Het geïntensiveerde toezicht van de Autoriteit Persoonsgegevens (AP) helpt wel: de Belastingdienst is duidelijk bezig de problemen op te lossen. Dat blijkt uit de eerste editie van de ‘Staat van de gegevensbescherming bij de Belastingdienst’.
In de rapportage over de staat van de gegevensbescherming bij de Belastingdienst maakt de AP de balans op van het geïntensiveerde toezicht, dat in 2024 is ingesteld en is bijvoorbeeld gekeken naar de uitvoering van de door de AP opgelegde verbetertrajecten. De Belastingdienst is wettelijk verplicht aanwijzingen van de AP als toezichthouder op te volgen. Gebeurt dat niet, dan kan de AP handhavend optreden en sancties en dwangmiddelen opleggen.
Ingezette verbeteringen versnellen
Staatssecretaris Eerenberg van Financiën geeft in een reactie op de rapportage het volgende aan:
“Ondanks de aantoonbare inspanningen van de Belastingdienst is de naleving van privacywetgeving bij de Belastingdienst nog steeds niet overal op orde. Ik ben niet tevreden met dit resultaat. Burgers en bedrijven moeten erop kunnen vertrouwen dat de Belastingdienst zorgvuldig met hun gegevens omgaat. Daarom bekijk ik samen met de Belastingdienst waar de ingezette verbeteringen moeten worden versneld om de naleving sneller op orde te krijgen.”
Naleving bij 12 onderwerpen
Voor de rapportage heeft de AP de werkwijze van de Belastingdienst grondig doorgelicht en tekortkomingen in kaart gebracht. De AP beoordeelt bij 12 onderwerpen of de Belastingdienst de wet naleeft en hoe voortvarend de Belastingdienst de problemen aanpakt.
Vooruitgang
De Belastingdienst houdt zich inmiddels bij 2 van die 12 onderwerpen aan de wet: het melden van datalekken en het uitvoeren van privacytoetsen (DPIA’s). Dat laatste is duidelijk verbeterd ten opzichte van vorig jaar.
Ook op andere gebieden verwacht de AP op korte termijn verbetering. Zo verdwijnt het BSN eind 2026 uit het betalingskenmerk voor burgers en zijn er plannen om een aantal problematische systemen uit te schakelen.
Snel resultaat noodzakelijk
De naleving van de wet schiet bij de andere 10 onderwerpen nog tekort. Zo zijn de selectiealgoritmes onvoldoende onderbouwd, terwijl dat nodig is om discriminatie te voorkomen. Ook kan de Belastingdienst nog niet bewijzen dat bij beslissingen van algoritmes een mens meekijkt als dat moet van de wet.
Daarnaast beveiligt de Belastingdienst persoonsgegevens niet goed, waardoor kans op misbruik bestaat. Verder moet de eigen privacyorganisatie beter functioneren voor duurzame verbetering van gegevensbescherming.
AP-bestuurslid Katja Mur:
“De Belastingdienst is een van de grootste verwerkers van persoonsgegevens van Nederland. Dat vaak gevoelige persoonsgegevens van vrijwel iedere Nederlander nog steeds niet goed genoeg worden beschermd, is dan ook een zorgelijke conclusie. Zeker als je bedenkt dat die bescherming samenhangt met andere grondrechten, zoals het recht op non-discriminatie. Toch zien we ook het positieve effect van het geïntensiveerde toezicht. De top van de Belastingdienst stuurt duidelijk op de noodzakelijke verbeteringen.“
Extra impuls nodig
De verouderde IT-systemen bij de Belastingdienst worden vaak als oorzaak genoemd om de noodzakelijke verbeteringen snel door te voeren. Het belang van gegevensbescherming concurreert dan met beleidswensen van het kabinet en de Tweede Kamer.
Volgens de AP moet de bescherming van persoonsgegevens zwaarder meewegen. De gebieden met de grootste risico’s voor burgers moeten voorrang krijgen. Voor de digitale weerbaarheid van burgers en het vertrouwen in het werk van de Belastingdienst is een extra impuls noodzakelijk. Daarom moet er mogelijk extra worden geïnvesteerd in de IT bij de Belastingdienst.
Geïntensiveerd toezicht
De Belastingdienst kreeg in de periode 2019-2022 bovengemiddeld veel sancties van de AP, waaronder diverse boetes en opgelegde verbetertrajecten. Dat zijn meer sancties dan welke andere overheidsorganisatie ook. Toch bleef structurele verbetering uit.
Daarom intensiveerde de AP het toezicht in 2024. De Belastingdienst heeft erkend dat deze stap nodig was om het beter te gaan doen. Het geïntensiveerde toezicht loopt voorlopig tot medio 2029. De AP blijft erbovenop zitten, totdat het goed is. De AP publiceert in januari 2028 de volgende ‘Staat van de gegevensbescherming bij de Belastingdienst’.
Staatssecretaris Eerenberg van Financiën laat het volgende weten:
“De Belastingdienst blijft de komende tijd maximaal inzetten om verbeteringen te versnellen en resultaten naar een hoger niveau te brengen. Het doel is om in 2027 aantoonbare voortgang te realiseren op alle fronten. Ik blijf u hierover informeren.”
Kamerbrief staat van de gegevensbescherming bij de Belastingdienst
