Het speelveld van de afdeling Beoordelen & Autoriseren (B&A) van de Rijksdienst voor Identiteitsgegevens (RvIG) is interessant. Deze afdeling zorgt er onder andere voor dat organisaties persoonsgegevens uit de Basisregistratie Personen (BRP) ontvangen om hun wettelijke taken uit te voeren. Door niet meer gegevens te verstrekken dan noodzakelijk waarborgt ze de privacy van burgers. IDee nam een kijkje achter de schermen.

Een foto van Judith Stevens
Judith Stevens

‘Veel organisaties hebben persoonsgegevens uit de BRP nodig om hun publiekrechtelijke taak goed te kunnen uitvoeren’, vertelt Judith Stevens, adviseur bij de afdeling B&A. ‘Bij deze organisaties kun je denken aan overheidsinstellingen zoals Uitvoeringsorganisaties, gemeenten en provincies. Maar ook onderzoeksinstellingen en specifiek in de wet aangewezen derden, zoals pensioenfondsen, ziekenhuizen en zorgverzekeraars, kunnen voor de uitvoering van hun taken gegevens uit de BRP nodig hebben.’

Toetsing

Om toegang te krijgen tot de BRP is een autorisatiebesluit nodig, waarin precies staat welke organisatie welke persoonsgegevens voor welke taak en doelgroep krijgt. Daartoe meldt een (potentiële) afnemer zich bij de afdeling B&A. Daar toetst een jurist of aansluiting op de BRP of een wijziging van een al bestaande aansluiting juridisch kan en mag, en maakt deze jurist een afweging tussen de belangen van de afnemer en de privacy van burgers.

Voorwaarden

Eén van die juristen is Anne van Duijn-Remmers. ‘Ik beoordeel of een organisatie voldoet aan alle voorwaarden voor het verkrijgen van persoonsgegevens uit de BRP. Eerst bekijk ik om wat voor soort instelling het gaat: heeft deze organisatie een bepaalde wettelijke taak waarvoor hij persoonsgegevens nodig heeft? Vervolgens bespreken we samen met de organisatie hoe zij die specifieke taak uitvoert, voor wie zij dat doet, of zij daar daadwerkelijk gegevens voor nodig heeft en, zo ja, van welke doelgroepen en welke gegevens. In de BRP staat namelijk enorm veel informatie. Om de privacy van burgers te beschermen verstrekken we dan ook uitsluitend een minimale set gegevens die de afnemer écht nodig heeft voor de uitvoering van die ene taak. Heeft de afnemer een andere taak waarvoor hij gegevens uit de BRP nodig heeft? Dan volgt daarvoor een aparte juridische toetsing.’

Een foto van Anne van Duijn-Remmers
Anne van Duijn - Remmers

Autorisatiebesluit

Als een afnemer aan alle voorwaarden voldoet voor aansluiting op de BRP, wordt er een autorisatiebesluit opgesteld. Ike Uwaoma, adviseur bij de afdeling B&A: ‘Hierin leggen we precies vast welke gegevens de afnemer voor welke taken en voor welke doelgroepen ontvangt. Dat gebeurt altijd in overleg met de afnemer. Hoe lang dit traject duurt is onder meer afhankelijk van de complexiteit van de taak van de afnemer en van de hoeveelheid gevraagde persoonsgegevens. Vervolgens starten we het technische realisatietraject, ofwel de daadwerkelijke aansluiting. Uiteindelijk publiceren we het besluit, zodat iedereen het kan bekijken. Het totale aansluittraject wordt gewoonlijk binnen enkele maanden doorlopen.’

Gesprekspartner

Bij het beoordelings- en autorisatietraject werken de adviseurs van de afdeling B&A het liefst zo nauw mogelijk samen met de afnemer. ‘Om mee te kunnen denken en zo goed mogelijk te kunnen adviseren zijn we als gesprekspartners vanaf het begin van het gehele traject betrokken’, aldus Judith. ‘Juist door goed samen te werken kunnen we met elkaar zorgen voor een veilig en betrouwbaar gebruik van persoonsgegevens.’

Door goed samen te werken kunnen we met elkaar zorgen voor veilig en betrouwbaar gebruik van persoonsgegevens

Een foto van Ike Uwaoma
Ike Uwaoma

Maatwerk

Bij gelijke afnemers met gelijke taken, werkt de afdeling B&A met modelautorisaties, bijvoorbeeld voor ziekenhuizen. En zelfs voor die modellen bestaan soms meerdere versies. ‘Maar in feite is elke autorisatie maatwerk’, zegt Ike. ‘Daarbij kijken we naar de vraag achter de vraag: we onderzoeken heel kritisch de verzoeken van onze afnemers. Dat kan eigenlijk alleen maar door continu met hen in gesprek te zijn.’

Opkoopbescherming

Judith geeft een concreet voorbeeld. ‘Per 1 april 2022 mogen gemeenten de opkoopbescherming in de verordening opnemen. Als een gemeente de opkoopbescherming inzet, mogen huizen die onder bepaalde voorwaarden vallen niet meer worden gekocht voor de verhuur. Deze maatregel beschermt de woningmarkt. Onder een aantal voorwaarden mag een woning verhuurd worden, mits er een vergunning is afgegeven. Dit geldt onder meer bij woningen die aan bloed- of aanverwanten worden verhuurd. Diverse gemeenten willen deze opkoopbescherming invoeren. Dan moeten ze dus kunnen controleren of de huurder van de woning verwant is aan de eigenaar van de woning. Die gegevens kun je uit de BRP halen. Voor deze taak hebben we een beoordelings- en autorisatietraject doorlopen. Door in de BRP te controleren of de opgegeven toekomstige huurder verwant is aan de woningeigenaar kan een gemeente nu gemakkelijk een verhuurvergunning verlenen.’

Samenspel

Judith, Anne en Ike zijn heel enthousiast over het samenspel op de afdeling B&A tussen de adviseurs en juristen. ‘De adviseurs denken vanuit de praktische kant en willen de afnemers zo goed mogelijk helpen. De juristen houden daarbij een vinger aan de pols en moeten soms streng zijn. Maar uiteindelijk weten we met elkaar altijd een juiste balans te vinden tussen dienstverlening aan de afnemer en de privacybescherming van burgers.’