De Belastingdienst houdt zich op veel belangrijke terreinen nog niet aan de privacywetgeving. Ondanks herhaaldelijke waarschuwingen van de Autoriteit Persoonsgegevens (AP) die hebben geleid tot continu verscherpt toezicht, gaat er nog veel mis. Op liefst tien van de twaalf belangrijkste onderwerpen treedt de Belastingdienst met voeten treden.
Dat blijkt uit de eerste editie van de Staat van de gegevensbescherming bij de Belastingdienst, die de AP dinsdag heeft gepubliceerd. Bij slechts twee onderwerpen is het licht van rood op groen gesprongen: het melden van datalekken en het uitvoeren van privacytoetsen (DPIA’s).
Dat laatste is een duidelijke verbetering ten opzichte van vorig jaar. Het laat zien dat de Belastingdienst bij nieuwe projecten de bescherming van persoonsgegevens structureel meeweegt.
Ook op andere terreinen verwacht de AP binnenkort verbetering. Zo verdwijnt het Burger Service Nummer (BSN) eind dit jaar uit het betalingskenmerk voor burgers. Ook zijn er plannen om enkele problematische systemen uit te schakelen.
Te langzaam
Er is dus wel vooruitgang, maar de AP vindt de verbetering veel te langzaam gaan. Een van de voornaamste grieven is dat de selectiealgoritmes onvoldoende zijn onderbouwd, terwijl dat nodig is om discriminatie te voorkomen. Ook kan de Belastingdienst nog niet aantonen dat er bij beslissingen van algoritmes een mens meekijkt als dat moet van de wet. De AP herinnert zich maar al te goed hoe funest verkeerd werkende algoritmes kunnen uitwerken. De Toeslagen-affaire is daar een voorbeeld van.
Daarnaast beveiligt de Belastingdienst persoonsgegevens niet goed, waardoor de kans op misbruik bestaat. Verder moet de eigen privacy-organisatie beter functioneren voor duurzame verbetering van gegevensbescherming.
Geïntensiveerde toezicht
AP-bestuurslid Katja Mur: ‘De Belastingdienst is een van de grootste verwerkers van persoonsgegevens van Nederland. Dat vaak gevoelige persoonsgegevens van vrijwel iedere Nederlander nog steeds niet goed genoeg worden beschermd, is dan ook een zorgelijke conclusie. Zeker als je bedenkt dat die bescherming samenhangt met andere grondrechten, zoals het recht op non-discriminatie.’
Mur vervolgt: ‘Toch zien we ook het positieve effect van het geïntensiveerde toezicht. De top van de Belastingdienst stuurt duidelijk op de noodzakelijke verbeteringen. En veel medewerkers werken hard om de problemen op te lossen. Helaas heeft dat zich op belangrijke terreinen nog niet vertaald in het naleven van de wet.’
De Belastingdienst wijst vaak op de verouderde it-systemen. Door die legacy zou het moeilijk zijn om de noodzakelijke verbeteringen snel door te voeren. Het belang van gegevensbescherming concurreert dan met beleidswensen van het kabinet en de Tweede Kamer.
Teleurstelling
Volgens de AP moet de bescherming van persoonsgegevens zwaarder meewegen. De terreinen met de grootste risico’s voor burgers moeten voorrang krijgen. Voor de digitale weerbaarheid van burgers en het vertrouwen in het werk van de Belastingdienst is een extra impuls noodzakelijk. Daarom moet er mogelijk extra geïnvesteerd worden in de it bij de Belastingdienst.
De AP is teleurgesteld dat de Belastingdienst zo weinig vooruitgang boekt. En dat terwijl de Algemene verordening gegevensbescherming (AVG) al meer dan acht jaar van kracht is. In de periode 2019-2022 legde de AP deze dienst talloze sancties op: meer dan welke andere overheidsorganisatie ook. Toch bleef duurzame verbetering uit. In 2024 voerde de AP het toezicht op, met enig resultaat maar lang niet voldoende.
De Belastingdienst moet ook:
• Maatregelen treffen om persoonsgegevens goed te beveiligen, waaronder logging en controle hierop;
• Persoonsgegevens op tijd verwijderen volgens de daarvoor geldende bewaartermijnen. Ook als persoonsgegevens zijn opgenomen in afgeschermde omgevingen, zoals de datakluis;
• De interne privacyorganisatie beter laten functioneren;
• De applicaties KTA en Informatiesjabloon uitfaseren, omdat de verwerking van persoonsgegevens met deze systemen niet voldoet aan de wet- en regelgeving. Dat is onder meer zo omdat te veel medewerkers van de Belastingdienst onnodig toegang hebben tot persoonsgegevens.
• Lokaal ontwikkelde applicaties terugdringen waarvan onduidelijk is in hoeverre ze voldoen aan de wet- en regelgeving.
• Stoppen met het verwerken van het BSN in betalingskenmerken en vorderingsnummers.
• Inzageverzoeken van burgers op tijd en goed afhandelen.
• Zorgen voor een volledig en kwalitatief toereikend verwerkingsregister.
