fractie verwelkomen dat het gegeven «geboorteland» niet langer
opgenomen wordt in het Register Paspoortsignalering (RPS). De leden vragen of de Minister
kan aangeven op welke termijn de gegevens verwijderd worden.

Antwoord

De verwachting is dat de wijziging in het tweede kwartaal van 2023 doorgevoerd wordt.

6.

De leden van de D66-fractie lezen de intentie om bij het proces inhuur (van externe
personen) nader te bekijken of er minder afkomstgerelateerde persoonsgegevens kunnen
worden verwerkt. De leden van de D66-fractie vragen wanneer dit onderzoek zal zijn
afgerond? Verder vragen de leden van de D66-fractie of de Minister bereid is de Kamer
over de uitkomsten te informeren.

Antwoord

De verwachting is dat dit onderzoek in het tweede kwartaal van 2023 is afgerond. Ik
ben bereid om de uitkomsten van dit onderzoek met de Kamer te delen.

7.

De leden van de D66-fractie vernemen dat de verwerking van de combinatie «datum inschrijving»
en «geboortedatum» is gestopt per 1 februari 2022. De leden vragen of de gegevens
inmiddels zijn verwijderd. Verder vragen de leden of de Minister erkent dat, hoewel
de combinatie niet valt onder de gehanteerde definitie van «afkomstgerelateerd», de
combinatie wel informatie verstrekt over de afkomst van de betrokkene, zijnde niet-Nederland.

Antwoord

De leden van de D66-fractie vragen naar de stopzetting van een beslisregel binnen
de Landelijke Aanpak Adreskwaliteit (LAA). Zoals aangegeven in de brief van 11 november
jl. is in het kader van LAA door RvIG2 het gegeven «datum eerste inschrijving in Nederland» verwerkt in relatie met het
gegeven «geboortedatum». Dit gebeurde tot 1 februari 2022 in het kader van het profiel
«veelverhuizers», om zo naast verhuizingen binnen Nederland ook verhuizingen naar
Nederland mee te kunnen tellen. Bij personen met een groot aantal adreswijzigingen
in een relatief korte tijd, ontstaat immers twijfel over de juistheid van registratie
op het huidige adres in de BRP. Dit profiel beperkte zich aldus uitdrukkelijk niet
tot personen die vanuit het buitenland naar Nederland verhuisden, ook personen die
enkel binnen Nederland relatief vaak verhuisden, vielen binnen het profiel. De leden
van de D66-fractie constateren terecht dat deze combinatie (datum inschrijving en
geboortedatum) niet onder de gehanteerde definitie van «afkomstgerelateerd» valt.
Als de geboortedatum is gelegen voor de datum eerste inschrijving (in Nederland),
betekent dat dat de betrokkene in het buitenland geboren is en naar Nederland verhuisd
is. Die verhuizing werd meegeteld in het profiel «veelhuizers», net als binnenlandse
verhuizingen. De combinatie van deze gegevens geeft geen inzicht in de geboorteplaats,
nationaliteit of etniciteit; het kan dus ook gaan om een persoon met de Nederlandse
nationaliteit die in het buitenland geboren is en naar Nederland verhuisd is.

8.

De leden van de D66-fractie maken zich zorgen over het gebruik van afkomstgerelateerde
gegevens bij de toepassing van de Rotterdamwet. De toepassing richt zich specifiek
op bepaalde wijken en wordt vaak gelinkt aan de afkomst van de mensen die er wonen.
In het verleden werd afkomst ook bij de toepassing meegenomen. De leden van de D66-fractie
vragen of dit gebruik geschrapt is en of de gegevens zijn verwijderd. Verder vragen
de leden of er voldoende is gewaarborgd dat discriminatie niet meer voorkomt.

Antwoord

De zorgen van de leden van de D66-fractie over het vermeende gebruik van afkomstgerelateerde
gegevens bij de toepassing van selectieve woningtoewijzing op grond van de Wet bijzondere
maatregelen grootstedelijke problematiek (Wbmgp) neem ik graag weg. Er wordt bij de
toepassing van selectieve woningtoewijzing geen gebruik gemaakt van afkomstgerelateerde
gegevens. Ook in het verleden is afkomst bij de toepassing niet meegenomen of gebruikt.
Het betreft hier het al dan niet verlenen van een huisvestingsvergunning (op basis
van de huisvestingsverordening) aan woningzoekende huurders in aangewezen wooncomplexen,
straten of gebieden, waar de leefbaarheid en veiligheid onder druk staat. Daarbij
speelt afkomst geen rol. Dat er geen sprake is van discriminatie, is begin dit jaar
nog eens bevestigd door een uitspraak van de Afdeling advisering van de Raad van State
met betrekking tot artikel 8 Wbmgp, waarbij is aangegeven dat het beleid dat erop
gericht is om de instroom van huishoudens zonder inkomen uit werk te beperken in bepaalde
aangewezen gebieden, geen discriminatoir karakter heeft (ECLI:NL:RVS:2022:363).

9.

De leden van de D66-fractie vragen wanneer de Staatssecretaris terug zal komen met
de derde voortgangsrapportage over de uitvoering van de motie van het lid Marijnissen
c.s.

Antwoord

Naar verwachting zal de Staatssecretaris van BZK de Kamer op korte termijn informeren
over de procedurele stand van zaken met de derde voortgangsrapportage3.

Vragen en opmerkingen van de leden van de SP-fractie

10.

De leden van de SP-fractie hebben de conclusie van het onderzoek naar het gebruik
van afkomstgerelateerde gegevens in de processen en applicaties van het Ministerie
van BZK gelezen en hebben hierover nog enkele vragen en opmerkingen. Deze leden lezen
dat er ook gegevens worden verwerkt in het kader van Wob/Woo-verzoeken. Daarover wordt
geschreven: «In beginsel zijn dergelijke gegevens niet nodig voor de afhandeling van
Woo-verzoeken en wordt hier ook niet om gevraagd door de directie Constitutionele
Zaken en Wetgeving (CZW). In voorkomende gevallen worden deze persoonsgegevens door
indieners met een reden aangeleverd en is verwerking hiervan nodig voor de afhandeling
van het Woo-verzoek.» Zij vragen in welke gevallen verwerking dan wel noodzakelijk
is. Welke redenen kunnen dit zijn? Ook lezen de leden van de SP-fractie dat hier,
en bij meerdere instanties, de gegevens door mensen zelf zijn aangeleverd en daarom
verwerkt worden. De leden van de SP-fractie vragen of hierbij ook gekeken is of er
een invulveld is waarbij naar deze gegevens wordt gevraagd, ook al is het niet verplicht
om deze gegevens aan te leveren?.

Antwoord

Om het verzoek in behandeling te kunnen nemen dient de indiener diverse persoonsgegevens
te delen waaronder zijn naam, adres, telefoonnummer en mailadres. CZW vraagt aan indieners
niet om bijzondere persoonsgegevens aan te leveren. In een voorkomend geval verstrekt
een indiener daarbij ongevraagd ook nog bijzondere persoonsgegevens om hem moverende
redenen. Bijvoorbeeld om zo de bijzondere interesse in de gevraagde informatie nader
onder het voetlicht te brengen. In het vormvrije invulveld via de website bestaat
hiertoe de mogelijkheid. Dit alhoewel verzoeker geen belang hoeft te stellen bij de
indiening van zijn verzoek. Ten behoeve van behoud van authenticiteit van het verzoek
worden dergelijke bijzondere persoonsgegevens niet door CZW verwijderd.

Burgers kunnen contact met het Ministerie van BZK opnemen via verschillende kanalen.
Een kanaal is het formulier op rijksoverheid.nl. Dit formulier heeft diverse invulvelden,
waarbij alleen het invulveld «emailadres» een verplicht veld is.

11.

De leden van de SP-fractie lezen dat alle risicoprofielen van de Landelijke Aanpak
Adreskwaliteit (LAA), zowel de risicoprofielen van het Ministerie van BZK als die
van derden, op dit moment onafhankelijk getoetst worden, onder andere aan de «Handreiking
non-discriminatie by design» en met behulp van een «Data protection impact assessment»
(DPIA). Daarbij is het voornemen om de profielbeschrijvingen van het Ministerie van
BZK ook te publiceren in een algoritmeregister. De leden van de SP-fractie vragen
of er op dit moment algoritmes in werking zijn die nog niet getoetst zijn. Ook vragen
zij welke dit zijn en of hierbij op bijzondere persoonsgegevens getoetst wordt? Indien
dit het geval is, vragen de leden van de SP-fractie waarom er niet wordt gewacht met
het inzetten van dit soort algoritmes totdat de toets klaar is en voldoende is bevonden.

Antwoord

Met betrekking tot LAA kan ik melden dat de profielbeschrijvingen van het Ministerie
van BZK (RvIG) inmiddels gepubliceerd zijn in een algoritmeregister. Dit register
is te raadplegen op https://www.rvig.nl/over-rvig/algoritmeregister. LAA is als project gestart in 2014 en sindsdien wordt binnen de aanpak gewerkt met
risicoprofielen (algoritmen) om mogelijk onjuiste adresgegevens in de BRP te vinden.
In oktober 2021 deelde de Staatssecretaris van BZK met de Kamer samenvattingen van
alle risicoprofielen die sinds de start van het project in 2014 zijn gebruikt. Binnen
LAA zijn voor de inzet van nieuwe profielen toetsingsmomenten ingebouwd, met het oog
op een zorgvuldige en rechtmatige verwerking van persoonsgegevens. De inzet van een
nieuw profiel gebeurt stapsgewijs, eerst op kleine schaal waarbij steeds – voor opschaling
– een evaluatie plaatsvindt. In 2018 is voor het project een onafhankelijke DPIA uitgevoerd,
deze DPIA is door de Staatssecretaris van BZK met de Kamer gedeeld in het kader van
de plenaire behandeling van het wetsvoorstel BRP LAA. Deze wetswijziging zorgt voor
een structurele inbedding van LAA bij RvIG, waarbij de Minister van BZK verantwoordelijk
wordt voor de centrale gegevensverwerking. Ter uitvoering van de motie van de leden
Dekker-Abdulaziz en Ceder (Kamerstuk 35 772, nr. 30) worden alle risicoprofielen, voorafgaand aan de inwerkingtreding van de wetswijziging
en de structurele inbedding, onafhankelijk getoetst, onder andere aan de hand van
een DPIA. Standaard onderdeel van een DPIA is de beoordeling of sprake is van de verwerking
van bijzondere persoonsgegevens. De Staatssecretaris van BZK zal de Kamer over de
uitkomst van die toetsing informeren.