Wet digitale overheid: heeft u nog even?

Kamerstuk 34972 nr, A d,d, 25 februari 2020

Relevantie:

• De Wdo bevat wijzigingen in het kader van digitalisering van het openbare bestuur. Doel van de Wdo betreft in hoofdzaak het regelen van veilige en betrouwbare inlogsystemen voor Nederlandse burgers en bedrijven bij de (semi-)overheid.

• Bij het ingaan van de Wdo moet de digitale dienstverlening van (semi)overheden op een hoger betrouwbaarheidsniveau moeten worden aangeboden.

• Naast het hogere betrouwbaarheidsniveau van het aanbod van digitale dienstverlening dienen burgers elektronische identificatiemiddelen te krijgen met een hoger betrouwbaarheidsniveau dan het huidige DigiD.

• Ten behoeve van goede toegang tot elektronische dienstverlening worden persoonsgegevens verwerkt. De Wdo bevat dan ook regels om de privacy van burgers te beschermen.

• Door de ingediende novelle wordt de vroegst mogelijke datum van inwerkingtreding van de Wet digitale overheid 1 juli 2022.

Inleiding

Nederland digitaliseert in een rap tempo. Al in 2015 behoorde Nederland tot de top vijf landen met de snelste internetverbinding wereldwijd. De coronapandemie heeft de digitalisering van onze maatschappij alleen maar doen versnellen. Het is dan ook niet gek, dat de Nederlandse overheid wil meebewegen met de ontwikkelingen in de samenleving. Ter bevordering van de digitalisering van het openbare bestuur is de ‘Wet digitale overheid’ (hierna: “Wdo”) aangenomen door de Tweede Kamer.  

Terugblik Wdo

Tweede Kamer

Op 19 juni 2018 is het wetsvoorstel digitale overheid  ingediend bij de Tweede Kamer. De beoogde inwerkingtredingsdatum van de Wdo was op dat moment 1 juli 2019. Uiteindelijk is het wetsvoorstel, na het aanbrengen van vele wijzigingen, op 18 februari 2020 aangenomen door de Tweede Kamer.

Eerste Kamer

Naar aanleiding van vragen vanuit de Eerste Kamer, heeft de regering doen besluiten om tot een zogenaamde ‘novelle’ over te gaan. Een novelle is een wetsvoorstel dat dient ter verbetering of aanvulling van een wetsvoorstel dat reeds bij de Eerste Kamer aanhangig is, maar nog niet van kracht is geworden. Op 22 juni 2021 is de novelle ingediend bij de Tweede Kamer. De novelle ligt op dit moment nog (steeds) ter voorbereiding bij de commissie van de Tweede Kamer.

Wat houdt de Wdo in?

De Wdo bevat een behoorlijk aantal wijzigingen in het kader van digitalisering van het openbare bestuur. Doel van de Wdo betreft in hoofdzaak het regelen van veilige en betrouwbare inlogsystemen voor Nederlandse burgers en bedrijven bij de (semi-)overheid.

In het vervolg wordt ingegaan op de twee voornaamste aandachtspunten van deze doelstelling, te weten:

1. Elektronische identificatie van burgers en bedrijven; en
2. Privacy.

Elektronische identificatie van burgers en bedrijven

Inmiddels zijn er meer dan 18 miljoen gebruikers van het huidige digitale identificatiemiddel; het DigiD. Het betrouwbaarheidsniveau van het DigiD is echter laag. Het is dan ook niet onbegrijpelijk dat de Wdo nadere eisen stelt aan de uitgifte van identificatiemiddelen, zodat Nederlandse burgers en bedrijven veilig en betrouwbaar kunnen inloggen bij de (semi-)overheid.

De Wdo maakt onderscheid in een drietal betrouwbaarheidsniveaus: laag, substantieel of hoog. Op dit moment wordt praktische alle dienstverlening van (semi-)overheden op niveau laag aangeboden. Bij het ingaan van de Wdo moet daar verandering in komen en zal de digitale dienstverlening van (semi)overheden op een hoger betrouwbaarheidsniveau moeten worden aangeboden.

Naast het hogere betrouwbaarheidsniveau van het aanbod van digitale dienstverlening, is het op grond van de Wdo voornamelijk de bedoeling dat de burgers zelf elektronische identificatiemiddelen (hierna: “eID”) krijgen met een hoger betrouwbaarheidsniveau dan het huidige DigiD. Het streven is erop gericht dat in de toekomst voor alle personen met een BSN-nummer, een eID op de betrouwbaarheidsniveaus substantieel en hoog beschikbaar komt. Het eID zou dan worden gekoppeld aan het BSN-nummer van de betreffende burger. Hierdoor zou met een voldoende mate van zekerheid kunnen worden vastgesteld aan wie de informatie wordt verstrekt of van wie de informatie afkomstig is. Voor bedrijven geldt dat de identificatie en authenticatie van het eID niet aan BSN-nummers wordt gekoppeld maar aan KvK- of RSIN-nummers.

Privacy

Ten behoeve van goede toegang tot elektronische dienstverlening worden persoonsgegevens verwerkt. De Wdo bevat dan ook regels om de privacy van burgers te beschermen.

Zoals gezegd wordt ter identificatie en authenticatie het BSN-nummer van burgers gekoppeld aan het eID. De verwerking van BSN-nummers is op grond van de Uitvoeringswet AVG (hierna: “UAVG”) enkel toegestaan indien daarvoor een specifieke wettelijke grondslag bestaat. Artikel 16 van de Wdo bevat een dergelijke grondslag. Deze grondslag is echter zeer beperkt. Het verlenen van elektronische dienstverlening an sich behoort tot het beleidsdomein en de verantwoordelijkheid van het desbetreffende bestuursorgaan en valt buiten de werkingssfeer van de Wdo. Voor de verwerking van het BSN en andere persoonsgegevens in het kader van de betreffende elektronische dienst dient dus een zelfstandige verwerkingsgrondslag aanwezig te zijn.

Naast de verwerking van BSN-nummers, worden ook minder gevoelige persoonsgegevens verwerkt. Om de algehele verwerking van persoonsgegevens zo betrouwbaar mogelijk plaats te laten vinden, dient op grond van de Wdo het ‘privacy by design’-principe te worden gehanteerd. Dit principe houdt in dat reeds bij het ontwerpen van producten/diensten rekening moet worden gehouden met de privacy van betrokkenen en privacy-beginselen moeten worden nageleefd.

In het kader van de Wdo worden de volgende privacy-beginselen in ieder geval van belang geacht bij het privacy by design principe:

1. Dataminimalisatie: slechts de noodzakelijke gegevens voor het verlenen van toegang mogen verwerkt worden;
2. Hotspots vermijden: het vermijden van grote concentraties van persoonsgegevens bij één partij;
3. Privacy enhancing technologies: waar mogelijk systematisch afdwingen van bescherming van persoonsgegevens door technieken zoals automatische anonimisatie;
4. Incident impact beperking: voorzien in maatregelen die de impact van een eventueel beveiligingsincident direct kunnen beperken.

Vooruitblik Wdo

Zoals opgemerkt heeft de regering op 22 juni 2021 een novelle ingediend. De novelle ligt op dit moment nog (steeds) ter voorbereiding bij de commissie van de Tweede Kamer. Pas na ontvangst van de novelle door de Eerste Kamer, zal zij de nadere procedure met betrekking tot het oorspronkelijke wetsvoorstel uitvoeren.

Door de ingediende novelle wordt de vroegst mogelijke datum van inwerkingtreding van de Wet digitale overheid 1 juli 2022. De daadwerkelijke datum van de inwerkingtreding is afhankelijk van wanneer de Kamer het wetsvoorstel met de wijziging bespreekt. Aldus: de Wdo, heeft u nog even?

Mocht u meer willen weten over dit onderwerp andere gerelateerde onderwerpen, neem dan vooral contact op met mr. Hester Ellemers.