• Vraag 1

  Kent u het bericht «CBP: «Overheid is onzorgvuldig bezig»»?1 Heeft u kennisgenomen van het jaarverslag 2012 van het College Bescherming Persoonsgegevens?
  
  

  Ja
  

• Vraag 2

  Klopt het dat de overheid steeds meer persoonsgegevens aan elkaar koppelt en deze vervolgens gebruikt voor geheel andere doeleinden dan waarvoor zij oorspronkelijk waren bedoeld? Zo ja, in welke gevallen was hier sprake van? Deelt u de mening dat het principe van doelbinding één van de pijlers onder de bescherming van persoonsgegevens moet blijven? Zo nee, waarom niet?
  
  

  Dat de overheid steeds meer persoonsgegevens aan elkaar koppelt, is juist en berust op een bewuste keuze. Koppeling van persoonsgegevens kan immers bijdragen aan de effectiviteit van beleid. Uiteraard moet het koppelen van persoonsgegevens plaatsvinden in overeenstemming met de relevante wetgeving en meer in het bijzonder niet onverenigbaar zijn met het doel waarvoor de desbetreffende gegevens oorspronkelijk zijn verzameld. Ik deel de mening dat het principe van doelbinding één van de pijlers onder de gegevensbescherming is; het principe is als zodanig ook vastgelegd in artikel 8, tweede lid, van het EU Grondrechtenhandvest.
  De hoofdstukken 18 en 19 van het jaarverslag van het College bescherming persoonsgegevens (hierna: Cbp) gaan over de publieke sector. Koppeling van persoonsgegevens komt daar in twee vormen voor. Bij de eerste vorm is sprake van gegevensdeling tussen overheidsinstanties onderling. Bij de tweede vorm is sprake van gegevensdeling door overheidsinstanties met private partijen. Het voert evenwel te ver om op basis van de onderzochte gevallen de conclusie te trekken dat de overheid steeds meer persoonsgegevens aan elkaar koppelt op een wijze die op gespannen voet staat met het principe van doelbinding. Het Cbp maakt in het jaarverslag duidelijk dat het delen van persoonsgegevens met andere partijen wel degelijk mogelijk is, maar dat daarbij wel voorzichtigheid geboden is, onder andere in verband met het principe van de doelbinding.
  

• Vraag 3

  Bent u het eens met de voorzitter van het College bescherming persoonsgegevens (CBP) dat het «voor de burger (en mogelijk ook voor de overheid) […] nauwelijks inzichtelijk meer [is] welke gegevens zich waar en waarom over hem bevinden»?2 Deelt u de mening dat het van belang is dat burgers wel inzicht hebben in de verwerking van hun persoonsgegevens? Hoe bevordert u dit inzicht?
  
  

  De uitspraak van de voorzitter van het Cbp is afkomstig uit het voorwoord bij het jaarverslag. Daarin uit de voorzitter vooral zijn zorgen over de lopende herziening van de wetgeving inzake gegevensbescherming binnen de Europese Unie. Het Cbp is, samen met de andere privacytoezichthouders in de EU, bevreesd voor een verlaging van het huidige beschermingsniveau van persoonsgegevens bij de overheid. Een aantal lidstaten – waaronder Nederland – is voorstander van een grotere flexibiliteit voor de overheid in verband met het delen en uitwisselen van gegevens met andere overheden voor zover dat noodzakelijk is voor de uitvoering van de taak van deze overheden en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad (zie hiervoor het aan uw Kamer toegezonden BNC-fiche alsmede de voortgangsrapportages over de onderhandelingen in Brussel, Kamerstukken II 22 112, 1372 en 32761, nrs. 34, 44 en 46). Zoals uit antwoord 2 bleek is het kabinetsbeleid gericht op het binnen de kaders van de wet optimaal gebruik maken van beschikbare gegevens door overheidsinstanties, o.a. ten behoeve van de veiligheid en de hulpverlening, zoals uiteengezet in de reactie van het kabinet-Balkenende IV op het advies van de Adviescommissie veiligheid en persoonlijke levenssfeer (commissie Brouwer-Korf) en de evaluatie van de Wbp (Kamerstukken II 2009/10, 31 051, nr. 5).
  Het risico dat de voorzitter van het Cbp schetst is dat bij de overheid door het vastleggen, verwerken en delen van gegevens een «digitale hooiberg» ontstaat, die uitnodigt om in strijd met het beginsel van doelbinding, allerlei koppelingen tussen de onderscheiden databestanden tot stand te brengen. Daarmee dreigt een andere doelstelling van de bescherming van persoonsgegeven – die van transparantie – achter de horizon te verdwijnen. Dit door de voorzitter geschetste risico komt mij zeker niet denkbeeldig voor. Het kabinet onderschrijft dan ook het door de Adviescommissie veiligheid en persoonlijke levenssfeer gehanteerde uitgangspunt van «select before you collect» om te vermijden dat een «digitale hooiberg» ontstaat. Dit uitgangpunt komt bijvoorbeeld terug in een recent ingediend wetsvoorstel tot wijziging van de Wet structuur uitvoeringsorganisatie werk en inkomen (Kamerstukken II 2012/13, 33 579, nr. 3, blz. 19 en 25).
  In het eerder genoemde kabinetsstandpunt uit 2009 is op verschillende plaatsen aangegeven dat de positie van de burger in de informatiesamenleving versterking behoeft, onder andere in verband met het transparantiebeginsel (zie p. 3, 9 en 22). In brieven die de minister van Binnenlandse Zaken en Koninkrijksrelaties uw Kamer d.d. 28 september 2012 (Kamerstukken II 26 643, nr. 254) en 2 april 2013 (Kamerstukken II 26 643 nr. 271) deed toekomen is aangegeven dat het kabinet werkt aan deze versterking van de informatiepositie van de burger. Een belangrijk instrument hierbij is de voorziening MijnOverheid.nl (mijn.overheid.nl), waar een ieder inzage wordt geboden over welke informatie bij overheidsinstanties over hem bekend is. In de voorgenoemde brieven is aangegeven dat in een impactanalyse concreet zal wordt uitgewerkt welke additionele functionaliteiten binnen MijnOverheid redelijkerwijs verder te realiseren zijn met betrekking tot GBA-gegevens. Eveneens werd aangegeven dat de thematiek van de informatiepositie van de burger nader zal worden besproken met de verantwoordelijken van andere overheidsorganisaties die ook gegevensregistraties beheren. De impactanalyse, die o.a. het proactief verlenen van inzage in gegevensstromen van de GBA-gegevens omvat, wordt momenteel uitgevoerd. Medio dit jaar ontvangt u een plan van aanpak voor wat betreft eventuele additionele functionaliteiten op MijnOverheid aangaande de GBA. Voorts hebben burgers ingevolge artikel 35 van de Wbp de mogelijkheid om aan overheidsinstellingen te vragen of en zo ja, welke (categorieën van) persoonsgegevens over hem worden verwerkt en voor welke doeleinden deze gegevens worden verwerkt. Ook kan informatie worden verkregen over de herkomst van de gegevens en de (categorieën van) ontvangers van de gegevens. De overheid dient hierbij binnen vier weken schriftelijk te reageren.
  

• Vraag 4

  Deelt u de analyse van de voorzitter van het CBP dat een te flexibele omgang met het grondrecht bescherming van persoonsgegevens op de langere termijn ondermijnende effecten kan hebben op het vertrouwen van burgers in de overheid? Zo ja, op welke wijzen gaat u deze flexibele omgang tegen? Zo nee, waarom niet?
  
  

  Gelet op mijn antwoord op de vragen 2 en 3 ben ik, anders dan de voorzitter van het Cbp, niet van mening dat de overheid op een té flexibele manier omgaat met persoonsgegevens. De overheid heeft een bijzondere positie in het maatschappelijk bestel. De overheid moet niet alleen de gegevensbescherming voor de burger garanderen, maar ook tal van andere grondrechten. De overheid moet hierin altijd afwegingen maken. Het recht op bescherming van de persoonsgegevens is niet absoluut en kan op bepaalde gronden worden beperkt. Daarom is flexibiliteit voor de publieke sector van groot belang. Niet om de bescherming te verminderen maar om de mogelijkheid van maatwerk te bieden. Vanaf 2008 zetten de achtereenvolgende kabinetten zich in voor een betere bescherming van persoonsgegevens. In het regeerakkoord van het kabinet-Rutte II valt te wijzen op het belang dat verantwoordelijken (waaronder overheidsinstanties), in een vroeg stadium, bij de bouw van informatiesystemen en het aanleggen van databestanden, onderzoeken wat de risico's van de beoogde gegevensverwerking zijn («privacy impact assessment»). Binnen de rijksoverheid is thans een toetsmodel voor een dergelijke methodiek in ontwikkeling.
  

• Vraag 5

  Kunt u – los van de beantwoording van deze vragen – de Tweede Kamer een uitgebreide kabinetsreactie doen toekomen op het volledige jaarverslag 2012 van het CBP?
  
  

  Het Cbp is een onafhankelijk, bij wet ingesteld college dat is belast met toezicht op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de wet bepaalde. Op grond van de EU privacyrichtlijn moet de toezichthoudende autoriteit de hem opgedragen taken in volledige onafhankelijkheid vervullen. Het Cbp voldoet met het opstellen en algemeen verkrijgbaar stellen van het jaarverslag aan een wettelijke verplichting in de Wbp om inzicht te geven in het gevoerde beleid in het algemeen en de doelmatigheid en doeltreffendheid van zijn werkwijze. Hoewel de onafhankelijke positie van het Cbp onverlet laat dat de Minister van Veiligheid en Justitie enkele wettelijke bevoegdheden heeft ten aanzien van de positie, de samenstelling en het functioneren van het Cbp, is het in verband met de strikte onafhankelijkheid van het Cbp niet gepast om een inhoudelijke reactie te geven op de wijze waarop het Cbp zijn wettelijke taken vervult.
  

• Mededeling - 15 mei 2013

  Hierbij bericht ik u, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties, dat de schriftelijke vragen van het lid Oosenbrug (PvdA) over het onzorgvuldig handelen van de overheid waar het gaat om het verzamelen en aan elkaar koppelen van persoonsgegevens (ingezonden 22 april 2013) niet binnen de gebruikelijke termijn kunnen worden beantwoord, aangezien nog niet alle benodigde informatie ontvangen is. Ik streef ernaar de vragen zo spoedig mogelijk te beantwoorden.

Kamervraag document nummer: kv-tk-2013Z08140

Volledige titel: Het onzorgvuldig handelen van de overheid waar het gaat om het verzamelen en aan elkaar koppelen van persoonsgegevens

Kamerantwoord document nummer: ah-tk-20122013-2335

Volledige titel: Antwoord vragen van het lid Oosenbrug over het onzorgvuldig handelen van de overheid waar het gaat om het verzamelen en aan elkaar koppelen van persoonsgegevens