Antwoord 1

Ja.

Antwoord 2

Waar persoonsgegevens worden verwerkt, zijn er altijd privacyrisico’s waar rekening mee gehouden moet worden. Dat geldt ook voor het verwerken van persoonsgegevens in risicoprofielen. De AVG, Wet politiegegevens en Wet justitiële en strafvorderlijke gegevens geven aan dat een Data Protection Impact Assessment (DPIA) verplicht is, wanneer een gegevensverwerking een hoog privacyrisico oplevert.

Zoals ik uw Kamer schreef in mijn brief van 8 april, starten we met een inventarisatie van de gegevensverwerkingen en een toetsing op rechtmatigheid. Daarbij zal aan de orde komen of DPIA’s zijn uitgevoerd en wat daarvan het resultaat was. Ik beschik op dit moment nog niet over de in de vraag genoemde informatie en zal uw Kamer uiteraard informeren over voortgang van het onderzoek.

Antwoord 3

Het gebruik van risicomodellen helpt de overheid schaarse capaciteit en financiële middelen effectiever en efficiënter inzetten dan bij het gebruik van steekproeven of integrale controle. Voordeel voor burgers en bedrijven is dat, als alles op orde is, zij minder vaak gecontroleerd worden. Dat scheelt energie, tijd en geld.

Risicomodellen worden binnen de overheid gebruikt bij de beleidsvorming, bij crisisbeheersing, bij dienstverlening en bij toezicht en handhaving.

Denk aan een voetbalwedstrijd waarbij de clubs en politie van tevoren kunnen inschatten dat supporters elkaar vijandig zullen benaderen. Door dan ook elementen als het weer (schijnt de zon of komt het met bakken uit de hemel) en de ligging van het stadion waar wordt gespeeld (in dichtbevolkte omgeving zonder manoeuvreerruimte of juist landelijk met veel uitwijkmogelijkheden) mee te nemen in een risicomodel, kan door de gemeente de vaak schaarse en kostbare inzet van politie en handhaving veel beter worden ingeschat.

Antwoord 4

De AVG verbiedt het gebruik van nationaliteit, etniciteit en geboorteplaats, tenzij er een objectieve rechtvaardiging voor het gebruik van die gegevens is, en het proportioneel en uitlegbaar is.

Als voorbeeld noem ik de opvang van asielzoekers door het COA. Het gebruik van afkomstgerelateerde indicatoren helpt om te voorkomen dat mensen met verschillende etniciteit en/of nationaliteit, waarvan we weten dat de combinatie een risicovolle is, bij elkaar in een ruimte worden geplaatst.

Onder het wettelijk kader van de Wet Politiegegevens (Wpg) geldt dat het verwerken van persoonsgegevens als nationaliteit en geboorteplaats enkel mag, voor zover dat noodzakelijk is voor de politietaak. Voor etniciteit geldt bovendien dat dit onder de Wpg wordt gezien als een bijzondere categorie politiegegevens waaraan verzwaarde eisen hangen voor het gebruik daarvan (artikel 5 Wpg).

Als voorbeeld noem ik hier dat het verwerken van afkomstgerelateerde persoonsgegevens kan bijdragen aan de identificatie van daders van strafbare feiten, van slachtoffers, van getuigen, en ook aan het voorkómen van toekomstige slachtoffers.

Antwoord 5

Registratie van persoonsgegevens in risicomodellen hebben bij objectieve rechtvaardiging een (grond)wettelijke basis. Bovendien zijn er goede en gegronde redenen om risicomodellen te gebruiken. Zie de antwoorden op de vragen 3 en 4.

Elke (overheids)organisatie is zelf verantwoordelijk voor de naleving van wettelijke regels en zij doen dat volgens een stelsel van control, audit en toezicht. Dat is niet anders waar het gaat om de verwerking van persoonsgegevens. Het is uiteindelijk ook aan de organisaties zelf om waar nodig maatregelen te nemen en processen aan te passen. Waar dit niet of onvoldoende gebeurt, zal dat een reden zijn voor het kabinet om hierover met de desbetreffende organisatie in gesprek te gaan.

Antwoord 6

Ja. In dit onderzoek naar het gebruik van nationaliteit, etniciteit en geboorteplaats wordt getoetst op het (on)rechtmatig en het (on)eigenlijk gebruik van deze indicatoren in risicomodellen. De toets van de rechtmatigheid ziet op de vraag of het gebruik op basis van de geldende wet- en regelgeving is toegestaan. Daaronder valt ook artikel 1 van de Grondwet (het verbod op discriminatie) en de overige gelijkebehandelingsregelgeving. Bij het bepalen of onderscheid objectief gerechtvaardigd is, wordt de proportionaliteit getoetst en bekeken of sprake is van evenredigheid tussen het nagestreefde doel en de aangetaste belangen.

Een van de uitgangspunten van de AVG is dat van minimale gegevensverwerking, met andere woorden het gerechtvaardigde doel dient met zo min mogelijk gegevens bereikt te worden. De principes van noodzakelijkheid, proportionaliteit en subsidiariteit spelen daarbij een belangrijke rol en dienen door degene die de gegevens opvraagt, verzamelt, etc. (de verwerkingsverantwoordelijke) in acht te worden genomen.

Antwoord 7

Een zogenaamde HOTHOR-controle (Hoge Tegemoetkoming, Hoog Risico) wordt niet uitgevoerd voor de risicoselectie, of om voor de risicoselectie onderscheid naar inkomens te maken. De HOTHOR-controles zijn bedoeld als interne controle, in situaties waarin burgers of bedrijven op basis van een aangifte of aanvraag een hoge som geld van de Belastingdienst of Toeslagen (terug) krijgen, of aan de Belastingdienst moeten betalen. Hiermee beogen deze organisaties te voorkomen dat er ten onrechte hoge betalingen worden gedaan aan burgers of bedrijven, dan wel dat er ten onrechte hoge bedragen in aanslagen aan hen worden opgelegd. Om te bepalen welke aangiften of aanvragen in HOTHOR komen, wordt gekeken of bedragen (bijvoorbeeld in de loonheffing) boven bepaalde vooraf vastgestelde parameters liggen. De hoogte van inkomen is geen direct criterium voor HOTHOR, maar in bepaalde gevallen kan de hoogte van de tegemoetkoming (bijvoorbeeld bij Toeslagen) wel mede afhankelijk zijn van het inkomen. Bij aangiften of aanvragen die voor de HOTHOR-controle worden geselecteerd, wordt vervolgens handmatig beoordeeld of het bedrag op de juiste wijze tot stand is gekomen en dit bedrag aan de burger of het bedrijf betaald kan worden, dan wel in een aanslag aan hen opgelegd kan worden. In de meeste gevallen zal het vastgestelde bedrag terecht zijn, maar indien dat niet zo is, voorkomt HOTHOR onterechte uitbetalingen van, maar ook onterechte aanslagen met te hoge bedragen.

Antwoord 8

Departementen is gevraagd om de voorbereidingen te treffen voor het opstarten van deze onderzoeken. Het optuigen hiervan, bemensen en opstellen van een plan van aanpak kost enige doorlooptijd. Om er onder andere voor te zorgen dat resultaten ook vergelijkbaar zijn, vindt afstemming plaats over de manier waarop aangetroffen gegevensverwerkingen zullen worden getoetst. Het kost enkele maanden om tot een gedragen en passende (onderzoeks- en vergelijkings)methode te komen.

Een AVG-verwerkingsregister dient inderdaad actueel te zijn. Op 25 september 2020 hebben de Staatssecretaris van Fiscaliteit en Belastingdienst en de Staatssecretaris van Toeslagen en Douane aan uw Kamer laten weten dat het verwerkingsregister van de Belastingdienst incompleet is2. Voorafgaand aan dit onderzoek is niet aan te geven of dit ook voor andere organisaties geldt.

Antwoord 9

Hoe lang het duurt voordat departementen klaar zijn met de operatie is afhankelijk van de mate waarin zij voor de daartoe behorende beleidsterreinen gebruik maken van risicomodellen waarbij afkomstgerelateerde persoonsgegevens worden verwerkt. Ik heb u aangegeven dat dit een omvangrijke operatie kan zijn, die geruime tijd in beslag kan nemen. Op dit moment gaat het slechts om een inschatting. De departementen moeten immers nog een plan van aanpak opstellen. Deze inschatting is gebaseerd op de ervaringen en doorlooptijden van de al lopende inventarisaties bij de Ministeries van Financiën en Sociale Zaken en Werkgelegenheid. Bij de laatste is de inventarisatie gestart in juni 2020 en is rapportage in juni 2021 in de Stand van de Uitvoering voorzien.

Het onderzoek dat ik aankondig in mijn brief van 8 april bestaat uit drie stappen: (1) inventarisatie, (2) bevindingen toetsen op rechtmatigheid en (3) in geval van onrechtmatig gebruik het beëindigen, notificeren en rectificeren/wissen).

Een eerste inschatting is dat behalve de Ministeries van Financiën en Sociale Zaken en Werkgelegenheid de Ministeries van Justitie en Veiligheid, Onderwijs Cultuur en Wetenschap, en Volksgezondheid Welzijn en Sport het meest gebruik maken van risicomodellen waarbij persoonsgegevens worden verwerkt. En daaruit volgend de inschatting dat de uitvoering van het onderzoek langer kan duren. Komend najaar worden de departementale plannen van aanpak met uw Kamer gedeeld en verwacht ik meer te kunnen zeggen over de planningen.

Antwoord 10

Het is duidelijk dat de informatiehuishouding van de overheid meer aandacht verdient. Door de rapporten Ongekend Onrecht, het ongevraagd advies van de Raad van State over ministeriële verantwoordelijkheid en de monitoring van de Inspectie Overheidsinformatie en Erfgoed, heeft het kabinet besloten een grootscheepse verandering van de informatiehuishouding Rijk in gang te zetten (Open op Orde: generiek actieplan informatiehuishouding, Kamerstuk 29 362 nr. 291 bijlage 976235). De verandering die nodig is kost tijd, kennis en extra middelen. Het kabinet gaat daarom uit van een Rijksbrede verbeteroperatie tot en met 2026.

Parallel aan het inzetten van deze structurele verandering wordt door de departementen het onderzoek uitgevoerd naar het gebruik van afkomstgerelateerde indicatoren in risicomodellen. In het antwoord op vraag 9 heb ik aangegeven dat de doorlooptijd daarvan in grote mate afhankelijk is van de mate waarin departementen persoonsgegevens verwerken. Waar nodig wordt het opruimen van vervuilde data met voorrang opgepakt.

Antwoord 11

Als de inventarisatie uitwijst dat er op onrechtmatige of oneigenlijke manier gebruik wordt gemaakt van persoonsgegevens in risicomodellen, dan wordt dit vanzelfsprekend zo snel mogelijk stopgezet. Ik kan op voorhand niet uitsluiten dat er zulke gevallen worden ontdekt. Het kan dus inderdaad zo zijn dat er gedurende dit onderzoek nog sprake is van een onjuist gebruik van persoonsgegevens. Om te zorgen dat aangetroffen gevallen zo snel mogelijk worden opgeruimd, wordt in het programma voorgesteld om interdepartementaal per organisatie op uitvoeringsniveau snel te komen tot een instructie voor medewerkers hoe gegevens op de juiste wijze te registreren én hoe om te gaan met onjuist gebruik van persoonsgegevens als dit wordt aangetroffen (melden, vernietigen, veiligstellen, rectificeren). Met snelle en juiste implementatie van deze instructies wordt voorkomen dat het onrechtmatig en oneigenlijk gebruik de komende jaren voortduurt.

Antwoord 12

Ja, deze eisen van de Algemene Verordening Gegevensbescherming (AVG) waren ook van toepassing in de Wet bescherming persoonsgegevens (Wbp).

Antwoord 13

Ja, op verschillende momenten van het reguliere beleids- en wetgevingsproces wordt getoetst aan grondrechten, waaronder het discriminatieverbod. De toetsing is onderdeel van de grondrechtentoets door mijn ministerie, in het kader van de toetsing van ontwerpregelgeving op rechtsstatelijke en bestuurlijke kwaliteit (wetgevingstoets door het Ministerie van Justitie en Veiligheid). Later in het proces vindt toetsing door de Raad van State en door de wetgever zelf plaats. Ook beleidsvoornemens die het discriminatieverbod kunnen raken, worden onderworpen aan een constitutionele toets. Er zijn daarnaast specifieke toetsingsinstrumenten die beoordelen of het handelen van de overheid conform het discriminatieverbod is. Zo neemt het instrument gegevensbeschermings-effectbeoordeling (DPIA) ook de conformiteit van de gegevensverwerking aan het discriminatieverbod mee.

Antwoord 14

Ja, uw Kamer ontvangt voor de behandeling van de begroting van BZK een eerste rapportage over de voortgang.