Persoonsgegevens gemiddelde Nederlander in 250 tot duizenden bestanden

Het College bescherming persoonsgegevens (CBP) heeft een onderzoeksbureau laten onderzoeken in hoeveel bestanden mensen in Nederland gemiddeld staan geregistreerd. Wanneer de onderzoekers een nauwe definitie hanteren, is de conclusie dat de gemiddelde Nederlander staat geregistreerd in tot 250 tot 500 bestanden. Met een iets ruimere definitie is dat aantal al snel "honderden, zoniet duizenden bestanden".

Het College bescherming persoonsgegevens (CBP) heeft het bureau Considerati laten onderzoeken in hoeveel bestanden mensen in Nederland gemiddeld staan geregistreerd. Op Burger staat geregistreerd in 250 tot duizenden bestanden [lokale kopie] publiceert het CPB de resultaten van het onderzoek Onze digitale schaduw. De onderzoekers constateren in het inleidende hoofdstuk onder meer een enorme groei in aantal en omvang van de databases:

Door technologische vooruitgangen op het gebied van ICT wordt het steeds eenvoudiger om grote hoeveelheden (persoons)gegevens te verwerken. Daarnaast is er een toenemende roep vanuit de maatschappij naar veiligheid, efficiency en persoonlijke dienstverlening. Door deze technologische en maatschappelijke ontwikkelingen is het aantal bestanden waarin persoonsgegevens staan de afgelopen jaren sterk gegroeid. Binnen het overheidsdomein bijvoorbeeld is het aantal registraties in de afgelopen 20 jaar met een bijna een factor 10 gegroeid. Het IVA kwam in 1988 tot een totaal aantal registraties bij de overheid en semioverheid van 3500. Het ging hierbij om bestanden met daarin minimaal 5000 personen. Op grond van dit totale aantal registraties kwam het IVA tot de schatting dat de gemiddelde Nederlander in zo’n 30 tot 40 databases van de overheid staat. Inmiddels is het aantal bestanden van de overheid explosief gegroeid. E-overheid noemt een getal van 30.000. Ook de omvang van het aantal databases is toegenomen. In 1988 vond het IVA weinig 'megaregistraties’, registraties met meer dan 100.000 personen. Er is inmiddels een duidelijke trend zichtbaar waarbij er steeds meer megaregistraties zijn waar een groot deel van de Nederlandse bevolking in staat.

In hetzelfde tekst wordt ook nog een andere reden genoemd voor de stijging van het aantal databases waarin personen geregistreerd staan:

Wanneer dit spoor niet wordt uitgewist door de verantwoordelijken, dan neemt het aantal databases waarin de gemiddelde Nederlander staat jaar na jaar toe. Het is onze inschatting dat gegevens over het algemeen niet worden weggegooid. Hiervoor zijn diverse redenen aan te wijzen. Vaak komt het omdat er geen procedures zijn om gegevens van klanten of andere contacten weg te gooien. Sommige databases ondersteunen zelfs niet eens de mogelijkheid van weggooien, maar stellen gebruikers enkel in staat om records inactief te maken. De belangrijkste redenen waarom gegevens echter langere tijd bewaard worden zijn wettelijke bewaartermijnen voor gegevens en bewijsoverwegingen. De Nederlandse wetgever stelt op grond van allerlei wetten […] bewaartermijnen op voor gegevensverwerkingen tot wel zeven jaar.

Voor het onderzoek werd een onderscheid gemaakt tussen de publieke en de private sector. Beide sectoren werden vervolgens onderverdeeld en voor elk van de categorieen werd vervolgens gekeken naar de databases waarin de "gemiddelde Nederland" voorkomt. Over de publieke sector schrijft het rapport onder meer:

Om haar werk te doen heeft de overheid veel gegevens nodig, welke worden vastgelegd in maar liefst 30.000 verschillende systemen. […] Om de versnippering van gegevensverwerkingen tegen te gaan is de Nederlandse overheid al geruime tijd bezig een systeem van basisregistraties in te richten. De Nederlandse overheid kent inmiddels tien basisregistraties: de Gemeentelijke basisadministratie (GBA), het Handelsregister (HR), de Basisregistratie Kadaster (BRK), de Basisregistratie Topografie (BRT), de Basisregistratie Adressen (BRA), de Basis Gebouwen Registratie (BGR), de Basisregistratie voertuigen (BRV), de Basisregistratie Inkomen (BRI), de Polisadministratie en de Basisregistratie WOZ. De meeste van deze basisregistraties bevatten persoonsgegevens. De GBA is de Gemeentelijke Basisadministratie voor persoonsgegevens. De persoonsgegevens van elk lid van de Nederlandse bevolking staan in de GBA, die sinds 1 oktober 1994 bestaat. Binnen het GBA-stelsel worden alle gegevens volledig geautomatiseerd opgeslagen en uitgewisseld. De GBA bevat alle algemene persoonsgegevens en wijzigingen daarop, van geboorte tot overlijden. Van elk lid van de Nederlandse bevolking wordt in de GBA een elektronische persoonslijst aangelegd, met daarop de administratieve levensloop van een persoon. Het GBA wordt door diverse instanties (afnemers) gebruikt. Het gaat in totaal om honderden afnemers. Met hoeveel afnemers de gemiddelde Nederlander in aanraking komt is niet te zeggen, omdat dit sterk afhangt van de persoonlijke situatie. De afnemers krijgen selecties uit de GBA-gegevens, al naar gelang hun behoefte en de afspraken die over levering van de GBA-gegevens zijn gemaakt. Allereerst zijn dit de binnengemeentelijke afnemers zoals de burgerlijke stand, de gemeentelijke sociale dienst, gemeentebelastingen enzovoorts. Daarnaast zijn er de buitengemeentelijke afnemers van de GBA-gegevens. Dit zijn overheids- en semioverheidsorganisaties, die voor de uitoefening van hun publiekrechtelijke taken persoonsgegevens nodig hebben. Voorbeelden zijn de Belastingdienst, het Uitvoeringsinstituut Werknemersverzekeringen (UWV), waterschappen en de Sociale Verzekeringsbank. Ten slotte zijn er ‘derden’ waar incidenteel gegevens aan worden verstrekt. De derden zijn onder te verdelen in ‘verplichte derden’ en ‘vrijwillige derden’. Verplichte derden zijn personen of organisaties die voor de goede uitoefening van hun taak GBA-gegevens nodig hebben. Het gaat primair om advocaten en curatoren. De vrije derden is een beperkte groep niet-commerciële instellingen (bijvoorbeeld sport- en muziekverenigingen) waaraan gegevens kunnen worden verstrekt. Verder heeft de Stichting Interkerkelijke Ledenadministratie (SILA) toegang tot de GBA. Om de efficiency te vergroten en de snelheid van het raadplegen te vergroten is naast de GBA een deel van de GBA gegevens beschikbaar via de Landelijk Raadpleegbare Directory/Deelverzameling (LRD). Een beperkt aantal afnemers zoals deurwaarders, advocaten, woningbouwverenigingen, politie en gemeentelijke diensten kan op deze manier sneller toegang krijgen tot GBA gegevens.

Grote hoeveelheden persoonsgegevens zijn er uiteraard ook te vinden bij de Belastingdienst:

De Belastingdienst verwerkt grote hoeveelheden persoonsgegevens voor een goed functionerend belastingsysteem. De belastingdienst is bezig om haar ICT- voorzieningen grondig te herzien en om te vormen tot vijf basisvoorzieningen, maar tot die tijd maakt de Belastingdienst nog steeds gebruik van honderden systemen. De Belastingdienst gaat in 2009 gebruik maken van de Basisregistratie Inkomen (BRI). De Basisregistratie Inkomen bevat naast identificerende gegevens van de burger enkel gegevens over het inkomen. Naast de Belastingdienst hebben ook partijen die (mede)verantwoordelijk zijn voor de toekenning en uitvoering van inkomensafhankelijke regelingen toegang tot de BRI. Genoemd kunnen worden de Informatie Beheer Groep (IB Groep) (Wet studiefinanciering 2000, Wet tegemoetkoming onderwijsbijdragen en schoolkosten), het Centraal Administratie Kantoor Bijzondere Zorgkosten (CAK BZ) (Algemene wet Bijzondere Ziektekosten, Administratiebesluit Bijzondere Ziektekostenverzekering), [etc, etc]

Uiteindelijk komen de onderzoekers onder meer tot de volgende conclusies:

In deze quick scan hebben wij een schatting gemaakt van het aantal bestanden waarin de gemiddelde Nederlander geregistreerd staat. Hiertoe hebben wij gekeken naar gegevensverzamelingen binnen de overheid (met uitzondering van politie en justitie) en de private sector. Wanneer wij alle verwerkingen meerekenen waarbij persoonsgegevens in een bestand terechtkomen, dan komen wij al snel op honderden, zo niet duizenden bestanden waarin de gemiddelde Nederlander geregistreerd staat. Hierbij rekenen wij dan ook gegevensverzamelingen mee waarbij gegevens slechts tijdelijk worden geregistreerd (bijvoorbeeld de beelden van bewakingscamera’s), slapende (inactieve) bestanden en archieven, bestanden die door het publiek over het algemeen niet worden geassocieerd met registratie in een database (bijvoorbeeld gegevens op een website), nevenbestanden die door database-exports ontstaan, relatiebestanden waar personen in het kader van het uitoefenen van hun beroep in belanden en privéadresboeken. Wanneer wij een nauwere definitie van het begrip ‘registratie in een database’ hanteren, die meer aansluit bij de beleving van de gemiddelde Nederlander en de bovengenoemde soorten verwerkingen uitsluit, dan komen wij op basis van de in kaart gebrachte informatiestromen en de bijbehorende verwerkingen binnen de publieke en de private sector tot de schatting dat de gemiddelde Nederlander staat geregistreerd in tot 250 tot 500 bestanden. De ‘bandbreedte’ in de schatting wordt veroorzaakt door de het grote aantal variabelen in de vraagstelling. […]

Wel kan op voorhand worden gesteld dat voor bepaalde groepen (binnen bepaalde gebieden) het aantal verwerkingen hoger kan uitvallen. Zo zullen bijvoorbeeld chronisch zieken en gehandicapten vaker in zorggerelateerde databases voorkomen. Mensen met schulden of personen die worden verdacht van fraude zullen in veel extra databases belanden die gerelateerd zijn aan sociale zekerheid en de financiële sector.

In de publieke sector is het totale aantal databases in de afgelopen 20 jaar met ongeveer een factor 10 gestegen en het aantal bestanden waar een gemiddelde Nederlander in geregistreerd staat met ongeveer een factor 4. De discrepantie tussen deze twee factoren vloeit voort uit het feit dat steeds meer verwerkingen gecentraliseerd worden, hetzij door één centrale database te bouwen, hetzij door decentrale databases aan elkaar te koppelen. Dit betekent dat het aantal bestanden waarin de gemiddelde Nederlander staat in absolute zin wellicht afneemt, maar dat het aantal doeleinden waarvoor deze bestanden worden gebruikt en de partijen die er toegang tot hebben stijgt. Zo zijn er alleen al honderden afnemers van de Gemeentelijke basisadministratie. ‘Megaregistraties’ (die tot enkele jaren gelden bijna niet voorkwamen) zoals de GBA, BRON, en de Polisadministratie bevatten inmiddels gegevens van nagenoeg alle Nederlanders. Een tweede constatering binnen de publieke sector is dat de bestanden van instanties steeds vaker aan elkaar worden gekoppeld via bijvoorbeeld verwijsindexen en inkijkfuncties (Suwinet, EPD, EKD, DKD). Hierdoor krijgen overheidsinstanties een steeds completer beeld van de burger. Hierbij is er sprake van een duidelijke koppeling en overlap tussen databases uit verschillende gebieden zoals zorg, sociale zekerheid en onderwijs.

Overigens, in de inleidende tekst maken de onderzoekers duidelijk dat het aantal databases waarin persoonsgegevens opgeslagen zijn op zichzelf niet zo veel zegt:

Maar is een antwoord op deze vraag op zichzelf relevant? Eigenlijk niet, omdat de hoeveelheid databases niet noodzakelijkerwijs een indicatie geeft over de risico’s die dit met zich meebrengt voor de persoonlijke levenssfeer. Want is geregistreerd staan in 100 databases veel of weinig? Is het zorgelijk? Zo ja, waarom? Zo niet, waarom niet? Is geregistreerd staan in 100 databases zorgelijker dan 50 databases? Is 50 juist niet veel zorgwekkender omdat gegevens dan blijkbaar beter gekoppeld of centraal opgeslagen zijn? Hoeveel databases worden daadwerkelijk actief gebruikt? Is in veel databases staan goed om fouten te voorkomen, of kun je beter in minder databases staan?