De BRP & de AVG
Bent u verwerkingsverantwoordelijke voor de Basisregistratie Personen (BRP)? Dan moet u zich bij het verwerken van persoonsgegevens in de BRP houden aan de Wet BRP en het Besluit BRP. Daarnaast staan in de Algemene verordening gegevensbescherming (AVG) regels voor situaties die niet in de Wet BRP en het Besluit BRP zelf zijn geregeld. U moet zich dus zowel aan de Wet BRP en het Besluit BRP als aan de AVG houden.
Op deze pagina
Dit zijn de verantwoordelijken voor de BRP
De specifieke AVG-regels voor de BRP gelden rechtstreeks voor de verwerkingsverantwoordelijken van de BRP. Bij de BRP is:
- het college van burgemeester en wethouders van elke gemeente de verwerkingsverantwoordelijke voor het lokale deel van de BRP van die gemeente;
- de minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) de verwerkingsverantwoordelijke voor de centrale voorziening van de BRP.
De Rijksdienst voor Identiteitsgegevens (RvIG) beheert de BRP namens de minister van BZK. De RvIG is verantwoordelijk voor de veilige opslag en uitwisseling van persoonsgegevens in de BRP.
Deze plichten heeft u op grond van de AVG
U heeft als verwerkingsverantwoordelijke voor de BRP onder meer de volgende plichten op grond van de AVG:
- de regels volgen bij het inschakelen van verwerkers (artikel 28 AVG);
- een verwerkingsregister bijhouden (artikel 30 AVG);
- datalekken melden (artikel 33 en 34 AVG);
- een functionaris gegevensbescherming (FG) aanwijzen (artikel 37 en 38 AVG).
Zo voldoet u aan de kennisgevingsplicht
Zowel in de Wet BRP als in de AVG staat een kennisgevingsplicht:
- artikel 3.23, eerste lid van de Wet BRP;
- artikel 19 AVG;
- artikel 23 AVG.
De kennisgevingsplicht houdt in dat u het aan andere organisaties moet laten weten als u persoonsgegevens in de BRP heeft gerectificeerd of gewist. Toch hoeft u dit niet altijd te doen.
Onmogelijk of onevenredig veel inspanning
De verwerkingen van persoonsgegevens in de BRP zijn complex. Daarnaast worden er op grote schaal persoonsgegevens uit de BRP verstrekt aan diverse overheidsorganisaties en derden. Daardoor kunt u niet altijd iedere ontvanger van persoonsgegevens uit de BRP informeren over elke rectificatie of verwijdering.
Dit is in lijn met artikel 19 van de AVG, waarin staat dat u ontvangers niet hoeft te informeren als dat onmogelijk blijkt of onevenredig veel inspanning zou kosten.
Automatisch op de hoogte
In de praktijk krijgen bepaalde ontvangers al automatisch een seintje als er wijzigingen zijn in de persoonsgegevens die zij gewoonlijk ontvangen. Dat zijn ontvangers die bij ministerieel besluit zijn geautoriseerd voor spontane mutatieverstrekkingen uit de BRP.
Verzoek van betrokkene
Heeft u iemands persoonsgegevens in de BRP gerectificeerd of gewist op verzoek van die persoon zelf (de betrokkene)? Dan moet u dit laten weten aan alle aan overheidsorganisaties en derden waaraan deze persoonsgegevens in de afgelopen 20 jaar zijn verstrekt. Ook hierbij geldt dat u deze ontvangers niet hoeft te informeren als dat onmogelijk blijkt of onevenredig veel inspanning zou kosten.