Raad van State: bestandskoppeling gaat te ver

Het ontwerpbesluit SyRI, waarmee uitvoering moet worden gegeven aan uitgebreidere vormen van bestandskoppeling binnen een aangepaste Wet SUWI, krijgt niet de goedkeuring van de Raad van State.

Risico-indicatie
Het ministerie van SZW zet SyRI (Systeem Risico Indicatie) in als instrument voor fraudebestrijding, door het koppelen van bestanden op verzoek van een aantal organisaties die samenwerken in fraudebestrijding met uitkeringen en andre overheidsgelden. Vaak zijn dat gemeenten, UWV, Belastingdienst enzovoort, die in een Regionaal Centrum Fraudebestrijding (RCF) samenwerken. Het ontwerpbesluit SyRI, waarin de door de wetswijziging van de SUWI-wet mogelijk geworden brede inzet van SyRI is uitgewerkt, is volgens de Raad van State te ruim geformuleerd.

'Fishing expedition'
SyRI combineert en analyseert gegevens en haalt daaruit risicosignalen op basis van een vooraf bepaald risicomodel. Uiteindelijk gaan die signalen terug naar de aanvragers van een bestandskoppeling. Zowel dat risicomodel als de verwerking van de gegevens mogen volgens de wet geen 'fishing expedition' zijn, maar volgens de Raad wordt onvoldoende toegelicht hoe dat beginsel wordt toegepast.

Te veel gegevens
Het ontwerpbesluit staat de verwerking toe van gegevens over arbeid, bestuursrechtelijke maatrege­len en sancties, detentie, fiscale gegevens, gegevens over huisvesting, inburgering, re-integratie, schuldenlasten, uitkeringen, vergunningen en zorgverzekeringen.'De opsomming is zo ruim dat er nauwelijks een persoonsgegeven te bedenken is dat er niet onder valt. De opsomming lijkt niet bedoeld om in te perken, maar om zoveel mogelijk armslag te hebben', aldus de Raad. Ook zijn in de lijst gegevens opgesomd over overtredingen, boetes, detentie, zorgverzekeringen en re-integratie - gegevens die volgens de verruimde wet nadrukkelijk niet zouden worden gebruikt. Het advies van de Raad is deze gegevens te schrappen uit de lijst.

Betrokkenen informeren
Het besluit noemt ook summier een risicoregister dat er moet komen om betrokkenen desgevraagd te informeren over een risicomelding, zonder dat wordt vastgelegd waaraan dat register precies moet voldoen. Volgens de Raad is dat half werk en moeten regels over bewaartermijnen en beveiliging in het besluit zelf worden vastgelegd. Ook zou het de voorkeur verdienen de betrokkenen actief te informeren als zij onderwerp van onderzoek zijn geweest - ook als daarbij geen onregelmatigheden zijn geconstateerd.