Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Bezuidenhoutseweg 30, 2594 AV Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl
Aangetekend/Vertrouwelijk
De Minister van Financiën
De heer mr. W.B. Hoekstra MBA
Postbus 20201
2500 EE DEN HAAG
Datum Ons kenmerk
4 december 2018 z2018-16470
Contactpersoon
[VERTROUWELIJK]
Onderwerp
Verwerkingsverbod
1. Samenvatting
1 De AP heeft besloten om aan de minister van Financiën met ingang van 1 januari 2020 een
verwerkingsverbod op te leggen voor het verwerken van het BSN in het btw-identificatienummer. Dit
gebruik van het BSN is namelijk in strijd met de AVG in samenhang bezien met de Uitvoeringswet AVG.
2 Sinds 2007 bevat het door de Belastingdienst uitgegeven btw-identificatienummer het BSN van
zelfstandigen. Op dit moment zijn dat meer dan 1,1 miljoen mensen.1 Zij zijn onder meer wettelijk
verplicht om het btw-identificatienummer te vermelden op hun website als zij hun diensten online
aanbieden en op facturen. Het BSN van betrokkenen is daarmee kenbaar voor derden waarmee de kans op
misbruik voor identiteitsfraude toeneemt. De gevolgen van dergelijke identiteitsfraude kunnen voor
betrokkenen verstrekkend zijn.
3 Volgens de Belastingdienst zal een structurele oplossing waarmee de overtredingen worden beëindigd –
en het btw-identificatienummer dus geen BSN meer bevat – zeker vijf jaar in beslag nemen. Dit vanwege
de samenhang met andere noodzakelijke ICT-aanpassingen die zij moet doorvoeren. Volgens de
Belastingdienst kan dit alleen sneller als aan dit probleem politieke prioriteit wordt gegeven en er meer
budget beschikbaar wordt gesteld.
1
http://statline.cbs.nl/StatWeb/publication/?DM=SLNL&PA=81588ned.
1
Datum Ons kenmerk
4 december 2018 z2018-16470
2. Verloop van de procedure
4 De AP heeft ambtshalve onderzoek verricht naar het gebruik door de Belastingdienst van het BSN in het
btw-identificatienummer van zelfstandigen met een eenmanszaak. Op 26 juni 2018 heeft de AP het
onderzoeksrapport vastgesteld en aan de minister verzonden. De openbare versie van het rapport is op 6
juli 2018 gepubliceerd op de website van de AP.
5 De AP heeft de minister bij brief van 5 juli 2018 in kennis gesteld van haar voornemen om per 1 januari
2019 een verwerkingsverbod op te leggen en de minister in de gelegenheid gesteld mondeling of
schriftelijk zijn zienswijze naar voren te brengen. De minister is daarbij uitgenodigd voor een hoorzitting.
In deze brief heeft de AP tevens verzocht de resultaten van het eigen onderzoek van de Belastingdienst
naar de mogelijkheden tot een andere vormgeving van het btw-identificatienummer2 toe te sturen.
6 Bij brief van 30 juli 2018 heeft de AP een informatieverzoek aan de minister verstuurd waarin hem is
verzocht informatie te verstrekken over de stand van zaken en eventuele resultaten van voormeld
onderzoek. Hierop is geen schriftelijke reactie ontvangen.
7 Op 28 augustus 2018 heeft een hoorzitting plaatsgevonden waarbij de Belastingdienst in de gelegenheid is
gesteld haar zienswijze te geven op het voornemen tot oplegging van een verwerkingsverbod.
3. Onderzoeksrapport
8 In het onderzoeksrapport is opgenomen dat de Belastingdienst is belast met het verstrekken van btw-
identificatienummers aan ondernemingen. De Belastingdienst bouwt het btw-identificatienummer voor
zelfstandigen met een eenmanszaak op uit het BSN van de betreffende natuurlijke persoon, voorafgegaan
door ‘NL’ en de toevoeging ‘B’ plus een volgnummer (bijvoorbeeld 01) daarachter.
9 De minister van Financiën is de verwerkingsverantwoordelijke voor deze verwerking van
persoonsgegevens. De Belastingdienst geeft feitelijk uitvoering aan deze verwerking.
10 Het gebruik van het BSN in btw-identificatienummers van zelfstandigen met een eenmanszaak is in het
rapport in strijd met artikel 46 van de Uitvoeringswet Algemene verordening gegevensbescherming
(UAVG) geacht. Voorts is in het rapport geconcludeerd dat voor de onderzochte verwerking de vereiste
grondslag ontbreekt, waardoor deze in strijd is met artikel 6, eerste lid van de Algemene verordening
gegevensbescherming (AVG). Tevens is de verwerking ten aanzien van de betrokkenen niet ‘rechtmatig’
en ‘behoorlijk’. Daarmee is de verwerking in strijd met artikel 5, eerste lid, aanhef en onder a van de AVG.
2
In antwoord op de vraag van de Kamerleden Van der Molen en Omtzigt (beiden CDA) en Lodders (VVD) aan de staatssecretaris van
Financiën en de minister van Binnenlandse Zaken en Koninkrijksrelaties of ervoor kan worden zorggedragen dat nieuwe btw-
nummers van zzp’ers niet langer het BSN bevatten, is aangegeven dat mogelijkheden van een andere vormgeving van het btw-
identificatienummer worden onderzocht en de Tweede Kamer voor de zomer van 2018 hierover zal worden geïnformeerd.
2/8
Datum Ons kenmerk
4 december 2018 z2018-16470
4. Wettelijk kader
11 Het onderzoek van de AP is gestart in 2017, toen de Wet bescherming persoonsgegevens (Wbp) nog van
kracht was. Per 25 mei 2018 is de AVG van toepassing, alsmede de UAVG. De Wbp is op die datum
ingetrokken, ingevolge artikel 51 van de UAVG. De onder de Wbp geldende regels voor de verwerking van
het BSN zijn onder de AVG en de UAVG inhoudelijk gelijk gebleven.3
12 De conclusies in het onderzoeksrapport van de AP hebben betrekking op een in tijd voortdurende
verwerking, die zowel vóór 25 mei 2018 (toen de Wbp van kracht was) als vanaf 25 mei 2018 plaatsvindt
(sinds de AVG en de UAVG van toepassing zijn).
13 Voorts is de Wet algemene bepalingen burgerservicenummer (Wabb) van toepassing, waarin algemene
regels over de toekenning, het beheer en het gebruik van het BSN zijn opgenomen.
14 Artikel 58, tweede lid, onder f, van de AVG luidt als volgt:
“2. Elk toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende
maatregelen:
(…)
f) een tijdelijke of definitieve verwerkingsbeperking, waaronder een verwerkingsverbod, opleggen;
(…)”
15 In artikel 87 van de AVG is het volgende bepaald:
“De lidstaten kunnen de specifieke voorwaarden voor de verwerking van een nationaal
identificatienummer of enige andere identificator van algemene aard nader vaststellen. In dat geval wordt
het nationale identificatienummer of enige andere identificator van algemene aard alleen gebruikt met
passende waarborgen voor de rechten en vrijheden van de betrokkene uit hoofde van deze verordening.”
16 In artikel 46 van de UAVG is het volgende bepaald:
“1. Een nummer dat ter identificatie van een persoon bij wet is voorgeschreven, wordt bij de verwerking
van persoonsgegevens slechts gebruikt ter uitvoering van de desbetreffende wet dan wel voor doeleinden
bij de wet bepaald.
2. Bij algemene maatregel van bestuur kunnen andere dan in het eerste lid bedoelde gevallen worden
aangewezen waarin een daarbij aan te wijzen nummer als bedoeld in het eerste lid, kan worden gebruikt.
Daarbij kunnen nadere regels worden gegeven over het gebruik van een zodanig nummer.”
17 In artikel 10 van de Wabb is het volgende bepaald:
“Overheidsorganen kunnen bij het verwerken van persoonsgegevens in het kader van de uitvoering van
3
Kamerstukken II, 2017/18, 34851, nr. 3, p. 51.
3/8
Datum Ons kenmerk
4 december 2018 z2018-16470
hun taak gebruik maken van het burgerservicenummer, met inachtneming van hetgeen bij of krachtens dit
hoofdstuk is bepaald.”
18 Artikel 5 van de AVG luidt, voor zover hier van belang, als volgt:
“1.Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant
is (,,rechtmatigheid, behoorlijkheid en transparantie”);
(...)”
19 Artikel 6 van de AVG luidt, voor zover hier van belang, als volgt:
“1 De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande
voorwaarden is voldaan:
(...)
(e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in
het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is
opgedragen;”
20 Artikel 24 Wbp (van kracht tot 25 mei 2018) luidt als volgt:
“1 Een nummer dat ter identificatie van een persoon bij wet is voorgeschreven, wordt bij de verwerking van
persoonsgegevens slechts gebruikt ter uitvoering van de betreffende wet dan wel voor doeleinden bij de
wet bepaald.
2 Bij algemene maatregel van bestuur kunnen andere dan in het eerste lid bedoelde gevallen worden
aangewezen waarin een daarbij aan te wijzen nummer als bedoeld in het eerste lid, kan worden gebruikt.
Daarbij kunnen nadere regels worden gegeven over het gebruik van een zodanig nummer.”
5. Zienswijze
21 Naar aanleiding van het voornemen van de AP om een verwerkingsverbod op te leggen heeft de
Belastingdienst tijdens de hoorzitting van 28 augustus 2018 mondeling een zienswijze gegeven.
22 De staatssecretaris van Financiën heeft de conclusies uit het onderzoekrapport van 26 juni 2018
volmondig onderschreven en wil zich sterk inzetten voor een oplossing van het probleem.4
23 De Belastingdienst heeft onderzocht wat de mogelijkheden zijn van een ‘geschikte en bestendige
nummersystematiek’ die een oplossing biedt voor deze overtredingen. Hierbij zijn zeven alternatieven
onderzocht waarvan één alternatief de invoering van een geheel nieuwe nummersystematiek behelst
waarbij 'betekenisloze nummers’ worden gebruikt en het gebruik van het BSN in het btw-
4
Zie ook de brief van 13 juli 2018 van de staatssecretaris van Financiën aan de Tweede Kamer, waarin de staatssecretaris de conclusies
uit het onderzoeksrapport van de AP van 26 juni 2018 onderschrijft.
4/8
Datum Ons kenmerk
4 december 2018 z2018-16470
identificatienummer wordt beëindigd. Een dergelijke nieuwe nummersystematiek heeft volgens de
Belastingdienst de voorkeur, aangezien dit een ‘structurele’ oplossing biedt.
24 De gevolgen en de duur van de implementatie van de diverse alternatieven zijn enkel voor één alternatief
(dat in eerste instantie een snelle oplossing leek te bieden voor de betreffende problematiek) uitgebreid
onderzocht middels een uitvoeringstoets. De andere alternatieven, waaronder de invoering van een geheel
nieuwe nummersystematiek, zijn op die punten slechts marginaal onderzocht.
25 De Belastingdienst schat in dat de implementatie van elk alternatief minimaal vijf jaar in beslag zal
nemen. De Belastingdienst heeft dit bij de hoorzitting als volgt toegelicht en onderbouwd. Het ‘IT-
landschap’ bij de Belastingdienst dient in algemene zin te worden vernieuwd en/of aangepast, hetgeen een
ingrijpende en omvangrijke operatie zal worden. Inmiddels worden plannen (‘doelarchitectuur’)
ontwikkeld die inzicht geven in de noodzakelijke en gewenste aanpassingen in het IT-landschap. De
invoering van een nieuwe nummersystematiek kan en moet, vanwege de onderlinge samenhang tussen
alle IT-systemen en aanpassingen, in die doelarchitectuur worden meegenomen. De
implementatietermijn van de nieuwe nummersystematiek is volgens de Belastingdienst daarom mede
afhankelijk van de overige aanpassingen in het IT-landschap en de planning daarvan.
26 De Belastingdienst heeft uitdrukkelijk aangegeven dat een versnelling van de implementatie van alle
noodzakelijke IT-maatregelen – en daarmee ook van de beëindiging van de geconstateerde overtredingen
– slechts kan worden bereikt als hieraan politieke prioriteit wordt gegeven en er meer budget beschikbaar
wordt gesteld.
27 De Belastingdienst heeft daarnaast toegelicht dat in september 2018 een commissie van externe
deskundigen is samengesteld op het gebied van ict, bestuur en privacy. Deze commissie heeft een
tweeledige opdracht gekregen, te weten:
1) het beoordelen van de technische en organisatorische complexiteit van de tot nu toe onderzochte
varianten alsmede de juridische aspecten, teneinde de bevindingen uit de onderzoeken van de
Belastingdienst te kunnen bevestigen dan wel falsificeren, en
2) het op basis van dit oordeel formuleren van alternatieven om binnen een termijn van maximaal vijf jaar
tot een structurele oplossing te komen, met flankerende maatregelen voor overbrugging van deze periode.
Deze commissie zal volgens de planning in de opdracht eind 2018 haar onderzoek afronden.
6. Overtredingen
28 Het BSN is een nummer dat dient ter identificatie van een persoon en bij wet (de Wabb) is
voorgeschreven, zoals bedoeld in artikel 46 van de UAVG. Op grond van artikel 46 van de UAVG mag het
BSN slechts worden gebruikt ter uitvoering van de Wabb dan wel voor doeleinden die in de Wabb of in een
andere wet zijn bepaald. Op basis van artikel 10 van de Wabb mag het BSN door overheidsorganen worden
gebruikt bij het verwerken van persoonsgegevens in het kader van de uitvoering van hun taak.
29 De AP stelt vast dat de Belastingdienst een overheidsorgaan is als bedoeld in artikel 10 van de Wabb en in
die zin het BSN mag gebruiken bij de uitvoering van haar taak. Dit gebruik dient ingevolge artikel 6, eerste
5/8
Datum Ons kenmerk
4 december 2018 z2018-16470
lid, onder e, van de AVG wel noodzakelijk te zijn. Het gebruik van het BSN in het btw-identificatienummer
kan echter niet als noodzakelijk worden aangemerkt, waardoor artikel 10 Wabb geen grondslag kan bieden
voor dit gebruik. Evenmin voorziet een andere bepaling / ander doeleinde in de Wabb of een andere wet in
de op grond van artikel 46 van de UAVG vereiste wettelijke grondslag voor het zelfstandige gebruik van het
BSN in het btw-identificatienummer. Derhalve is dit gebruik in strijd met artikel 46 van de UAVG en
artikel 6, eerste lid, van de AVG. De Belastingdienst heeft deze overtredingen ook erkend.
30 Tevens is de verwerking in strijd met artikel 5, eerste lid, onder a van de AVG, omdat de verwerking niet
rechtmatig is. De verwerking is ook niet behoorlijk ten aanzien van de betrokkenen. Hun BSN wordt
immers oneigenlijk gebruikt met als gevolg dat dit via het btw-identificatienummer (verplicht) wordt
geopenbaard aan derden. Dit staat haaks op de uitgangspunten omtrent het gebruik van het BSN.
7. Ernst en duur van de overtredingen
31 Het BSN is bedoeld voor de communicatie tussen burger en overheid (omwille van eenduidige
identificatie) en voor de gegevensuitwisseling tussen overheidsorganen onderling, of tussen de overheid
en andere, bij wet aangewezen partijen (omwille van een doelmatige en betrouwbare verwerking en
uitwisseling van gegevens). Met uitwisseling ervan moet terughoudend worden omgegaan, omdat het
BSN misbruikt kan worden voor identiteitsfraude, met mogelijk ernstige gevolgen voor de betrokkene. Het
risico op misbruik neemt toe naarmate het BSN breder bekend en toegankelijk is. Het BSN is dus een
gevoelig persoonsgegeven dat niet thuishoort in de openbaarheid.
32 Voor zelfstandigen met een eenmanszaak is dit echter al sinds 2007 het geval, als gevolg van de verwerking
van het BSN in btw-identificatienummers.5 Het btw-identificatienummer is bedoeld om veelvuldig te
worden gebruikt in het zakelijk verkeer. Het is bijvoorbeeld sinds 1 juli 2004 verplicht voor zelfstandigen
met een eenmanszaak om dit nummer op hun website te vermelden als zij hun diensten online
aanbieden.6 Ook zijn zelfstandigen met eenmanszaken verplicht het btw-identificatienummer kenbaar te
maken aan (potentiële) afnemers door het op facturen te vermelden.7 Op deze wijzen wordt hun BSN
kenbaar en/of openbaar voor derden. Het risico op identiteitsfraude wordt daarmee vergroot, zeker in
combinatie met openbare gegevens uit het Handelsregister (bijvoorbeeld het privéadres indien dit gelijk is
aan het zakelijk adres, geboortedatum, geboorteplaats en officiële voornamen van de zelfstandige met een
eenmanszaak). Het aantal getroffen betrokkenen is met meer dan 1,1 miljoen zelfstandigen met een
eenmanszaak zeer groot.8
33 De AP stelt vast dat de overtredingen ten aanzien van de zelfstandige verwerking van het BSN in het btw-
identificatienummer reeds bestaan sinds de invoering van het BSN in het jaar 2007. Het probleem als
zodanig is ook meermaals in de Tweede Kamer aan de orde gesteld. In 2013 heeft de Tweede Kamer – na
5
Doordat in 2007 het BSN is geïntroduceerd werd voor natuurlijke personen het sofinummer omgezet in het BSN, waardoor het btw-
identificatienummer sindsdien ook het BSN van de eigenaar van de zelfstandige eenmanszaak bevat.
6
Ingevolge artikel 3:15d, eerste lid, aanhef en onder f, van het Burgerlijk Wetboek.
7
Ingevolge artikel 35a, eerste lid, aanhef en onder c, van de Wet Omzetbelasting.
8
http://statline.cbs.nl/StatWeb/publication/?DM=SLNL&PA=81588ned.
6/8
Datum Ons kenmerk
4 december 2018 z2018-16470
ontraden van de staatssecretaris van Financiën – een motie aangenomen om het gebruik van het BSN in
het btw-identificatienummer te beëindigen.9 In 2015 heeft de Tweede Kamer een motie aangenomen om
de kwetsbaarheden voor identiteitsfraude bij zzp’ers als gevolg van het gebruik van het BSN in het btw-
identificatienummer te onderzoeken.10 In 2016 en 2018 zijn er vragen11 over het onderwerp gesteld. De
minister is dus reeds gedurende langere tijd op de hoogte van de vragen en risico’s verbonden aan het
gebruik van het BSN in het btw-identificatienummer. Desondanks heeft dit niet geleid tot een
voortvarende aanpak van het probleem.12
8. Verwerkingsverbod
34 De AP besluit om op grond van artikel 58, tweede lid, aanhef en onder f, van de AVG met ingang van
1 januari 2020 een verwerkingsverbod op te leggen aan de minister om het BSN zelfstandig in btw-
identificatienummers te verwerken. De AP motiveert dit als volgt.
35 Het verwerkingsverbod strekt ertoe voormelde overtredingen te beëindigen. Vanwege het
verwerkingsverbod zal de Belastingdienst vóór 1 januari 2020 een oplossing moeten doorvoeren waardoor
zij het BSN niet meer zelfstandig gebruikt in btw-identificatienummers. Een dergelijke oplossing zou
kunnen bestaan uit de invoering van een geheel nieuwe nummersystematiek waarbij ‘betekenisloze
nummers’ worden gebruikt en het gebruik van het BSN wordt beëindigd.
36 Gelet op de beginselplicht tot handhaving waartoe de AP gehouden is, dient zij handhavend op te treden.
Immers, niet is gebleken van bijzondere omstandigheden waardoor de AP zou mogen afzien van
handhaving.
37 Gelet op de duur, omvang en ernst van de overtredingen, waaronder het grote aantal betrokkenen, dienen
de overtredingen zo spoedig mogelijk, doch uiterlijk 1 januari 2020 ongedaan te worden gemaakt. De AP
heeft bij het bepalen van deze termijn bepalend geacht dat de Belastingdienst weliswaar inschat dat het
invoeren van een nieuwe nummersystematiek vijf jaar in beslag zal nemen maar deze invoering aanzienlijk
kan worden versneld als hiervoor meer budget wordt vrijgemaakt. Dit is evenwel onmiskenbaar een
kwestie van politieke prioriteit.
38 De AP wijst er volledigheidshalve op dat het niet naleven van het verwerkingsverbod kan worden beboet
op grond van artikel 83, vijfde lid, aanhef en onder e, van de AVG.
9
Op 28 november 2013 hebben Tweede Kamer-leden Oosenbrug en Van der Linde een motie ingediend (zie: Kamerstukken II 2013/14,
33 750 VI, nr. 23). Op 3 december 2013 is deze door de Tweede Kamer aangenomen.
10
Op 25 juni 2015 heeft Tweede Kamer-lid Verhoeven een motie ingediend (zie: Kamerstukken II 2014/15, 32 637, nr. 188 (vervangen
door nr. 194 na wijziging van de motie)). Op 1 juli 2015 is deze door de Tweede Kamer aangenomen.
11
Op 10 juni 2016 hebben Tweede Kamer-leden Oosenbrug en Mei Li Vos vragen gesteld aan de minister van Veiligheid en Justitie en de
Staatssecretaris van Financiën over dit onderwerp (zie: Kamerstukken II 2015/16, Vraagnummer 2016Z11753) en op 12 maart 2018
hebben Tweede Kamer-leden Van der Molen, Omtzigt en Lodders vragen gesteld aan de staatssecretaris van Financiën en de minister
van Binnenlandse Zaken en Koninkrijksrelaties over dit onderwerp (zie: Kamerstukken II 2017/18, Vraagnummer 2018Z04290).
12
Uit de brief van 13 juli 2018 van de staatssecretaris van Financiën aan de Tweede Kamer volgt dat in 2014 en 2017 onderzoeken naar
voorliggend probleem zijn uitgevoerd. Daar is geen actie uit voortgekomen om het probleem daadwerkelijk op te lossen. In het
voorjaar van 2018 is wel een nieuw onderzoek gestart.
7/8
Datum Ons kenmerk
4 december 2018 z2018-16470
9. Dictum
39 De AP legt aan de minister van Financiën, wegens overtreding van artikel 46 van de UAVG, artikel 6, eerste
lid en artikel 5, eerste lid, aanhef en onder a, van de AVG, een verwerkingsverbod op met de volgende
inhoud:
- Met ingang van 1 januari 2020 is het de minister van Financiën verboden om het BSN zelfstandig in btw-
identificatienummers te verwerken.
Een afschrift van dit besluit wordt tevens verstuurd naar de Belastingdienst.
Hoogachtend,
Autoriteit Persoonsgegevens,
w.g.
mr. A. Wolfsen
Voorzitter
Rechtsmiddelen
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit een bezwaarschrift indienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag,
onder vermelding van “Awb-bezwaar” op de envelop.
8/8