De minister van Infrastructuur en Milieu (I en M) mag het BSN van haar medewerkers niet gebruiken voor het aanmaken van hun toegangspas, de zogeheten Rijkspas. Dat bepaalde het College bescherming persoonsgegevens 1 maart. Het BurgerServiceNummer is een bijzonder persoonsgegeven en aan strenge wettelijke eisen gebonden. Het mag alleen worden gebruikt voor specifieke overheidstaken, en de toegang regelen van ambtenaren tot hun werkplek valt daar niet onder.
Gebruik van het BurgerServiceNummer is geregeld in de Wet algemene bepalingen burgerservicenummer (Wabb). Kort gezegd komt deze erop neer dat overheidsorganen bij het verwerken van persoonsgegevens in het kader van de uitvoering van hun taak gebruik kunnen maken van het BSN.
Onder 'taak' wordt verstaan de "publiekrechtelijke taak" van het overheidsorgaan. Niet elke activiteit van een overheidsorgaan (bestuursorgaan) valt onder die definitie. Het gaat echt specifiek om de activiteit die men als overheidsorgaan uitvoert. De minister had daarover bij de invoering van deze wet gezegd:
Niet alle verwerkingen die worden verricht door bestuursorganen vallen onder de reikwijdte van het onderhavige onderdeel. In sommige gevallen verrichten bestuursorganen activiteiten die zich niet wezenlijk onderscheiden van activiteiten die ook door particulieren worden verricht. Te denken valt aan de verkoop van onroerend goed of het sluiten van een arbeidsovereenkomst. (Kamerstukken II, 1997/98, 25 892, nr. 3, p. 85.)
In het besluit oordeelt het Cbp nu dat beveiliging van de toegang tot een overheidsgebouw niet valt onder de definitie van "publiekrechtelijke taak". Ook private beveiligingsbedrijven kunnen deze taak prima uitvoeren, en daarmee is geen sprake van "wezenlijk onderscheid" zoals de minister had aangegeven dat essentieel zou zijn.
Pas als de taak niet door de private sector kan worden gedaan, zou sprake zijn van een wezenlijke overheidstaak. Denk bijvoorbeeld aan het incasseren van belastingen: dat kan en mag alleen de overheid, en daarbij kan gebruik gemaakt worden van het BSN.
Het argument van het ministerie dat zonder BSN de identificatie van medewerkers minder goed gaat, wordt verworpen. Natuurlijk kan het in theorie gebeuren dat twee medewerkers dezelfde voorletter, achternaam en geboortedatum hebben (bijvoorbeeld een tweeling) maar die kans is minimaal. Bovendien kan in zulke gevallen ook met andere persoonsgegevens (bijvoorbeeld de titel van de functie) het onderscheid worden gemaakt.
Het Cbp legt een last onder dwangsom op die bepaalt dat het ministerie het BSN moet afschermen bij de identiteitscontrole bij toegang tot de gebouwen van het ministerie. Als het ministerie dat toch doet, verbeurt men een dwangsom van € 5.000,00 per week of gedeelte van een week, met een maximum van € 60.000,00.
