Vastgesteld 26 oktober 2023
De vaste commissie voor Binnenlandse Zaken heeft een aantal vragen en opmerkingen voorgelegd aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de brief van 30 maart 2023 over de reactie op de motie van het lid Leijten over de Kamer informeren over wetten, pilots en andere alternatieven die zijn ontstaan in de ministeriële commissie aanpak fraude (Kamerstuk 35 772, nr. 27) (Kamerstuk 35 772, nr. 39).
De vragen en opmerkingen zijn op 21 april 2023 aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties voorgelegd. Bij brief van 25 oktober 2023 zijn de vragen beantwoord.
De voorzitter van de commissie, Hagen
Adjunct-griffier van de commissie, Morrin
Inleiding
Hierbij bied ik u aan de beantwoording van de schriftelijke vragen n.a.v. de brief inzake «Uitvoering van de motie van het lid Leijten over de Kamer informeren over wetten, pilots en andere alternatieven die zijn ontstaan in de ministeriële commissie aanpak fraude» (Kamerstuk 35 772, nr. 27) (Kamerstuk 35 772, nr. 39).
D66, SP, BBB en het lid Omtzigt vragen om een overzicht van wetten, pilots en andere alternatieven, conform de motie van het lid Leijten. Zoals in mijn brief van 30 maart 2023 aangegeven heeft de MCF zelf geen wetten, pilots of andere alternatieven geïnitieerd. De activiteiten werden onder de individuele verantwoordelijkheid van elk departement ontwikkeld. Het overzicht van kamerbrieven over de resultaten ten tijde van de MCF dat in de brief van 30 maart 2023 is opgesomd geeft weer welke onderwerpen in de MCF besproken zijn. Na interdepartementale afstemming blijkt dat het kabinet niet over andere overzichten beschikt die hierop aanvullend gedeeld zouden kunnen worden.
De fractie VVD heeft verdiepende vragen over de autorisatie op en het gebruik van gegevens uit de BRP gesteld.
Ik dank de fractie voor hun bijdrage en ga graag in op de – hieronder gecursiveerde – vragen en opmerkingen. Hierbij is de indeling en volgorde van het verslag aangehouden.
Op de vragen van D66, SP, BBB en het lid Omtzigt naar het overzicht van wetten, pilots en andere alternatieven, zoals gevraagd in de motie Leijten, heeft afstemming binnen het kabinet plaats gevonden. Het kabinet heeft daarbij niet meer stukken aangetroffen dan reeds met u gedeeld. Zoals in de brief van 30 maart 2023 aangegeven heeft de MCF zelf geen wetten, pilots of andere alternatieven geïnitieerd. De activiteiten werden onder de individuele verantwoordelijkheid van elk departement ontwikkeld. Het kabinet beschik niet over een ander overzicht over de resultaten ten tijde van de MCF dan de in de vorige brief1 gemelde kamerbrieven.
De aanvullende vraag van het lid Omtzigt naar vergaderdata van de MCF en de samenstelling van de commissie kan wel beantwoord worden.
Vragen en opmerkingen van de leden van de VVD-fractie met antwoorden
De leden van de VVD-fractie vragen zich af hoe, als een onderzoeksinstelling voldoet aan een aantal voorwaarden, wordt geborgd dat de gegevens veilig zijn, vooral in het licht van recente hacks bij dergelijke instellingen. (1)
Deze leden lezen in de brief dat de medewerkers van gemeentes worden getraind, maar geldt dit ook voor samenwerkingsverbanden zoals regio's? (2)
Het is de zelfstandige verantwoordelijkheid van de ontvanger BRP-gegevens om zich te houden aan de AVG en UAVG, en daarmee ook om de raadpleging door onbevoegden te voorkomen. Hiernaast geldt dat de verstrekking aan geautoriseerde overheidsorganen en derden wordt geprotocolleerd door RvIG. Dit gebeurt ten behoeve van de veiligheid en het recht van de burger op inzage in het gebruik van de BRP. Ontvangers van BRP-gegevens zijn op grond van de AVG verplicht om de gegevensverwerking te loggen. Verder dient de ontvanger van gegevens technisch aan te sluiten op de centrale voorziening van de BRP; hiervoor gelden strenge eisen. Afnemers kunnen via een eigen applicatie toegang krijgen tot de BRP-Verstrekkingsvoorziening (BRP-V). De afnemers zijn aangesloten op Diginetwerk. Diginetwerk is een publiek-private samenwerking waarover Logius, in opdracht van het Ministerie van BZK, de regie voert. Door het besloten karakter is Diginetwerk een veiliger alternatief voor het open internet. Om toegang te kunnen krijgen tot BRP-V dient de betreffende afnemer bovendien te beschikken over een «PKI overheid-certificaat». PKI staat voor Public Key Infrastructure. Dit is de internationale standaard voor authentiseren en het versleutelen van communicatie tussen systemen. Beide systemen (afnemer en BRP-V) stellen daarmee «elkaars identiteit» vast.
Hoewel de Rijksdienst voor Identiteitsgegevens (RvIG) aangeeft snel te kunnen handelen, hoe zorgvuldig wordt de toets uitgevoerd om te bepalen wie toegang kan krijgen tot BRP-gegevens? (3)
Overheidsorganen, zoals DUO en UWV, krijgen gegevens uit de BRP omdat zij die nodig hebben om hun publieke taken uit te voeren. Ook een aantal organisaties buiten de overheid («derden») hebben toegang tot de BRP. Het gaat om partijen met belangrijke maatschappelijke taken zoals pensioenfondsen, zorgverzekeraars en ziekenhuizen. Voor deze derden (niet-overheidsorganisaties) geldt dat de taken waarvoor de BRP geraadpleegd wordt, in het Besluit BRP (AMvB) moeten zijn aangewezen als werkzaamheden met gewichtig maatschappelijk belang. Overheidsorganen en derden (niet overheidsorganisaties), die aangesloten willen worden op het centrale BRP-systeem moeten daarvoor toestemming krijgen van de Minister van BZK. De Minister (RvIG) toetst of de organisatie een taak heeft waarvoor gegevens uit de BRP nodig zijn. Als dat zo is neemt de Minister (RvIG) een zogenaamd autorisatiebesluit. In dat besluit wordt precies beschreven welke gegevens van welke personen de organisatie mag opvragen en op welke manier de gegevens met de organisatie worden gedeeld. Het is dus niet zo dat een aangesloten organisatie automatisch toegang heeft tot de volledige BRP (alle gegevens van alle ingeschrevenen). De autorisatiebesluiten zijn openbaar: deze worden gepubliceerd in de Staatscourant en zijn ook te raadplegen op publicaties.rvig.nl. De ontvanger van gegevens is verplicht om wijzigingen in haar taken die betrekking hebben op de BRP-verstrekking, te melden aan RvIG. Zo kan beoordeeld worden of de verstrekking aangepast of beëindigd moet worden.
Klopt het dat er binnen sommige gemeentes en andere overheidsinstanties Landelijke Stuurgroep Interventieteams (LSI)-projecten worden gedraaid? Zo ja, kan de Staatssecretaris inzichtelijk maken bij welke gemeentes en overheidsinstanties dit wordt toegepast? Toetst naast de LSI ook de RvIG of hier een wettelijke grondslag voor is? Door wie wordt of is de toets uitgevoerd voor een wettelijke grondslag? (4)
Ja, dat klopt. Het Ministerie van Sociale Zaken en Werkgelegenheid neemt sinds 2003 het voortouw om handhaving in het sociale zekerheidsdomein integraal te benaderen op basis van het LSI convenant. Alle gemeenten in Nederland kunnen (kosteloos en zonder verplichtingen) het LSI convenant tekenen. Een nieuw toegetreden gemeente wordt vermeld in de Staatscourant. Een overzicht van de LSI-projecten is meegestuurd op 15 december 2022 met de bijlagen bij de beantwoording van Kamervragen2.
De wettelijke grondslag voor de LSI is te vinden in artikel 64 Wet SUWI. In deze wet is het doeleinde van de LSI beschreven, namelijk het voorkomen en tegengaan van onrechtmatig gebruik van overheidsgelden en overheidsvoorzieningen op het terrein van de sociale zekerheid en de inkomensafhankelijke regelingen, het voorkomen en bestrijden van belasting- en premiefraude en het niet naleven van de arbeidswetten. De partijen die in artikel 64 Wet SUWI samenwerken kunnen de gegevens uitwisselen die daarvoor noodzakelijk zijn. De RvIG toetst geen grondslagen in dit verband.
LSI-partners die deelnemen aan een LSI-project, zijn gezamenlijk verwerkingsverantwoordelijken voor de gegevensverwerking die ten behoeve van het project plaatsvindt. Het is zo aan de deelnemende LSI-partners om gezamenlijk te bezien of in een project volledig binnen deze kaders wordt en is gehandeld. Voordat een project wordt gestart, zijn er afwegingsmomenten van de noodzaak van een project en welke LSI-partners deelnemen. Er bestaat een standaard model voor een overeenkomst voor gegevensuitwisseling (blauwdruk DPIA). Levering van gegevens mag pas plaatsvinden nadat de LSI het projectplan heeft goedgekeurd. Een dergelijke werkwijze is voorgeschreven door artikel 35 van de AVG. Daarnaast verantwoorden de LSI-partners – als zij aan een project deelnemen – zelf de gegevens die zij onder eigen verantwoordelijkheid verwerken conform de vereisten die de AVG daaraan stelt.
De leden van de VVD-fractie vragen hoe, op het moment dat een organisatie niet meer de taak heeft om gegevens van de BRP te beheren, wordt geborgd dat er geen lokale kopieën of aansluitingen meer zijn. (5)
Organisaties beheren geen gegevens van de BRP maar gebruiken de actuele gegevens uit de BRP voor uitvoering van hun taak. Als een taak vervalt, vervalt ook de bijbehorende autorisatie voor gebruik van de BRP. De technische aansluiting vervalt dan ook. RvIG trekt het autorisatiebesluit in en sluit de technische aansluiting af. Het verwijderen van persoonsgegevens in de eigen administratie, al dan niet verkregen uit de BRP, is een aangelegenheid van de betreffende organisatie.
Kunnen organisaties die toegang hebben tot gegevens van de BRP deze gegevens delen met andere instanties, zonder tussenkomst van de RvIG? (6)
Ja, die gegevensdeling valt niet onder de wet BRP maar onder de AVG, de Wet algemene bepalingen burgerservicenummer (Wabb) of eventuele specifieke sectorale regelgeving. Organisaties moeten per casus zelf beargumenteren dat de gegevensdeling noodzakelijk en rechtmatig is.
Worden algoritmes die door verschillende organisaties worden gebruikt om gegevens te verwerken ook meegenomen in de toets om te bepalen wie toegang kan krijgen tot de BRP-gegevens? Bijvoorbeeld in het geval van een samenwerkingsverband tussen vijf gemeentes op het gebied van sociaal domein of belastingen. (7)
In het antwoord op vraag 3 heb ik uiteengezet hoe door RvIG wordt getoetst of een organisatie gegevens uit de BRP mag ontvangen. In een autorisatieaanvraag voor de BRP zet een organisatie die geautoriseerd wil worden uiteen voor welke taak de gegevens noodzakelijk zijn. RvIG toetst deze noodzaak. Welke algoritmes een organisatie gebruikt is geen onderdeel van die toets.
De regering wil wel dat de overheid algoritmes verantwoord gebruikt. Mensen moeten erop kunnen vertrouwen dat algoritmes voldoen aan de waarden en normen van de samenleving. En er moet uitleg zijn over hoe algoritmes werken. Het Ministerie van BZK werkt aan het Implementatiekader «Inzet van algoritmes». Dat maakt voor overheden duidelijk welke eisen er gelden voor algoritmes en hoe ze ervoor kunnen zorgen dat hun algoritmes aan die eisen kunnen voldoen. Daarnaast is inmiddels het algoritmeregister beschikbaar op algoritme.overheid.nl. De Autoriteit Persoonsgegevens is de toezichthouder en coördineert de controle op algoritmes.
Vragen en opmerkingen van het lid Omtzigt
... Tot slot ontvangt het lid Omtzigt graag een overzicht van wanneer de commissie vergaderd heeft, wie aanwezig waren in die commissie en hij zou graag de besluitenlijsten van de ministeriële commissie aanpak fraude ontvangen. Hij merkt hierbij op dat de regering na «Ongekend Onrecht» besloten heeft besluitenlijsten openbaar te maken.
De MCF is op de volgende data bijeen gekomen:
• 3 september 2013
• 1 oktober 2013
• 12 november 2013
• 17 december 2013
• 15 april 2014
• 8 juli 2014 (pro forma)
• 9 september 2014
• 18 november 2014
• 16 december 2014
• 24 maart 2015
• 9 juni 2015
De leden van de MCF waren de Ministers van Binnenlandse Zaken en Koninkrijksrelaties, Buitenlandse Zaken, Defensie, Economische Zaken, Financiën, Veiligheid en Justitie, Onderwijs, Cultuur en Wetenschap, Sociale Zaken en Werkgelegenheid, Volksgezondheid, Welzijn en Sport en Infrastructuur en Milieu. De voorzitter was de Minister-President. Het Ministerie van Veiligheid en Justitie was verantwoordelijk voor de ambtelijke coördinatie.
Van onderraden en ministeriële commissies worden conclusies opgesteld. De conclusies zijn een weergave van het besprokene en de besluiten die in de onderraad of ministeriële commissie zijn genomen. Deze conclusies worden in de daaropvolgende ministerraad vastgesteld. Omdat conclusies ten aanzien van de geheimhouding vergelijkbaar zijn met notulen, worden deze niet openbaar gemaakt. Per april 2021 wordt de besluitenlijst van de ministerraad openbaar gemaakt. Er zijn dus geen besluitenlijsten van de MCF.