Besluit van 1 september 2014 tot wijziging van het Besluit SUWI in verband met regels voor fraudeaanpak door gegevensuitwisselingen en het effectief gebruik van binnen de overheid bekend zijnde gegevens met inzet van SyRI

De belangrijkste onderwerpen van het besluit betreffen:

• 1. de voorwaarden waaraan een verzoek om gebruik te maken van SyRI moet voldoen (artikel 5a.1);

• 2. de aanwijzing en de taak van de bewerker in het kader van SyRI (artikel 5a.2);

• 3. de analyse van de resultaten uit SyRI (artikel 5a.3);

• 4. de aanvang en het einde van een SyRI-project (artikel 5a.4);

• 5. het register voor risicomeldingen (artikel 5a.5);

• 6. de evaluatie van het gehanteerde risicomodel (artikel 5a.6).

Een belangrijke manier om dit te bereiken is door gebruik te maken van gegevens die de overheid of andere organisaties met een publieke taak al beschikbaar hebben. De mogelijkheden van gegevensuitwisseling moeten daarom optimaal worden benut. Dit draagt bij aan het draagvlak in de sociale zekerheid en een adequate fraudebestrijding. Dit is het uitgangspunt van SyRI.

SyRI is een instrument waarmee in een beveiligde omgeving op een zorgvuldige manier data worden gekoppeld en vervolgens geanalyseerd, zodat risicomeldingen kunnen worden gegenereerd. SyRI wordt ingezet in het kader van een integraal optreden ter voorkoming en bestrijding van onrechtmatig gebruik van overheidsgelden en – voorzieningen op het terrein van de sociale zekerheid en de inkomensafhankelijke regelingen, de voorkoming en bestrijding van belasting – en premiefraude, en het niet naleven van arbeidswetten.

De gegevensverwerking in SyRI gebeurt onder verantwoordelijkheid van de Minister van Sociale Zaken en Werkgelegenheid (hierna: de Minister).

Alleen een samenwerkingsverband van bestuursorganen en personen als bedoeld in artikel 64, eerste lid, van de Wet SUWI, kan een verzoek tot de inzet van SyRI bij de Minister indienen. Als mogelijke deelnemers aan het samenwerkingsverband zijn in de Wet SUWI aangewezen:2 de gemeenten, het Uitvoeringsinstituut werknemersverzekeringen (hierna: UWV), de Sociale verzekeringsbank (hierna: SVB), de Belastingdienst en de personen3 die zijn belast met het houden van toezicht op de naleving en uitvoering van de regelgeving op het terrein van de Minister, in dit geval de Inspectie van het Ministerie van SZW (hierna: Inspectie SZW). De Wet SUWI laat de mogelijkheid open ook andere bestuursorganen en personen die belast zijn met een publiekrechtelijke taak ter zake bij ministeriële regeling aan te wijzen als mogelijke deelnemers. De samenwerking dient een structureel karakter te hebben.4 De kern van de samenwerking betreft het integraal overheidsoptreden ten aanzien van:

• a. het voorkomen en bestrijden van onrechtmatig gebruik van overheidsgelden en overheidsvoorzieningen;

• b. het voorkomen en bestrijden van belasting- en premiefraude, of

• c. het niet naleven van arbeidswetten.

Bovengenoemde bestuursorganen en personen werkten tot de inwerkingtreding van de wijzigingswet SUWI al samen binnen zogenaamde interventieprojecten ten behoeve van integraal overheidsoptreden. Hiertoe zijn zij op 8 oktober 2003 de Samenwerkingsovereenkomst voor interventieteams aangegaan. Andere partijen bij deze overeenkomst zijn het Openbaar Ministerie en de Sociale Inlichtingen- en Opsporingsdienst (tegenwoordig: Inspectie SZW, directie Opsporing). Op grond van de samenwerkingsovereenkomst is een Landelijke Stuurgroep Interventieteams (hierna: LSI) in het leven geroepen. In de LSI hebben de Belastingdienst, de Inspectie SZW, het UWV, de Vereniging Nederlandse Gemeenten (hierna: VNG), de Vereniging Divosa, de SVB, het openbaar ministerie, de politie en de ministeries van Financiën en van Sociale Zaken en Werkgelegenheid zitting.5 De LSI-structuur maakt een steviger en beter gecoördineerde aanpak van fraude mogelijk door middel van afstemming en aansturing op landelijk niveau. Ook heeft de LSI veel deskundigheid in huis, onder meer omdat zij in het verleden ten behoeve van bestandskoppelingen projectplannen van samenwerkingsverbanden beoordeelde binnen de interventieteamstructuur.

Alleen degenen die partij zijn bij de Samenwerkingsovereenkomst voor interventieteams kunnen een samenwerkingsverband in de zin van het besluit aangaan (zie de begripsomschrijving in artikel 1.1 Besluit SUWI) met uitzondering van het openbaar ministerie en de politie. Het openbaar ministerie en de politie maken dus geen deel uit van een samenwerkingsverband in de zin van het besluit en zij verstrekken ook geen gegevens. Anderzijds is het niet zo dat degenen die partij zijn bij de Samenwerkingsovereenkomst voor interventieteams daarmee automatisch tevens een samenwerkingsverband in de zin van het besluit vormen. Naast het feit dat men partij moet zijn bij de genoemde samenwerkingsovereenkomst zal uit het verzoek voor de inzet van SyRI moeten blijken met welke bestuursorganen en personen ten behoeve van een concreet project wordt samenwerkt, wat de concrete doelstelling van de samenwerking is en hoe de samenwerking is georganiseerd en vormgegeven.6 Indien aan deze elementen tezamen wordt voldaan is tevens sprake van een structureel samenwerkingsverband zoals bedoeld in de memorie van toelichting bij de wet.7

Een bestuursorgaan of persoon die op dit moment geen partij is bij de samenwerkingsovereenkomst heeft de mogelijkheid – eventueel tijdelijk voor de duur van het SyRI-project – toe te treden. De Samenwerkingsovereenkomst voor interventieteams en eventuele wijzigingen hierop worden door de Minister in de Staatscourant gepubliceerd.

Een van de deelnemers aan een samenwerkingsverband is de Inspectie SZW in haar rol van toezichthouder op de naleving van regelgeving van de Minister. De Inspectie SZW neemt hierbij een bijzondere positie in. Zij kan in haar rol van toezichthouder samen met anderen een verzoek tot inzet van SyRI indienen.

Daarnaast speelt de Inspectie SZW een centrale rol bij de analyse van de gekoppelde gegevens. Het gaat hier om een ander onderdeel van de Inspectie SZW, te weten de analyse-eenheid. Deze analyse-eenheid is verantwoordelijk voor het risicomodel en het afgeven van de risicomeldingen. De analyse-eenheid voert de werkzaamheden die zijn neergelegd in artikel 5a.3 Besluit SUWI namens de Minister uit.

Het risicomodel is een model dat bestaat uit vooraf bepaalde indicatoren en geeft aan of er sprake is van een verhoogd risico. Bij het ontwerp van het risicomodel beschrijft de Inspectie SZW voor welke specifieke fraudevorm het instrument SyRI wordt ingezet en onderbouwt gemotiveerd welke gegevens daartoe bij elkaar worden gebracht.

Wanneer de deelnemers aan een samenwerkingsverband SyRI willen inzetten voor een SyRI-project dienen zij daartoe een verzoek bij de Minister in. Het verzoek dient aan een aantal criteria te voldoen die zijn neergelegd in artikel 5a.1 Besluit SUWI. Zo zal uit het verzoek moeten blijken dat het daadwerkelijk om een samenwerkingsverband gaat.8 Hiertoe geven de bestuursorganen en personen het gezamenlijke doel van de samenwerking in hun verzoek weer evenals de gegevens die daarvoor moeten worden samengebracht en de bestuursorganen en personen die deelnemen aan de samenwerking.9 De doelstelling van het samenwerkingsverband moet passen binnen de doelbinding die geldt voor de te verstrekken gegevens door deelnemers en dient welbepaald en uitdrukkelijk te zijn omschreven. De concrete doelstelling van de samenwerking is bepalend voor de vraag welke gegevens moeten worden aangeleverd. In het verzoek dient zoveel mogelijk te worden geconcretiseerd welke persoonsgegevens exact nodig zijn om de doelstelling te behalen. Meestal zal het gaan om actuele gegevens. Indien deelnemers niet-actuele gegevens in het project willen brengen, omdat zij bijvoorbeeld de geschiedenis in beeld willen brengen, moeten zij dit motiveren. Voorts zijn de gegevens die ten behoeve van de inzet van SyRI kunnen worden aangeleverd gelimiteerd.10

In het verzoek tot inzet van SyRI wordt tevens de beoogde aanvangsdatum van het SyRI-project evenals de verwachte duur opgegeven.11 Ook staat in het verzoek op welke wijze de Minister (feitelijk: de analyse-eenheid van de Inspectie SZW namens de Minister) de risicomeldingen dient terug te koppelen aan de deelnemers aan het samenwerkingsverband.12

Dit is van belang omdat er grote verschillen tussen SyRI-projecten op het vlak van tijd en capaciteit kunnen bestaan. Dit vergt daarom afspraken over de aard en omvang van de terugkoppeling.

Met het proportionaliteitsbeginsel wordt beoogd te voorkomen dat de inperking van de belangen van de natuurlijke personen of rechtspersonen op wie de verwerking van de gegevens betrekking heeft, onevenredig is in verhouding tot het doel dat met de verwerking gediend wordt.17 Voor een uitgebreide toelichting wordt verwezen naar paragraaf 3 van het algemeen deel van de memorie van toelichting bij de wijzigingswet SUWI.18

Het subsidiariteitsbeginsel houdt in dat het doel waarvoor de persoons- of bedrijfsgegevens zouden moeten worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van de gegevens betrokken natuurlijke personen of rechtspersonen minder nadelige wijze kan worden bereikt.19 Voor een uitgebreide toelichting wordt verwezen naar paragraaf 3 van het algemeen deel van de memorie van toelichting bij de wijzigingswet SUWI.20

Omdat zowel persoons- als bedrijfsgegevens onderdeel kunnen zijn van SyRI en de bijbehorende risicomeldingen, gelden de beoordelingscriteria «proportionaliteit» en «subsidiariteit» niet alleen voor persoonsgegevens maar ook voor bedrijfsgegevens.

De gegevensverwerking bestaat uit twee fasen:

• • Fase 126

  In de eerste fase brengt de bewerker de bestanden samen en pseudonimiseert deze. Hierna wordt door de bewerker de eerste stap in de risicoselectie toegepast op deze versleutelde gegevens: de bestanden worden getoetst aan het risicomodel (met alle indicatoren). Dit genereert potentiële treffers. Onder potentiële treffer wordt een treffer verstaan die een verhoogd risico op fraude aanduidt. Vervolgens worden de potentiële treffers door de bewerker ontsleuteld. Elk risicomodel met vooraf bepaalde indicatoren kan evenwel leiden tot verklaarbare toevalstreffers die niet op fraude duiden. Deze toevalstreffers dienen terzijde te worden gelegd. Daarom is een vervolgstap nodig (fase 2).

• • Fase 227

  In de tweede fase worden de ontsleutelde potentiële treffers nader geanalyseerd door de analyse-eenheid van de Inspectie SZW. Op basis van de definitieve risicoselectie doet de Minister (lees: de analyse-eenheid van de Inspectie SZW) risicomeldingen.

Indien een natuurlijk persoon of rechtspersoon met een verhoogd risico geen onderwerp is van een risicomelding worden zijn of haar gegevens binnen vier weken na afronding van de analyse vernietigd.32 De Minister (lees: de analyse-eenheid van de Inspectie SZW namens de Minister) vernietigt eventueel resterende gegevens na terugkoppeling door de deelnemers aan het samenwerkingsverband. Dit hoeft niet onmiddellijk na ontvangst te zijn, maar wel uiterlijk twee jaar na aanvang van het SyRI-project.33 De vernietiging wordt vastgelegd in een proces-verbaal.34

Deze opdracht tot vernietiging strekt zich niet uit tot de gegevens in het register risicomeldingen.35 Hiervoor geldt op grond van artikel 65, vijfde lid, van de wet een bewaartermijn van twee jaar.

De definitieve selectie van risicomeldingen wordt opgeslagen in het register risicomeldingen.

Het register wordt beheerd door de Minister (lees: de analyse-eenheid van de Inspectie SZW namens de Minister). Indien er een verzoek tot inzage door een natuurlijk persoon of een rechtspersoon wordt gedaan over de aanwezigheid van zijn of haar gegevens in risicomeldingen kan het register hiervoor worden gehanteerd. Indien er sprake is van een lopend onderzoek dan kan dit verzoek worden geweigerd omdat het de modus operandi zou kunnen vrijgeven waaraan calculerende burgers hun gedragingen zouden kunnen aanpassen. Bij ministeriële regeling kunnen nadere regels worden gesteld waaronder regels over de vernietiging van de gegevens in het register.36

Het CBP adviseert om vooraf zoveel mogelijk inzichtelijk te maken welke selectie van persoonsgegevens wordt gemaakt. Dit punt wordt geheel onderschreven.

Echter, omdat de selectie van gegevens per samenwerkingsverband en per project verschilt is het niet mogelijk dit in de regelgeving voor alle individuele projecten uit te werken. Het principe wordt gewaarborgd doordat deelnemende partijen voorafgaand aan elk project toetsen welke gegevens noodzakelijk zijn voor het specifieke opsporingsdoel. Deelnemende partijen geven in hun verzoek het gezamenlijke doel van de samenwerking weer evenals de gegevens die daarvoor moeten worden samengebracht. De doelstelling van het samenwerkingsverband moet passen binnen de doelbinding die geldt voor de te verstrekken gegevens door deelnemers en dient welbepaald en uitdrukkelijk te zijn omschreven. De concrete doelstelling van de samenwerking is bepalend voor de vraag welke gegevens moeten worden aangeleverd. In het verzoek dient zoveel mogelijk te worden geconcretiseerd welke persoonsgegevens exact nodig zijn om de doelstelling te behalen. Voorts zijn de gegevens die ten behoeve van de inzet van SyRI kunnen worden aangeleverd gelimiteerd.38 Hierdoor wordt de inperking van het recht op privacy zo klein mogelijk gehouden. Bovenstaande is toegelicht in de memorie van toelichting bij de wet en nader uitgewerkt in onderhavig besluit.

Gezien de aard van het instrument SyRI is in de fase van beleidsontwikkeling een Privacy Impact Assessment (hierna: PIA) uitgevoerd.40 Met behulp hiervan is de noodzaak van gegevensverwerking bekeken, en zijn op gestructureerde wijze de implicaties van SyRI op de gegevensbescherming in kaart gebracht. Hierbij is in het bijzonder aandacht besteed aan de beginselen van gegevensminimalisering en doelbinding, het vereiste van een goede beveiliging en de rechten van betrokkenen.

In SyRI worden persoonsgegevens verwerkt. Artikel 64, eerste lid, van de Wet SUWI geeft de doelbinding waarvoor SyRI kan worden ingezet. Per project wordt door de samenwerkende partijen het doel bepaald waarvoor SyRI wordt ingezet. Het doel voor de inzet van SyRI verschilt per project, maar dat doel moet passen binnen de doelbinding van artikel 64, eerste lid. Bij het indienen van het verzoek voor de inzet van SyRI wordt de concrete doelstelling aangegeven alsmede de concrete gegevens die worden aangeleverd. De doelstelling is voor alle samenwerkende partijen dezelfde. In het besluit is nader uitgewerkt hoe de verantwoordelijkheid voor de verwerking van gegevens in SyRI is belegd. De gegevensverwerking vindt in twee fasen plaats en zal worden gebruikt om risicomeldingen te genereren. De verwerkte gegevens worden niet verwerkt om buiten de doelbinding van SyRI het gedrag, de aanwezigheid of de prestaties van betrokkenen in kaart te brengen en of te beoordelen of te voorspellen. Door de regels die aan het instrument SyRI worden gesteld in dit besluit wordt bewerkstelligd dat met de inzet van het instrument op een zorgvuldige manier data worden verwerkt en vervolgens geanalyseerd onder verantwoordelijkheid van de Minister.

Aan artikel 1.1 worden een aantal begripsomschrijvingen toegevoegd. Zo is een begripsomschrijving van «bestand» opgenomen. Qua inhoud is aangesloten op de begripsomschrijving van bestand in artikel 1 van de Wbp met dien verstande dat de begripsomschrijving in het besluit niet beperkt is tot persoonsgegevens, maar ook betrekking heeft op bedrijfsgegevens. Onder persoonsgegevens wordt elk gegeven verstaan betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Een bedrijfsgegeven is een gegeven betreffende een geïdentificeerde of identificeerbare rechtspersoon. Tussen een persoonsgegeven en een bedrijfsgegeven kan overlap zitten. Zo kan informatie over een eenmanszaak direct te herleiden zijn tot een natuurlijk persoon en daarmee tot persoonsgegevens. Wanneer in het kader van de Wet SUWI over gegevens wordt gesproken omvat dit ook persoonsgegevens in de zin van de Wbp.

Voor het begrip «bewerker» is één op één aangesloten op de begripsomschrijving in artikel 1, onderdeel e, van de Wbp. Een bewerker is degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag onderworpen te zijn. De verantwoordelijke is de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt (artikel 1, onderdeel d, van de Wbp). In een samenwerkingsverband zijn de samenwerkende bestuursorganen en personen gezamenlijk verantwoordelijke (artikel 64, tweede lid, Wet SUWI).

Voorts is een begripsomschrijving van «indicator» opgenomen. De indicatoren zijn van belang voor de risicoselectie; de risicoselectie resulteert in risicomeldingen. Aan de hand van de indicatoren worden de potentiële treffers bepaald die moeten duiden op een verhoogd risico in relatie tot het doel van de bestandskoppeling. Met andere woorden: de aanwezigheid van een indicator maakt het waarschijnlijker dat een bepaalde omstandigheid zich voordoet.

Voorbeelden van indicatoren zijn:

• a. als personen met een uitkering volgens de basisregistratie personen (Brp) op verschillende adressen ingeschreven staan terwijl zij op een adres woonachtig zijn dan kan sprake zijn van samenleeffraude;

• b. indien het vermogen van iemand in een jaar explosief stijgt kan sprake zijn van verzwegen inkomsten of vermogen;

• c. als personen met een uitkering onroerend zaak belasting betalen voor een bedrijfspand kan dat duiden op uitkeringsfraude.

Ten behoeve van de duidelijkheid is een begripsomschrijving van «samenwerkingsverband» opgenomen. In de begripsomschrijving in artikel 1.1 is verwezen naar artikel 64, eerste lid, Wet SUWI. De begripsomschrijving is daarmee tweeledig: in artikel 64, eerste lid, van de wet staan namelijk zowel het doel van de samenwerking als de bestuursorganen en personen die kunnen samenwerken genoemd. Het doel van de samenwerking is integraal overheidsoptreden op een beperkt aantal terreinen. Het aantal partijen dat kan samenwerken is gelimiteerd. De bestuursorganen en personen die deelnemen aan een samenwerkingsverband zijn in het kader van het verwerken van de gegevens gezamenlijke verantwoordelijke41 in de zin van de Wbp. Onder «verwerken» wordt hier verstaan: elke handeling of elk geheel van handelingen met betrekking tot persoons- of bedrijfsgegevens. Hieronder vallen in ieder geval het verzamelen, het vastleggen, het ordenen, het bewaren, het bijwerken, het wijzigen, het opvragen, het raadplegen, het gebruiken, het verstrekken door middel van doorzending, de verspreiding of enige andere vorm van terbeschikkingstelling, het samenbrengen, het met elkaar in verband brengen en het afschermen, het uitwisselen en het vernietigen van gegevens. Van een samenwerkingsverband is voorts alleen sprake indien het bestuursorganen en personen betreft die tevens partij zijn bij de Samenwerkingsovereenkomst voor interventieteams. Voorts heeft de begripsomschrijving alleen betrekking op samenwerkingsverbanden die gebruik willen maken van SyRI. Voor samenwerkingsverbanden die geen gebruik maken van artikel 65 geldt deze begripsomschrijving nadrukkelijk niet. Deze vallen buiten de reikwijdte van het besluit.

Zie ook paragraaf 2.2 van het algemeen deel van deze nota van toelichting.

De begripsomschrijving «samenwerkingsverband» geldt nadrukkelijk alleen voor de werkingssfeer van SyRI en wordt dus slechts gehanteerd als bestuursorganen en personen samenwerken en gebruik willen maken van SyRI. Met andere woorden: deze begripsomschrijving geldt niet in situaties dat SyRI niet wordt ingezet en het samenwerkingsverband alleen is gebaseerd op artikel 64 Wet SUWI.

In artikel 1.1 is ook een begripsomschrijving van «SyRI» opgenomen, een kernbegrip in de systematiek van SyRI. SyRI omvat de technische infrastructuur en de bijbehorende procedures waarmee in een beveiligde omgeving op een zorgvuldige manier versleutelde data kunnen worden gekoppeld en vervolgens geanalyseerd, zodat risicomeldingen kunnen worden gegenereerd. Een risicomelding betekent dat een natuurlijk persoon of rechtspersoon onderzoekswaardig wordt geacht in verband met mogelijke fraude, onrechtmatig gebruik of niet naleving van wetgeving.

Nog een kernbegrip in de systematiek van SyRI is het «SyRI-project». Dit is het project dat beoogd met gebruikmaking van SyRI informatie te vergaren voor de doelstelling van dat project (artikel 1.1). Het SyRI-project vangt op een door de Minister vast te stellen datum aan, nadat is vastgesteld dat het verzoek tot inzet van SyRI aan de voorwaarden voldoet (artikel 5a.4, eerste lid). In de praktijk zal die aanvangsdatum in samenspraak met het samenwerkingsverband en de bewerker worden bepaald. Het SyRI-project eindigt zodra de deelnemers aan het samenwerkingsverband een terugkoppeling aan de Minister hebben gegeven over de ontvangen risicomeldingen (artikel 5a.4, tweede lid).

Voor de toelichting op de prioritering en de analysecapaciteit wordt verwezen naar het algemeen deel van de toelichting op pagina 12 en 13.

De Minister stelt een prioritering van de analysecapaciteit op basis van de beschikbare capaciteit bij de Minister en de bewerker en aan de hand van bepaalde thema’s. De prioritering wordt na vaststelling door de Minister door de LSI met de partijen van de Samenwerkingsovereenkomst voor interventieteams gecommuniceerd.

Voor een uitvoerige toelichting wordt verwezen naar paragraaf 2.2 van het algemeen deel van deze nota van toelichting.

Artikel 5a.2 is pas aan de orde nadat is vastgesteld dat het verzoek van het samenwerkingsverband aan de voorwaarden van artikel 5a.1 voldoet.

In artikel 5a.2 zijn de werkzaamheden van de bewerker (IB) nader uitgewerkt. De bewerker voert de eerste fase van de risicoselectie uit (zie ook paragraaf 2.4 van het algemeen deel van deze nota van toelichting). De deelnemers aan het samenwerkingsverband leveren de bestanden met persoons- en bedrijfsgegevens aan bij de bewerker. Deze bestanden kunnen ook gegevens bevatten die instanties in het kader van de inlichtingenplicht, bedoeld in artikel 64 Wet werk en bijstand en artikel 54 van de Wet SUWI, aan gemeenten, UWV en SVB moeten verstrekken. Een voorbeeld hiervan zijn gegevens in het kader van openbare nutsvoorzieningen energie en water.

In de eerste fase brengt de bewerker de bestanden samen en versleutelt deze. Hierna worden de bestanden gekoppeld. Deze koppeling wordt aangemerkt als de opname in SyRI. Na afgifte van de risicomeldingen maken de gegevens geen deel meer uit van het systeem. De deelnemers aan het samenwerkingsverband zijn verantwoordelijken in de zin van de Wbp voor wat betreft dit voortraject, dat wil zeggen tot het aanleveren van de gegevens aan het IB. Vanaf de aanlevering aan het IB is de Minister verantwoordelijke in de zin van de Wbp42. Deze verantwoordelijkheid eindigt weer na het afgeven van de risicomeldingen. Vanaf de ontvangst van de risicomeldingen zijn de deelnemers aan het samenwerkingsverband ieder afzonderlijk verantwoordelijke in de zin van de Wbp voor de informatie die zij via de risicomeldingen ontvangen hebben.

Via de koppeling overeenkomstig het risicomodel worden potentiële treffers gegenereerd.

Na de ontsleuteling en verstrekking van de potentiële treffers door de bewerker (derde lid, onderdelen f en g) wordt een nadere analyse van de potentiële treffers uitgevoerd. In deze fase gaat het om ontsleutelde gegevens. Deze worden beoordeeld op onderzoekswaardigheid.

Op basis van de definitieve risicoselectie bepaalt de Minister (lees: de analyse-eenheid van de Inspectie SZW) welke treffers leiden tot een risicomelding (eerste lid). Deze worden vervolgens verstrekt aan die bestuursorganen en personen van het samenwerkingsverband die deze nodig hebben ter uitvoering van hun wettelijke taak.

Zie ter zake ook artikel 65, derde lid, onderdeel a, Wet SUWI. Dit betekent dat de inhoud van de risicomelding per bestuursorgaan en persoon over eenzelfde natuurlijk persoon of rechtspersoon kan verschillen. Ook kan de Minister op verzoek van het openbaar ministerie of de politie risicomeldingen verstrekken.43 Gelijktijdig met de risicomelding informeert de Minister het betrokken bestuursorgaan of persoon over de grondslag van de van toepassing zijnde geheimhoudingsplicht. Ingevolge artikel 65, vierde lid, Wet SUWI blijft de geheimhoudingsplicht namelijk gelden van de organisatie die de gegevens heeft verstrekt. Dit betekent bijvoorbeeld dat op gegevens afkomstig van de Belastingdienst de geheimhoudingsplicht van artikel 67 Algemene wet inzake rijksbelastingen van toepassing blijft.44

De risicomeldingen die de bestuursorganen en personen van de Minister ontvangen kunnen ook aanleiding zijn deze tevens door te geleiden naar het openbaar ministerie of politie. Dit doen zij rechtstreeks zonder tussenkomst van het samenwerkingsverband of de Minister.

Het derde en vijfde lid zijn mede opgenomen naar aanleiding van de reactie van het CBP op het wetsvoorstel wijzigingswet SUWI. Door middel van deze leden wordt geborgd dat de persoons- en bedrijfsgegevens niet langer worden bewaard dan strikt noodzakelijk is.

In het derde lid is tevens bepaald dat indien een natuurlijk persoon of rechtspersoon geen onderwerp van een risicomelding is, zijn of haar gegevens binnen vier weken na afronding van de analyse worden vernietigd. Het gaat om al die gegevens die niet resulteren in een constatering van een verhoogd risico op onrechtmatige gebruik van overheidsgelden en overheidsvoorzieningen op het terrein van de sociale zekerheid en de inkomensafhankelijke regelingen, belasting- en premiefraude en het niet naleven van arbeidswetten.

In artikel 65, zesde lid, Wet SUWI is neergelegd dat de bestuurorganen en personen die een risicomelding van de Minister ontvangen de resultaten hiervan terugkoppelen aan de Minister. In artikel 5a.3, vierde lid, is bepaald binnen welke termijn die terugkoppeling moet plaatsvinden: twintig maanden te rekenen vanaf de aanvang van het SyRI-project. Feitelijk betekent dit dat het gebruik van de risicomeldingen – ruimschoots – binnen die twintig maanden moet liggen. Zie ook de paragrafen 2.4 en 2.6 van het algemeen deel van deze nota van toelichting.

Artikel 5a.4 bepaalt wanneer een SyRI-project aanvangt en eindigt. Indien is vastgesteld dat het verzoek tot inzet van SyRI aan de voorwaarden voldoet, bepaalt de Minister vervolgens de aanvangsdatum van het SyRI-project (eerste lid). Uiteraard gebeurt dit in overleg met dat samenwerkingsverband. Het vaststellen van de aanvangsdatum hangt direct samen met de beschikbare capaciteit van het IB en de prioritering van de analysecapaciteit (zie artikel 5a.1, zevende lid). Van het SyRI-project doet de Minister vervolgens mededeling in de Staatscourant.

Het SyRI-project eindigt zodra alle deelnemers aan het samenwerkingsverband een terugkoppeling aan de Minister hebben gegeven over het nut en de bruikbaarheid van de risicomeldingen (tweede lid). Hierbij wordt de ontvangst van de laatste terugkoppeling als einddatum gehanteerd. In artikel 5a.3, vierde lid, is hieraan ook een termijn gekoppeld: binnen twintig maanden na aanvang van het SyRI-project moet de terugkoppeling aan de Minister hebben plaatsgevonden. Zie ook paragraaf 2.6 van het algemeen deel van deze nota van toelichting.

De risicomeldingen die worden gedaan worden opgeslagen in een register risicomeldingen waarvan de Minister de verantwoordelijke in de zin van de Wet bescherming persoonsgegevens is (tweede lid). Het eerste lid bepaalt voor welk doel de risicomeldingen in het register risicomeldingen worden opgenomen en het derde lid bepaalt dat de gegevens uit het register risicomeldingen gelet op de doelomschrijving in het eerste lid alleen aan projectdeelnemers en subjecten van onderzoeken worden verstrekt. De subjecten worden niet geïnformeerd over de risicomeldingen die in het register risicomeldingen worden verwerkt (vierde lid). Indien een subject een verzoek om informatie over de verwerking in het register risicomeldingen indient, wordt het verzoek beoordeeld met inachtneming van de Wet bescherming persoonsgegevens.

De risicomeldingen worden, gelet op het bepaalde in het vijfde lid, voor de duur van twee jaar in het register risicomeldingen opgenomen. Na die twee jaar worden de risicomeldingen vernietigd.

Zie ook paragraaf 2.5 van het algemeen deel van deze nota van toelichting.