Mag een app je BSN vragen? Bijna nooit, en elk extra veld is jouw aansprakelijkheid

De Belastingdienst mag het burgerservicenummer gebruiken. Dat staat in de wet, daar is geen discussie over. En toch moet hij ermee stoppen in zijn betalingskenmerken, want de Autoriteit Persoonsgegevens concludeerde na onderzoek dat het gebruik van het BSN voor dat doel niet noodzakelijk is en de Belastingdienst daarmee de AVG overtreedt. Uiterlijk eind 2026 staat er geen BSN meer in een nieuw betalingskenmerk.

Lees dat nog een keer. Een organisatie met een expliciete wettelijke grondslag krijgt te horen dat mogen niet hetzelfde is als nodig hebben. Als dat de lat is voor de fiscus, wat gebeurt er dan met de app die jij laat bouwen en die bij registratie "voor de zekerheid" het paspoort uitleest?

Mijn stelling is dat de veldenlijst van je app geen technisch detail is dat je aan je bouwer overlaat, maar de grootste knop die je hebt op je eigen aansprakelijkheid. Elk identiteitsgegeven dat je meeneemt omdat het toch kan, vermenigvuldigt je schade zodra er één lek is. Dataminimalisatie hoort daarom in de opdracht aan je bouwer, naast het budget en de opleverdatum, en niet in de privacyverklaring achteraf.

Mag een app om je BSN vragen? Bijna nooit, en toestemming verandert dat niet

Organisaties buiten de overheid mogen het BSN alleen gebruiken als een specifieke wet dat voorschrijft, zoals de zorgwetgeving dat voor zorgaanbieders doet. Staat het niet in een wet, dan mag het niet. Een vinkje van je klant repareert dat ook niet, want het BSN is geen gewoon klantnummer waar je met toestemming omheen komt.

Daarmee wordt de vraag heel simpel, en heel ongemakkelijk voor wie hem nooit stelde: welke wet wijst jouw app aan? Voor kaartverkoop, ledenbeheer of een klantportaal bestaat dat antwoord niet.

Precies daar loopt een zaak die dit concreet maakt. De KNVB en app-bouwer Siip laten hun supporters-app onafhankelijk doorlichten door Sportinnovator na een klacht over onrechtmatig BSN-gebruik, met een uitkomst die uiterlijk in augustus 2026 op tafel ligt. Aanleiding was de meting van beveiligingsonderzoeker Mick Beer, die begin juli in het netwerkverkeer mat dat de app bij registratie de pasfoto, de machine-leesbare zone met een geldig BSN en de digitale handtekening uit de paspoortchip naar een server op AWS in Ierland stuurt, nog voordat er een kaartje is gekocht. Siip spreekt dat tegen en houdt vol dat de identiteit op het toestel blijft.

Wie gelijk heeft, meet die audit. Maar de ontwerpvraag ligt eerder en die is niet betwist: toegangscontrole bij een wedstrijd heeft een uniek, verifieerbaar kenmerk nodig, geen paspoortchip. Het verschil tussen "deze persoon is dezelfde als vorige week en mag naar binnen" en "deze persoon is burger nummer zoveel van de Nederlandse staat" is de hele discussie. De eerste variant kun je bouwen. De tweede koop je erbij.

Elk veld dat je uitvraagt vermenigvuldigt je schade

Een datalek is geen ja-of-nee-gebeurtenis. De omvang ervan is een som: het aantal velden, keer het aantal mensen, keer het aantal jaren dat je die velden bewaart. Je bouwer bepaalt de beveiliging. Jij bepaalt die som, op het moment dat je zegt wat de app moet uitvragen.

Kijk wat er gebeurt als de velden zwaar zijn. Bij de hack op laboratorium Clinical Diagnostics ging het om gegevens van 941.000 vrouwen die sinds 2017 meededen aan het bevolkingsonderzoek naar baarmoederhalskanker, met testuitslagen, BSN's en adressen. Dezelfde inbraak met alleen een klantnummer en een e-mailadres was vervelend geweest. Met een BSN en een medische uitslag erbij werd het iets anders.

Hoe anders, staat in een teller die niets met die ene organisatie te maken heeft. Bij het Centraal Meldpunt Identiteitsfraude kwamen in 2025 bijna negenduizend meldingen van mogelijke identiteitsfraude binnen, een stijging die vooral wordt toegeschreven aan grootschalige beleggingsfraude in juli en één groot datalek bij een bevolkingsonderzoek in augustus. In 2026 herhaalde het patroon zich, met een piek in februari en maart na een datalek bij een telecomprovider en tot 1 juli al bijna zesduizend meldingen.

Dat is wat een veldkeuze doet. Eén organisatie besluit dat het BSN wel handig is, en het gevolg verschijnt in een landelijke fraudeteller.

Die rekening komt ook terug bij de bron. Na de hack bij Odido, waarbij in februari 2026 gegevens van 6,2 miljoen klanten werden buitgemaakt, meldden zich binnen enkele dagen ruim 350.000 gedupeerden voor een massaclaim, met als verwijt dat het bedrijf te veel gegevens bewaarde en te lang. Dat tweede is dezelfde keuze als het eerste, alleen dan in de tijd. Een bewaartermijn is een veldenlijst met een klok eraan.

De rekening voor "voor de zekerheid" is al een keer uitgeschreven

En dan het deel dat opdrachtgevers het vaakst verrast: je hoeft niet eens gelekt te hebben.

Uitgever DPG Media vroeg mensen die buiten de inlogomgeving om inzage in of verwijdering van hun gegevens vroegen standaard om een kopie van hun identiteitsbewijs. De AP legde daar in januari 2022 een boete van 525.000 euro voor op. De Raad van State bevestigde op 24 september 2025 dat standaard en op voorhand om een kopie van het identiteitsbewijs vragen, zonder eerst te beoordelen of iemand minder ingrijpend te identificeren was, in strijd is met de AVG, en matigde de boete met vijftig procent tot 262.500 euro.

Geen hack, geen lek, geen slachtoffer met aantoonbare schade. De overtreding zat in het vrágen. De AP wees in die procedure op de significante risico's die horen bij het onnodig verzamelen van kopieën van identiteitsbewijzen, en dat argument hield stand tot in hoger beroep.

Leg dat naast je eigen registratieformulier. Bij DPG ging het om een klein aantal gevallen, om documenten die na een maand werden vernietigd, en om beleid dat al was aangepast voordat de toezichthouder aanklopte. Dat waren de verzachtende omstandigheden. Een app die het paspoort van iedere gebruiker uitleest en die gegevens jaren bewaart, heeft die omstandigheden niet.

Om eerlijk te zijn: de schadeclaim is niet waar je bang voor hoeft te zijn

De sterkste tegenwerping tegen mijn stelling is dat het aansprakelijkheidsrisico wordt opgeblazen, en die tegenwerping is echt sterk.

Nederlandse rechters zijn opvallend terughoudend. De rechtbank Amsterdam oordeelde op 17 juli 2024 dat de claim van 3,5 miljard euro voor alle 6,5 miljoen mensen die hun gegevens aan een GGD toevertrouwden niet ontvankelijk is, omdat iemand volgens Europese rechtspraak alleen schadevergoeding krijgt als vaststaat dat zijn gegevens in verkeerde handen zijn gekomen. De vrees dat het gebeurd kán zijn, is niet genoeg. Hoogleraar Xandra Kramer stelde in september 2025 nuchter vast dat er nog geen goede voorbeelden zijn van geslaagde massaclaims met een schadevergoeding.

En minder uitvragen is niet gratis. Doorverkoop en fraude bij kaartverkoop zijn een echt probleem, en een geverifieerde unieke identiteit lost dat echt op. Wie minder vraagt, moet meestal meer bouwen: een aparte verificatiestap, of een pseudoniem dat over sessies heen standhoudt. Dat kost ontwerptijd die niemand op de offerte terugziet.

Toch houd ik mijn lijn, om drie redenen.

De claim is nooit de eerste rekening. Die bestaat uit de meldplicht binnen 72 uur, de brief aan iedere betrokkene, de toezichthouder die vragen stelt, en in het geval van de supporters-app een externe audit met een deadline. Dat is geen vonnis over vijf jaar, dat is je agenda van volgende maand. Bij Odido meldden zich in twee dagen 350.000 mensen, ongeacht hoe die zaak juridisch afloopt.

De tweede reden is dat het GGD-vonnis mijn kant op snijdt. De rechter wees de claim af voor iedereen die alleen vréésde, maar wie kon aantonen dat zijn gegevens daadwerkelijk waren verspreid, kreeg wel een tegemoetkoming aangeboden. Aantoonbaarheid is dus de variabele, en die schaalt precies mee met hoe zwaar je velden zijn. Een gelekt e-mailadres is een ongemak dat je lastig hard maakt. Een gelekt BSN naast een medische uitslag is een schade die zich veel makkelijker laat aantonen.

De derde reden is timing. Een veld weghalen uit een draaiend systeem betekent migraties, back-ups, exports en een gesprek met iedereen die er ooit een rapport op bouwde. Een veld dat je nooit hebt uitgevraagd, kost één zin in de opdracht. Dezelfde beslissing is vandaag gratis en over twee jaar een project.

Wat je in de opdracht zet, bepaalt wat een lek je kost

Dataminimalisatie betekent dat je alleen de persoonsgegevens verwerkt die je echt nodig hebt voor je doel, niet de gegevens die technisch beschikbaar zijn. Het is een beginsel uit de AVG, maar in de praktijk is het een inkoopeis. Drie vragen bepalen of het beginsel je systeem ook echt haalt.

• Welke velden gaan er in? Niet de vraag wat je zou kúnnen opslaan, maar wat de kleinste sleutel is waarmee deze functie werkt. Voor toegang is dat een uniek nummer dat jij uitgeeft. Voor leeftijdscontrole is dat een ja of nee, geen geboortedatum. De Europese identiteitswallet is precies daarop gebouwd: verifieerbare gegevens delen zonder telkens een kopie van je paspoort te overhandigen, met een acceptatieplicht die voor publieke organisaties eind 2026 begint.
• Wie kan erbij? Een gegeven dat het toestel niet verlaat, staat niet in je back-up en niet in de export van een leverancier. Dat is precies waar het meningsverschil over de supporters-app om draait. Verwerking op het apparaat zelf is bovendien de route waarbij er geen verwerker en geen doorgifte is, en daarmee ook geen doorgifteprobleem.
• Wat kost dit veld bij een lek? Laat je bouwer per veld opschrijven hoeveel mensen het raakt, hoe lang je het bewaart, en of het een lek van een ongemak in identiteitsfraude verandert. Dat is een half A4 werk, en het is de enige plek waar die som ooit hardop gemaakt wordt.

De reden dat dit in de opdracht hoort en niet in een overleg achteraf, is dat de rollen al vastliggen. Je bouwer is verwerker en handelt in jouw opdracht. Jij bent verwerkingsverantwoordelijke en krijgt de brief van de toezichthouder. Wie de rekening krijgt, moet de eis stellen, en je onderhandelingsmacht is maximaal vóór de handtekening, niet erna. Een goede bouwer heeft daar geen enkel probleem mee, want een korte veldenlijst is ook voor hem minder werk.

Controle nemen betekent de rekening overnemen

Terug naar de fiscus. Een organisatie die het BSN bij wet mág gebruiken, moet per doel uitleggen waarom ze het nodig heeft, en stopt ermee zodra dat antwoord ontbreekt. Dat is de standaard. "Het stond toch in de chip" is geen antwoord dat daar iets tegenover zet.

Het patroon erachter is breder dan privacy. Zelf je mail draaien voelt als controle terugpakken, maar een zelf gehoste mailserver is voor een statelijke actor een aantrekkelijker doelwit dan een mailbox bij een hyperscaler, omdat de verdediging dan bij niemand meer een vaste taak is. Zelf identiteitsgegevens verzamelen werkt hetzelfde, een laag hoger. Je koopt geen data, je koopt een plicht.

Daarom is je risicomodel geen document dat je jaarlijks bijwerkt. Het is de veldenlijst van je registratieformulier, en die schrijf je aan het begin van een bouwtraject, in een half uur, meestal zonder er lang bij stil te staan. De veiligste kopie van een paspoort blijft de kopie die nooit is gemaakt.