R e g i s t r a t i e k a m e r De Minister van Sociale Zaken en Werkgelegenheid SUWI/SEC/2001/38634 mw. drs. N.M. van Seumeren070-3811357..'s-Gravenhage, 1 augustus 2001.. Onderwerp nader advies concept-besluit Inlichtingenbureau en SUWI Bij brief heeft u de Registratiekamer verzocht om haar oordeel vanuit het oogpunt van de bescherming van persoonsgegevens ten aanzien van het concept-besluit Inlichtingenbureau gemeenten en het concept-besluit SUWI. De Registratiekamer voldoet hierbij aan uw verzoek. In haar brief van 3 juli jl. heeft de Registratiekamer reeds te kennen gegeven dat zij met genoegen kennis heeft genomen van de Tweede Nota van Wijziging SUWI waarin onderdelen met betrekking tot het gegevensverkeer en het Inlichtingenbureau (IB) naar het niveau van wet worden getild. Zij is van oordeel dat de aangebrachte wijzigingen een verbetering zijn ten opzichte van eerdere concepten. In het onderstaande advies zal nader worden ingegaan op het concept-besluit SUWI en het concept-besluit Inlichtingenbureau. Tenslotte zal een opmerking worden gemaakt over het wetsvoorstel verbetering poortwachter. I. Kader De Registratiekamer heeft -overeenkomstig haar wettelijke taak- zich met name gericht op de gevolgen van deze wetgeving voor de bescherming van persoonsgegevens. Vanuit deze invalshoek bezien dienen de concept-besluiten en de hieraan ten grondslag liggende wetgeving te voldoen aan artikel 8 van het Europees Verdrag van de Rechten van de Mens en de Fundamentele Vrijheden alsmede aan de Wet bescherming persoonsgegevens (WBP) welke 1 september 2001 in werking zal treden. Deze wet geeft uitvoering aan Richtlijn 95/46/EG. De verwerking van persoonsgegevens in het Prins Clauslaan 20 Uw brief SUWI/SEC/2001/38634 Postbus 93374 Bijlagen 2509 AJ 's-gravenhage Contactpersoon Tel. 070-3811300 Doorkiesnummer 070-3811357 Fax 070-3811301
Blad 2 kader van de uitvoering van het wetsvoorstel SUWI wordt integraal door deze richtlijn bestreken. II. Concept-besluit SUWI Naar aanleiding van de brief van de Registratiekamer aan de Tweede Kamer van 20 maart 2001, waarin zij aandacht vroeg voor het punt van toezicht, heeft in mei een overleg plaatsgevonden tussen de Registratiekamer en het ministerie van Sociale Zaken en Werkgelegenheid. In vervolg op het gesprek heeft de Registratiekamer te kennen gegeven dat zij bereid is de getroffen opzet met betrekking tot het toezicht een kans te geven, maar dat zij daarbij wil benadrukken dat het aan komt op de concrete uitwerking daarvan. Vooral de samenhang van de trapsgewijze opbouw van het toezicht acht zij van groot belang. Als eerste voorwaarde geldt dat er helderheid moet zijn omtrent de gegevensstromen. Dat betekent in concreto een toereikende beschrijving van de informatiehuishouding in wet- en regelgeving (formele wet, Algemene Maatregel van Bestuur, ministeriele regeling, etc.). Dergelijke gedetailleerde voorschriften zijn noodzakelijk om het voor de Minister mogelijk te maken dat deze verplichtingen aan de opdrachtgevers kan opleggen over de inhoud van de met de reïntegratiebedrijven af te sluiten contracten. De Registratiekamer merkt op dat het regelen van de hoofdpunten van de informatiehuishouding op het niveau van wet, middels de Tweede nota van Wijziging, de helderheid ten aanzien van de gegevensstromen binnen het SUWI-domein ten goede komt. Tevens heeft de Registratiekamer aangegeven dat in wet- en regelgeving de mogelijkheid voor opdrachtgevers geregeld dient te worden dat deze informatie bij reïntegratiebedrijven (RIB-s) kunnen opvragen. Auditing is daarbij een onmisbaar sluitstuk van het toezicht door opdrachtgevers op RIB s. De Registratiekamer is verheugd over het feit dat in het concept-besluit SUWI auditing op de gegevenshuishouding als een van de contracteisen wordt aangemerkt. Ten aanzien van het onderwerp audits wil de Registratiekamer nog het volgende opmerken. De Registratiekamer onderzoekt op dit moment samen met het Ctsv en het Lisv de mogelijkheid om een specifiek op de sociale zekerheid toegesneden Raamwerk Privacy Audit te ontwikkelen. Gekeken wordt of een aangepaste versie van het reeds door de Registratiekamer, in samenwerking met marktpartijen en brancheorganisaties, ontwikkelde Raamwerk Privacy Audit, middels een pilot gebruikt zou kunnen worden
Blad 3 bij de af te geven EDP-verklaringen over 2001. Mogelijk kan dit Raamwerk Privacy Audit ook als richtlijn dienen voor toekomstige audits op de gegevenshuishouding bij reïntegratiebedrijven. Voor het overige geeft het concept-besluit SUWI de Registratiekamer geen aanleiding tot het maken van nadere opmerkingen. III. Inlichtingenbureau De Registratiekamer heeft de Minister bij brief van 21 juli 2000, kenmerk z2000-0473.03 en in haar advies ten aanzien van het concept-wetsvoorstel SUWI van 21 september 2000, kenmerk z2000-0845, laten weten dat zij van oordeel is dat de taken en bevoegdheden van het IB neergelegd moeten worden in een wet in formele zin. Daarbij heeft zij er met klem op aangedrongen dat de taken, de doeleinden en de bevoegdheden van het IB, welbepaald en uitdrukkelijk omschreven dienen te worden. Ook heeft de Registratiekamer aangegeven dat duidelijk moet zijn wie de verantwoordelijke is in de zin van de WBP voor de verwerking van persoonsgegevens door het IB. Onderstaand zal, met betrekking tot het concept-besluit Inlichtingenbureau gemeenten, nader worden ingegaan op de volgende punten: de verantwoordelijke, de taken van het IB, de beveiliging en tenslotte de rechten van de betrokkene. Verantwoordelijke In de artikelsgewijze toelichting bij het wetsvoorstel Invoeringswet SUWI is neergelegd dat de verantwoordelijkheid voor de rechtmatigheid van de uitkeringsverstrekking en de bevoegdheid daarvoor bij derden gegevens op te vragen onverminderd op burgemeester en wethouders blijven rusten. Gesteld wordt dat het IB in dit kader verantwoordelijk is voor de integriteit van de berichten die het doorgeeft aan burgemeester en wethouders en voor de juistheid van de eigen administratie. In de toelichting bij het concept-besluit Inlichtingenbureau wordt gesteld dat: Het IB ontvangt, registreert, verzendt en bewaart gegevens over personen, waaronder het sociaal-fiscaalnummer en gegevens over het inkomen. Het IB is hiermee verantwoordelijke in de zin van artikel 1, onderdeel d, van de WBP. Uit de toelichting en uit Kamerstukken (Kamerstukken II, Oprichting Stichting Inlichtingenbureau, 27635, nrs. 233a en 2, blz. 8) blijkt dat het stichtingbestuur eerst verantwoordelijke is voor de uitvoering van taken door het IB en dat de Minister in zoverre voor het IB verantwoordelijk is dat hij kaders opstelt in wet-
Blad 4 en regelgeving, plannen en begrotingen goedkeurt, financiert, toezicht houdt en aanwijzingen kan geven voor de uitvoering. Gelet op het bovenstaande kan worden vastgesteld dat het stichtingbestuur aan te merken is als verantwoordelijke in de zin van de WBP. De Registratiekamer is van oordeel dat uit de toelichting van het conceptbesluit duidelijker moet blijken waarvoor het Inlichtingenbureau verantwoordelijk is de zin van de WBP. In de toelichting bij het concept-besluit wordt genoemd: ontvangen, registreren, verzenden en bewaren van gegevens etc.. Helder moet zijn dat het IB verantwoordelijk is voor de taken als genoemd in artikel 3 van het concept-besluit. Zij verzoekt u de tekst van de toelichting aan te passen op dit punt. Taken Middels de Tweede Nota van Wijziging wordt in artikel 44a, eerste lid, van het wetsvoorstel SUWI een omschrijving gegeven van de taak van het IB: Het Inlichtingenbureau is belast met de coördinatie en dienstverlening ten behoeve van de gemeenten bij de toepassing van artikel 44. In het tweede lid van artikel 44a van het wetsvoorstel SUWI wordt verwezen naar het Besluit Inlichtingenbureau gemeenten en de nadere regels die hierin omtrent het IB worden gesteld. In artikel 3 van het Besluit Inlichtingenbureau gemeenten wordt de ruime definitie van het IB zoals neergelegd in artikel 44a, eerste lid, van het wetsvoorstel SUWI nader ingevuld. Uit artikel 3 blijkt dat het IB taken heeft: 1) op grond van het wetsvoorstel SUWI (artikel 3, eerste lid, onderdeel a) 2) op grond van de Abw (artikel 3, eerste lid, onderdelen b en c), en 3) overige taken (artikel 3, tweede lid). Uit de bijbehorende toelichting blijkt dat bij overige taken gedacht wordt aan diensten ten behoeve van gemeenten op het gebied van informatievoorziening en gegevensuitwisseling. Gesteld wordt dat de taken altijd in het verlengde van de kerntaken van het IB liggen, op het terrein van gegevensuitwisseling en informatisering. De Registratiekamer merkt ten aanzien van het tweede lid van artikel 3 het volgende op. In het tweede lid, wordt de mogelijkheid geschapen voor het IB om naast de in het eerste lid genoemde taken, ook zogenaamde andere taken uit te gaan voeren. Gesteld wordt dat deze taken dan wel in het verlengde liggen van de kerntaken van het IB, te weten op het gebied van gegevensuitwisselingen en informatisering. Indien het IB voor deze andere taken persoonsgegevens verwerkt waarover zij op grond van haar wettelijke taak (artikel 3, eerste lid, Besluit Inlichtingenbureau gemeenten) beschikt,
Blad 5 geldt dat de verwerking niet in strijd mag zijn met het beginsel van doelbinding ingevolge artikel 7 WBP, het vereiste van verenigbaar gebruik ingevolge artikel 9 WBP en de geheimhoudingsbepalingen ingevolge de Abw en het wetsvoorstel SUWI. De mogelijkheid tot het uitvoeren van andere taken door het IB wordt allereerst begrensd door het vereiste van doelbinding. De Registratiekamer is van oordeel dat de huidige ruime omschrijving van het nevendoel, te weten diensten ten behoeve van gemeenten op het gebied van informatievoorziening en gegevensuitwisseling, onvoldoende bepaald is. De Registratiekamer betrekt hierbij de omstandigheid dat de gegevens waarover het IB beschikt door burgers verplicht aan de sociale diensten dienen te worden verstrekt en veelal gevoelig van aard zijn. In deze omstandigheid acht zij het noodzakelijk in de tekst van het besluit een dwingende koppeling aan te brengen tussen de kerntaken van het IB uit het eerste lid en de overige taken. Deze dienen niet alleen maar in het verlengde hiervan te liggen. Het criterium dient te zijn dat deze hiermee noodzakelijk zijn verbonden. Naast doelbinding dient te worden voldaan aan de eis van verenigbaar gebruik ingevolge artikel 9. Hierbij zijn ten aanzien van het IB specifiek de volgende aspecten van belang. De verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de gegevens verkregen zijn. Belangrijk hierbij is dat het IB in eerste instantie de gegevens verkrijgt op grond van artikel 3, eerste lid, te weten wettelijke verplichtingen ingevolge de Abw en het wetsvoorstel SUWI. Daarbij dient in aanmerking te worden genomen de rechtsverhouding van de betrokkene ten opzicht van de gemeentelijke sociale dienst. Tevens moet rekening gehouden worden met de aard van de betreffende gegevens. Hoe gevoeliger het gegeven, hoe minder snel mag worden aangenomen dat sprake is van verenigbaar gebruik, indien bij enige verwerking wordt afgeweken van het oorspronkelijke doel. Hierbij is ten aanzien van het IB van belang dat gegevens omtrent inkomen en uitkering weliswaar in de zin van de WBP niet aangemerkt kunnen worden als bijzondere gegevens maar dat evident is dat in het maatschappelijk verkeer deze gegevens wel als gevoelig worden ervaren. Ook dient te worden gekeken naar de gevolgen van de beoogde verwerking voor de betrokkene. De Memorie van Toelichting bij de WBP stelt dat: [...] de verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden niet als onverenigbaar
Blad 6 wordt beschouwd, mits <<passende garanties>> worden geboden. Uit dit op een bepaalde sector toegesneden voorschrift zijn tot op zekere hoogte algemene criteria te distilleren die voor het bepalen van verenigbaarheid van belang zijn. Zo gaat het bij verwerking van gegevens voor wetenschappelijke doeleinden niet om gebruik waarvan de betrokkene nog enige gevolgen zal ondervinden. Dit ligt anders indien gegevens worden gebruikt voor de vaststelling van het recht op uitkering of voor de beslissing of de betrokkene voor een levensverzekering in aanmerking komt. De ingrijpendheid van de gevolgen van de betrokkene is derhalve een factor die van belang is voor de verenigbaarheidstoets (Kamerstukken II, Wet inzake de bescherming van persoonsgegevens, 25892, Memorie van Toelichting, nr. 3, blz. 21); Tenslotte vormen de geheimhoudingsbepalingen ingevolge artikel 123 Abw en artikel 45a SUWI een beperking voor de mogelijkheden van het IB om gegevens te verwerken voor andere taken. In de betreffende artikelen zijn begrenzingen aangebracht voor wat betreft de verstrekking van persoonsgegevens buiten de betreffende wetgeving om. Gelet op het bovenstaande is de Registratiekamer van oordeel dat in artikel 3, tweede lid, de doeleinden voor andere verwerkingen nader gespecificeerd dienen te worden. Daarbij moet rekening gehouden met het strakke doelbindingsvereiste van artikel 7, WBP, het verenigbaar gebruik-vereiste van artikel 9, WBP, en de geheimhoudingsbepaling van betreffende wetgeving. De in de toelichtingen bij het Besluit Inlichtingenbureau gemeenten genoemde doelomschrijving in het verlengde liggen van de kerntaken van het IB, gegevensuitwisseling en informatisering voldoet in casu niet. Een stringentere afbakening dient plaats te vinden. In artikel 3, tweede lid, concept-besluit IB is tevens geregeld dat het Inlichtingenbureau andere dan in het eerste lid genoemde taken slechts kan vervullen indien de Minister daarvoor schriftelijk toestemming heeft gegeven. In aansluiting op het bovenstaande benadrukt de Registratiekamer dat voor de taken als bedoeld in lid 2 naast toestemming van de Minister geldt dat deze taken ook moeten passen binnen de doelomschrijving van het IB als geformuleerd in artikel 44a, eerste lid, van het wetsvoorstel SUWI. Beveiliging In artikel 13 van de WBP is de eis neergelegd dat de verantwoordelijke, in casu het stichtingbestuur van het IB, passende technische en organisatorische maatregelen ten uitvoer legt om persoonsgegevens te beveiligingen tegen verlies of tegen enige vorm
Blad 7 van onrechtmatige verwerking. In haar brief aan de toenmalige Stichting CVCS (21 juli 2000, z2000-0473) heeft de Registratiekamer aangegeven aan welke technische- en beveiligingseisen het IB ingevolge de WBP dient te voldoen. De Registratiekamer wil hiervoor nogmaals uw aandacht vragen. Rechten van de betrokkene De Registratiekamer merkt tenslotte op dat in de artikelsgewijze toelichting onder het kopje artikel 9 Voorlichting wordt ingegaan op het recht van inzage en correctie ingevolge artikel 35 en 36 WBP. Gesteld wordt dat voor die gevallen waarin de gegevens die het IB heeft geregistreerd naar de mening van betrokkene niet juist zijn, het IB een procedure zal ontwikkelen. Daarbij zal aan de betrokkene worden aangegeven welke acties hij kan ondernemen om de gegevens bij de bron (de instantie van wie de gegevens afkomstig zijn) te laten wijzigingen. De Registratiekamer wijst er op dat in artikel 36, derde lid, is neergelegd dat de verantwoordelijke, in casu het IB, zorg draagt dat een beslissing tot verbetering, aanvulling, verwijdering of afscherming zo spoedig mogelijk wordt uitgevoerd. De Registratiekamer is daarbij van oordeel dat op een uniforme wijze uitvoering gegeven dient te worden aan de eisen die in de WBP worden gesteld ten aanzien van het verwerken van persoonsgegevens (recht op inzage, recht op correctie, bewaartermijnen, etc.), bijvoorbeeld middels reglementering. IV. Wetsvoorstel verbetering poortwachter In haar brief van 6 juli jl. heeft de Registratiekamer aandacht gevraagd voor het feit dat het wetsvoorstel verbetering poortwachter, welke tegelijkertijd met het wetsvoorstel SUWI en het wetsvoorstel Invoeringswet SUWI in de Tweede Kamer is behandeld, niet ter advisering aan de Registratiekamer is voorgelegd. Dit terwijl in het wetsvoorstel verbetering poortwachter onder meer door wijzigingen in de WAO en de OSV 1997 nieuwe regels worden gesteld ten aanzien van de overdracht van persoonsgegevens, waaronder medische gegevens, door werkgever, werknemer, Arbo-dienst en uvi. In haar brief heeft de Registratiekamer de Minister verzocht haar te betrekken bij de nadere uitwerking van het wetsvoorstel verbetering poortwachter. Zij heeft inmiddels begrepen dat de Minister voornemens is de concept-regeling procesgang eerste ziektejaar aan de Registratiekamer ter advisering voor te leggen.
Blad 8 Een afschrift van deze brief zal verstuurd worden aan de Staatssecretaris van Sociale Zaken en Werkgelegenheid, de heer J.F. Hoogervorst. Ik vertrouw er op u hiermee voldoende te hebben geïnformeerd. Hoogachtend, mr. U. van de Pol plv. voorzitter