De Belastingdienst voldoet nog niet aan privacywetgeving op tien van de twaalf belangrijke terreinen, ondanks verscherpt toezicht door de Autoriteit Persoonsgegevens.
De Belastingdienst voldoet op veel belangrijke gebieden nog niet aan de privacywetgeving. Ondanks herhaalde waarschuwingen en verscherpt toezicht door de Autoriteit Persoonsgegevens (AP) blijven er ernstige tekortkomingen bestaan. Uit de eerste editie van de Staat van de gegevensbescherming bij de Belastingdienst, gepubliceerd door de AP, blijkt dat de dienst op tien van de twaalf belangrijkste onderwerpen niet voldoet aan de wettelijke eisen.
Enkel bij het melden van datalekken en het uitvoeren van privacytoetsen (DPIA’s) is verbetering zichtbaar, waarbij het laatste een duidelijke vooruitgang toont ten opzichte van vorig jaar. Dit wijst erop dat de bescherming van persoonsgegevens bij nieuwe projecten structureel wordt meegenomen. Daarnaast verwacht de AP binnenkort ook verbetering op andere gebieden, zoals het verwijderen van het Burger Service Nummer (BSN) uit betalingskenmerken en het uitschakelen van enkele problematische systemen.
De AP constateert dat de voortgang echter te traag verloopt. Zo zijn de selectiealgoritmes onvoldoende onderbouwd, wat risico’s op discriminatie met zich meebrengt. Ook ontbreekt het bewijs dat bij algoritmische beslissingen altijd een mens meekijkt wanneer dat wettelijk vereist is. De AP verwijst hierbij naar de schadelijke gevolgen van verkeerd functionerende algoritmes, zoals zichtbaar werd in de Toeslagen-affaire. Daarnaast beveiligt de Belastingdienst persoonsgegevens onvoldoende, wat de kans op misbruik vergroot. De interne privacyorganisatie moet eveneens beter functioneren om duurzame verbetering te realiseren.
Katja Mur, bestuurslid van de AP, benadrukt dat de Belastingdienst als een van de grootste verwerkers van persoonsgegevens in Nederland een zorgwekkende situatie kent. Hoewel het geïntensiveerde toezicht effect heeft en de leiding van de Belastingdienst zich inzet voor noodzakelijke verbeteringen, vertaalt dit zich nog niet in volledige naleving van de wet. De dienst wijst op verouderde IT-systemen als belemmering om snel verbeteringen door te voeren, waarbij belangen van gegevensbescherming concurreren met beleidswensen van kabinet en Tweede Kamer.
De AP stelt dat de bescherming van persoonsgegevens zwaarder moet wegen en dat de terreinen met de grootste risico’s voor burgers prioriteit moeten krijgen. Voor de digitale weerbaarheid en het vertrouwen in de Belastingdienst is een extra impuls noodzakelijk, mogelijk met extra investeringen in IT. Ondanks dat de Algemene verordening gegevensbescherming (AVG) al meer dan acht jaar van kracht is en de AP tussen 2019 en 2022 talloze sancties oplegde, blijft duurzame verbetering uit. Het toezicht is in 2024 geïntensiveerd, met enig resultaat maar nog onvoldoende.
De Belastingdienst moet onder meer maatregelen treffen om persoonsgegevens beter te beveiligen, waaronder logging en controle, persoonsgegevens tijdig verwijderen volgens bewaartermijnen, de interne privacyorganisatie versterken en problematische applicaties zoals KTA en Informatiesjabloon uitfaseren.
