>Het is even geleden dat ik aandacht besteedde aan de kwestie rond de opslag van vingerafdrukken.

SP-Kamerlid Ronald van Raak heeft inmiddels antwoord gekregen op de vragen die hij stelde over de opslag van vingerafdrukken in een database bij het commerciële bedrijf Sagem Identification.

Vragen van het lid Van Raak (SP) aan de minister van Binnenlandse Zaken en Koninkrijksrelaties over de centrale opslag van vingerafdrukken. (Ingezonden 16 maart 2010)

Vraag 1 Is het waar dat de digitale vingerafdrukken, gemaakt bij de aanmaak van een nieuw paspoort, opgeslagen worden in het Reisdocumenten Aanvraag en Archief Station (RAAS) en dat dit beheerd wordt door Sagem Identification?1 Vraag 2 Waarom is ervoor gekozen om het beheer van dit systeem onder te brengen bij een commercieel bedrijf? Vraag 3 Deelt u de opvatting dat dergelijke belangrijke en privacygevoelige gegevens enkel en alleen in het beheer van de overheid mogen zijn? Zo nee, waarom niet?

Antwoord

Het is juist dat de opgenomen vingerafdrukken digitaal worden opgeslagen in het RAAS.
Het Reisdocumenten Aanvraag en Archief Station (RAAS) is de apparatuur en
programmatuur waarmee de uitgevende instanties de aanvraaggegevens digitaal kunnen
verzenden aan de producent van de reisdocumenten. Elke uitgevende instantie van de
reisdocumenten heeft een of meerdere RAAS-en. Thans zijn er ca 700 RAAS-en.
Het RAAS wordt door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK)
al sinds 2001 beschikbaar gesteld aan de instanties die de reisdocumenten uitgeven.
Sinds oktober 2001 worden in het RAAS digitaal alle aanvragen voor Nederlandse
reisdocumenten opgeslagen.

Het RAAS is een uitvloeisel van de Europese aanbesteding die in 1999 is uitgevoerd met
het doel een leverancier te vinden voor de:
• ontwikkeling, productie en personalisatie van de Nederlandse reisdocumenten;
• ICT-ondersteuning (inclusief levering, installatie en onderhoud van apparatuur en
programmatuur);
• Fysieke distributie van de Nederlandse reisdocumenten.

Over de Europese aanbesteding van 1999 en de uitkomsten daarvan is de Tweede Kamer
toentertijd geïnformeerd. Ik verwijs hierbij onder meer naar de lijst van vragen en
antwoorden (TK 1998-1999, 25764 nr 11) inzake de nieuwe generatie reisdocumenten.
Enkele van deze vragen (en antwoorden) gaan over de systemen die zullen worden
ingevoerd voor het digitaal verlopen van het aanvraagproces. Ook bij de recente
wijziging van de Paspoortwet is, onder meer in de memorie van toelichting, ingegaan op
de opslag van de aanvraaggegevens in het RAAS.

De producent van de Nederlandse reisdocumenten onderhoudt in technische zin de
apparatuur en de programmatuur van RAAS. Het ministerie van Binnenlandse Zaken en
Koninkrijksrelaties is verantwoordelijk voor de wijze waarop de producent dat doet.

1 Sagem Identification http://www.sdu-identification.nl/index2.html

Vraag 4 Welke afspraken zijn er gemaakt met Sagem Identification over het beheer, de opslag en de beveiliging van de vingerafdrukken en andere persoonsgebonden gegevens? Vraag 5 Hoe is de verzending van privacygevoelige gegevens van gemeenten naar de centrale database beveiligd? Worden deze gegevens versleuteld? Zo ja, is deze versleuteling 100% veilig en dus niet te kraken? Zo nee, waarom niet?

Antwoord
De aanvraaggegevens worden door de uitgevende instanties van de Nederlandse
reisdocumenten digitaal verzonden naar de producent. De verzending vindt versleuteld
plaats. Daarenboven wordt er ook nog een digitale handtekening gezet over het
versleutelde aanvraagbericht. De aanvraagberichten worden verstuurd via besloten
netwerken. Absolute garanties zijn natuurlijk niet te geven, maar naar mijn mening is de
beveiliging van de verzending van de digitale gegevens in orde.

De producent bewaart alle persoonsgegevens uit de aanvraag 30 dagen. De naam van de
aanvrager wordt 90 dagen bewaard op zogenaamde geleidelijsten die worden gebruikt
voor controle van de te verzenden reisdocumenten.

Sinds de invoering van de vingerafdrukken in de Nederlandse reisdocumenten worden de
aanvraaggegevens in RAAS versleuteld opgeslagen. Dat geldt ook voor de back-ups die
de uitgevende instanties maken van de gegevens die in RAAS zijn opgeslagen.

Vraag 6 Kunt u uitsluiten dat onbevoegden toegang kunnen verkrijgen tot deze database? Zo nee, waarom niet? Vraag 7 Wie hebben er bij Sagem Identification toegang tot de opgeslagen gegevens? Zijn deze personen vooraf gescreend? Welke afspraken zijn er met deze personen gemaakt? Welke maatregelen zijn er genomen om bedrijfsspionage tegen te gaan? Vraag 8 Houdt u toezicht op het beheer van de gegevens door Sagem Identification? Zo ja, hoe is dit toezicht geregeld? Zo nee, waarom niet?

Antwoord
Aangenomen wordt dat met “database” de productiesystemen van Sagem Identification
worden bedoeld. Bij de producent van de Nederlandse reisdocumenten gelden stringente
beveiligingseisen. Het bedrijf beschikt vanzelfsprekend over een beveiligingsplan. Het
bedrijf is verdeeld in zones. Per zone is bepaald welke medewerkers daar toegang toe
hebben. Er is ook cameratoezicht en het personeel kan bij het verlaten van het gebouw
worden gevisiteerd. De producent van de Nederlands reisdocumenten mag op grond van
het Besluit justitiële gegevens het personeel screenen. Alle nieuwe medewerkers worden
ook daadwerkelijk gescreend. De producent is gecertificeerd volgens de ISO-27001
standaard (zie ook www.27000.org/iso-27001.htm) voor informatiebeveiliging. Jaarlijks
wordt er ook een audit uitgevoerd.

Het ministerie van BZK heeft het recht om bij de producent van de Nederlandse
reisdocumenten controles uit te voeren. Dat wordt ook gedaan. Zo worden er controles
uitgevoerd naar de kwaliteit van de reisdocumenten, maar ook worden er broncode-
analyses uitgevoerd naar de systemen die de producent gebruikt.

Ik wil er tenslotte op wijzen dat ten tijde van de verkoop van de aandelen van de Staat
der Nederlanden in Sdu Identification er een zogenaamde “Change of Control Agremeent”
is overeen gekomen. De Tweede Kamer is hierover door de minister van Financiën
geïnformeerd (TK 2006-2007, 27044, nr 4). Over de verkoop aan Sagem Sécurité S.A.
(een onderdeel van Groupe Safran) is de Tweede Kamer geïnformeerd op 19 juni en 11
juli 2008. In de laatste brief (TK 2007-2008, 28 165, nr 86) is expliciet aangegeven dat
er garanties zijn gegeven onder meer met betrekking tot de bescherming van de
persoonsgegevens die worden verwerkt.
Vraag 9 Wat gebeurt er met de opgeslagen gegevens bij een faillissement van Sagem Identification?

Antwoord
De gegevens waarover Sagem ten behoeve van de personalisatie tijdelijk de beschikking
krijgt, zijn eigendom van de Staat der Nederlanden en vallen derhalve buiten het
eventuele faillissement van Sagem.

Ronald van Braam, voormalig SP-raadslid, nu steunfractielid voor dezelfde partij in Zaanstad, en tevens de man aan wie de hernieuwde aandacht voor privacygerelateerde onderwerpen, zoals de opslag van vingerafdrukken grotendeels hebben te danken, vindt de beantwoording van Hirsch Ballin niet bevredigend, aldus een artikel op de lokale SP-website:

Een vreemde beantwoording want de opslag hoort voor 100% in handen te zijn van een publieke dienst en niet in handen van een commercieël bedrijf. Onze fractie is van mening dat het opslaan van privacy gegevens op welk onderdeel dan ook sowieso niet moet gebeuren.
Ondertussen word van elke burger zijn gegevens vastgelegd bij diens bank, arts enz…
Nederlanders denken vaak dat het niet uitmaakt omdat ze niets te verbergen hebben.
Maar bij toilet gebruik sluit je toch ook de deur en je bankafschriften/medisch dossier hang je ook niet aan een prikbord in de supermarkt ?
Het lijkt wel een verzameldrift te worden van de overheid om alles te weten te komen van ons.
En daar kleven risico’s aan , zoals misbruik en dat gegevens op straat komen te liggen.

Naar aanleiding van de kwestie heeft de Zaanse SP-fractie een nieuwe set vragen opgesteld, (waarvan je zou kunnen zeggen dat deze best ook in andere gemeenten als voorbeeld zouden kunnen worden gebruikt-hint!):

In hoeverre kan de gemeente Zaanstad haar inwoners beschermen tegen ongewenst gebruik van vingerafdrukken?

Is de gemeente verzekerd tegen onbevoegd gebruik van hun databank ?

Kan de gemeente zich verzekeren tegen het beheer van vingerafdrukken in een onveilige databank of tegen onbevoegd gebruik van binnenuit of buitenaf?

Is de burgemeester , als verantwoordelijke, op de hoogte van wie toegang heeft tot de database ?

Is de burgemeester ervan op de hoogte dat veiligheids- en inlichtingendiensten, politie en justitie allemaal van de database gebruik kunnen maken?

Hoe hoog is het percentage van mensen waar geen goede vingerafdrukken van genomen kunnen worden?

Klopt het dat van de vingerafdrukken die worden opgenomen er minstens 1% niet zouden blijken te kloppen als deze gecontroleerd zouden worden?

Is het correct dat de staatssecretaris opdracht heeft gegeven aan de gemeente om de gegevens van de identiteitsbewijzen bij uitgifte niet te controleren?

Klopt het dat vingerafdrukken die door het systeem als ongeschikt worden gekwalificeerd toch opgeslagen in de database?

Worden er ook van mensen waarvan de vingerafdrukken als ongeschikt worden gekwalificeerd toch de slechte kwaliteit afdrukken opgeslagen in de chip van het document?

Het is, aldus de Zaanse SP, de bedoeling dat een eventuele discussie kan leiden tot een Raadsbesluit om actie te ondernemen richting de Rijksoverheid. Ik blijf de ontwikkelingen hieromtrent in ieder geval volgen.

Ondertussen is op de website van Privacy First een modelbrief beschikbaar gekomen, waarmee burgers bezwaar kunnen maken tegen het afstaan van vingerafdrukken voor het verkrijgen van identiteitspapieren. Doe er je voordeel mee!

UPDATE (klik plaatje):

Winterswijk

In Winterswijk staat een burger op tegen de opslag van vingerafdrukken.

Bits Of Freedom

Privacywaakhond Bits Of Freedom roept ondertussen leden van o.a. de SP , CDA en GroenLinks op om amendementen in te dienen op privacygerelateerde issues in de voorlopige verkiezingsprogramma’s.

Voor wie dat nog niet gedaan heeft: ik zeg doen!