Snelle aanpak nodig om privacyrisico's in openbare registers te beperken
Een snelle realisatie is essentieel om de privacyrisico's te beperken zonder de maatschappelijke waarde van deze registers aan te tasten, en om hun rechtmatigheid en effectiviteit op de lange termijn te waarborgen.
Spanning tussen openbaarheid en gegevensbescherming
Openbare registers gedefinieerd als registers die zijn ingesteld bij of krachtens de wet, en raadpleegbaar zijn voor eenieder (oftewel ongeacht je hoedanigheid of belang), vervullen belangrijke maatschappelijke functies, zoals het waarborgen van rechtszekerheid, transparantie van bestuur en bescherming van economische belangen. De toegenomen toegankelijkheid, door ontwikkelingen op het gebied van digitalisering, automatisering en AI, leidt echter tot spanning tussen deze openbaarheid en het recht op gegevensbescherming.
Deze spanning werd nog duidelijker door uitspraken van het Hof van Justitie van de EU, waaronder het zetten van een streep door het openbare karakter van het UBO-register, en door zorgen geuit door de Autoriteit Persoonsgegevens (AP) en register-beheerders over misbruikrisico’s, variërend van identiteitsfraude tot intimidatie. In reactie op deze zorgen gaf het WODC opdracht voor dit onderzoek.
Belangrijkste bevindingen
Er zijn 2 openbare registers die niet openbaar zouden moeten zijn: het register waarin particuliere beveiligingsorganisaties en recherchebureaus zijn opgenomen en het Centraal Gezagsregister, waarin alle beslissingen staan over het gezag van minderjarigen die afwijken van het gezag dat automatisch uit de wet (van rechtswege) voortvloeit. Bij de eerste ontbreekt een wettelijke grondslag voor de openbaarheid van het hele register. Bij de tweede is de brede toegankelijkheid onvoldoende gemotiveerd en leidt die tot onevenredige veiligheidsrisico’s voor minderjarigen, waardoor openbaarmaking in zijn huidige vorm niet verdedigbaar is.
Bij 7 van de overige 11 registers ontbreekt een wettelijke grondslag voor het openbaar maken van bepaalde persoonsgegevens. Het gaat dan bijvoorbeeld om woonadressen of geboortedatums. Alle onderzochte registers vertonen daarnaast tekortkomingen in de manier waarop openbaarmaking is ingericht, waarbij de ernst van de gebreken per register verschilt.
In geen van de registers wordt structureel bijgehouden wie gegevens raadpleegt. In sommige gevallen gaat het om miljoenen raadplegingen per jaar, maar is niet inzichtelijk of de juiste doelgroepen worden bereikt of de gegevens daadwerkelijk worden gebruikt waarvoor het register bedoeld is. De kern van het probleem ligt vaak niet in de openbaarheid zelf, maar in het gemak waarmee toegang wordt verleend. Dat een register openbaar is, betekent niet dat er geen waarborgen mogen gelden voor de toegang. Het ontbreken van dergelijke waarborgen maakt grootschalige verzameling en combinatie van gegevens mogelijk, waardoor de verwerking verder gaat dan de oorspronkelijke bedoeling van de wetgever.
Aanbevelingen
De onderzoekers doen een aantal aanbevelingen:
- Zorg voor expliciete wettelijke grondslagen voor alle openbaar gemaakte persoonsgegevens waarvoor openbaarheid noodzakelijk is;
- Voer gelaagde toegang in waar mogelijk, waarbij basisinformatie breed toegankelijk is en detailinformatie beperkt;
- Voorkom bulkverstrekkingen door gerichte zoekopdrachten te vereisen en een standaardprocedure voor legitieme bulkverzoeken, zoals onderzoek, in te voeren;
- Beperk de standaardweergave van persoonsgegevens tot wat strikt noodzakelijk is;
- Harmoniseer verificatievragen (dit zijn aanvullende gegevens die nodig zijn voor toegang tot een specifieke registratie in het openbare register) bij decentraal gehouden registers, zoals het boedelregister;
- Implementeer standaardbeschermingsmaatregelen, zoals beperkingen in hoe vaak een actie mag worden uitgevoerd binnen een bepaalde tijd;
- Zorg voor systematische logging en monitoring om gebruikspatronen te analyseren;
- Ontwikkel uniforme richtlijnen voor afschermingsmogelijkheden;
- Evalueer periodiek de effectiviteit van registers en het gebruik door beoogde doelgroepen;
- Faciliteer eenvoudige toegang voor goed identificeerbare doelgroepen, zoals overheidsinstanties en beroepsgroepen
Onderzoeksteam Open Universiteit
Het onderzoek werd uitgevoerd door de Open Universiteit onder leiding van Anna Berlee, hoogleraar Gegevensbescherming en privacyrecht. De coördinatie was in handen van Sien Devriendt. Het team bestond verder uit Michele Reumers, Nathalie Schnabl, Derk Venema, Mark Visser, René Mahieu, Laura Drechsler, Astrid van Duijn, Karen van der Schaaf, Mirella Peereboom - van Drunick , Wendy de Zee en Marco Smeets van de faculteit Rechtswetenschappen, en Fabian van den Broek van de faculteit Bètawetenschappen.