Data Protection Impact Assessment (DPIA): levering COVID-19-vaccinatiedata (CIMS) door RIVM aan het CBS

Data Protection Impact Assessment ( D PIA) Levering COVID - 19 - vaccinatiedata (CIMS) door RIVM aan het CBS CENTRAAL BUREAU VOOR DE STATISTIEK DIRECTIE STRATEGIE EN BESTUURSADVISERING DEN HAAG 13 december 2022 CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 2 | 33 Data Protection Impact Assesment | D PIA Vaststelling verwerkersverantwoordelijke: Selecteer/typ datum Naam: Mw. A. Berg Advies functionaris voor gegevensbescherming: Selecteer/typ datum Naam: Dhr. L. Mommers Advies CIO: Selecteer/typ datum Naam: Dhr. W. van Nunspeet CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 3 | 33 Data Protection Impact Assesment | D PIA Data Protection Impact Assessment ( D PIA) Levering data ui t het COVID - vaccinatie Informatie - en Monitoringsysteem (CIMS) door RIVM aan het CBS CENTRAAL BUREAU VOOR DE STATISTIEK DIRECTIE STRATEGIE E N BESTUURSADVISERING CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 4 | 33 Data Protection Impact Assesment | D PIA Contact: Centraal bureau voor de statistiek Dhr.

L. Mommers Email: Telefoonnummer (Infoservice): (088) 570 70 70 Versie: 1 .0 13 decem ber 2022 CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 5 | 33 Data Protection Impact Assesment | D PIA 17. Maatregelen ................................ ................................ ................................ .. 29 CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 6 | 33 Data Protection Impact Assesment | D PIA Inleiding Voorliggend document betreft de Data Protection Impact Assessment (DPIA) op het voorgenomen onderzoek ten behoeve van de pandemiebestrijding en monitoring van de impact van COVID - 19 op samenleving en economie door het CBS i n opdracht van het Ministerie va n V olksgezondheid, Welzijn en Sport (V WS ) en het beschikbaar stellen van CIMS - data aan externe onderzoekers in de remote acces s omgeving van het CBS ten behoeve van de uitvoering van wetenschappelijk onderzoek naar de maatschappelijke en economische gevolgen van de COVID - 19 pandemie, waaronder de oorzaken en redenen van oversterfte . 1 Voor het verkrijgen van toegang tot de remote access omgeving van he t CBS en het werken met microdatabestanden gelden heel strikte voorwaarden.

Zo hanteert het CBS scherpe criteria voor het verkrijgen van een instellings machtiging voor toegang tot de remote access - omgeving. Daarnaast toetst het CBS onderzoeksvoorstellen op doelbinding als onderdeel van de aanvraagprocedure voor het gebruik van mic r odata . 2 De DPIA heeft de volgende opbouw: A. Beschrijving kenmerken van de gegevens verwerking B. Beoordeling van rechtmatigheid gegevensverwerking C. Beschrijving en beoordeling van de r isico’s voor de betrokkenen D. Beschrijving voorgenomen maatregelen De DPIA is bedoeld om beslissers de nodige informatie te verschaffen over de gegevensbescherm ingsrisico’s in het voorgenomen statistisch en wetenschappelijk onderzoek en maatregelen te benoemen om deze risico’s te mitigeren c.q. te beheersen. De DPIA wordt periodiek geëvalueerd. 1 Motie van het lid Omtzigt over een onderzoek naar de oorzaken van oversterfte | Tweede Kamer der Staten - Generaal 2 Aanvraag toegang microdata (cbs.nl) CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 7 | 33 Data Protection Impact Assesment | D PIA A. Beschrijving kenmerken gegevensverwerkingen Be schrijf op gestructureerde wijze de voorge nomen gegevensverwerkingen, de verwerkingsdoeleinden en de belangen bij de gegevensverwerkingen.

Onder A wordt de eerste stap beschreven van de PIA: een overzicht van de relevante feiten van de voorgenomen gegeven sverwerkingen. Als de feiten onduidelijk zijn, werkt dit door in de beoordeling. 1. Voorstel Beschrijf het voorstel waar de gegevensbeschermingseffectbeoordeling op ziet en context waarbinnen deze plaatsvindt op hoofdlijnen. Het ministerie van VWS heeft het CBS verzocht om aanvullende statistische dienstverlening te verrichten ten behoeve van de pa ndemiebestrijding, de monitoring van de impact van COVID - 19 op samenleving en economie en het verhogen van de pandemische paraatheid. Hierbij moet gedacht worden aan onderzoek svragen op het gebied van levensverwachting, determinanten van long - covid, een a ssociatie tussen sociaal economische status en vroegtijdig overlijden in relatie tot vaccinatiegraad , vaccinatiegraad en ziekteverzuim en vaccinatiestatus subpopulaties (zie fase 3 verrichten onderzoek voor de onderzoeksvragen ) .

Na ontvangst van de COVID - 1 9 - vaccinatiegegevens stelt het CBS deze gegevens bovendien onder strikte voorwaarden ter beschikking in de remote access omgeving ten behoeve van statistisch of wetenschappelijk onderzoek aan gemachtigde instellingen op basis van art. 41 van de CBS - wet. 2. Persoonsgegevens Som alle categorieën van persoonsgegevens op die worden verwerkt. Geef per categorie van persoonsgegevens tevens aan op wie die betrekking hebben. Deel deze persoonsgegevens in onder de typen: gewoon, bijzonder, strafrechtelijk en wettelijk identificerend. gebo rtedatum en pl ts eslacht w on CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 9 | 33 Data Protection Impact Assesment | D PIA 3. Gegevensverwerkingen Geef alle voorgenomen gegevensverwerkingen weer. De verwerkingen van persoonsgegevens die in het kader van dit onderzoek worden gedaan bestaan uit drie fasen: • De eerste fase betreft de gegevensoverdracht van de vaccinatiegegevens van het RIVM naar het CBS. • De tweede fase betreft de koppeling van de vaccinatiegegevens aan de CBS gegevens en het beschikbaar stell en van de vaccinatiegegeven s ten behoeve van statistisch onderzoek door het CBS en wetenschappelijk onderzoek door externe on derzoekers met een ma chtiging om onderzoek te verrichten in de remote acces omgeving van het CBS . • De derde fase betreft het uitvoeren van het statistische en wetenschappelijke onderzoek.

De publicaties die uit de onderzoeken volgen bevatten geen persoonsgegevens meer. Het CBS voert hiertoe outputcontroles uit op elke te exporteren tabel . Fase 1: gegevensoverdracht van het RIVM naar het CBS. Het CBS ontvangt van het RIVM het zogenaamde ‘CBS - vaccinatiebestand’. Dit bestaat uit een aantal persoonsgegevens die uit de BI - CIMS dataset zijn gefilterd. Het betreft: • BSN nummer; • Geslacht; • Geboortejaar; • Vaccinnaam; • vaccinatie datum; • vaccinatiebatch; • toedienende instant ie (GGD/huisarts/ ziekenhuis ) . Het CBS vaccinatiebestand bestrijkt in principe de gegevens van alle personen die deel uitmaken van de BI - CIMS dataset. Er is echter een aantal categorieën gevaccineerden die niet in het CBS vaccinatiebestand worden opgenomen. Zij worden uit de BI - CIMS dataset gefilterd en w orden dus niet meegenomen in de onderzoek en . Dit zijn: • Personen waarvan het BSN - nummer niet is geverifieerd bij de Basis Registratie Personen ( BRP ) . • Personen me t alleen een Zorgnummer.

Dit zijn voornamelijk asielzoekers die nog niet in de BRP zijn ingeschreven. Doorgaans worden ze na verloop van tijd ingeschreven in de BRP en ontvangen ze een BSN. In dat geval worden deze personen meegenomen in de volgende aanlev ering. • Personen waarbij geen vaccinaties zijn geregistreerd. • Personen die zijn overleden of naar het buitenland verhuisd. • Personen met de status ‘vervallen’. • P ersonen die twee persoonslijsten hadden waarvan er één is komen te vervallen. • Personen die gebru ik hebben gemaakt van hun recht op vergetelheid. NB. Mogelijkerwijs zijn de gegevens in voorgaande maanden wel aangeleverd maar komen ze in een volgende aanlevering niet meer voor. In de actuele datasets zijn deze gegevens verwijderd. Wanneer de vaccinatie gegevens bij het CBS geplaatst zijn en het RIVM een verwijderingsverzoek heeft ontvangen, worden bij een volgende update de gegevens van de verzoeker eruit gehaald.

D e onderzoeker kan zelf geen gegevens uit de dataset halen aangezien de dataset di rect gepseudonimiseerd wordt na aanlevering aan het CBS . Door de verwerking van een nieuwe aanlevering aan het CBS worden de gegevens verwijderd . Datasets worden bij binnenkomst gepseudonimiseerd door het CBS. Het BSN wordt vervangen door ee n Random Identificatienummer, de RIN. Wanneer datasets eenmaal verrind zijn door het CBS worden geen aanpassingen meer doorgevoerd. Een verzoek tot verwijdering heeft daarom geen invloed op de reeds bestaande resultaten van het onderzoek. CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 10 | 33 Data Protection Impact Assesment | D PIA Figuur 1 schematische weergave datalevering Overdracht CBS Vaccinatiebestand BI - CIMS dataset wordt gefilterd op grond van de eerder genoemde filterspecificaties. Tijdens de query wordt het versleutelde BSN van betrokkenen in BI - CIMS gedecrypt.

De u itkomst van deze query levert het CBS - vaccinatiebestand op (in JSON - format). Nadat het bestand gezipped is, wordt dit op de back - end SFTP - server geplaatst. Het vaccinatiebestand wordt beschikbaar gesteld op de front - end SFTP. Het CBS kan op de front - end server het J SON - bestand downloaden via een UTF - 8 file. Het CBS verkrijgt een RIVM - account voor toegang tot de RIVM SFTP server. Alleen een beperkt aantal geautoriseerde en geauthentiseerde CBS - gebruikers die betrokken zijn bij o nderzoek op het gebied van COVID - 19 heb ben toegang tot het CBS vaccinatiebestand. In TopDesk wordt vastgelegd of de overdracht succesvol was. Tevens wordt geregistreerd wat de naam is van het vaccinatiebestand, de datum waarop het bestand is samengesteld en de omvang (in Gb) van het bestand. CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 11 | 33 Data Protection Impact Assesment | D PIA De bestanden worden dagelijks , exact na 2 uur , via een geautomatiseerde instructie (Cronjob) verwijderd.

Indien het CBS niet in staat is geweest om dit bestand te downloaden, zal er door het RIVM een nieuw bestand worden klaar gezet. Fase 2: Koppeling vaccinatiegegevens aan CBS data Het gedownloade CBS - vaccinatiebestand wordt binnen het CBS naar een zeer bevei ligde, specialistische afdeling, Centrale Bestandskoppeling (CBK), gestuurd om alle persoonsdatabestanden te pseudonimiseren. Het downloaden verlo opt automatisch. Op deze afdeling worden de bestanden onder andere ‘verRINd’. Dit houdt in dat de data wordt versleuteld met een uniek RIN nummer 3 , op basis van specifieke koppeldata zoals het BSN. Het verRINnen gebeurt automatisch. Mochten er onvolledige koppelingen zijn, dan onderzoeken de CBS - medewerkers op basis van hun expertise of deze alsnog gekoppeld kunnen worden. Niet gekoppelde records blijven in het bestand, zij krijgen een andere code. In het koppelrapport wordt hierop een toelichting gegeven.

Wanneer de data zijn versleuteld, wordt de gepseudonimis eerde data beschikbaar gesteld voor statistisch onderzoek door het CBS en wetenschappelijk onderzoek in de remote access omgeving. RIN - nummers worden toegekend op basis van BSN. Omdat er verder geen identificerende gegevens in het bestand aanwezig zijn, kan er niets extra worden gedaan. Records waarvoor het CBS een RIN - persoon heeft gevonden hebben code ‘R’ (RIN - persoon). Als er records in het bestand zitten met een BSN dat ook echt een geldig BSN i s (begint niet met 00, 8 of 9 én voldoet aan de 11 - proef) dat niet gevonden kan worden in het koppelbestand (gebaseerd op de BRP), dan wordt er een ‘S’ toegekend (betekenis: versleuteld Sofinummer) aan CBKSoortnr (ook wel RINPersoonS genoemd) en wordt het BSN versleuteld. Dit zou maar bij een heel beperkt aantal records moeten voorkomen. Een BSN dat niet geldig is, wordt met code ‘F’ (Fout BSN) geleverd met de originele waarde van het BSN (want dat identificeert toch geen persoon).

2 Pseudonimisering vaccinatiegegevens 3 Het BSN wordt als zeer identificerend beschouwd en daarom vervangt het CBS dit nummer door een intern persoonsidentificatienummer, het betekenisloze RIN - nummer. Met dit RIN - nummer kan het bestand worden gekoppeld aan andere bestanden bij het CBS. Geautoriseerde CBS - gebruiker downloadt het CBS vaccinatiebestand Het bestand wordt doorgestuurd naar de versleutelingsafdeling De bestanden worden door de speciale afdeling 'verRINd' (pseudonimisering) Handmatige invoer RIN indien nodig Gepseudonimiseerde data beschikbaar voor statistisch en wetenschappelijk onderzoek CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 12 | 33 Data Protection Impact Assesment | D PIA Fase 3 Verrichten onderzoek Na het pseudonimiseren van de vaccinatiegegevens wordt de data ter beschikking gesteld voor: a. De uitvoering van statistisch onderzoek door het CBS b. De uitvoering van wetenschappelijk onderzoek in de remote access omgeving van het CBS a. Gepseudonimiseerde vaccinatiegegevens worden binnen de beveiligde CBS netwerkomgeving opgeslagen voor statistisch onderzoek.

Toegang tot de gegevens voor onderzoekers van het CBS wordt geregeld via machti gingen, welke periodiek geëvalueerd worden. De data wordt gebruikt voor de uitvoering van onderzoek in opdracht van het ministerie van VWS naar COVID - 19 . In dit onderzoek kunnen de volgende onderzoeksvragen aan de orde komen:  Wat is de associatie tussen e en eerder doorgemaakte COVID - 19 besmetting en doodsoorzaken? o voor verschillende (hoofd)groepen doodsoorzaken (HVZ, neurologische uitkomsten, doodsoorzaken gerelateerd aan immuunsysteem, ademhalingsorganen) o voor verschillende subpopulaties en uitgesplitst naar vaccinatiestatus  Wat is de associatie tussen een eerdere ziekenhuisopname door COVID - 19 en doodsoorzaken? o voor verschillende (hoofd)groepen doodsoorzaken (HVZ, neurologische uitkomsten, doodsoorzaken gerelateerd aan immuunsysteem, ademhalingsorgane n) o voor verschillende subpopulaties en uitgesplitst naar vaccinatiestatus  Wat is sinds de start van de COVID - 19 - epidemie de invloed van de COVID - 19 - epidemie op de (veranderingen in) levensverwachting en ongelijkheid in levensduur? o voor verschillende subpop ulaties en uitgesplitst naar vaccinatiestatus  Wat zijn de doodsoorzaken en comorbiditeiten onder overledenen met vermelding van COVID - 19 op het doodsoorzakenformulier? o koppeling met ziekenhuisda ta, huisartsendossiers, doodsoorzaakverklaringen  Is vaccinatie status een mediator in de associatie tussen sociaaleconomische status en vroegtijdig overlijden?  Wat zijn de d eterminanten van long - covid ? o ziekenhuisdata, huisartsendata, maar ook SES/leeftijd/geslacht/herkomst  Longitudinaal volgen van gevaccin eerden versus niet - gevaccineerden, idealiter zo goed mogelijk gecorrigeerd voor immuniteit (dus eerder doorgemaakte COVID - 19 casussen bevestigd door positieve testuitslag meenemen) o Zieken huis (en IC) opname n.a.v.

COVID - 19, maar ook bijvoorbeeld HVZ, neuro logische aandoeningen (mogelijk met bijkoppeling van nevendiagnose long - covid) o In stroom in uitkeringen zoals WIA en Ziektewet (na 2 jaar) o W ordt men kwetsbaarder door COVID - 19 ?  Opnamen in Wlz/ziekenhuis  Relatie met zorgkosten  O versterfte in derde golf  Toena me sterfte aan accidentele val  Het h ebben van werk (mogelijk deeltijdfactor)  COVID - 19 e n familiebanden o Vaccinatieopkomst na COVID - 19 opname/COVID - 19 overlijden in nabije familie? o Verloop van COVID - 19 binnen families (ernstig vs . niet - ernstig); hierbij kij ken naar opname, maar ook bijvoorbe eld thuisbeademing na bezoek aan spoedeisende hulp  Vaccinatiegraad op basis van polis gegevens per sector en tijd uitzetten tegen ziekteverzuimstatistieken  Koppeling met de gezondheidsmonitordata om verschillen in ervaren gezondheid naar vaccinatiestatus zichtbaar te maken b. Daarnaast wordt de vaccinatiedata onder strikte voorwaarden beschikbaar gesteld in de remote access omgeving van het CBS voor wetenschappelijk onderzoek op basis van artikel 41 van de CBS - wet.

De Remote access omgeving is een instrument van het CBS om op een veilige manier onderzoek door of samen met andere pa rtijen te faciliteren . Onderzoekers die toegang hebben tot vaccinatiegegevens kunnen analyses doen voor CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 13 | 33 Data Protection Impact Assesment | D PIA zover het valt binnen de doelbinding van het onderzoeksproject . De vaccinatiegegevens die het CBS in de remote access omgeving beschikbaar stelt zijn noodzakelijk voor de uitvoering van onderzoek naar de maatschappelijke en economische gevolgen van Covid - 19 waaronder het onderzoek naar oorzaken en r edenen van oversterfte naar aanleiding van de motie van Kamerlid Omtzigt op 1 december 2021. Voor de publicaties voortkomend uit statistisch en wetenschappelijk onderzoek geldt dat voor elke publicatie outputcontroles op elke te exporteren tabel door het CBS worden verricht om mogelijke onthulling op persoonsniveau te voorkomen.

Daarnaast geldt er dat na uitvoering van een onderzoek zowel in opdracht als in de remote acces omgeving er sprake is van een publicatieplicht van de uitkomsten. 4. Verwerkingsdoele inden Beschrijf de doeleinden van de voorgenomen gegevensverwerkingen. B j c nceptreg geving wordt het oel va Het doel van het beschikbaar stellen van de CIMS data aan het CBS is tweeledig: 1. Het CBS heeft tot taak het van overheidswege verrichten van statistisch onderzoek ten behoeve van praktijk, beleid en wetenschap en het openbaar maken van de resultaten van deze statistische onderzoeken (artikel 3 CBS - wet) . In opdracht van het Ministerie v an VWS verricht het CBS onderzoek naar de maatschappelijke invloed van de COVID - 19 - pandemie. 2. De vaccinatiegegevens worden ten behoeve van statistisch of wetenschappelijk onderzoek door het CBS beschikbaar gesteld aan onderzoekers die beschikken over een in stellingsmachtiging v oor de remote acces omgeving van het CBS en waarvoor geldt dat er voor het gebruik van de data een adequate doelbinding bestaat 4 .

De gegevens zijn noodzakelijk voor (maar niet gelimiteerd tot) onderzoek naar de oorzaken en redenen van oversterfte. 5. Betrokken partijen Benoem welke organisaties betrokken zijn bij welke gegevensverwerkingen. Deel deze organisaties per gegevensverwerking in onder de rollen: verwerkingsverantwoordelijke, verwerker, verstrekker en ontvanger. Benoem tevens welke functionarissen binnen deze organisaties toegang krijgen tot welke persoonsgegevens. e e , e f r 4 Aanvraag toegang microdata (cbs.nl) CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 14 | 33 Data Protection Impact Assesment | D PIA Het CBS voldoet aan de hoogste eisen m.b.t. gegevensbescherming. De privacybescherming wordt jaarlijks getoetst in een Raamwerk Privacy Audit. Privacybescherming omvat het geheel van maatregelen dat een adequate bescherming v an persoons - en bedrijfsgegevens waarborgt. Een groot deel van deze maatregelen heeft betrekking op de beveiliging van de gegevens en heeft daarmee overlap met de eisen voor informatiebeveiliging .

In privacy audits komen dan ook aspecten van informatiebeve iliging aan de orde volgens het NOREA - kader. NOREA is de beroepsorganisatie van IT - Auditors (zie voor meer informatie over informatiebeveiliging punt 17 over maatregelen) . Sinds 2015 worden er bij het CBS privacy audits gehouden. Deze worden uitgevoerd doo r een externe auditor en resulteert in een privacy - proof verklaring . Tezamen met de certificering voor de ISO27001 is daarmee aan de wettelijke verantwoordingsplicht van de gegevensleverancier voldaan. Dit betekent ook dat zodra de bestanden door het CBS zijn ontvangen, de verantwoordelijkheid van de gegevensleverancier ophoudt. Het CBS is de verwerkingsverantwoordelijke. CBS is verwerkersverant woordelijke Het CBS heeft op grond van artikel 3 CBS - wet de taak om statistieken te maken ten behoeve van beleid, praktijk en wetenschap. Conform artikel 18 CBS - wet bepaalt de DG CBS daarnaast de methoden waarmee de statistische onderzoeken worden uitgevoe rd en de wijze waarop de resultaten van die onderzoeken openbaar worden gemaakt.

Het CBS is daarin onafhankelijk en kan en mag hierin geen instructies van anderen aannemen. V erwerkingsverantwoordelijke (artikel 4 lid 7 AVG) is: de instantie die het doel va n en de middelen voor de verwerking van persoonsgegevens vaststelt. Op grond van deze twee wettelijke bepalingen is het CBS altijd verwerkingsverantwoordelijke en nimmer verwerker. Verstrekker Het Rijksinstituut voor Volksgezondheid en Milieu (RIVM) beschikt over vaccinatiegegevens, doordat zij door de zorgverleners die verantwoordelijk waren voor de vaccinaties aan het RIVM zijn verstrekt. De betreffende gevaccineerden hebben hun zorgverlener t oestemming gegeven om gegevens over hun vaccinatie met het RIVM te delen, kort gezegd, ter uitvoering van de wettelijke taak van het RIVM, waaronder het uitvoeren van epidemiologisch wetenschappelijk onderzoek . Met een beroep op artikel 33 lid 1 aanhef on der a sub 1 en artikel 33 lid 4 van de Wet op het CBS verzoekt het CBS RIVM om verstrekking van de vaccinatiegegevens.

applies Wet Art. 33(1), Wet Art. 33(4)

Ontvangers Gegevens worden passend beschermd en op verzoek verstrekt aan de volgende partijen conform CBS - wet: 1) medewerkers van het CBS belast met de uitvoering van de wettelijke taak van het CBS (artikel 37 lid 2); 2 ) ten behoeve van statistisch of wetenschappelijk onderzoek verstrekken aan een dienst, organisatie of instelling op basis van artikel 41 van de CBS - wet . Dit kunnen zijn : a. een universiteit in de zin van de Wet op het hoger onderwijs en wetenschappelijk onderzoek; b. een bij wet ingestelde organisatie of instelling voor wetenschappelijk onderzoek; c. bij of krachtens de wet ingestelde planbureaus; d. de communautaire en nationale inst anties voor de statistiek van de lidstaten van de Europese Unie; e. onderzoeksafdelingen van ministeries en andere diensten, organisaties en instellingen ( Instellingen en projecten (cbs.nl) ) . CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 15 | 33 Data Protection Impact Assesment | D PIA 6.

Belangen bij de gegevensverwerking Beschrijf alle belangen die de verwerkingsverantwoordelijke en anderen hebben bij de voorgenomen gegevensverwerkingen. Gevaccineerde en ongevaccineerde betrokkenen De betreffende gevaccineerden hebben via een informed consent hun zorgverlener toestemming ge geven om gegevens over hun vaccinatie met het RIVM te delen, kort gezegd, ter uitvoering van de wettelijke taak van het RIVM, waaronder het uitvoeren van epidem iologisch wetenschappelijk onderzoek. Het verstrekken van deze gegevens aan het CBS is juridisch mogelijk omdat er sprake is van een verenigbare verdere verwerking op grond van artikel 6 lid 4 jo. artikel 5 lid 1 aanhef en onder b AVG. Gegevens worden door het CBS gebruikt voor de uitvoering van wetenschappelijk en statistisch onderzoek. Gevaccineerd en en ongevaccineerden hebben recht op bescherming van hun persoonsgegevens die in dit onderzoek zijn betrokken.

Het CBS voldoet aan de hoogste standaarden om die privacy te waarborgen. VWS/ RIVM In het kader van de volksgezondheid is het van belang onderz oek te verrichten naar de maatschappelijke effecten van de coronapandemie ter ondersteuning van beleid. VWS heeft het CBS opdracht gegeven onderzoek hiernaar uit te voeren. RIVM hecht veel waarde aan het behouden van vertrouwen onder burgers in vaccinatieprogramma’s, het handelen van de overheid en in het RIVM als betrouwbare instantie. In casu betekent dit het recht doen aan de strekking van het ‘informed consent’. De vrees van RIVM is dat, als hier in de beleving van de betrokkenen onvoldoende recht aan wordt gedaan, mensen hun data uit CIMS terug zullen trekken wat leidt tot minder betrouwbare data, en mogelijk tot minder bereidheid onder de bevolking om mee te doen aan preventieprogramma’s van de overheid en wetenschappelijk onderzoek door het RIVM in het algemeen .

Samengevat maakt het RIVM zich zorgen dat mensen geen toestemming meer zullen geven voor het delen van data en dat de betrouwbaarheid van de organisatie in twijfel wordt ge trokken door toezeggingen ten aanzien van het gebruik van de data. CBS Het CBS zelf heeft geen belang bij de uitkomsten van het onderzoek anders dan dat het onderzoek kwalitatief op de juiste wijze geschied t . De voorgenomen verwerking is altijd noodzakelijk om de taken van het CBS te kunnen uitv oeren. 7. Verwerkingslocaties Benoem in welke landen de voorgenomen ge gevensverwerkingen plaatsvinden . De dataove rdracht gaat via de door het RIVM beheerde SFTP server. Het verRINnen gebeurt op de beveiligde afdeling van het CBS. Vervolgens vinden de analyses plaats in de RA - omgeving van het CBS. Er is geen sprake van doorgifte naar een land buiten de Europese Econo mische Ruimte. Verwerking s locatie is CBS in Nederland (D en H aag, Heerlen ).

Het computercentrum is gevestigd in Almere. CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 16 | 33 Data Protection Impact Assesment | D PIA 8. Techniek en methode van gegevensverwerking Beschrijf op welke wijze en met gebruikmaking van welke (technische) middelen en methoden de persoonsgegevens worden verwerkt. Benoem of sprake is van (semi-)geautomatiseerde besluitvorming, profilering of big data-verwerkingen en, zo ja, beschri jf waaruit een en ander bestaat . geaut matisee d naar correlat es wordt ge Algemeen Het CBS verwerkt alleen gegevens voor wetenschappelijk onderzoek of statistische doeleinden. Er is geen sprake van (semi-)geautomatiseerde besluitvorming of profilering. Bij publicatie zijn de gegevens nooit te herleiden naar één persoon of een zeer homogene groep van personen ( bijvoorbeeld ‘vrijwel alle mensen in deze wijk zitten onder de armoedegrens’).

Fase1 : Dataoverdracht naar CBS 1) Maandelijks wordt via een DB job in BI - CIMS een json bestand met telkens alle (COVID - 19) gevaccineerden clië nten uit de BI - CIMS datawarehouse onttrokken via een BI Query component. Bij het uitvoeren van de query zal telkens het encrypted BSN nummer worden decrypt via de BSN enc ryption key. Deze encryption key is alleen beschikbaar op de host van de BI Database. 2) Dit json output wordt gezipped en encrypted met PGP (via een public PGP key van CBS) en vervolgens geplaatst op de backend SFTP server in de interne staging map. De o orspronkelijke json output flle op de BI - CIMS host wordt na het zippen en encrypten onmiddellijk verwijderd. 3) De interne staging map is via een share verbonden met de externe outmap van Frontend SFTP server waardoor het PGP bestand ook onmiddellijk beschik baar is voor download. Het PGP bestand wordt na 2 uur verwijderd waardoor in de gehele keten geen (tussen) bestanden meer beschikbaar zijn. 4) CBS kan dit bestand vervolgens met een RIVM inlog account van de front - end SFTP server downloaden en vervolgens uplo aden in de CBS omgeving. 5) Authenticatie van de CBS user vindt plaats aan de hand van een private SSH key.

De private (inclusief pass - phrase) en public SSH keys zijn aangemaakt doo r het CBS, waarbij de public SSH key is doorgegeven aan het RIVM en geplaatst op de frontend SFTP server 6) De private en public PGP keys zijn aangemaakt door het CBS, waarbij de public PGP key is doorgegeven aan het RIVM en geplaatst op de BI - CIMS host, want daar vindt immers de encryptie plaats. 7) De connectiviteit van BI - CIMS enginee r tijdens het design time proces 8) In TopDesk voor monitoring doeleinden wordt vastgelegd of de overdracht succesvol was. Tevens wordt geregistreerd wat de naam is van het vaccinatiebestand, de datum waarop het bestand is samengesteld en de omvang (in Gb) va n het bestand. Fase 2: pseudonimiseren data Het CBS heeft conform wettelijke eisen van de AVG een proces ingericht om persoonsgegevens te pseudonimiseren. De bestanden zullen eerst naar een zeer beveiligde, specialistische afdeling gestuurd worden binnen het CBS (team Centrale Bestandskoppeling, CBK) om de encryptie uit te voeren op alle persoonsdatabestanden.

Op deze afdeling worden de be standen onder andere ‘verRINd’. Alle personen uit CIMS krijgen hierbij dezelfde koppelsleutel als die binnen het CBS wordt gebruikt. Dit is de RINPERSOON. Het proces van het omzetten van persoon identificerende kenmerken in het een bestand naar het RINPERSOON wordt ‘verRINnen’ genoemd. De koppeling tussen het RIVM en het CBS gebeurt op BSN. Bij het verRINnen van e en bestand verwijdert het CBS de identificerende variabelen, zoals het BSN, uit het bestand en alleen RINPERSOON wordt teruggegeven. Ook unieke nummers die mogelijk naar personen zijn te herleiden, bijvoorbeeld een intern nummer, worden verwijderd. De rede n hiervan is om te voorkomen dat gebruikers met deze variabelen een link met het originele bestand kunnen leggen en zo vertrouwelijke persoonsgegevens uit gekoppelde CBS - bestanden kunnen halen. CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 17 | 33 Data Protection Impact Assesment | D PIA Het verRINnen gebeurt au tomatisch.

Mochten er ontbrekende kop pelingen zijn, dan onderzoeken de CBS medewerkers op basis van hun expertise of deze alsnog gekoppeld kunnen worden. Het CBS heeft organisatorisch, infrastructureel en procesmatig gewaarborgd dat de - pseudonimisering alleen bij hoge uitzondering en op heel gecontroleerde wijze kan plaatsvinden. Het aantal CBS - medewerkers dat bevoegd is deze handeling ui t te voeren is zeer beperkt . Er wordt getracht RINnummers toe te kennen voor iedere BSN in het bestand. Er zijn namelijk verder geen identificerende gegevens in het bestand aanwezig. Records waarvoor een RINpersoon is gevonden hebben uiteraard code ‘R’ (Rinpersoon). Als er records in het bestand zitten met een BSN dat ook echt een geldig BSN is (d.w.z., niet begint met 00, 8 of 9 én voldoet aan de 11 - proef), maar alsnog niet gevonden wordt in het koppelbestand (gebaseerd op BRP) dan wordt er een ‘S’ (d.w.z. versleuteld sofinummer) toegekend (ook wel RINPersoonS genoemd) en wordt het BSN versleuteld.

Dit zou maar bij een heel beperkt aantal records moeten voork omen. Een BSN dat niet geldig is, wordt met code ‘F’ (Fout BSN) geleverd met de originele waarde van het BSN, want dit identificeert geen persoon. Wanneer de data is versleuteld, wordt de gepseudonimiseerde data beschikbaar gesteld in onderzoekomgeving van het CBS en de RA - omgeving. 5 Op hoofdlijnen gelden de volgende beveiligingsmaatregelen bij het CBS : afscherming van productiegegevens van internet en scanning van alle gegevens van en naar productieomgeving; b eveiligde werkstations; afscherming van gebruik gegevensdragers; toegangscontrole en beveiliging van gebouwen; pseudonimiseren van identificerende gegevens; toetsing van beveiligingsmaatregelen middels interne en externe audits en tests. 9. Juridisch en beleidsmatig kader Benoem de wet- en regelgeving, met uitzondering van de AVG en de Richtlijn, en het beleid met mogelijke gevolgen voor de gegevensverwerkingen .

De Wet op het Centraal Bureau voor de statistiek, Verordening 223/2009 van het Europees Parlement en de Raad van 11 maart 2009 (zoals geamendeerd door Verordening 2015/759 van het Europees Parlement en de Raad van 29 april 2015) betreffende de Europese statistiek en de Europese gedragscode voor statistiek. Het CBS mag gegevens ontvangen en opvragen op grond van artikel 33 CBS - wet . Lid 4 van dit artikel bepaalt : “De in het eerste lid bedoelde instellingen, die nsten, lichamen en zelfstandige bestuursorgan en, de in het tweede lid bedoe lde rechtspersonen en de in het derde lid bedoelde ondernemingen, vrije bero epsbeoefenaren, instellingen en rechtspersonen verstrekken de in die leden bedoelde gegevens kosteloos op verzoek van de directeur - generaal binnen een bij algemene maatregel van bestuur te bepalen termijn. Daarbij kan geen b eroep worden gedaan op geheimhoudingsverplichtingen, tenzij deze v erplichtingen gebaseerd zijn op internationale regelgeving.”

Art. 37 CBS - wet bepaalt dat de door het CBS verzamelde gegevens uitsluitend gebruikt worden voor statistische doeleinden en niet worden verstrekt aan anderen dan degenen die belast zijn met de uitvoering van de taak van het CBS. Vervolgens worden de gegevens slech ts zodanig openbaar gemaakt dat daaraan geen herkenbare gegevens over een afzonderlijk persoon, huishouden, onderneming of instelling kunnen worden ontleend. Art. 41 CBS - wet staat toe dat in afwijking van artikel 37 de directeur - generaal van het CBS op ver zoek, ten behoeve van statistisch of wetenschappelijk onderzoek, een verzameling van gegevens met betrekking tot het gebruik waarvan passende maatregelen zijn genomen om herkenning van afzonderlijke personen, huishoudens, ondernemingen of instellingen te v oorkomen, kan verstrekken aan een dienst, organisatie of instelling, dan wel daartoe toegang verlenen. In het geval van de vaccinatiegegevens is het maatschappelijk belang van het uitvoeren van onderzoek naar de maatschappelijke en economische effecten van COVID - 19 zeer groot , hetgeen het verstrekken van toegang tot de data ondersteunt .

Artikel 42 CBS - wet vereist dat de directeur - generaal een 5 Zie ook: https://www.digitaleoverheid.nl/praktijkvoorbeeld - centraal - bur eau - voor - de - statistiek - cbs/ CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 18 | 33 Data Protection Impact Assesment | D PIA verzoek slechts inwilligt, indien de verzoeker naar het oordeel van de directeur - generaal voldoende maatregelen heef t getroffen om te voorkomen dat de verzameling van gegevens voor andere doeleinden dan statistisch of wetenschappelijk onderzoek wordt gebruikt. Wet publieke gezondheid - taken Minister van VWS Het coördineren van de uitvoering, alsmede registratie, bewaking en evaluatie van het vaccinatieprogramma, waar het COVID - 19 vaccin ook onder valt, is de taak van de Minister van VWS (art. 6b lid 2 Wet publieke gezondheid). Tot deze taak kan ook worden gerekend: het onderzoeken van de redenen waarom mensen zich niet laten vaccineren.

applies Wet Art. 6

Wet publieke gezondheid - taken RIVM De taken van het RIVM op het gebied van infectieziektebestrijding zijn neergelegd in artikel 6c Wet publieke gezondheid en artikel 3 lid 1 Wet op het RIVM. Het RIVM voert haar taken namens de M inister uit, aldus art. 6c lid 1 Wet publieke gezondheid. De taak van de Minister als bedoeld in artikel 6b lid 2 Wet publieke gezondheid is in de praktijk dus belegd bij het RIVM. Het RIVM is de verwerkingsverantwoordelijke voor de verwerking van persoons gegevens (waarvoor in het geval van CIMS informed consent door burgers is gegeven) in het kader van de uitvoering van haar taken (artikel 3 lid 3 Wet op het RIVM). Wet publieke gezondheid – voorwaarden gegevensverwerking Het RIVM is bevoegd om persoonsgegevens over de gezondheid als bedoeld in artikel 4 lid 15 AVG te verwerken (artikel 6c lid 2 Wet publieke gezondheid/ artikel 3 lid 3 Wet op het RIVM). Deze gegevens worden alleen verwerkt door personen die uit hoofde van a mbt, beroep of wettelijk voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht.

applies Wet Art. 3(1), Wet Art. 6, Wet Art. 3(3)

De medewerkers van het RIVM die direct of indirect bij dit onderzoek zijn betrokken zijn gebonden aan hun ambtelijke geheimhoudingsplicht. Eventuele e xternen zijn gebonden aan een contractuele geheimhoudingsplicht. Het RIVM mag slechts (gewone en bijzondere) persoonsgegevens verwerken indien deze gepseudonimiseerd zijn (artikel 6c lid 3 Wet publieke gezondheid). CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 20 | 33 Data Protection Impact Assesment | D PIA Tussenbestanden In het kader van het stat istische verwerkingsproces worden op basis van microbase bestanden doorgaans verschillende ‘tussenbestanden’ gemaakt. Tussenbestanden worden zolang bewaard als voor het lopend proces nodig. Dit betekent dat zij na afronding van e en statistisch onderzoek wo rden verwijderd. Back - up bestanden Tot slot geldt dat de bewaartermijn voor back - up bestanden drie weken is.

Deze termijn is vermeld in de nota “Herziening Back - upbeleid” van 30 maart 2011 . B. Beoordeling rechtmatigheid gegevensverwerkingen Beoordeel aan de hand van de feiten zoals vastgesteld in onderdeel A of de voorgenomen gegevensverwerkingen rechtmatig zijn. Het gaat hier om de beoordeling van de juridische rechtsgrond, noodzaak en doelbinding van de gegevensverwerkingen. Beoordeel tevens de wijze waarop invulling wordt gegeven aan de rechten van de betrokkenen. Voor dit onderdeel van de PIA is in het bijzonder juridische expertise nodig. 11. Rechtsgrond Bepaal op welke rechtsgronden de gegevensverwerkingen worden gebaseerd . mog l jk zijn M t betre king tot rec tsgro De wettelijke taak en wettelijke verplichtingen van het CBS vormen de rechtsgrond voor de verwerkingen van persoonsgegevens zoals deze zijn opgenomen in de CBS - wet (art. 3 en 4 CBS - wet). Op grond van artikel 41 CBS - wet is de directeur - generaal van de statistiek bevoegd ten behoeve van statistisch of wetenschappelijk onderzoek onderzoekers t oegang te geven tot een verzameling van gegevens , waarbij het CBS de wettelijke verplichting heeft om maatregelen te nemen om herkenning van afzonderlijke personen , huishoudens, ondernemingen of instellingen te voorkomen.

Op grond van artikel 42 CBS - wet wi lligt de directeur - generaal een verzoek om toegang op grond van artikel 41 CBS - wet slechts in, indien de verzoeker naar het oordeel van de directeur - generaal voldoende maatregelen heeft getroffen om te voorkomen dat de verzameling van gegevens voor andere doeleinden dan statistisch of wetenschappelijk onderzoek wordt gebruikt. 12. Bijzondere persoonsgegevens Indien bijzondere of straf r echtelijke persoonsgegevens worden verwerkt, beoordeel of één van de wettelijke uitzonderingen op het verwerkingsverbod van toepassing is. Bij verwerking van een wettelijk identificatienummer beoordeel of dat is toegestaan . CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 21 | 33 Data Protection Impact Assesment | D PIA Het CBS verwerkt, ten behoeve van statistische doeleinden bijzondere persoonsgegevens als bedoeld in artikel 9 AVG.

De grondsl ag voor verwerking van deze bijzondere persoonsgegevens betreft artikel 9 lid 1 sub j AVG jo. artikel 89 AVG in combinatie met artikel 35 CBS - wet . Artikel 35 CBS - wet is in lijn met artikel 2 4 Uitvoerings wet AVG . Hierin wordt aangegeven dat het verbod om persoonsgegevens als bedoeld in artikel 9, te verwerken ten behoeve van wetenschappelijk onderzoek of statistiek niet van toepassing is voor zover: - de verwerking noodzakelijk is met het oog op wetenschappelijk het onderzoek of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89 eerste lid AVG; - het onderzoek bedoeld onder punt 1 een algemeen belang dient; - het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost ; en - de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkenen niet onevenredig wordt geschaad. Het CBS verwerkt verder , eveneens ten behoeve van statistische doeleinden , persoonsgegevens als bedoeld in artikel 10 AVG.

De verwerking is noodzake lijk met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, eerste lid van de verordening , en er is voldaan aan de voorwaarden bedoeld in artikel 24 Uitvoeringswet AVG) onderdelen b tot en met d (arti kel 32 Uitvoeringswet AVG). CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 22 | 33 Data Protection Impact Assesment | D PIA Artikel 24 Uitvoeringswet AVG Artikel 24 van de Uitvoeringswet AVG stelt als voorwaarden dat : a. de verwerking noodzakelijk is met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig arti kel 89, eerste lid, van de verordening; Het CBS verwerkt conform zijn wettelijke taak gegevens alleen voor wetenschappelijk onderzoek of statistische doeleinden. Het CBS heeft extra procedurele en beveiligingsmaatregelen genomen om het gebruik van bijzondere persoonsgegevens te beperken tot een minimum, zoals een additionele verplichte en expliciete goedkeuring.

Dit houdt in dat er een passieve toestemming geldt voor vertrouwelijke gegevens en een actieve toestemming voor b ijzondere gegevens. Elk be stand heeft een eigenaar en die geeft toestemming voor het gebruik hiervan. Standaard in het proces wordt afgewogen of het doel bereikt kan worden met een verwerking van minder of geen persoonsgegevens in de zin van de AVG. Ook wordt het doel van de verwer king beoordeeld. Daarnaast worden d e persoonsgegevens bij binnenkomst zo snel als mogelijk is ontdaan van direct identificerende gegevens zoals naam, adres en woonplaats. Het Burgerservicenummer (BSN) wordt versleuteld (gepseudonimiseerd). De analyses word en alleen uitgevoerd op de gepseudonimiseerde bestanden. b. het onderzoek, bedoeld in onderdeel a, een algemeen belang dient; In de Memorie van Toelichting bij de CBS - wet ( Tweede Kamer, vergaderjaar 2001 – 2002, 28 277, nr. 3 , toelichting bij artikel 35, p. 3 5) is overwogen dat “In het algemeen kan worden gesteld dat het CBS met de uitoefening van zijn taak een zwaarwegend algemeen belang dient.” .

Tevens wordt gesteld dat de CBS - wet voldoende passende waarborgen bevat om de privacy van natuurlijke personen te beschermen . Hierbij wordt verwezen naar artikel 37 CBS - wet met betrekking tot het gebruik van gegevens en de openbaarmaking. Op grond van deze bepaling is openbaarmaking van persoonsgegevens door het CBS uitgesloten. c. het vragen van uitdrukkelijke toestemm ing onmogelijk blijkt of een onevenredige inspanning kost; en Het CBS maakt gebruik van verschillende registers en enquêtes als bron . I n de CBS - wet is opgenomen dat het CBS het recht en ook de plicht heeft om gegevens uit deze registers te gebruiken voor statistische en wetenschappelijke doeleinden ( artikel 33 CBS - wet ) . Het voorgaande en de hoeveelheid betrokkenen van wie het CBS persoonsgegevens dient te verwerken voor zijn wettelijke taak heeft tot gevolg dat h et vragen van uitdrukkelijke toestemming van betrokkenen een onevenredige inspanning zou kosten . d. bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.

Hier voldoet het CBS onder meer aan door technische, organisatori sche en wettelijke maatregelen als adequate beveiliging (zie punt 8 en 17), dataminimalisatie en een wettelijke verbod op openbaarmaking van persoonsgegevens. RIVM De uitzondering op het verbod tot verwerking van persoonsgegevens over de gezondheid, zoals neergelegd in artikel 9 lid 1 AVG, is gelegen in de bevoegd heid van het RIVM om gezondheidsgegevens als bedoeld in artikel 4 lid 15 AVG te verwerken op grond van artikel 9 lid 2 sub i AVG juncto artikel 6c lid 2 Wet publieke gezondheid juncto artikel 3 li d 3 Wet op het RIVM. CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 23 | 33 Data Protection Impact Assesment | D PIA Waarborgen Artikel 9 lid 2 sub i AVG vereist dat er “passende en specifieke maatregelen zijn genomen ter bescherming van de rechten en vrijheden van de betrokkene, met name het beroepsgeheim”.

applies Wet Art. 3

Met “beroepsgeheim” wordt bedoeld: het beroepsgeheim van de arts, die de gegevens te behoeve van de in artikel 9 lid 2 sub i AVG neergelegde doeleinden (o.a. volksgezondheid) ter beschikking heeft gesteld. Het RIVM zal derhalve maatregelen moeten nemen om ondermijning/verwatering van het beroep sgeheim te voorkomen. Er zijn strikte technische maatregelen genomen om de beveiliging van de datasets zo goed mogelijk te borgen. Er wordt bij het CBS gebruik gemaakt van de goed beveiligde remote access omgeving om de analyses uit te voeren. De gegeven s worden gepseudonimiseerd volgens de verRIN methode conform de Richtlijnen voor Remote Access - output van het CBS. Het BSN De data in het BI - CIMS bevatten een versleuteld BSN. Op het moment van overdracht aan het CBS wordt het BSN ontsleuteld. Het CBS h eeft het ontsleutelde BSN nodig om de koppeling met de CBS gegevens te kunnen maken. Bestanden worden binnen de CBS omgeving gepseudonimiseerd bij aankomst.

Voor het CBS vormt art. 34 CBS - wet de uitzondering om het BSN te mog en verwerken ten behoeve van onderzoek. 6 6 Artikel 34 Wet CBS luidt: De directeur - generaal (van het CBS, PMP ) kan het Burgerservicenummer opnemen in een registratie en daarvan gebruik maken ten behoeve van statistische doeleinden. De directeur - generaal kan het Burgerservicenummer gebruiken in contacten met personen en instanties voor zover deze zelf gemachtigd zijn tot het gebruik van dat nummer in een registratie. CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 24 | 33 Data Protect o Impact Assesment | D PIA 13. Doelbinding Indien de persoonsgegevens voor een ander doel worden verwerkt dan oorspronkelijk verzameld, beoordeel of deze verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens oorspronkelijk zijn verzameld . e rs onsgegev voor zulke a d e do De gegevens mogen alleen voor statistisch of wetenschappelijk onderzoek worden verwerkt .

applies Wet Art. 34

Gebruik van de gegevens voor fiscale, administratieve, controle en gerechte lijke doeleinden is niet toegestaan (artikel 37 lid 1 CBS - wet). Als verlengde doelen wordt gezien alle verwerkingen welke gericht zijn op het verbeteren van de kwaliteit van de statistiek en het onderzoek naar opzet van nieuwe statistieken of nieuwe stati stische processen. Overweging 50 AVG stelt dat “de verdere verwerking met het oog op […] statistische doeleinden als een met de aanvankelijke doeleinden verenigbare rechtmatige verwerking [moet] worden beschouwd”. Derhalve wordt, conform art. 5 lid 1 sub b, tweede volzin, AVG, het gebruik van de B I - CIMS data voor het onderzoek naar COVID - 19 in opdracht van het ministerie van VWS geacht verenigbaar te zijn met de doeleinden waarvoor deze gegevens door het RIVM respectievelijk het CBS zijn verzameld. In de t oestemmingsverklaring voor het gebruik van vaccinatiegegevens voor epidemiologisch en wetenschappelijk onderzoek staat hierover: "Ik geef ook toestemming aan de behandelend arts voor het doorgeven van mijn vaccinatiegegevens aan het RIVM ten behoeve van d e veiligheidsbewaking, de bestrijding van de epidemie en voor het onderzoek naar de werkzaamheid van het vaccin.”

Om de gegevens voor statistiek te mogen gebruiken verwijst artikel 5 lid 1 sub b AVG naar artikel 89 AVG dat eist dat passende waarborgen wor den getroffen voor de rechten en vrijheden van de betrokkene, waaronder minimale gegevensverwerking en pseudonimisering. Elders in deze DPIA zijn deze waarborgen beschreven, zoals de verRIN - procedure en controle op onthullingsrisico’s. 14. Noodzaak en evenre digheid Beoordeel of de voorgenomen gegevensverwerkingen noodzakelijk zijn voor het verwezenlijken van de verwerkingsdoeleinden. Ga hierbij in ieder geval in op proportionaliteit en subsidiariteit. a. Proportionaliteit: staat de inbreuk op de persoon lijke levenssfeer en de bescherming van de persoonsgegevens van de betrokkenen in evenredige verhouding tot de verwerkingsdoeleinden? b. Subsidiariteit: kunnen de verwerkingsdoeleinden in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze, worden verwezenlijkt? .

Daa b j kunnen empirische o derz ks es Proportionaliteit Er moet worden beoordeeld of de gegevensverwerking evenredig is met het belang van het doel van het onderzoek. Als er geen sprake is van evenredigheid, dient te worden beoordeeld of door het nemen van compenserende maatregelen de evenredigheid kan worden her steld; er moet sprake zijn van een ‘ fair balance ’ tussen het algemeen belang om in casu het onderzoek uit te voeren en de belangen van de betrokkenen. 7 In het algemeen geldt dat hoe groter het belang dat met de gegevensverwerking is gediend, hoe groter de inbreuk op de rechten en vrijheden van de betrokkene mag zijn. 7 European Data Protection Supervisor (EDPS): Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit, 11 April 2017, pagina 5: “for a measure CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 25 | 33 Data Protection Impact Assesment | D PIA Het onderzoek naar de maatschappelijke effecten van C OVID - 19 dient een zwaarwichtig algemeen belang en draagt bij aan de pandemiebestrijding en verbetering van de volksgezondheid .

Het beoogde statistisch en wetenschappelijk onderzoek is verenigbaar met de doeleinden waarvoor de data is verzameld door het RIVM. Voor betrokkenen betekent dit dat de gegevens niet alleen door het RIVM worden gebruikt voor wetenschappelijk onderzoek, maa r ook door het CBS en onder strikte voorwaarden wetenschappelijke instellingen op basis van artikel 41 van de CBS - wet. De door het CBS getroffen maatregelen om de privacy van persoonsgegevens te borgen, beschermen de belangen van de betrokkenen . Artikel 5 lid 1 sub c AVG bepaalt dat de gegevensverwerking toereikend, ter zake dienend en beperkt moet zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit wordt ook wel het principe van ‘minimale gegevensverwerking’ genoemd. Om ‘nood zakelijk’ te zijn moet aan twee voorwaarden zijn voldaan:  Geschiktheid: De gegevensverwerking is geschikt om het doel te bereiken, en  Subsidiariteit: Er is geen ander, minder vergaand, middel beschikbaar dat even effectief is.

Geschiktheid Vanuit het ministerie van VWS is het verzoek gekomen om onderzoek te verrichten naar maatschappelijke effecten van Covid - 19. Door de vaccinatiegegevens uit CIMS te koppelen aan de achtergrondgegevens van het CBS kunnen onderzoeksvragen beantwoord worden. Er is derhalve geen reden om te twijfelen aan de geschiktheid van de gegevens en de gebruikte methoden en technieken voor het doel van de onderzoek en . Subsidiariteit Voor het doel ‘onderzoek naar de maa tschappelijke effecten van COVID - 19’ is geen ander m inder vergaand middel beschikbaar dat even effectief is. Achtergrondgegevens zijn al bij het CBS aanwezig en geschikt voor onderzoek. Door het toevoegen van vaccinatiegegevens wordt het mogelijk de effecten te onderzoeken met daarbij een minimale belasting voor de samenleving. Er hoeft immers geen enquête uitgezet te worden of extra gegevens aan verschillende instanties verstrekt te worden.

Door vaccinatiegegevens te verstrekken aan het CBS, kunnen tal van onderzoekvragen beantwoord worden. Het andere doel is om de gegevens ter beschikking te stellen voor de wetenschap (zie motie Om t zigt ). 8 Het beschikbaar stellen voor andere onderzoekers van andere onderzoeksinstellingen betekent een grotere inbreuk voor de betrokkene (immers, meer onderzoekers gaan op de g egevens werken). Het dient echter ook een groter algemeen belang voor de samenleving omdat hierdoor onderzoekers van universiteiten en onderzoeksinstellingen ook onafhankelijk onderzoek kunnen doen of onderzoek van de overheid kunnen controleren. Hierdoor kunnen onderzoeken geïnitieerd worden die soms niet passen binnen de taak van het CBS of het RIVM maar waar wel een grote maatschappelijke vraag naar is en een algemeen belang dient. Het CBS heeft hiervoor al een veilige infrastructuur ingericht , de remote access van het CBS.

Deze faciliteit biedt al een zorgvuldige procedure voor het waarborgen van de belangen van betrokkenen. Zo mogen de gegevens alleen voor wetenschappelijk en statistisch onderzoek gebruikt worden, worden alle tabellen door het CBS gecon troleerd op onthullingsrisico’s en is elke onderzoeker verplicht de onderzoeksresultaten te publiceren. Op deze wijze dient de remote access voorziening van het CBS ook het belang van de betrokkenen. 8 Motie van het lid Omtzigt over een onderzoek na ar de oorzaken van oversterfte | Tweede Kamer der Staten - Generaal CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 26 | 33 Data Protection Impact Assesment | D PIA 15. Rechten van de betrokkene Geef aan hoe invulling wordt gegeven aan de rechten van betrokkenen. Indien de rechten van de betrokkene worden beperkt, bepaal op grond van welke wettelijke uitzonderingen dat is toegestaan.

Betrokkenen in de BI - CI MS dataset B etrokkene n bij het geven van toestemming voor de verstrekking van zijn/haar vaccinatiegegevens aan het RIVM zijn reeds in de toestemmingsverklaring in het algemeen geïnformeerd is over het mogelijke gebruik door het RIVM. Die toestemmingsverklaring luidt: “Ik geef ook toestemming aan de behandelend arts voor het doorgeven van mijn vaccinatiegegevens aan het RIVM ten behoeve van de veiligheidsbewaking, de bestrijding van de epidemie en voor het onderzoek naar de werkzaamheid va n het vaccin.” Het ministerie van VWS heeft het CBS gevraagd statistisch onderzoek uit te voeren naar maatschappelijke en economische effecten van de COVID - 19 pandemie. Het doel van dit onderzoek is verenigbaar met het doeleinde waarvoor de data door RIVM is verzameld. Het beoogde onderzoek past derhalve in reikwijdte van de toestemmingsverklaring en is daarmee voldoende transparant voor de betrokkene.

Verder is er een privacyverklaring C OVID - 19 vaccinatieprogramma op de website van het RIVM te vinden me t uitleg hoe het RIVM met de vaccinatiegegevens omgaat. 9 CBS In artikel 44 Uitvoeringswet AVG wordt een uitzondering gemaakt voor wetenschappelijk onderzoek en statistiek. Indien een verwerking wordt verricht door instellingen of diensten voor wetenschap pelijk onderzoek of statistiek, en de nodige voorzieningen zijn getroffen om te verzekeren dat de persoonsgegevens uitsluiten d voor statistische of wetenschappelijke doeleinden kunnen worden gebruikt, kan de verwerkingsverantwoordelijke artikel 15 , (recht van inzage van de betrokkene) artikel 16(recht op rectificatie) , artikel 18 (recht op beperking van de verwerking) en artikel 21 (recht van bezwaar) van de AVG buiten toepassing laten. Betrokkenen , waarvan het CBS de gegevens via registerhouders ontvangt, worden door het CBS niet direct geïnformeerd over de gegevensverwerking op grond van de uitzondering van artikel 14 lid 5 sub b AVG .

Reden hiervoor is dat het CBS gebruik maakt van verschillende r egisters en enquêtes als bron en dat in de CBS - wet is opgenomen dat het CBS het recht (en de plicht) heeft om gegevens uit deze registers te gebruiken voor statistische en wetenschappelijke doeleinden artikel 33 CBS - wet. Het informeren van deze indirecte b etrokkenen zou dan een onevenredige inspanning vergen. Gelet op artikel 14 lid 5 sub b AVG is het CBS wel gehouden om informatie over zijn verwerkingsactiviteiten openbaar te maken en daaraan voldoet het CBS middels een bronnenregister en door het public eren van informatie over het statistische proces op de website van het CBS . Ook wordt bij publicatie van statistische informatie de bronnen welke geleid hebben tot deze informatie opgenomen. O p de website staat een privacyverklaring en uitleg over het inz agerecht opgenomen. 9 https://www.rivm.nl/documenten/privacyverklaring - covid - 19 - vaccinatie .

CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 27 | 33 Data Protection Impact Assesment | D PIA Inzien, wijzigen, beperken verwijderen van gegevens De AVG geeft de betrokkenen het recht om hun gegevens in te zien (artikel 15), te wijzigen (artikel 16), te beperken (artikel 18) of te verwijderen (artikel 17). De betrokkenen kunnen hiervoor in principe gebruik maken van de betreffende webformulieren op de website van het RIVM. D aarbij gelden overigens wel de volgende kanttekeningen: • Alle rechten van de betrokkenen kunnen alleen geëffectueerd worden als de gegevens in de RA - omgeving kunnen worden gekoppeld aan de identiteit van de betrokkene. Omdat de dataset in de RA - omgeving geen rechtstreeks identificerende persoonsgegevens bevat (zoals naam of BSN), maar alleen een RIN, kunnen de rechten van de betrokkene in de praktijk niet worden geëffectueerd bij gebrek aan identificerende gegevens in de dataset.

Dit is overigens geheel in overeenstemming met artikel 11 lid 1 AVG. 10 De rechten van betrokkenen zijn dus alleen relevant in het (korte) tijdsbestek dat de gegevens nog niet zijn verRINd. • Verwijdering van de gegeven is in casu alleen mogelijk bij een ges laagd bezwaar (art. 17 lid 1 sub c AVG). Het recht op bezwaar is echter niet van toepassing op de dataset (art. 21 lid 6 AVG en art. 6c lid 4 Wet publieke gezondheid). Derhalve kan het recht op verwijdering dus ook geen toepassing vinden. Recht op bezwaar Gelet op art. 21 lid 6 AVG en art. 6c lid 4 Wet publieke gezondheid is het recht op bezwaar niet van toepassing op de dataset. Recht op dataportabiliteit Het recht op dataportabiliteit is niet van toepassing op de dataset Profilering/geautomatiseerde besluitvorming Er is in casu geen sprake van profilering of geautomatiseerde besluitvorming met rechtsgevolgen voor de betrokkene of dat hem/haar anderszins in aanmerkelijke mate treft. 10 Art. 11 lid 1 AVG luidt: Indien de doeleinden waarvoor een verwerkingsverantwoordelijke persoonsgegevens verwerkt, niet of ni et meer vereisen dat hij een betrokkene identificeert, is hij niet verplicht om, uitsluitend om aan deze verordening te voldoen, a anvullende gegevens ter identificatie van de betrokkene bij te houden, te verkrijgen of te verwerken.

applies Wet Art. 6

CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 28 | 33 Data Protection Impact Assesment | D PIA C. Beschrijving en beoordeling risico’s voor de betrokkenen Beschrijf en beoordeel de risico’s van de voorgenomen gegevensverwerkingen voor de rechten en vrijheden van de betrokkenen. Houd hierbij rekening met de aard, omvang, context en doelen van de gegevensverwerking zoals in onderdeel A en B zijn be schreven en beoordeeld. Het gaat hierbij overigens niet om de risico’s van de verwerkingsverantwoordelijke zelf. 16. Risico’s Beschrijf en beoordeel de risico’s van de gegevensverwerkingen voor de rechten en vrijheden van betrokkenen. Ga hierbij in ieder geval in op: a. welke negatieve gevolgen de gegevensverwerkingen kunnen hebben voor de rechten en vrijheden van de betrokkenen; b. de oorsprong van deze gevolgen; c. de waarschijnlijkheid (kans) dat deze gevolgen zullen intreden; d. de ernst (impact) van deze gevolgen voor de be trokkenen wanneer deze intreden . g De risico’s en impact op de betrokkene zijn hieronder als volgt beschreven: Impact Hoog Forse invloed op de betrokkene Medium Beperkte impact op de betrokkene Laag Weinig of verwaarloosbare invloed op de betrokkene Kans Hoog Zeer waarschijnlijk Medium Denkbaar Laag Onwaarschijnlijk 1.

Categorie Schade / maatschappelijk nadeel Incident In de rapportage is de betrokkene herkenbaar Impact op betrokkene Hoog Kans Laag Risico Laag Aanbevolen maatregelen Controle van de rapportage op herkenning van afzonderlijke personen. Dit is een standaard onderdeel van de outputcontroles binnen het CBS. Actiehouder CBS Impact na maatregelen Laag 2. Categorie Schade / maatschappelijk nadeel Incident De onderzoeksbestanden worden misbruikt Impact op betrokkene Hoog Kans Laag Risico Laag Aanbevolen maatregelen Het CBS heeft strikte regels ten aanzien van het verlenen van toegang tot de remote access omgeving aan externe onderzoekers. Daarnaast worden onderzoek s vragen altijd op doelbinding getoetst En blijven alle gegevens binnen de CBS omgeving en worden de tabe llen pas vrijgegeven na een outputcontrole. Actiehouder CBS Impact na maatregelen Laag 3. Categorie Schade/maatschappelijk nadeel CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 29 | 33 Data Protection Impact Assesment | D PIA Incident De publicatie van de onderzoeksresultaten leidt tot uitsluiting/stigmatisering van ongevaccineerden door derden Impact op betrokkene Hoog Kans Hoog Risico Hoog Aanbevolen maatregelen Het CBS communiceert zo duidelijk en transparant mogelijk en op een non - normatieve wijze om misverstanden te voorkomen.

Actiehouder CBS Impact na maatregelen - 4. Categorie Schade/maatschappelijk nadeel Incident Een gevaccineerde wordt behandeld als een ongevaccineerde vanwege het feit dat hij/zij behoort tot een bepaalde groep in de samenleving waarvan het onderzoek uitwijst dat de vaccinatiegraad daar laag is. Impact op betrokkene Hoog Kans Hoog Risico Hoog Aanbevolen maatregelen Het CBS communiceert zo duidelijk en transparant mogelijk en op een non - normatieve wijze om misverstanden te voorkomen. Actiehouder - Impact na maatregelen - 5. Categorie Schade / maatschappelijk nadeel Incident Daling bereidwilligheid toestemming te verlenen voor gebruik van data voor onderzoek door de burger met als risico dat de bruikbaarheid van databronnen voor onderzoek minder worden. Mogelijk ook daling van het vertrouwen in de uitvoering van de vaccinatieprogramma’s en bereidwilligheid een vaccinatie te halen. Impact op betrokkene Hoog Kans Middel Risico Hoog Aanbevolen maatregelen Heldere communicatie over het gebruik van data voor statistisch en wetenschappelijk onderzoek.

Actiehouder VWS (CBS, RIVM) Impact na maatregelen Hoog D. Beschrijving voorgenomen maatregelen In onderdeel D wordt bezien welke maatregelen kunnen worden getroffen om de in onderdeel C erkende risico’s te voorkomen of te verminderen. Welke maatregelen in redelijkheid worden getroffen is een belangenafweging van de wetgever of verwerkingsverantwoordelijke. Voor dit onderdeel van de PIA is, als het gaa t om beveiligingsmaatregelen, expertise over informatiebeveiliging belangrijk . 17. Maatregelen Beoordeel welke technische, organisatorische en juridische maatregelen in redelijkheid kunnen worden getroffen om de hiervoor beschreven risico’s te voorkome n of te verminderen. Beschrijf welke maatregel welk risico aanpakt en wat het restrisico is na het CENTRAAL BUREAU VOOR DE STATISTIEK - DIRECTIE STRATEGIE EN BESTUURSADVISERING 30 | 33 Data Protection Impact Assesment | D PIA uitvoeren van de maatregel.

Indien de maatregel het risico niet volledig afdekt, motiveer waarom het restrisico acceptabel is. a y t j g str ini CBS Op basis van de CBS - brede risicoanalyse uit 2015 wordt geconcludeerd dat het CBS op grond van de criteria die in de VIR - BI 2013 zijn genoemd het vertrouwelijkheidsniveau Departementaal Vertrouwelijk (Dep.V.) is. Tevens valt de verwerking van bijzondere persoonsgegevens onder risicoklasse 2 van de Autoriteit Persoonsgegevens . Voor het vaststellen van de noodzakelijke maatregelen hanteert het CBS de ISO 27001/2 norm en d e B aseline I nformatiebeveiliging Overheid (BIO) als uitgangspunt. Met de genomen maatregelen zijn de risico’s voldoende afgedekt. Volledig e afdekking van de risico’s zal nooit mogelijk zijn omdat de menselijke factor, veelal de belangrijkste factor bij een beveiligingsincident, nooit volledig is uit te sluiten. De scope omvat alle primaire en alle ondersteunende processen van het Centraal Bureau voor de Statistiek en de daarvoor gebruikte informatiesystemen, waarbij onder informatiesysteem wordt verstaan: het samenhangend geheel van gegevensverzamelingen en de daarbij behorende personen, procedures, processen en programmatuur, alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verw erking en communicatie .

De beveiligingsprocedures va llen binnen de directe verantwoordelijkheid van het lijnmanagement . Het CBS controleert periodiek op naleving van de betrouwbaarheidsmaatregelen: - Ieder kwartaal wordt er een rapportage opgesteld met daarin de meldi ngen rondom privacy en security. - Tweejaar lijks wordt een externe IT - beveiligingsaudit uitgevoerd. De ISO - 27001 certificering van het gehanteerde managementsysteem voor informatiebeveiliging . Het certificaat staat op de website van het CBS. Het CBS heeft de maatregelen ten aanzien van de beveiliging vastgelegd in de proces documentatie e n deze zijn juist, volledig en up - to - date. Met betrekking tot het personeel: - alle CBS - medewerkers en stagiairs hebben een geheimhoudingsverklaring ondertekenen d waarin de verplichtingen en verantwoordelijkheden met betrekking tot geheimhouding zijn vastgelegd; - personeelsleden van het CBS zijn ambtenaren en dus gehouden om alle informatie die door hun werkzaamheden tot hun kennis komt als vertrouwelijk te behandelen.

Daarnaa st hebben ze een eed of belofte afgelegd en een verklaring met de eed of belofte ondertekend; - tijdelijke externe medewerkers, uitzendkrachten en stagiaires tekenen eveneens een geheimhoudingsverklaring, maar leggen geen eed of belofte af aangezien het gee n aanstelling als ambtenaar betreft; - van derden worden geheimhoudingsverklaringen verlangd; - geheimhouding wordt in voorkomende gevallen vastgelegd in overeenkomsten met derde organisaties (zoals wetenschappelijke instellingen) die toegang krijgen tot perso onsgegevens ; Door de IT - afdeling van het CBS vindt logging plaats op gebruikersniveau. Daarnaast vindt er ook logging plaats op de intrusion detection , de centrale en decentrale IT - systemen. De wijze waarop microbestanden zijn beveiligd bij het gebruik van Remote Access is vastgelegd in de Richtlijnen voor Remote Access - output . Daarnaast heeft het CBS regels voor het gebruik van de Remote Access faciliteit , een maatregelenbeleid (waarin aspecten als instellingsmachtigingen,