De toegang tot microdata van het CBS is – zo blijkt uit een recente brief van de de staatssecretaris Jeugd, Preventie en Sport [*] – een ‘aanvullende statistische dienst’:

De toegang tot microdata via de remote access faciliteit van het CBS is een aanvullende statistische dienst zoals bedoeld in de ‘Beleidsregel taakuitoefening CBS’ (hierna: beleidsregel) en de ‘Regeling werkzaamheden derden CBS’ (hierna: ministeriële regeling). Bij de vraag of het CBS de aangewezen partij is om een statistisch onderzoek te verrichten spelen twee publieke belangen een rol. Het is een publiek belang dat praktijk, beleid en wetenschap toegang hebben tot hoogwaardige statistische informatie. Tegelijk is het een publiek belang dat voldoende ruimte is voor private statistische dienstverleners. Omdat een aantal jaar geleden door de sterke toename van databronnen en het aantal aanbieders van statistische diensten onduidelijkheid was ontstaan over de rolverdeling tussen het CBS en marktpartijen, zijn op 1 juli 2020 de ministeriële regeling en de beleidsregel in werking getreden. Deze beogen meer duidelijkheid te scheppen over die rolverdeling en doen dit ook volgens een recente onafhankelijke evaluatie van KWINK Groep. De ministeriële regeling regelt in welke situaties en onder welke voorwaarden het CBS statistische werkzaamheden voor derden mag verrichten. In de beleidsregel wordt het proces rondom aanvullende statistische dienstverlening (aan derden en niet derden) van het CBS gespecificeerd.

Over de regels is een procedure gaande tussen CBS / Staat der Nederlanden en een marktpartij, Data & Insights Network (D&IN, voorheen de MarktOnderzoekAssociatie.nl).

In de brief komt ook het onderwerp gegevensbescherming aan de orde, waarover de staatssecretaris schrijft:

Ik ben van mening dat het waarborgen van privacy en het goed onderbouwen en monitoren van vraagstukken omtrent gegevensuitwisseling voor wetenschappelijk onderzoek geen verspilling is van publieke middelen.

waarna wordt aangegeven dat de AVG van toepassing is en dat de algemene beginselen uit de AVG gelden, onder meer het beginsel van dataminimalisatie:

Een ander beginsel betreft dat van dataminimalisatie. Dat beginsel houdt in dat persoonsgegevens alleen mogen worden verwerkt voor zover dat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit beginsel kan in deze kwestie met zich meebrengen dat niet onnodig en herhaaldelijk persoonsgegevens worden uitgewisseld, mede omdat dat het risico in zich bergt dat persoonsgegevens op een onrechtmatige wijze worden verwerkt of in handen van onbevoegden komen. Het is dan ook een misvatting dat onderzoekers de data financieren. De in artikel 89 lid 1 van de AVG genoemde passende waarborgen zijn namelijk niet gratis. Deze maatregelen zijn van belang om eventuele onthulling te voorkomen en moeten voor nieuwe onderzoeken opnieuw worden getoetst aan het in artikel 5 genoemde beginsel van dataminimalisatie.

Gegevensbescherming
Het CBS bezweert dat er hoge eisen worden gesteld aan de toegang tot microdata, bekijk deze pagina. Daar staat onder meer:

Uw aanvraag wordt getoetst door het CBS op onder andere de vraag of de instelling het verrichten van statistisch of wetenschappelijk onderzoek als hoofdactiviteit heeft en publiceert voor de openbaarheid

De privacyverklaring voor deelnemers aan enquêtes is hier te vinden; zie ook de veelgestelde vragen. De voornoemde privacyverklaring lijkt ook de algemene verklaring te zijn, want vanuit de organisatiepagina wordt er eveneens naar verwezen.

[*] Brief van de staatssecretaris Jeugd, Preventie en Sport van 4 september 2024.

Lees de artikelen op dit blog over de microdata van CBS en over microdata in het algemeen.

Aanvulling 3 januari 2025
Er is contact tussen het CBS en de Autoriteit Persoonsgegevens (AP) geweest, zie het nieuwsbericht van de AP van 30 oktober 2024 en de bijgevoegde brief van 28 oktober 2024 (pdf). In die brief schrijft de AP dat de juridische uiteenzetting door het CBS correct is en meldt:

Wel wil ik u meegeven dat de AP niet op voorhand, in zijn algemeenheid, kan zeggen of het CBS in afzonderlijke zaken ook aan alle overige voorwaarden (niet zijnde de rechtsgrond) voor de verwerking van persoonsgegevens voldoet. Het is aan het CBS om, per geval, aan te tonen dat aan alle voorwaarden wordt voldaan voor het ontvangen en verwerken van gegevens, desnoods met een extra Data Protection Impact Assessment (DPIA). De AP ziet vervolgens toe op een goede naleving van de AVG door het CBS.