AVG: Burgerservicenummer

Voor de andere delen kunt u hier klikken.
Het burgerservicenummer (BSN) wordt gebruikt om personen te identificeren omdat het aan een natuurlijk persoon is toegekend.¹ Naast het vastleggen van het BSN ter identificatie, dient ook het soort document (bijvoorbeeld paspoort) en het documentnummer te worden vastgelegd ter identificatie van de patiënt.² Vrijwel alle overheidsdiensten maken hier gebruik van.³ Dit zijn zij vaak ook verplicht om te gebruiken. Voor private organisaties is het vaak omgekeerd. Het BSN mag dan juist niet worden verwerkt. Op grond van de huidige Wet bescherming persoonsgegevens (Wbp) mag een BSN slechts worden verwerkt ter uitvoering van een wet of algemene maatregel van bestuur.⁴
Dit betekent dat in theorie bedrijven het BSN niet mogen verwerken, tenzij dit in een wet staat. Praktisch houden veel bedrijven zich hier niet aan. Bij het huren van een auto wordt bijvoorbeeld vaak een kopie van het ID-bewijs gemaakt waarop het BSN staat vermeld. Deze verwerking van het BSN is dan ook niet toegestaan.
In de zorg is het verwerken van het BSN ten behoeve van de dossiervoering geregeld in artikel 4 juncto artikel 8 Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg. Voor het koppelen en uitwisselen van medische gegevens is artikel 9 van deze wet de grondslag. Om ervoor te zorgen dat de gegevens uit het dossier bij de betreffende patiënt horen, zijn zorginstellingen en ziekenhuizen verplicht te koppelen op grond van het BSN. Ditzelfde geldt voor organisaties zoals Gerimedica, die een elektronisch uitwisselingssysteem beheren waarin het BSN is opgenomen.⁵ Als iedere organisatie een eigen identificatienummer zou hanteren, zou dit de kans vergroten dat gegevens bij de verkeerde patiënt terechtkomen.⁶
Wat gaat er nu veranderen met de komst van de AVG? Onder de Wbp is het BSN een bijzonder persoonsgegeven. Artikel 24 Wbp bevindt zich namelijk onder paragraaf 2, die de titel heeft “De verwerking van bijzondere persoonsgegevens”. Dit volgt uit de richtlijn waarop de Wbp is gebaseerd.⁷ In de AVG is de plaatsing van het artikel omtrent het BSN gewijzigd. Het is niet langer een bijzonder persoonsgegeven. De AVG stelt verder geen eisen aan de verwerking van het BSN, maar beschrijft slechts dat lidstaten specifieke voorwaarden kunnen stellen aan de verwerking van het BSN.⁸
In de Concept Uitvoeringswet AVG (de nieuwe Wbp) is een regeling opgenomen die inhoudelijk vergelijkbaar is met de huidige regeling.⁹ Dit betekent dat de enige verandering in het gebruik van het BSN is dat het niet meer als bijzonder persoonsgegeven wordt gezien, maar dezelfde eis voor de verwerking blijft gelden. Het BSN mag alleen worden verwerkt als hier een wettelijke grondslag voor is. In de zorg blijft men verplicht om het BSN te registreren om de gegevens te koppelen aan de juiste persoon en bij het koppelen van elektronische uitwisselingssystemen. Het BSN gebruiken in brieven om afspraken te bevestigen is derhalve niet toegestaan.
Dit betekent echter niet dat ook het BSN van bijvoorbeeld medewerkers van een zorginstelling mag worden verwerkt. De hiervoor besproken regeling geldt slechts voor het verwerken van het BSN van de patiënt en niet voor dat van de medewerker. Werkgevers zijn echter verplicht om bij indiensttreding van een nieuwe werknemer diens identiteit te controleren aan de hand van een identiteitsdocument.¹⁰ Na controle is de werkgever verplicht om een kopie van dat document (inclusief BSN) te bewaren. Een werkgever mag dan ook niet het BSN gebruiken als inlogcode voor werknemers.

Conclusie

De regels omtrent het BSN worden door de AVG inhoudelijk niet gewijzigd. In de zorg is de zorgaanbieder verplicht om het BSN van de patiënt te gebruiken ten behoeve van dossiervoering. Zeker in het geval van koppeling van medische gegevens bestaat de kans op het verkeerd koppelen van deze gegevens. Derhalve is de zorgaanbieder ook verplicht om gegevens van de patiënt te koppelen op grond van zijn BSN.

1. Artikel 1 sub a Wet algemene bepalingen burgerservicenummer.
2. Artikel 5 juncto artikel 6 Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg.
3. https://www.rijksoverheid.nl/documenten/publicaties/2013/01/23/overzicht-organisaties-die-het-burgerservicenummer-gebruiken.
4. Artikel 24 Wbp.
5. Artikel 2 lid 3 Besluit gebruik burgerservicenummer in de zorg; Kamerstukken II 2012/13, 33509, nr. 3, p. 12.
6. Kamerstukken II 2005/06, nr. 3, p. 13 e.v.
7. Artikel 8 lid 7 Richtlijn 95/46/EG.
8. Artikel 87 AVG.
9. Artikel 44 Concept Uitvoeringswet AVG.
10. Artikel 28 Wet op de loonbelasting.