De Wet inburgering 20.. en het belang van een zorgvuldige verwerking van persoonsgegevens
- Inleiding
De voorgestelde Wet Inburgering 20.., die als doel heeft dat inburgeraars zo snel mogelijk mee kunnen doen in de samenleving, zou op 1 juli 2021 in werking treden maar dat is uitgesteld naar 1 januari 2022.[1] Eerder deze week, op 1 december 2020, besprak de Eerste Kamer het wetsvoorstel.[2] Daarbij werd duidelijk dat de reden voor het half jaar uitstel de informatie-uitwisseling tussen ketenpartners betrof. Evenwel is inhoudelijk totaal niet gesproken over het belang van een effectieve en zorgvuldige uitwisseling van persoonsgegevens tussen ketenpartners.[3] In de Eerste Kamer is op 1 december ook niet gesproken over de beoogde integrale aanpak door gemeenten. Dit zijn volgens mij wel degelijk belangrijke aspecten in het wetsvoorstel die bespreking verdienen; daarom een blog.
- Advies van de AP over de Wet Inburgering 20..
Op 25 juni 2019 is het conceptwetsvoorstel houdende regels over inburgering in de Nederlandse samenleving (Wet Inburgering 20..) ter internetconsultatie gepubliceerd.[4]
Op 20 augustus 2019[5] heeft de Autoriteit persoonsgegevens daarop advies uitgebracht. De AP wijst er in het advies op dat in het conceptwetsvoorstel een grondslag wordt geboden voor een onbepaalde set verwerkingen tussen een groot aantal verwerkingsverantwoordelijken zonder een duidelijke, concrete doelstelling. Daarmee zijn de grondslag en de doelomschrijving te algemeen geformuleerd in de Wet Inburgering 20... Verder is de delegatie van de regeling van de verwerking van bijzondere persoonsgegevens in het kader van de Wet Inburgering 20.. te onbepaald.
Mede op basis van het advies van de AP is het Wetsvoorstel inburgering 20.. gewijzigd op 2 juli 2020.[6] In de memorie van antwoord van 16 oktober 2020[7] geeft de regering aan dat zij meent nu geheel tegemoet te zijn gekomen aan het advies van de AP door artikelen te schrappen en aan te vullen. Op 1 september 2020 is ook de AMvB waarin nadere regels worden gesteld omtrent verwerking van persoonsgegevens ter internetconsultatie aangeboden[8].
- Inburgering en de verwerkingen van persoonsgegevens
In het kader van de voorgestelde Wet Inburgering 20.. gaan veel persoonsgegevens uitgewisseld worden. De inburgeringstrajecten zullen zoveel mogelijk worden toegesneden op het individu. Dit maatwerk vereist dat gemeenten en andere partijen in de keten in staat zijn om een goed en volledig beeld te krijgen van de capaciteiten, achtergronden en leefsituatie van de inburgeringsplichtigen.
Voor het gehele traject zullen zeer veel gegevens in een informatiesysteem komen te staan. Dat gaat onder andere om gegevens vanaf de voorinburgering, gegevens over de uitkomsten van de brede intake, gegevens over het Plan inburgering en participatie (PIP), gegevens verkregen bij uitvoering van de Participatiewet, door de cursusinstelling vastgelegde gegevens over de door inburgeraar geleverde inspanningen, over de leerbaarheid van de inburgeraar, over boetes voor het niet komen opdagen bij de brede intake of het niet naleven van het PIP en om gegevens over de gezondheid van de inburgeraar. Zeer veel privacygevoelige (bijzondere) persoonsgegevens dus.
Het is nodig om die gegevens uit te wisselen omdat bijvoorbeeld het Centraal orgaan opvang asielzoekers (COA) al veel gegevens verzamelt in een klantprofiel die ook voor andere partijen in de keten nodig zijn.[9] Dat gaat bijvoorbeeld om gegevens over opleidingsniveau, medische bijzonderheden en toekomstplannen die de gemeente nodig heeft voor een beter beeld teneinde maatwerk mogelijk te maken. Vervolgens heeft ook DUO veel van de gegevens nodig voor het bieden van maatwerk. Bijvoorbeeld informatie over medische bijzonderheden om eventueel de inburgeringstermijn te kunnen verlengen en informatie over boetes om eventuele dubbele bestraffing te voorkomen.[10]
Naast de informatie die een gemeente uitwisselt met ketenpartners als DUO en COA, zal een gemeente informatie uitwisselen met aanbieders. Over de gegevensuitwisseling met aanbieders zullen afspraken gemaakt moeten worden bij de inkoop. Verder zal er intern binnen de gemeente informatie uitgewisseld worden tussen verschillende afdelingen, onder andere omdat inburgering onderdeel wordt van een integrale aanpak door gemeenten. Dat zijn dus drie verschillende informatiestromen voor gemeenten: met ketenpartners, met aanbieders en intern.[11] Het is een grote uitdaging om die verwerkingen op een handige, veilige en rechtmatige wijze in te richten. Op dit moment werkt de VNG aan een informatiekundige uitvoeringstoets om inzichtelijk te maken wat de opgave is voor gemeenten en welke ondersteuning geboden kan worden, zoals bijvoorbeeld het opstellen van een landelijk informatiemodel.[12]
- Belangenafweging tussen gegevensuitwisseling en privacy
Voor een goede uitvoering van de Wet Inburgering 20.. wordt het van groot belang geacht dat iedere daarbij betrokken instantie tijdig kan beschikken over de juiste en relevante gegevens van andere instanties. Met het wetsvoorstel krijgt een grote groep mensen toegang tot een grote set persoonsgegevens, waaronder veel privacygevoelige (bijzondere) persoonsgegevens. Tegenover het grote belang bij informatie-uitwisseling staat dan ook een grote inmenging in de privacybelangen van de betrokken inburgeraar.
Bij het vormgeven van de informatiesystemen en werkprocessen dient telkens de vraag gesteld te worden of de inmenging in de privacybelangen van de inburgeraar niet onevenredig groot is in verhouding tot het met de verwerking te dienen doel. Ook moet telkens nagegaan worden of het doel op een manier kan worden bereikt die minder nadelig is voor de betrokkene. Dataminimalisatie dient hierbij het uitgangspunt te zijn op grond van artikel 5, eerste lid, onder c, AVG.
Het principe van doelbinding botst bovendien met de integrale aanpak waarbij informatie wordt uitgewisseld tussen verschillende domeinen binnen het sociaal domein. Het principe van doelbinding betekent dat de persoonsgegevens alleen verwerkt mogen worden voor uitdrukkelijk omschreven doeleinden. Hiermee hangt samen dat gegevens niet verder worden verwerkt voor andere doeleinden, als dat onverenigbaar is met het oorspronkelijke doel waarvoor ze zijn verzameld.[13] Dus bij een keurige doelbinding is het niet mogelijk om gegevens verzameld in het kader van de inburgering vervolgens te gebruiken in het kader van de Jeugdwet. Als het principe van doelbinding keurig zou worden verwerkt in het wetsvoorstel Inburgering 20.. dan botst dat al snel met de integrale aanpak die als uitgangspunt geldt voor de veranderopgave inburgering.
Met het oog op de bovenstaande belangenafwegingen lijkt er in het wetsvoorstel Inburgering 20.. in ieder geval genoeg oog voor het belang van uitwisselen van informatie en een integrale aanpak.[14] Er is dan ook weinig risico dat het wetsvoorstel het verwerken van persoonsgegevens in het kader van de inburgering te veel beperkt. Er is eerder een risico dat er te veel persoonsgegevens verwerkt gaan worden. Dat komt omdat er naar mijn idee relatief veel ruimte wordt gecreëerd om persoonsgegevens te verwerken[15] en de waarborgen om te voorkomen dat er te veel persoonsgegevens worden verwerkt relatief gering zijn.[16] Ik vraag me af of de waarborgen die wel in de Wet Inburgering 20.. zijn opgenomen voldoende zijn om niet noodzakelijke verwerkingen adequaat te voorkomen. In dat kader wil ik op twee punten wijzen: de autorisaties van medewerkers en de ambitie om integraal te werken.
- Alleen geautoriseerde personen toegang geven
In de memorie van antwoord geeft de regering op een vraag van de ChristenUnie naar de afweging tussen het belang van informatie-uitwisseling tussen ketenpartners en de privacybelangen van inburgeraars onder andere als antwoord: ”De systemen zijn zo ingericht dat alleen geautoriseerde personen toegang hebben tot de persoonsgegevens.”[17] Maar het valt mij op dat in het concept Besluit Inburgering van 1 september 2020 waarin nadere regels worden gesteld omtrent het verwerken van persoonsgegevens slechts voor bijzondere persoonsgegevens is vastgelegd dat alleen geautoriseerde personen die voor het uitoefenen van hun taak toegang moeten hebben tot de informatie toegang krijgen.[18] Hetzelfde is niet geregeld voor niet bijzondere persoonsgegevens. Naar huidig inzicht gaat het bij de bijzondere persoonsgegevens in ieder geval om persoonsgegevens over religieuze of levensbeschouwelijke overtuigingen en gegevens over gezondheid. Maar in het kader van de inburgering worden ook heel veel andere zeer privacygevoelige persoonsgegevens verzameld die niet als bijzondere persoonsgegevens kwalificeren op grond van de AVG. Zoals de gegevens over opgelegde boetes, over de bijstandsuitkering en over leerbaarheid. Ik zie niet in waarom de regering de bepaling in artikel 9.10 van het concept Besluit Inburgering niet ook van toepassing verklaart op niet bijzondere persoonsgegevens. Zeker als we ons bedenken dat een ambtenaar bij de gemeente op dit moment vaak toegang heeft tot allerlei (bijzondere) persoonsgegevens die totaal niet nodig zijn voor de uitoefening van zijn of haar taak. Ik zie niet in wat er op tegen zou zijn als artikel 9.10 ook van toepassing is voor een aantal niet bijzondere persoonsgegevens.
- Integrale aanpak
Het wetsvoorstel Inburgering 20.. heeft de integrale aanpak als uitgangspunt.[19] Eerder dit jaar is ook het Concept Wetsvoorstel Aanpak meervoudige problematiek sociaal domein (Wams) ter internetconsultatie aangeboden.[20] De Wams legt een basis voor het op grotere schaal uitwisselen van persoonsgegevens binnen het sociaal domein inclusief de aanpalende domeinen. Het is de bedoeling dat de Wams een grondslag creëert om de Wet Inburgering voor zover noodzakelijk in samenhang met de Wmo, Jeugdwet en Wgs uit te voeren. Maar de Wams en de toelichting op de Wams gaan nauwelijks in op de Wet Inburgering 20.. en vice versa. De toelichting op het wetsvoorstel Inburgering 20.. werkt ook geen afweging uit tussen het belang van het verwerken van de gegevens en de privacybelangen van de inburgeraars. Inburgeraars zullen snel met verschillende wetten die onder de Wams vallen in aanraking komen. Het risico is reëel dat de overheid op die manier een brij aan informatie over de inburgeraars verzameld en deze gaat hergebruiken voor een ander doel. Daarmee ontstaat een ongelijkheid met andere Nederlanders. Dat risico wordt alleen maar groter als de verschillende datasets met elkaar gekoppeld worden, wat technisch mogelijk is, binnen het sociaal domein gebeurd[21] en waarschijnlijk ook meer zal gaan gebeuren.[22] En hoewel de Wams zelf expliciet niet is gericht op vroegsignalering door middel van het koppelen van gegevensbestanden (data-analyse); is niet uitgesloten dat de brij aan informatie (Big data) die wordt verzameld en opgeslagen op een later moment toch nog aan data-analyse wordt onderwerpen. Omdat inburgeraars over het algemeen tot een etnische minderheid behoren is het risico op systemische discriminatie toch al bovengemiddeld. De overheid heeft het koppelen van data in het verleden al ingezet om overtredingen op te sporen.[23] En als er integraal gewerkt wordt, is het risico reëel dat bijvoorbeeld werkconsulenten kunnen zien dat een burger eerder een boete heeft gehad tijdens het inburgeringstraject. Op basis van die achtergrond zal een werkconsulent mogelijk eerder een maatregel opleggen aan deze (oud-)inburgeraar dan aan een burger waarbij geen achtergrondinformatie beschikbaar is over boetes die zijn opgelegd op grond van andere wetten. Naar mijn idee is het dus erg belangrijk om kritisch te kijken naar het op grotere schaal verwerken van persoonsgegevens van een bepaalde bevolkingsgroep. Op dit moment zie ik die kritische noot onvoldoende terugkomen in de Wet Inburgering 20.. en Wams. Ik hoop dat er in andere gremia meer aandacht aan wordt besteed dan in de Eerste Kamer gisteren.
- Met het huidige wetsvoorstel zal de gemeente moeten bijschakelen
Los van de belangenafweging die de wetgever dient te maken en de waarborgen die in de Wet Inburgering 20.. opgenomen kunnen worden, blijft het altijd van belang om in de uitvoeringspraktijk consequent oog te houden voor de beschreven belangenafweging. Voor de belangenafweging dient oog voor te zijn bij het vormgeven van informatiesystemen, het autoriseren van personen, het uitvragen van persoonsgegevens, het vastleggen van persoonsgegevens en het uitwisselen van persoonsgegeven met andere instanties. Het is onmogelijk om de Wet Inburgering 20.. zo vorm te geven dat die afweging in de dagelijkse praktijk niet meer nodig is. Tegelijkertijd kan niet verwacht worden van professionals in de uitvoering dat ze die afweging telkens volledig bewust maken bij elke verwerking van persoonsgegevens. Om te waarborgen dat er genoeg maar niet te veel persoonsgegevens worden verwerkt, zijn dus verschillende factoren van belang: de wet, de informatie-infrastructuur, de werkprocessen en het bewustzijn bij de uitvoeringsprofessionals dienen in symbiose voor een goede balans te zorgen. En waar de wetgever en de regering steken laat vallen in de wet en lagere regelgeving, zullen de anderen factoren en spelers een tandje moeten bijschakelen om ervoor te zorgen dat er precies genoeg persoonsgegevens worden uitgewisseld. Met de huidige stand van de Wet Inburgering 20.. en de bijbehorende AMvB kunnen gemeenten en ketenpartners zich opmaken voor een grote uitdaging om te realiseren dat er niet te veel gegevens worden verwerkt. In dat kader kijk ik met interesse uit naar de uitkomsten van de informatiekundige uitvoeringstoets die VNG Realisatie heeft uitgevoerd en de DPIA, in de positieve veronderstelling dat deze (deels) gepubliceerd worden.
[1] De naam van het wetsvoorstel blijft op het weinig ambitieuze Wet Inburgering 20...[1] steken, het is dan ook afwachten of 2022 wordt gehaald. Zie: https://www.binnenlandsbestuur.nl/sociaal/nieuws/wet-inburgering-wordt-opnieuw-uitgesteld.15097915.lynkx
[2] https://www.eerstekamer.nl/verslag/20201201/verslag
[3] Concept MvT wetsvoorstel Inburgering 20.., P. 9
[4] https://www.internetconsultatie.nl/veranderopgave_inburgering
[5] https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/advies_wet_inburgering.pdf
[6] https://www.eerstekamer.nl/behandeling/20200702/gewijzigd_voorstel_van_wet_6/document3/f=/vldblernn0or_opgemaakt.pdf
[7] https://www.eerstekamer.nl/behandeling/20201016/memorie_van_antwoord_2/document3/f=/vld4ivbeplz1_opgemaakt.pdf
[8] https://www.internetconsultatie.nl/besluitenregelinginburgering
[9] https://www.internetconsultatie.nl/besluitenregelinginburgering
[10] https://www.tweedekamer.nl/downloads/document?id=583a4154-7c00-4651-9139-a1663bb5f8a9&title=Bijlagen%20bij%20Uitvoeringstoets%20DUO.pdf
[11] https://www.divosa.nl/sites/default/files/onderwerp_bestanden/sessie_informatievoorziening_inburgering_1_juli_2020_vena.pdf
[12] https://www.divosa.nl/onderwerpen/veranderopgave-inburgering/vraag-en-antwoord-wet-inburgering
[13] Corrie Ebbers, De overheid moet de persoonlijke levenssfeer waarborgen, niet uithollen NEDERLANDS JURISTENBLAD − 14-2-2020, AFL. 6
[14] https://www.rijksoverheid.nl/documenten/kamerstukken/2020/06/04/memorie-van-toelichting-wetsvoorstel-wet-inburgering p. 6 eerste alinea, p. 10 derde alinea, paragraaf 2.5.3, p. 92 en https://www.eerstekamer.nl/behandeling/20201016/memorie_van_antwoord_2/document3/f=/vld4ivbeplz1_opgemaakt.pdf p. 42
[15] Zie Bijvoorbeeld artikel 14, derde lid, onder c en artikel 35 van het gewijzigd wetsvoorstel Inburgering 20… Zie ook artikel V van de voorgestelde Wams: https://www.internetconsultatie.nl/meervoudigeproblematiek/document/5573
[16] Op advies van de AP is de grondslag voor het verwerken van persoonsgegevens nader gespecificeerd maar dat m.i. niet voldoende als waarborg. Een betere waarborg kan bijvoorbeeld worden gerealiseerd door in de wet de verplichting op te nemen voor het college om procedures en instructies vast te stellen, die vind ik echter niet terug in de wet of de AMvB.
[17] https://www.eerstekamer.nl/behandeling/20201016/memorie_van_antwoord_2/document3/f=/vld4ivbeplz1_opgemaakt.pdf p. 42
[18] Zie artikel 9.10 in het concept besluit: https://www.internetconsultatie.nl/besluitenregelinginburgering
[19] kamerbrief van minister Koolmees inzake stand van zaken Veranderopgave Inburgering, d.d. 25 juni 2019, Kamerstukken II 2018/19, 32824, 283
[20] https://www.internetconsultatie.nl/meervoudigeproblematiek
[21] https://www.voswiz.nl/wp-content/uploads/2018/07/ICT-ondersteuning-bij-de-decentralisaties-in-het-sociale-domein-mei-2018.pdf bijvoorbeeld p. 42
https://kennisopenbaarbestuur.nl/media/62989/dienstverlening-verbeteren-met-big-data.pdf bijvoorbeeld p. 30
https://www.inlichtingenbureau.nl/Beleidsterreinen/Werk-en-Inkomen/Re-integratie/Jongeren-in-Beeld
[22] https://www.openrecht.nl/commentaar/93c02af8-d6be-4c49-a9c9-92b562a0e53a/ Afgaand op ontwikkelingen in andere domeinen is het meer dan aannemelijk dat er ook in het zorgdomein veel gebruik gaat worden gemaakt van data-analyse en big data.
https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/focus_ap_202-2023_groot.pdf p. 17
https://kennisopenbaarbestuur.nl/media/62989/dienstverlening-verbeteren-met-big-data.pdf p. 30
[23] http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBDHA:2020:865
Terug naar overzicht
