De Autoriteit Persoonsgegevens constateert dat de Belastingdienst op veel privacyterreinen nog niet voldoet aan de wet en dat verbeteringen te langzaam gaan.
De Belastingdienst voldoet op diverse belangrijke gebieden nog niet aan de privacywetgeving, en de voortgang in het verbeteren hiervan verloopt traag. Dit blijkt uit de eerste editie van de 'Staat van de gegevensbescherming bij de Belastingdienst', gepubliceerd door de Autoriteit Persoonsgegevens (AP). Het rapport geeft een overzicht van het geïntensiveerde toezicht dat de AP sinds 2024 houdt op de Belastingdienst, waarbij ook de uitvoering van opgelegde verbetertrajecten is geëvalueerd. De Belastingdienst is wettelijk verplicht om aanwijzingen van de AP op te volgen, anders kan de toezichthouder handhavend optreden met sancties en dwangmiddelen.
De AP heeft de werkwijze van de Belastingdienst grondig onderzocht en tekortkomingen in kaart gebracht. Van de twaalf getoetste onderwerpen voldoet de Belastingdienst momenteel alleen aan de wettelijke eisen bij het melden van datalekken en het uitvoeren van privacytoetsen (DPIA's). Dit laatste is een verbetering ten opzichte van vorig jaar en toont aan dat bij nieuwe projecten de bescherming van persoonsgegevens structureel wordt meegenomen. Daarnaast zijn er plannen om het burgerservicenummer (BSN) uiterlijk eind 2026 uit het betalingskenmerk te verwijderen en enkele problematische systemen uit te schakelen.
Op de overige tien terreinen voldoet de Belastingdienst nog niet aan de wet. Zo zijn selectiealgoritmes onvoldoende onderbouwd, wat nodig is om discriminatie te voorkomen. Ook ontbreekt het bewijs dat bij beslissingen van algoritmes altijd een mens meekijkt wanneer dat wettelijk vereist is. Verder is de beveiliging van persoonsgegevens onvoldoende, waardoor het risico op misbruik aanwezig blijft. De eigen privacyorganisatie van de Belastingdienst functioneert nog niet goed genoeg om duurzame verbetering te waarborgen.
Volgens AP-bestuurslid Katja Mur is het zorgelijk dat de bescherming van gevoelige persoonsgegevens van vrijwel iedere Nederlander nog niet op orde is, zeker gezien het verband met andere grondrechten zoals het recht op non-discriminatie. Tegelijkertijd ziet zij positieve effecten van het intensievere toezicht: de leiding van de Belastingdienst stuurt aan op noodzakelijke verbeteringen en medewerkers zetten zich in om problemen op te lossen. Desondanks vertaalt dit zich nog niet in volledige naleving van de wet.
De Belastingdienst wijst op verouderde IT-systemen als belemmering voor snelle verbeteringen en het spanningsveld tussen gegevensbescherming en beleidswensen van kabinet en Tweede Kamer. De AP benadrukt dat de bescherming van persoonsgegevens zwaarder moet wegen en dat prioriteit moet worden gegeven aan de terreinen met de grootste risico's voor burgers. Voor het vertrouwen in de Belastingdienst en de digitale weerbaarheid van burgers is een extra impuls noodzakelijk, mogelijk met extra investeringen in IT.
Tussen 2019 en 2022 kreeg de Belastingdienst meer sancties van de AP dan andere overheidsorganisaties, waaronder boetes en opgelegde verbetertrajecten. Omdat structurele verbetering uitbleef, werd het toezicht in 2024 geïntensiveerd. De Belastingdienst erkende dat deze stap noodzakelijk was.
