BSN en de AVG
Eerder schreef Monique Hennekens een blog over hoe organisaties het beste kunnen omgaan met de verwerking van het Burger Service Nummer (BSN). Inmiddels is het aftellen naar de Algemene Verordening Gegevensbescherming (AVG) begonnen, die de Wet bescherming persoonsgegevens (Wbp) zal vervangen. Hoe zit het dan met het verwerken van BSN?
Status BSN onder de AVG
Het BSN maakt het voor overheidsinstanties mogelijk om gegevens van burgers op te zoeken en foutloos uit te wisselen. Onder de huidige privacywetgeving is het BSN een bijzonder persoonsgegeven. Er geldt een verbod om het BSN te verwerken, tenzij daarvoor een wettelijke verplichting bestaat. Het BSN staat echter niet bij de bijzondere persoonsgegevens in de AVG. Wel staat in de Uitvoeringswet op deze AVG dat het BSN slechts mag worden gebruikt ter uitvoering van een wettelijke verplichting. De ratio hierachter is dat de risico’s van het verwerken van het BSN groot zijn. Bij onrechtmatig gebruik van dit unieke identificatienummer kunnen ernstige nadelige gevolgen optreden voor de betrokken persoon, zoals identiteitsfraude. Kortom: de status van het BSN wijzigt niet onder de AVG. Overigens is de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) op dit moment nog een wetsvoorstel dat bij de Tweede Kamer ligt, maar de verwachting is dat de bepaling over het BSN ongewijzigd zal blijven.
Het al dan niet mogen verwerken van het BSN is een onderwerp waar veel vragen over bestaan bij organisaties. Wanneer mag je bijvoorbeeld als werkgever het BSN van werknemers verwerken? Mag de arbodienst BSN nummers verwerken? En als je ZZP’er bent, hoe zit het met het vermelden van het btw-nummer op de website, waarin het BSN volledig is opgenomen?
Werkgevers en het BSN
Als werkgever gelden er bepaalde wettelijke verplichtingen op basis waarvan het BSN geregistreerd moet worden. Deze verplichting geldt bijvoorbeeld op grond van de belastingwetgeving in het kader van de salarisadministratie. De werkgever mogen echter uitsluitend het BSN verwerken voor het doel van die wet en dus niet voor andere doeleinden. Zo mag een werkgever het BSN van haar werknemers niet gebruiken om te koppelen aan verslagen van beoordelingsgesprekken of voor het draaien van verzuimrapportages.
Een werkgever moet in het kader van re-integratieverplichtingen een arbodienst of bedrijfsarts inschakelen. De werkgever mag in dat geval aan de arbodienst of bedrijfsarts het BSN van die werknemer verstrekken. Maar de werkgever mag het BSN niet verstrekken aan de Arbodienst of bedrijfsarts als de werknemer niet ziek is.
ZZP’ers en het BSN
Een heikel punt is het verwerken van het BSN van ZZP’ers door de Belastingdienst, door deze in het btw-nummer op te nemen. Voor een rechtmatige verwerking van het BSN zou de Belastingdienst een wettelijke verplichting moeten hebben. Op welke wettelijke verplichting de Belastingdienst de verwerking van het BSN in het btw-nummer baseert is niet bekend. Daarom is in juni 2017 – na diverse verzoeken van ZZP’ers – door de Autoriteit Persoonsgegevens aangekondigd dat hier een onderzoek naar zou worden ingesteld. De uitkomst van dit onderzoek is nog niet bekend. Gelet op de bescherming van het BSN van een ZZP-er kan ik me voorstellen dat de Autoriteit Persoonsgegevens de Belastingdienst zal aangeven dat deze andere BTW nummers zal moeten invoeren.
Hulp nodig?
Mocht je vragen hebben over het al dan niet mogen verwerken van het BSN, neem dan contact op.
