De Minister van Financiën. Wetgevingsadvies - Wet gebruik BSN in de financiële sector

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Juliana van Stolberglaan 4-10 TEL FAX INTERNET AAN De Minister van Financiën DATUM 23 maart 2010 CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP Wetgevingsadvies - Wet gebruik BSN in de financiële sector U heeft het College bescherming persoonsgegevens (CBP) gevraagd te adviseren, als bedoeld in artikel 51, tweede lid van de Wet bescherming persoonsgegevens (Wbp), over het conceptwetsvoorstel Wet gebruik burgerservicenummer in de financiële sector. Hiermee voldoe ik aan uw verzoek. Inhoud van het wetsvoorstel Het onderhavige wetsvoorstel regelt het gebruik van het burgerservicenummer (BSN) door kredietinstellingen, verzekeraars, gevolmachtigde agenten of ondergevolmachtigde agenten alsmede van enkele beheervoorzieningen van het BSN-stelsel. Dit gebruik van het BSN heeft tot doel te waarborgen dat de door deze financiële ondernemingen verwerkte persoonsgegevens betrekking hebben op de natuurlijke persoon wiens gegevens zijn verwerkt om de kwaliteit van de persoonsgegevens te waarborgen. De Wet algemene bepalingen burgerservicenummer (Wabb) biedt de mogelijkheid dat bij sectorale wetgeving het BSN kan worden gebruikt, zoals het gebruik van het BSN in de zorg. In beginsel past het onderhavige wetsvoorstel binnen dit uitgangspunt van de Wabb. Hoofdpunten van het advies De onderhavige wettelijke regeling dient te voldoen aan artikel 8 EVRM. Daarbij spelen criteria als de maatschappelijke noodzaak en de beginselen van proportionaliteit en subsidiariteit een rol. Er kan alleen bepaald worden of het wetsvoorstel in overeenstemming is met artikel 8 EVRM, indien de noodzaak aangetoond is. Daarnaast dient rekening gehouden te worden met de Wbpnormen. In de memorie van toelichting is de maatschappelijke noodzaak, zoals artikel 8 EVRM dat vereist, niet onderbouwd en daardoor niet aangetoond, hetgeen zal blijken in het bijgevoegde wetgevingsadvies. Zodoende kan er op basis van het voorliggende wetsvoorstel niet vastgesteld worden of hieraan voldaan is. Derhalve adviseert het CBP u om een privacyparagraaf op te nemen in de memorie van toelichting van het wetsvoorstel, waarin aandacht wordt geschonken aan de noodzaak van het verwerken van het BSN per doeleinde. Ook verdienen het bijzondere maatschappelijke belang en de Wbp-normen nog uitwerking. Daarnaast adviseert het CBP u om af te zien van artikel 5 dat het uitwisselen van gegevens met bijvoorbeeld het Landelijk Informatiesysteem Schulden (LIS) en Bureau Krediet Registratie (BKR) regelt, waarbij het BSN of het sofinummer kan worden gebruikt. Van deze bevoegdheid kan alleen gebruik worden gemaakt voor zover het uitwisselen van persoonsgegevens geschiedt ter voorkoming van overkreditering of problematische groei van schulden bij cliënten. Het CBP heeft tweemaal geconstateerd dat het ontwerp voor het LIS in strijd is met de Wbp. Bovendien maken BIJLAGEN 1 BLAD 1

2 in het ontwerp bijvoorbeeld woningbouwcorporaties en het Leger des Heils onderdeel uit van het LIS. Hierdoor is de kring van gebruikers van het BSN of het sofinummer niet begrensd tot sec de financiële instellingen. Instellingen die tot taak hebben een registratie in stand te houden betreffende kredieten of schulden, zoals het LIS en BKR, dienen een aparte wettelijke basis te verkrijgen voor uitwisselen van het BSN. Tenslotte bevat het wetsvoorstel veel kan-bepalingen die de vrijblijvendheid van het gebruik van het BSN door de financiële instellingen aangeven. Artikel 6 bepaalt bijvoorbeeld dat een financiële onderneming het BSN of het sofinummer van een cliënt in een door hem beheerde persoonsregistratie kan opnemen. Het is mogelijk dat bepaalde financiële instellingen behoefte hebben aan het gebruik van het BSN en sommige financiële instellingen niet. Deze noodzaak voor bepaalde financiële instellingen om het BSN te verwerken dient dan wel onderbouwd te worden in de memorie van toelichting. Conclusie Banken en verzekeraars zijn (wettelijk) verplicht om de identiteit van de klanten goed te kennen, zoals artikel 3 van de Wet ter voorkoming van witwassen en financieren van terrorisme voorschrijft. Indien het gebruik van het BSN in een democratische samenleving noodzakelijk is in het belang van het economisch welzijn van het land en dat voldoende in het wetsvoorstel is onderbouwd, staat artikel 8 EVRM daar niet aan in de weg. Zoals echter in het bijgevoegde wetgevingsadvies is uiteengezet, is deze noodzaak voor het voorgestelde gebruik van het BSN thans onvoldoende onderbouwd. Derhalve kan niet vastgesteld worden dat sprake is van een noodzaak in de zin van artikel 8 EVRM. Het CBP heeft zodoende bezwaar tegen het voorstel van wet en adviseert u dit niet aldus in te dienen. Voor het volledige advies verwijs ik u naar de bijlage bij deze brief. Indien u behoefte hebt aan een nadere toelichting op het advies, dan ben ik daartoe graag bereid. Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, Het College bescherming persoonsgegevens, Voor het College, Mw. mr. M.W. McLaggan-van Roon Lid van het College BLAD 2

3 Het advies van het College bescherming persoonsgegevens (CBP) van 23 maart 2010 over het concept-wetsvoorstel Wet gebruik burgerservicenummer in de financiële sector (z ) Bij brief van 19 januari 2010 heeft de minister van Financiën het College bescherming persoonsgegevens (CBP) verzocht te adviseren over het concept-wetsvoorstel Wet gebruik burgerservicenummer in de financiële sector (hierna: wetsvoorstel). 1. Achtergrond Bij de wetsvoorstellen Wet algemene bepalingen burgerservicenummer (Wabb) (z ) en Wet gebruik BSN in de zorg (z , z , z en z ) is het CBP reeds ingegaan op de verhouding burgerservicenummer (BSN) en de Wet bescherming persoonsgegevens (Wbp). De wetgever heeft - ter uitvoering van de Richtlijn 95/46/EG en uit het oogpunt van bescherming van de persoonlijke levenssfeer - aan het gebruik van dergelijke nummers beperkingen gesteld. Het staat immers vast dat persoonsnummers de koppeling van verschillende bestanden aanzienlijk vergemakkelijken en daarmee een extra bedreiging voor de persoonlijke levenssfeer vormen (extra risico s). De wetgever heeft bepaald dat een afweging op het niveau van de formele wet hiervoor vereist is (zie: Kamerstukken II , , nr. 3, p. 128). 2. Inhoud wetsvoorstel Het onderhavige wetsvoorstel regelt het gebruik van het BSN door kredietinstellingen, verzekeraars, gevolmachtigde agenten of ondergevolmachtigde agenten alsmede van enkele beheervoorzieningen van het BSN-stelsel. Dit gebruik van het BSN heeft tot doel te waarborgen dat de door deze financiële ondernemingen verwerkte persoonsgegevens betrekking hebben op de natuurlijke persoon wiens gegevens zijn verwerkt om de kwaliteit van de persoonsgegevens te waarborgen. De Wet algemene bepalingen burgerservicenummer (Wabb) biedt de mogelijkheid dat bij sectorale wetgeving het BSN kan worden gebruikt, zoals het gebruik van het BSN in de zorg. In beginsel past het onderhavige wetsvoorstel binnen dit uitgangspunt van de Wabb. De belangrijkste bepalingen van het wetsvoorstel die de doeleinden van het gebruik van het BSN regelen, zijn de artikelen 2 tot en met 6 en zijn opgenomen in hoofdstuk 2 Bepalingen betreffende het gebruik van het BSN en enkele beheervoorzieningen van het wetsvoorstel. Om een goed beeld te geven worden deze - voor zover hier relevant - beschreven. Artikel 2 luidt: 1. Een financiële onderneming kan het BSN of het sofinummer van een cliënt gebruiken met het doel te waarborgen dat de te verwerken persoonsgegevens op de cliënt betrekking hebben. 2. Van de bevoegdheid, bedoeld in het eerste lid, kan de financiële onderneming uitsluitend gebruik maken in het kader van: a. de verificatie van de identiteit van een cliënt; b. het voorkomen van overcreditering of problematische groei van schulden door onderscheidenlijk bij een cliënt die niet handelt in de uitoefening van een bedrijf of beroep; c. de waarborging van haar veiligheid en integriteit; d. de uitvoering van een overeenkomst waarbij de cliënt partij is; e. het nemen van precontractuele maatregelen naar aanleiding van een verzoek van een cliënt die noodzakelijk zijn voor het sluiten van een overeenkomst waarbij cliënt partij is. Artikel 3 regelt het raadplegen van de registers van het BSN-stelsel voor zover de verificatie van de identiteit van de cliënt haar grond vindt in de uitvoering van een algemeen verbindend voorschrift. BLAD 3

4 Artikel 4, eerste lid, van het wetsvoorstel regelt kort gezegd dat een kredietinstelling of een verzekeraar het BSN of het sofinummer van een cliënt ter beschikking kan stellen aan een dochtermaatschappij waarmee zij in een groep zijn verbonden, voor zover die activiteiten die de dochteronderneming verricht wezenlijk zijn voor de bedrijfsvoering met betrekking tot de financiële activiteiten van de kredietinstelling of verzekeraar en het BSN of het sofinummer noodzakelijk is voor het verrichten van die activiteiten. Artikel 5 regelt het uitwisselen van gegevens met bijvoorbeeld het Landelijk Informatiesysteem Schulden (LIS) en Bureau Krediet Registratie (BKR) waarbij het BSN of het sofinummer kan worden gebruikt. Van deze bevoegdheid kan alleen gebruik worden gemaakt voor zover het uitwisselen van persoonsgegevens geschiedt ter voorkoming van overkreditering of problematische groei van schulden bij cliënten. Artikel 6 bepaalt dat een financiële onderneming het BSN of het sofinummer van een cliënt in een door hem beheerde persoonsregistratie kan opnemen. 3. Beoordeling Het CBP toetst het wetsvoorstel aan artikel 8 EVRM, daarna volgt de conclusie. Beoordeling op grond van artikel 8 EVRM Het wetsvoorstel voert een algemeen persoonsgebonden nummer (het BSN) in dat kan worden gebruikt bij het verwerken van persoonsgegevens in de financiële sector. Artikel 24 Wbp eist dat het gebruik van wettelijke identificatienummers, zoals het BSN, een wettelijke grondslag heeft. Ingevolge artikel 8 aanhef onder c Wbp dient de gegevensverwerking noodzakelijk te zijn op basis van de wettelijke verplichting. In de memorie van toelichting (Kamerstukken II , , nr. 3, p ) staat vermeld dat de term wettelijke verplichting betrekking heeft op iedere verplichting tot gegevensverwerking die krachtens een algemeen verbindend voorschrift wordt opgelegd. Uiteraard dient wel te zijn voldaan aan het bepaalde in artikel 10, eerste lid, van de Grondwet en artikel 8 EVRM. Dat betekent dat een dergelijke verplichting alleen bij of krachtens een wet in formele zin in het leven kan worden geroepen voor zover dit in een democratische samenleving noodzakelijk is onder meer in het belang van het economisch welzijn van het land. Bij de toepassing van de in grondrechtenbepalingen opgenomen beperkingsclausule spelen het proportionaliteits- en subsidiariteitsbeginsel een belangrijke rol. Deze beginselen gelden rechtstreeks op grond van artikel 8 EVRM. Het CBP toetst het wetsvoorstel derhalve aan artikel 8 EVRM. Artikel 8 EVRM luidt: 1. Een ieder heeft recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie. 2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen. Toelichting artikel 8 EVRM: Dit artikel schrijft voor dat de inmenging bij wet moet zijn voorzien. In de jurisprudentie van het EHRM worden nog een aantal aanvullende eisen gesteld. Allereerst het kenbaarheidsvereiste. De inmenging moet voor de burger in elk geval kenbaar zijn én gemotiveerd worden. Daarnaast geldt het voorzienbaarheidsvereiste. De inmenging moet met voldoende nauwkeurigheid zijn geformuleerd om de burger zo goed mogelijk in staat te stellen zijn gedrag af te stemmen op het geldende recht. Wat de bescherming van persoonsgegevens betreft, betekent dit dat de betreffende wet duidelijk moet aangeven met betrekking tot welke categorieën van personen gegevens mogen worden opgeslagen ( ). De inmenging moet noodzakelijk zijn in een democratische samenleving in het belang BLAD 4

5 van één of meer van de in artikel 8 lid 2 EVRM genoemde doelcriteria. ( ) Er is alleen sprake van noodzaak wanneer de inmenging beantwoordt aan een dringende maatschappelijke behoefte. De inmenging moet bovendien evenredig zijn aan het nagestreefde doel (proportionaliteit) en de daarvoor aangevoerde gronden moeten relevant en toereikend zijn (subsidiariteit). Een behoorlijke motivering van noodzaak, proportionaliteit en subsidiariteit vormt de kern van de toets aan artikel 8 EVRM. Algemene opmerkingen De onderhavige wettelijke regeling dient te voldoen aan artikel 8 EVRM. Daarbij spelen criteria als de maatschappelijke noodzaak en de beginselen van proportionaliteit en subsidiariteit een rol. Er kan alleen bepaald worden of het wetsvoorstel in overeenstemming is met artikel 8 EVRM, indien de noodzaak aangetoond is. Daarnaast dient rekening gehouden te worden met de Wbpnormen. In de memorie van toelichting van het onderhavige wetsvoorstel wordt de maatschappelijke noodzaak, zoals artikel 8 EVRM dat vereist, onvoldoende onderbouwd en daarmee niet aangetoond. Zodoende kan er op basis van het voorliggende wetsvoorstel, zoals hieronder zal blijken, niet beoordeeld worden of hieraan voldaan is. Daarnaast is er onvoldoende aandacht geschonken aan de Wbp-normen in het wetsvoorstel. In het wetsvoorstel wordt enkel gesteld dat uit het wetsvoorstel geen nieuwe risico s voortvloeien voor de persoonlijke levenssfeer van de cliënten van die financiële ondernemingen. Met dit wetsvoorstel wordt een algemeen persoonsnummer in de financiële sector geïntroduceerd. De wetgever heeft aangegeven dat het uit het oogpunt van bescherming van de persoonlijke levenssfeer noodzakelijk is om aan het gebruik van persoonsnummers beperkingen te stellen. Vast staat dat persoonsnummers de koppeling van verschillende bestanden aanzienlijk vergemakkelijken en daarmee een extra bedreiging vormen voor de persoonlijke levenssfeer (Kamerstukken II , , nr. 3, p. 128). Derhalve is het problematisch dat er behoudens de bovengenoemde opmerking dat er geen nieuwe risico s voor de persoonlijke levenssfeer uit het wetsvoorstel voortvloeien, geen aandacht is geschonken aan de privacy van betrokkenen. Dit klemt te meer, omdat dit wetsvoorstel invloed heeft op een ieder in Nederland met een bankrelatie. Het gaat derhalve om een aanzienlijke grote groep betrokkenen. Het CBP adviseert u dan ook om een privacyparagraaf op te nemen in de memorie van toelichting, waarin wordt ingegaan op de risico s op aantasting van de persoonlijke levenssfeer van betrokkenen en de waarborgen die tegen die aantasting zijn getroffen. Artikel 2 In artikel 2 van het wetsvoorstel worden de verschillende doelen van het gebruik van het BSN door een financiële onderneming opgesomd. Aan het gebruik van het BSN door nietoverheidsorganen wordt de eis gesteld dat dit een bijzonder maatschappelijk belang moet dienen (Kamerstukken I , , I, p. 3). In de memorie van toelichting worden de volgende bijzondere maatschappelijke belangen genoemd voor het opgesomde gebruik van het BSN: het voorkomen en bestrijden van witwassen, terrorismefinanciering en fraude alsmede het verbeteren van de dienstverlening door het risico op fouten te verminderen en het verhogen van de doelmatigheid. Deze bijzondere maatschappelijke belangen dienen te worden opgenomen in het artikel niet slechts in de memorie van toelichting. De genoemde doelen zijn op zich van maatschappelijk belang, doch de noodzaak van het gebruik van het BSN in relatie tot deze doelen dient gemotiveerd te worden. Er wordt weliswaar verwezen naar de Kamerstukken I , , I, p. 3, maar ook daar wordt geen nadere toelichting gegeven. De Wet ter voorkoming van witwassen en financieren van terrorisme schrijft bijvoorbeeld voor dat de rol van de financiële ondernemingen niet verder dient te gaan dan het melden van ongebruikelijke transacties aan het BLAD 5

6 bevoegde gezag. Er wordt niet gemotiveerd waarom het verwerken van het BSN noodzakelijk is. Indien het belang van het BSN voor het bereiken van de gestelde doelen wordt onderbouwd, kan getoetst worden of de regeling overeenkomstig artikel 8 EVRM voldoet aan het noodzakelijkheidsvereiste. Verder wordt het in artikel 2 opgesomde gebruik van het BSN in de memorie van toelichting wel toegelicht, maar in die gevallen bestaat er al een andere wettelijke grondslag waardoor de financiële ondernemingen verplicht zijn om te waarborgen dat de te verwerken persoonsgegevens betrekking hebben op de cliënt. Het BSN fungeert dan enkel als een mogelijke extra optie om te verifiëren of de juiste persoon aan de juiste (financiële) dienst wordt gekoppeld. Dit blijkt bovendien ook uit de kan-bepaling die expliciet in het artikel vermeld staat. Hieruit blijkt het niet-verplichte karakter van het in dit artikel opgesomde gebruik van het BSN. Dit lijkt op gespannen voet te staan met het bijzondere maatschappelijke belang (en noodzaak) zoals artikel 8 EVRM dat vereist voor het verwerken van het BSN. Het CBP adviseert derhalve om dit nader te onderbouwen. Artikel 3 Artikel 3 regelt het raadplegen van de registers van het BSN-stelsel voor zover de verificatie van de identiteit van de cliënt haar grond vindt in de uitvoering van een algemeen verbindend voorschrift. In het artikel is vergelijkbaar met het voorgaande artikel de kan-bepaling opgenomen, hetgeen wederom tornt aan de noodzakelijkheid van de BSN-verwerking. In de memorie van toelichting is bovendien aangegeven dat kredietinstellingen, verzekeraars, (onder-) gevolmachtigde agenten gebruik maken van twee registers bij de verificatie van de identiteit van een cliënt. Hierbij is niet aangegeven dat de huidige situatie niet of onvoldoende voorkomt dat de identiteit van cliënten in onvoldoende mate geverifieerd kan worden. Voorts wordt in de MvT aangegeven dat het wenselijk is dat deze financiële instellingen toegang krijgen tot de achterliggende registraties van het BSN-stelsel, terwijl op dit punt nu juist de noodzakelijkheid en het bijzondere maatschappelijke belang aangetoond hadden moeten worden. Hierdoor is niet vast te stellen of het raadplegen van de registers van het BSN-stelsel in overeenstemming is met artikel 8 EVRM. Het CBP adviseert derhalve om dit uit te werken in de memorie van toelichting. Artikel 4 Artikel 4 bepaalt dat gegevens kunnen worden uitgewisseld (en opgenomen in de administratie) binnen concernverband aan de hand van het BSN of het sofinummer. Als noodzaak hiervoor wordt aangegeven dat er een risico is bij het niet of niet goed uitvoeren van de bij een dochter- of groepsmaatschappij ondergebrachte activiteiten. Het tweede lid staat het vorenbedoelde dochterof groepsmaatschappijen toe het BSN op te nemen in zijn administratie, voor zover dit noodzakelijk is. Het laatste punt in combinatie met de opgenomen kan-bepaling geven wederom niet de noodzaak aan van de BSN-verwerking. Het CBP adviseert derhalve om dit uit te werken in de memorie van toelichting. Bovendien dient ook rekening gehouden te worden met het gebruik van persoonsgegevens (waaronder het BSN) binnen concernverband, waarbij internationaal geopereerd wordt. Dan gelden daarnaast ook de regels van artikelen 76, 77 en 78 Wbp (doorgifte naar landen buiten de EU) en dient er een passend beschermingsniveau gerealiseerd te worden. Het CBP adviseert derhalve om dit uit te werken in de memorie van toelichting. Artikel 5 BLAD 6

7 In artikel 5 wordt het gegevensverkeer met instellingen voor krediet- en schuldenregistraties geïntroduceerd. In de memorie van toelichting wordt als voorbeeld het LIS aangehaald, terwijl het CBP tweemaal heeft geconstateerd dat het ontwerp LIS in strijd is met de Wbp. Bovendien maken bijvoorbeeld woningcorporaties en het Leger des Heils onderdeel uit van het ontwerp voor het LIS. Hierdoor is de kring van gebruikers van het BSN of het sofinummer niet begrensd tot sec de financiële instellingen. Instellingen die tot taak hebben een registratie in stand te houden betreffende kredieten of schulden, zoals het ontwerp voor het LIS en BKR, dienen een aparte wettelijke basis te verkrijgen voor het verwerken van het BSN. Het CBP adviseert u derhalve af te zien van deze bepaling. Artikel 6 Artikel 6 bepaalt dat een financiële onderneming het BSN of het sofinummer van een cliënt in een door hem beheerde persoonsregistratie kan opnemen. Uit de formulering van dit artikel blijkt dat een financiële onderneming het BSN of het sofinummer kan gebruiken of opnemen in zijn administratie. In de memorie van toelichting wordt aangeven dat het gebruik van het BSN door financiële ondernemingen niet verplicht wordt gesteld. Als belangrijkste reden wordt genoemd dat financiële ondernemingen niet verplicht kunnen worden om bij het verwerken van persoonsgegevens (telkens) het BSN te gebruiken van de persoon wiens gegevens worden verwerkt. Dit houdt verband met het karakter van de Wet op het financieel toezicht en de Wet ter voorkoming van witwassen en financieren van terrorisme. Deze wetten schrijven voor dat niet bij of krachtens wet is bepaald op welke wijze een identiteit van een persoon moet worden vastgesteld, maar wel tot welk resultaat die vaststelling moet leiden. Een andere reden is dat het aan een zodanige onderneming zelf wordt overgelaten of zij bereid is om de kosten te maken die verband houden met het gebruik van (de voorzieningen van) het BSN-stelsel. Dit wijst op een discretionaire bevoegdheid en roept vragen op over de noodzakelijkheid, zoals bedoeld in artikel 8 EVRM. Het is mogelijk dat bepaalde financiële instellingen behoefte hebben aan het gebruik van het BSN en sommige financiële instellingen niet. De noodzaak voor bepaalde financiële instellingen om het BSN te verwerken dient dan wel onderbouwd te worden in de memorie van toelichting. 4. Conclusie Banken en verzekeraars zijn (wettelijk) verplicht om de identiteit van de klanten goed te kennen, zoals artikel 3 van de Wet ter voorkoming van witwassen en financieren van terrorisme voorschrijft. Indien het gebruik van het BSN in een democratische samenleving noodzakelijk is in het belang van het economisch welzijn van het land en dat voldoende in het wetsvoorstel is onderbouwd, staat artikel 8 EVRM daar niet aan in de weg. Zoals echter in dit wetgevingsadvies is uiteengezet, is deze noodzaak voor het voorgestelde gebruik van het BSN thans onvoldoende onderbouwd. Derhalve kan niet vastgesteld worden dat sprake is van een noodzaak in de zin van artikel 8 EVRM. Het CBP heeft zodoende bezwaar tegen het voorstel van wet en adviseert u dit niet aldus in te dienen. BLAD 7