Het woord “privacy” is tegenwoordig een veelgebruikte term. Iedere burger moet volgens de algemene verordening gegevensbescherming (AVG) zelf over zijn of haar gegevens kunnen beschikken. Toch is hiermee niet de volledige privacy van iedereen gegarandeerd. Vooral aan een bescherming voor zzp’ers tegen identiteitsfraude moet zeker nog gewerkt worden. Een succesvolle zzp’er zal immers gevoelige informatie veelvuldig zelf verspreiden omdat deze zelfstandige niet anders kan.
Een zzp’er moet aan zeer veel gecompliceerde voorwaarden voldoen om de volledige privacy van diens opdrachtgevers te beschermen. Geen enkel detail dat ook maar enigszins de privacy kan schenden mag in de openbaarheid komen. Voor de persoonsgegevens over de zzp’er zelf is echter nog geen passende oplossing. Op iedere factuur die deze persoon zal versturen staat immers het BTW nummer nadrukkelijk vermeld. Deze is in veel gevallen opgebouwd uit het Burgerservicenummer van de ondernemer. Dit is natuurlijk erg gevoelig voor identiteitsfraude.
Identiteitsfraude uit een BTW nummer
Het Burgerservicenummer (BSN) is een nummer dat herleidbaar is aan één specifiek persoon. Dit nummer is te vinden op een paspoort, ID-kaart of rijbewijs. De wet Bescherming Persoonsgegevens omschrijft dit nummer als een “bijzonder persoonsgegeven” en stelt dat dit nummer alleen onder strikte voorwaarden gebruikt mag worden. Een organisatie die niet verbonden is aan de overheid mag dit nummer alleen gebruiken als dit wettelijk is vastgelegd. Dit is om een identiteitsfraude uit een BTW nummer te voorkomen.
Deze strikte wettelijke bepaling staat echter haaks op de verplichting die een zzp’er heeft met betrekking tot diens facturatie. Het is immers voorgeschreven dat deze zelfstandige diens BTW nummer op de factuur moet vermelden. Aangezien in dit nummer het volledige BSN-nummer is opgenomen (met een toevoeging van B01, B02, etc.) is dit een zeer onveilige regeling.
Het risico dat de zzp’er loopt voor identiteitsfraude
De autoriteit persoonsgegevens heeft het risico dat de zzp’er loopt al in kaart gebracht: Kwaadwillenden zouden met iemands Burgerservicenummer in combinatie met een volledige naam, adres én telefoonnummer kunnen voordoen als deze persoon in kwestie. Identiteitsfraude dus.
De inschrijving bij de Kamer van Koophandel maakt het beschikken over iemands gegevens nog makkelijker. Op deze site zijn immers deze gegevens makkelijk op te vragen. Dit kan op naam of met behulp van het BTW nummer. In veel gevallen kan deze site op een eenvoudige wijze gebruikt worden om persoonlijke gegevens op te vragen. De zzp’er kan ervoor kiezen om dit niet inzichtelijk te maken, maar wil ook wel gevonden worden door een potentiële klant. Wisselende belangen dus.
Oplossing om zzp’ers tegen deze identiteitsfraude te beschermen
De enige oplossing om zzp’ers tegen deze identiteitsfraude te beschermen is een verandering van de wetgeving en de BSN uit het BTW nummer te halen. Het gevaar van deze regeling is dan ook al besproken in de regering. Eerder dit jaar hebben de regeringspartijen CDA en VVD hier al Kamervragen over gesteld, nadat dit in 2013 ook al is gebeurd door VVD en PVDA. Toen adviseerde de toenmalige staatssecretaris van financiën om de motie af te wijzen met als reden dat “de kans op identiteitsfraude bij het proces van omzetbelasting niet dusdanig groot is dat het een wijziging van de BTW nummers zou rechtvaardigen”. Het invoeren van nieuwe BTW nummers zal vanzelfsprekend een zeer grote impact hebben op de werkwijze van de Belastingdienst dat, volgens het ministerie van financiën, de uitvoer vrijwel onmogelijk maakt.
De beschrijving van de BSN in de AVG
Desondanks zijn er wel meldingen van zzp’ers die te maken hebben gehad met misbruik van hun persoonsgegevens. De Autoriteit Persoonsgegevens onderzoekt dan ook of de Belastingdienst een wettelijke grondslag heeft voor het verwerken van het BSN in het BTW nummer. Hoewel dit onderzoek in de laatste fase zit, is er nog geen duidelijkheid naar buiten gekomen over de uitkomst hiervan.
Volgens de AVG is de BSN geen bijzonder persoonsgegeven meer omdat deze gegevens binnen deze wet vallen. De Europese privacywet, de General Data Protection Regulation waar de AVG onder valt, stelt dat de lidstaten zelf mogen bepalen wat de voorwaarden zijn voor het verwerken van deze belangrijke persoonlijke gegevens. De Nederlandse regering heeft hier nog geen invulling aan gegeven, maar het valt niet uit te sluiten dat hier in de toekomst verandering in gaat komen.