Gebruik BSN voor Rijkspas in strijd met wet

Een rapport van het CBP beschrijft het gebruik van het BSN op de zogenaamde Rijkspas. Het CBP concludeert in het rapport dat het Ministerie van Verkeer en Waterstaat in strijd met de wet handelt.

Het CBP schrijft in het rapport Definitieve bevindingen onderzoek BSN Rijkspas:

Onder verwerken van persoonsgegevens wordt ook het “(…) samenbrengen, met elkaar in verband brengen (…)” verstaan (artikel 1 aanhef en onder b Wbp), zoals bij de verwerking (koppeling) van het BSN ten behoeve van de Rijkspas het geval is. Er is sprake van verwerking van het BSN ten behoeve van de Rijkspas, waardoor de Wbp van toepassing is. Het feit dat het verwerken enkel tijdelijk en intern geschiedt, doet daar niet aan af.

a. Het begrip “taak”

Artikel 24 Wbp schrijft voor dat voor het verwerken van wettelijke identificatienummers, zoals het BSN, een wettelijke grondslag vereist is. Artikel 10 Wabb bepaalt dat overheidsorganen, zoals omschreven in artikel 1 aanhef en onder d Wabb, bij het verwerken van persoonsgegevens in het kader van hun taak gebruik
kunnen maken van het BSN. Artikel 10 Wabb moet in samenhang met artikel 8 aanhef en onder e Wbp bezien worden, zoals uit de parlementaire behandeling van het wetsvoorstel Wabb naar voren komt. Uit de parlementaire behandeling van de Wabb blijkt dat onder “taak” in artikel 10 Wabb de publiekrechtelijke taak wordt verstaan. De Tweede Kamer is akkoord gegaan met het wetsvoorstel, omdat minister Nicolaï heeft gezegd dat het om de publiekrechtelijke taak van de overheid moet gaan bij het gebruik van het BSN en niet om andere activiteiten van de overheid. Dat het woord publiekrechtelijk is komen te vervallen in artikel 10 Wabb is enkel om aan te sluiten bij de terminologie van de Wet gemeentelijke basisadministratie persoonsgegevens (Wet GBA). Het schrappen van het woord publiekrechtelijk in de Wabb heeft dus slechts een redactionele betekenis. Het BSN mag derhalve slechts worden verwerkt indien dat noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt (artikelen 10 Wabb jo 8 aanhef en onder e Wbp).

Uit de correspondentie met het ministerie van Verkeer en Waterstaat is gebleken dat het BSN ten behoeve van de Rijkspas uit de personeelsbestanden (SAP-HR en/of IdM) wordt gehaald om dit persoonsnummer vervolgens te gebruiken om de juiste gegevens bij de juiste persoon te plaatsen. Hiervoor wordt het personeelsbestand middels het BSN gekoppeld aan het bestand van de Rijkspas. In tegenstelling tot hetgeen het ministerie van Verkeer en Waterstaat stelt, is er in dit geval is geen sprake van het uitoefenen van een publiekrechtelijke taak, waarvoor het ministerie van Verkeer en Waterstaat als overheidsorgaan, het BSN zou mogen verwerken (artikel 10 Wabb). Het BSN wordt in deze situatie als “koppelnummer” gebruikt, hetgeen er voor moet zorgen dat de juiste toegangspas aan de juiste werknemer wordt verstrekt. Het verstrekken van toegangspassen is een privaatrechtelijke taak waarvoor het gebruik van het BSN niet is toegestaan, omdat er geen wettelijke grondslag is. Een overheidsorgaan, zoals het ministerie van Verkeer en Waterstaat, verschilt hierin niet van andere werkgevers die toegangspassen verstrekken aan hun medewerkers. Tenslotte is er ook geen andere wettelijke grondslag die het gebruik van het BSN ten
behoeve van de Rijkspas toestaat.

Voor wat betreft de verwijzing naar de brief van de staatssecretaris van BZK van 22 maart 2010, alwaar het ministerie van Verkeer en Waterstaat zich expliciet aan conformeert, concludeert het CBP dat dit niet tot een ander oordeel leidt. In de brief van de staatssecretaris van BZK wordt herbevestigd dat het BSN op grond van de Wabb in de bedrijfsvoering kan worden gebruikt. Het standpunt van de staatssecretaris van BZK komt niet overeen met de uitleg van de wetgever tijdens de parlementaire behandeling van de Wabb zoals hierboven verkort is weergegeven. Het CBP heeft dit overigens eerder per brief van 26 januari 2009 aan de directeur
Informatiseringsbeleid Rijk van het ministerie van BZK laten weten.

b. Grondslag artikel 8 aanhef en onder f Wbp

De wetgever heeft – ter uitvoering van de Richtlijn 95/46/EG en uit het oogpunt van bescherming van de persoonlijke levenssfeer – aan het gebruik van wettelijke identificatienummers beperkingen gesteld. Het staat vast dat wettelijke vergemakkelijken en daarmee een extra bedreiging voor de persoonlijke levenssfeer vormen (extra risico’s). De wetgever heeft bepaald dat een afweging op het niveau van de formele wetgever hiervoor vereist is.

Voor het verwerken van het BSN is een belangenafweging door de formele wetgever vereist. De door het ministerie van Verkeer en Waterstaat genoemde grondslag (artikel 8 aanhef en onder f Wbp) voldoet naar zijn aard niet aan de belangenafweging op het niveau van de formele wetgever.

De reactie d.d. 16 april 2010 van het ministerie van Verkeer en Waterstaat op de voorlopige bevindingen d.d. 31 maart 2010 heeft niet geleid tot aanpassing van de conclusie ten aanzien van het verwerken van het BSN voor de Rijkspas.

Het CBP concludeert vervolgens:

Uit het voorgaande is gebleken dat het ministerie van Verkeer en Waterstaat het BSN verwerkt ten behoeve van de Rijkspas. Het ministerie van Verkeer en Waterstaat kan geen beroep doen op de artikelen 24 Wbp jo 10 Wabb jo 8 aanhef en onder e Wbp. Daarnaast kan het ministerie van Verkeer en Waterstaat ook geen beroep doen op de artikelen 24 Wbp jo 10 Wabb jo 8 aanhef en onder f Wbp. Voor de verwerking van het BSN ten behoeve van de Rijkspas ontbreekt een wettelijke grondslag, derhalve concludeert het CBP dat de minister van Verkeer en Waterstaat in strijd handelt met artikel 24 Wbp.