Privacyverklaring BSNk

De minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is verantwoordelijk voor het verwerken van persoonsgegevens door het BSN-koppelregister Polymorfe Pseudoniemen (BSNk). Het beheer van BSNk wordt uitgevoerd door Logius. Logius is onderdeel van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en beheert overheidsbrede ICT-voorzieningen.

Waarborgen veiligheid

BSNk verwerkt persoonsgegevens om authenticatie op betrouwbaarheidsniveau “hoog” uit te kunnen voeren. 

Een burger of zelfstandig ondernemer kan zich bij een dienstaanbieder, zoals overheidsorganisaties (bijvoorbeeld gemeenten) en andere aangewezen organisaties (bijvoorbeeld zorgverzekeraars), aanmelden om toegang te krijgen tot online diensten. Dit gebeurt via een authenticatie (bijvoorbeeld met DigiD Hoog) zodat de dienstaanbieder de identiteit van de inloggende burger en/of zelfstandig ondernemer kan controleren. Om te zorgen dat hierbij het burgerservicenummer (BSN) zo min mogelijk wordt gebruikt, versleutelt BSNk het BSN. Bijvoorbeeld het Nederlandse rijbewijs en de ID-kaart bevatten een BSNk-versleuteld BSN en pseudoniem. 

Het gevolg van die versleuteling is dat het BSN dan alleen voor de dienstaanbieder leesbaar is. Als de dienstaanbieder volgens de wet het BSN mag verwerken, kan deze met een speciale sleutel het BSN achterhalen. Als de dienstaanbieder geen wettelijke bevoegdheid heeft om het BSN te verwerken dan krijgt deze alleen een pseudoniem. Per dienstverlener verschilt het pseudoniem, waardoor dienstaanbieders onderling niet kunnen kijken of dezelfde burger zich bij beide aanbieders heeft gemeld. 

Voor de authenticatie maakt het niet uit of de dienstaanbieder een pseudoniem of een BSN krijgt. De dienstaanbieder kan altijd de identiteit van de inloggende burger op betrouwbare wijze controleren. Het voordeel van BSNk is dat het BSN beter wordt beschermd, omdat de kans wordt verkleind dat partijen die daar geen wettelijke bevoegdheid voor hebben toegang krijgen tot het BSN. 

Voor dit doeleinde kunnen de volgende persoonsgegevens worden verwerkt: 

• BSN
• Voor- en achternaam
• Geboortedatum
• Documentnummer van het identiteitsdocument (WID-nummer)
• eIDAS UniquenessID
• Versleuteld BSN
• Versleuteld pseudoniem

Gebruikersondersteuning

BSNk verwerkt persoonsgegevens om burgers bij het gebruik van identificatiemiddelen waarop BSNk wordt toegepast te ondersteunen. Bijvoorbeeld door het behandelen van vragen en klachten van personen die contact opnemen met de Helpdesk.

Voor dit doeleinde kunnen de volgende persoonsgegevens worden verwerkt:

• BSN
• Voor- en achternaam
• E-mailadres
• Telefoonnummer
• Inhoud van het contactbericht, zoals vragen en klachten

(Beveiligings)incidenten

Logius analyseert (beveiligings)incidenten om deze te kunnen verhelpen en voorkomen.

Voor dit doeleinde kunnen de volgende persoonsgegevens worden verwerkt:

• IP-adres
• Kenmerken van de gebruikte software en hardware van het apparaat waarmee de gebruiker inlogt
• Handelingen van de gebruiker

Voorkomen en beëindigen van misbruik en oneigenlijk gebruik

Misbruik en oneigenlijk gebruik kan onder andere bestaan uit:

• aantastingen van en inbreuken op de technische beveiliging zoals hacken en DDoS-aanvallen;
• als anderen (met of zonder toestemming) iemands digitale identiteit gebruiken om er zaken mee te doen bij de overheid

Logius bestrijdt dit om continuïteit van onze dienstverlening te waarborgen om te voorkomen dat mensen de dupe worden van cybercrime zoals phishing en, in samenwerking met publieke dienstverleners, om fraude tegen te gaan. We nemen elke melding serieus. Hierdoor is de kans dat criminelen er met gevoelige gegevens vandoor gaan kleiner. 

Met onze ketenpartners werken we mee aan onderzoeken die mogelijk misbruik en oneigenlijk gebruik van onze diensten in kaart brengen. 

Als er aanwijzingen zijn van misbruik of oneigenlijk gebruik van BSNk mag Logius deze verder onderzoeken. Daarbij mogen Logius en haar partners onderling gegevens delen. Op basis van de uitkomsten van het onderzoek kan Logius besluiten of er maatregelen nodig zijn zoals het opschorten of intrekken van authenticatiemiddelen.

Als anderen iemands BSNk-gegevens hebben, kan die persoon de dupe worden van identiteitsfraude. In nauwe samenwerking met andere overheidsorganisaties helpt Logius gebruikers als het misgaat. Alle in onderdeel 2 genoemde gegevens kunnen worden gebruikt bij het voorkomen en beëindigen van misbruik en oneigenlijk gebruik. Voor het onderzoek worden echter alleen de hoogstnoodzakelijke gegevens gebruikt. Welke gegevens dat zijn, varieert per situatie.

Contact met aangesloten partijen

Logius heeft contact met de aangesloten partijen om deze op de hoogte te houden van incidenten en updates met betrekking tot BSNk. 

Voor dit doeleinde kunnen de volgende persoonsgegevens worden verwerkt:

• Naam bevoegde bestuurder van de aangesloten partij die gebruik maakt van BSNk
• Naam contactpersoon
• Functie contactpersoon
• Contactgegevens contactpersoon (e-mailadres en telefoonnummer)

De grondslag voor het verwerken van persoonsgegevens is het Besluit verwerking persoonsgegevens generieke digitale infrastructuur, dat gebaseerd is op de Wet digitale overheid. 

Aan (overheids)instellingen die gebruik maken van BSNk, verstrekt BSNk het BSN, waar mogelijk in gepseudonimiseerde vorm. Het (gepseudonimiseerde) BSN wordt verstrekt zodat de (overheids)instelling de identiteit van de gebruiker vast kan stellen. Er wordt alleen een BSN verstrekt wanneer dat voor de dienstverlening noodzakelijk is en alleen als de ontvangende partij het BSN mag verwerken. 

Verder worden er geen persoonsgegevens aan derden verstrekt zonder voorafgaande ondubbelzinnige toestemming van de gebruiker. Uitzondering hierop zijn een wettelijke verplichting om gegevens te verstrekken (zoals de wettelijke plicht om op verzoek gegevens te verstrekken aan opsporingsdiensten), of het verstrekken van gegevens aan een overheidsorgaan of rechtspersoon met een wettelijke taak die noodzakelijk is voor de borging van de beveiliging en betrouwbaarheid van BSNk.

Dat betekent onder meer dat bij beveiligingsincidenten, om misbruik en oneigenlijk gebruik van BSNk te voorkomen en beëindigen, Logius ook de aangesloten (overheids)organisatie(s) in wiens portaal een onveilig BSNk-middel is gebruikt om (proberen) binnen te komen, mag informeren en daarvoor noodzakelijke gegevens kan verstrekken.

U kunt met een Nederlands identificatiemiddel (zoals DigiD) inloggen bij overheidsdiensten in andere landen binnen de Europese Economische Ruimte (EER). Dit is geregeld in de eIDAS Verordening. Als u via eIDAS in een ander EER-land inlogt, wordt daarvoor een pseudoniem gebruikt dat voor alle logins in dat EER-land hetzelfde is. Meer informatie over eIDAS is te vinden op de website van Logius https://www.logius.nl/domeinen/toegang/eidas. 

Persoonsgegevens worden opgeslagen op ICT-faciliteiten die zich bevinden op Nederlands grondgebied en die worden beheerd door Logius. 

De gegevens die ten behoeve van BSNk verwerkt worden, moeten bewaard worden volgens de geldende wettelijke bewaartermijnen. Deze termijnen zijn gesteld om burgers bepaalde informatie te kunnen geven als zij hierom vragen, en om te voldoen aan de zorgplicht van de minister van Binnenlandse Zaken en Koninkrijksrelaties om beveiliging en betrouwbaarheid van BSNk te garanderen. Voor verwerkte persoonsgegevens waar geen wettelijke bewaartermijn voor geldt, is het uitgangspunt dat deze niet langer bewaard worden dan noodzakelijk.

Voor de precieze bewaartermijnen kunt u de onderstaande tabel raadplegen:

Wij verwerken uw persoonsgegevens in verband met de hiervoor omschreven doeleinden. Ten aanzien van deze verwerking kunt u de volgende rechten uitoefenen, door uw verzoek hiertoe te richten aan Logius:

• Recht om te weten te komen of wij persoonsgegevens van u verwerken en het recht op inzage in uw persoonsgegevens.
• Recht om uw persoonsgegevens te actualiseren, aan te vullen of de verwerking ervan te beperken, rekening houdende met de hiervoor omschreven doeleinden.
• Recht om uw persoonsgegevens te verwijderen, bijvoorbeeld als deze gegevens niet langer nodig zijn voor de hiervoor omschreven doeleinden.
• Recht op bezwaar tegen de verwerking van uw persoonsgegevens wegens met uw specifieke situatie verband houdende redenen.

U kunt uw verzoek indienen via de contactpunten in onderdeel 9 van deze privacyverklaring.

Na ontvangst van uw verzoek, zullen wij u via e-mail zo snel mogelijk, en uiterlijk binnen één maand, informeren over het gevolg dat aan het verzoek is gegeven. Indien wij geen gevolg aan uw verzoek geven, zullen wij de redenen hiervoor schriftelijk aan u mededelen.

Wij treffen passende technische en organisatorische maatregelen opdat uw persoonsgegevens adequaat beveiligd zijn. Deze maatregelen dienen om inbreuken op en aantastingen van de beveiliging en de processen van BSNk te voorkomen.

Onder informatiebeveiliging vallen ook de maatregelen om de betrouwbaarheid van BSNk te kunnen waarborgen. Om misbruik en oneigenlijk gebruik van BSNk te kunnen signaleren en beëindigen, voeren we controles uit op de gegevens. 

Wij zorgen ervoor dat de privacyverklaring actueel is en kunnen hiervoor deze privacyverklaring ten aller tijde wijzigen. In dat geval zullen wij de gewijzigde privacyverklaring publiceren op deze BSNk pagina, waarna deze direct van kracht is.

U kunt uw vragen, opmerkingen of suggesties ten aanzien van BSNk aan Logius doorgeven via het https://www.logius.nl/contact, telefonisch via 0900 – 555 45 55 (in Nederland, in het buitenland kiest u +31 70 889 63 60 of door een brief te schrijven naar Logius, postbus 96810, 2509 JE Den Haag.

Het ministerie van BZK heeft een functionaris voor gegevensbescherming. Deze functionaris houdt intern toezicht op de privacywetgeving. U kunt contact met deze functionaris opnemen via postbusfg@minbzk.nl.

De Autoriteit Persoonsgegevens (AP) houdt extern toezicht op de naleving van de privacywetgeving in Nederland. U heeft het recht om bij de AP een klacht over Logius in te dienen. Dat kan online via  https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/gebruik-uw-privacyrechten/klacht-melden-bij-de-ap, of telefonisch via 088 - 180 52 50.