De positie van het BSN-nummer onder de AVG

AVG

De AVG is een verordening en werkt als Europese wetgeving rechtstreeks door. Het omzetten naar nationale wetgeving is hierbij niet nodig. Er is echter gekozen voor een bijbehorende Nederlandse wet, de uitvoeringswet, om zo de positie van de Autoriteit Persoonsgegevens te regelen, de Wbp in te trekken en een aantal keuzemogelijkheden binnen de AVG te kunnen invullen.

Uitvoeringswet AVG

In het wetsvoorstel voor de UAVG, die eind vorig jaar bij de tweede kamer is ingediend, is er zoveel mogelijk gestreefd naar een beleidsneutrale uitvoering. Dat wil zeggen dat daar waar de verordening ruimte laat voor nationale keuzes, de bestaande regels die gelden op grond van de Wbp, zoveel mogelijk ongewijzigd zijn overgenomen. Dit zie je bijvoorbeeld terug bij de verwerking van bijzondere categorieën van persoonsgegevens zoals gegevens over geloof, over gezondheid of over etnische afkomst. Ook om de oude naar de nieuwe situatie zo soepel mogelijk te laten verlopen, is het aansluiten bij de huidige Wbp een voordeel. Hoe kleiner de verschillen, des te makkelijker de overgang, zo stelt het nieuwsbericht bij de UAVG.

Verwerking van het BSN-nummer

Zo mag bijvoorbeeld op grond van art. 46 UAVG, het Burger Service Nummer (BSN) net als onder de Wbp alleen worden verwerkt binnen de kaders van de wet. Art. 87 AVG geeft de grondslag om bij lidstatelijk recht specifieke voorwaarden te stellen aan de verwerking van een nationaal identificatienummer, zo is ook terug te lezen in de Memorie van toelichting op de UAVG.

Voor de overheid is het gebruik van het BSN geregeld in artikel 10 van de Wet algemene bepalingen burgerservicenummer (Wabb). Overheidsorganen kunnen bij het verwerken van persoonsgegevens in het kader van de uitvoering van hun publieke taak gebruikmaken van het BSN, zonder dat daarvoor nadere regelgeving vereist is.

Voor organisaties die geen beroep kunnen doen op artikel 10 Wabb dient het gebruik te zijn voorgeschreven in sectorale wetgeving. Zo geldt bijvoorbeeld voor de zorgsector de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg. In de praktijk bestaat soms de wens het BSN ook voor andere doelen te gebruiken dan alleen voor uitvoering van de wet waarin het voorschrift over het nummer is opgenomen. Dit is alleen gerechtvaardigd als aan twee vereisten is voldaan:

Ten eerste geldt het algemene vereiste dat persoonsgegevens alleen verder mogen worden verwerkt als dat verenigbaar is met de doeleinden waarvoor ze zijn verkregen.
Ten tweede bepaalt artikel 46 UAVG dat verwerking van persoonsnummers voor andere doeleinden dan de uitvoering van de betreffende wet alleen mogelijk is voor zover dat bij de wet is bepaald.

Dit is een aanvullende eis omdat het gebruik van persoonsnummers extra risico’s met zich kan meebrengen voor de bescherming van de persoonlijke levenssfeer, zoals bijvoorbeeld identiteitsfraude. Op grond van art. 46 lid 2 UAVG is het mogelijk om bij algemene maatregel van bestuur (AMvB) andere gevallen aan te wijzen waarin een persoonsnummer mag worden gebruikt. Hier bestaat er voor verdere verwerking van het BSN dus geen ruimte voor een eigen afweging van de verwerkingsverantwoordelijke. Hiermee is er in de UAVG gebruik gemaakt van de nationale ruimte die de verordening biedt om specifieke voorwaarden te stellen aan de verwerking van een nationaal identificatienummer op grond van art. 6 lid 2 AVG en art. 87 AVG.

Het BSN is geen bijzonder persoonsgegeven

Artikel 9 van de AVG ziet op de verwerking van bijzondere categorieën van persoonsgegevens.

Tot de bijzondere categorieën van persoonsgegevens worden gerekend:

persoonsgegevens waaruit ras of etnische afkomst blijkt;
persoonsgegevens waaruit politieke opvattingen blijken;
persoonsgegevens waaruit religieuze of levensbeschouwelijke overtuigingen blijken;
persoonsgegevens waaruit het lidmaatschap van een vakbond blijkt;
genetische gegevens;
biometrische gegevens met het oog op de unieke identificatie van een persoon;
gegevens over gezondheid;
gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.

In art 28 UAVG zijn als aanvulling hierop genetische gegevens opgenomen als aparte categorie naast gegevens over gezondheid.

Het BSN wordt onder de AVG en in de UAVG overigens niet aangemerkt als bijzonder persoonsgegeven, dis is anders dan wel werd aangenomen onder de Wbp.

Directe en indirecte bijzondere persoonsgegevens

Een bijzonder persoonsgegeven is overigens niet alleen bijzonder wanneer het direct het desbetreffende bijzondere onderwerp onthult. Ook gegevens die indirect deze informatie onthullen, worden aangemerkt als bijzondere categorieën van persoonsgegevens. Tot de bijzondere categorieën van persoonsgegevens moeten dus niet alleen gegevens worden gerekend die direct betrekking hebben op bijvoorbeeld het lidmaatschap van een vakbond als zodanig, maar ook gegevens waaruit iemands vakbondslidmaatschap indirect valt af te leiden. De administratie van een vakbond, met daarin namen en adressen van de leden, is daarvan een voorbeeld. Noodzakelijk is wel dat er een rechtstreeks verband is. Gegevens die hooguit een indicatie geven dat het om een gevoelig kenmerk zou kunnen gaan, vallen buiten de reikwijdte van de bijzondere regeling voor gevoelige gegevens, zo is te lezen in Kamerstukken II 1997/98, 25 892, nr. 3, blz. 101.