Vragen van het lid Omtzigt (CDA) aan de Staatssecretaris van Financiën – Toeslagen en Douane en aan de Staatssecretaris van Financiën – Fiscaliteit en Belastingdienst over het inclomplete AVG-verwerkingsregister en over onbeantwoorde belangrijke vragen over de kinderopvangtoeslagaffaire (ingezonden 17 augustus 2020).

Antwoord van Staatssecretaris Vijlbrief (Financiën – Fiscaliteit en Belastingdienst) en van Sstaatsecretaris Van Huffelen (Financiën – Toeslagen en Douane) (ontvangen 28 september 2020).

Vraag 1

Herinnert u zich dat ik bij het algemeen overleg over de Belastingdienst op 23 juni 2020 doorgevraagd heb of er andere zwarte lijsten (dan de Fraude Signalering Voorziening – FSV) bekend waren?¹

Antwoord 1

Ja.

Vraag 2

Herinnert u zich dat u in juli 2020 het KPMG-rapport «Rapportage verwerking van risicosignalen voor toezicht» aan de Kamer gestuurd heeft?²

Antwoord 2

Ja.

Vraag 3

Klopt het dat KPMG de eerste versie van dit rapport al op 16 juni 2020 aan het ministerie heeft aangeboden en dat toen al bekend was dat er meer applicaties waren die niet deugden? Waarom is dat niet aan de Kamer gemeld?

Antwoord 3

Bij brief van 28 april jl. hebben wij aan uw Kamer aangegeven dat nog in kaart moest worden gebracht of er eventueel met FSV vergelijkbare systemen zijn en of deze wel voldoen aan de privacywetgeving. Om dit goed uit te zoeken is aan een externe partij (KPMG) gevraagd hiernaar onderzoek te doen. Tijdens het algemeen overleg van 23 juni 2020 heeft de Staatssecretaris van Financiën – Fiscaliteit en Belastingdienst aangegeven dat wij bij het naar de Kamer sturen van het definitieve rapport van KPMG zouden rapporteren over FSV-achtigen.

Op 16 juni jl. heeft KPMG (opdrachtnemer) een eerste conceptversie van de rapportage aan de Belastingdienst (opdrachtgever) aangeboden. Hieruit werd duidelijk dat er binnen de in het rapport beschreven context, geen primaire processen of toezichtprocessen zijn gevonden die in dezelfde mate risicosignalen verwerken, of die een sterke gelijkenis met FSV vertonen. KPMG schetst daarnaast een algemeen beeld omtrent risicosignalering en risicoselectie. Daarbij geeft KPMG duiding aan de wijze waarop zij de zoektocht naar systemen die in aanmerking komen om onderzocht te worden, gaat vormgeven. In deze conceptversie geeft KPMG aan dat zij op basis van documentenstudie en informatieverzameling door middel van interviews tot een shortlist van toezichtprocessen en bijbehorende applicaties zijn gekomen die mogelijk een vergelijkbare werking en doel hadden als waarvoor FSV werd gebruikt. Dit concept is besproken tussen KPMG en de Belastingdienst.

In de volgende twee concepten (respectievelijk op 23 juni en 2 juli jl.) heeft KPMG onder andere de resultaten van die zoektocht weergegeven en is verder onderzoek gedaan naar de toezichtprocessen en bijbehorende applicaties op de shortlist. Ook deze concepten zijn besproken tussen opdrachtgever en opdrachtnemer. Dit met het doel om feitelijke onjuistheden te verbeteren en verduidelijkende vragen te kunnen stellen. Tevens is de inhoud van alle concepten besproken in de stuurgroep FSV. Aan de stuurgroep FSV nam de Staatssecretaris van Financiën – Toeslagen en Douane – deel. Zij heeft de conceptrapportages in die hoedanigheid ontvangen. De Staatssecretaris van Financiën – Fiscaliteit en Belastingdienst – nam geen deel aan de stuurgroep en heeft de genoemde conceptrapportages daarom ook niet ontvangen.

Er is vóór 23 juni nog geen melding gedaan aan uw Kamer, omdat het onderzoek nog niet was afgerond en de bevindingen van KPMG zoals verwoord in de concept-rapportages, daar op dat moment ook geen aanleiding toe gaven. Op 10 juli jl. is het definitieve rapport vastgesteld en dat is die dag nog aan uw Kamer toegestuurd. In onze begeleidende brief³ van 10 juli jl. hebben wij tevens aangegeven welke beheersmaatregelen wij hebben getroffen voor risico’s bij een aantal andere applicaties en verwerkingsprocessen die zouden kunnen optreden bij het mogelijk niet voldoen aan de AVG.

Vraag 4

Wanneer wist u voor het eerst van het bestaan van project 1043 af?

Antwoord 4

Eind april ben ik, de Staatssecretaris van Financiën – Toeslagen en Douane, tijdens achtergrondgesprekken met journalisten van Trouw en RTL Nieuws, op de hoogte gesteld van het feit dat er in het kader van het toezicht bij de inkomstenbelasting gebruik wordt gemaakt van projectcode 1043. Ook is in die periode door uw Kamer gevraagd naar 1043. Ik heb vervolgens verzocht om een uitleg. Op 4 mei jl. heb ik naar aanleiding van mijn vragen een notitie ontvangen met toelichting. Op basis van deze toelichting was de indruk dat heel goed uitgezocht moet worden wat het gebruik van deze term inhoudt. In de brief van 10 juli jl.⁴ is aangegeven dat meer onderzoek gedaan moet worden naar de werking van projectcode 1043 en de gevolgen die het heeft voor belastingplichtigen. Op korte termijn wordt u over dit onderwerp nader geïnformeerd.

Vraag 5

Beschouwt u project 1043 als een zwarte lijst of niet?

Antwoord 5

Er is geen duidelijke (juridische) definitie, ook niet in de AVG, wat een zwarte lijst is.

Dat laat onverlet dat de Belastingdienst de processen zorgvuldig en conform en wet- en regelgeving, zoals de AVG, moet uitvoeren. Dit betekent dat burgers niet onterechte gevolgen zouden mogen ondervinden van toezicht- en handhavingsprocessen. Wij kunnen ons daarbij voorstellen dat – hoewel een (juridische) definitie ontbreekt – vanuit burgerperspectief het wel de sfeer kan oproepen van een zwarte lijst.

Zoals in de Kamerbrief⁵ van 10 juli jl. aan uw Kamer is geïnformeerd, is project 1043 de naam van een projectcode die wordt gebruikt bij de risicodetectie van hoog risico-aangiften en mogelijke systeemfraude in de inkomstenbelasting. Voor een aanvullende toelichting t.a.v. project 1043, verwijzen wij u naar deze Kamerbrief. Binnenkort informeren wij u over de stand van zaken in het onderzoek naar projectcode 1043.

Vraag 6

Wat betekent het dat de Belastingdienst een onderhanden versie heeft van een verwerkingsregister?

Antwoord 6

Het Ministerie van Financiën maakt gebruik van één register van verwerkingen. Niet alle beschrijvingen van de verwerkingen van de Belastingdienst in dit register hebben een definitieve status en zijn nog in bewerking. Er wordt gewerkt aan een kwaliteitsverbetering van het register van verwerkingen.

Vraag 7

Wanneer heeft de Belastingdienst een compleet verwerkingsregister (dat niet onderhanden is)?

Antwoord 7

Ten tijde van de implementatie van de AVG heeft de Belastingdienst zich ingezet om het register zo volledig mogelijk te vullen. Hierbij zijn de bedrijfsprocessen als basis gebruikt.

De informatie benodigd voor het vullen van het register vloeit voort uit de (ontwerp)documentatie van de bedrijfsprocessen van de Belastingdienst. Deze documentatie geeft de verdieping op welke wijze de processen ontworpen zijn, inclusief de samenhang met applicaties en de samenhang met ander processen en op welke wijze er invulling gegeven wordt aan de vereisten van de AVG en andere wet- en regelgeving.

Omdat we met name daar de gebreken zien gaat de Belastingdienst, zoals aan uw Kamer geïnformeerd⁶, de bedrijfsprocessen systematisch, grondig en zorgvuldig doorlichten. Hierbij wordt ook getoetst of het niet alleen in opzet maar ook in de praktijk aan de eisen van de AVG en andere wet- en regelgeving voldoet. Op basis van de geactualiseerde ontwerpen wordt het register conform de vereisten bijgewerkt. Zoals eerder aan uw Kamer bericht, is voor dit traject helaas nog minimaal drie jaar voorzien. Zoals in antwoord 6 aangegeven loopt er momenteel al een eerste verbeterslag van het register.

Hierbij geldt overigens dat het register in enige mate voortdurend onderhevig zal zijn aan veranderingen omdat processen door de tijd veranderen, bijvoorbeeld door wijzigingen in wetgeving.

Vraag 8

Herinnert u zich dat uw voorganger in mei 2019 het volgende meldde:

«De periode februari–mei 2019 heeft de Belastingdienst gebruikt om de bevindingen van de ADR weg te nemen. De Belastingdienst meldt dat de bevindingen inmiddels zijn opgelost, met uitzondering van het verwijderen van oude gegevens»

en

«De Belastingdienst werkt aan het verbeteren van het inzicht in het gebruik van persoonsgegevens in de keten door het actualiseren en het verbeteren van de kwaliteit van het register van werkingen»?⁷

Antwoord 8

Ja.

Vraag 9

Herinnert u zich dat de Auditdienst Rijk (ADR) in een vervolgonderzoek in december 2019, dat als bijlage weggefrommeld aan de Kamer gestuurd is, concludeerde:

«Geen voortgang op registratie van verwerkersovereenkomsten in AVG-register

ADR-bevinding uit het initiële rapport: Nog niet alle verwerkersovereenkomsten zijn aanwezig of geactualiseerd

Uit de analyse van begin september 2019 blijkt dat er geen voortgang is geboekt ten opzichte van februari 2019 met betrekking tot de volledigheid en de actualiteit van de registratie van verwerkersovereenkomsten in het AVG-register van het Ministerie van Financiën.»⁴

Antwoord 9

Ja.

Vraag 10

Wanneer heeft de Belastingdienst een functionerend, volledig en up-to-date verwerkingsregister dat aan de Algemene verordening gegevensbescherming (AVG) voldoet?

Antwoord 10

Zie hiervoor het antwoord op vraag 7.

Vraag 11

Realiseert u zich dat uw onvolledige verwerkingsregister ertoe leidt dat KPMG moet concluderen dat het mogelijk is dat processen met gebruik van risicosignalen buiten ons gezichtsveld zijn gebleven?

Antwoord 11

Wij realiseren ons dat er onvoldoende gedetailleerde beschrijvingen beschikbaar zijn voor onderzoeken die diepgaand zijn of een volledig dekkend beeld geven van de wijze waarop de risicoselectieprocessen binnen de Belastingdienst worden uitgevoerd en hoe applicaties daarbij worden gebruikt. In antwoord op vraag 7 is aangegeven wat we gaan doen om dit te verbeteren.

Vraag 12

Heeft u aan de Autoriteit Persoonsgegevens gemeld dat u geen volledig verwerkingsregister heeft? Zo ja, wanneer?

Antwoord 12

Wij hebben de uitkomsten van het KPMG-onderzoek actief met de AP gedeeld. Dit betreft echter geen formele melding, omdat er geen verplichting bestaat om dat aan de AP te melden.

Vraag 13

Kunt u deze vragen een voor een en voorafgaand aan het algemeen overleg start hersteloperatie kinderopvangtoeslag op 20 augustus 2020 beantwoorden?

Antwoord 13

Het is niet gelukt deze vragen te beantwoorden voorafgaand aan het algemeen overleg van 20 augustus 2020.

Vraag 14

Kunt u ook de volgende vragen, waarvoor de originele beantwoordingstermijnen van drie weken (bijna) verstreken zijn en die betrekking hebben op de kinderopvangtoeslag, ten minste een dag voor het genoemde algemeen overleg beantwoorden:

• onbeantwoorde vragen van het lid Omtzigt (CDA) aan de Staatssecretaris van Financiën (Toeslagen en Douane) over 9000 dossiers die onterecht vernietigd zijn (ingezonden 6 juli 2020) (2020Z13583);

• onbeantwoorde vragen van het lid Omtzigt (CDA) aan de Staatssecretaris van Financiën – Fiscaliteit en Belastingdienst en aan de Staatssecretaris van Financiën – Toeslagen en Douane over het keihard liegen door de Belastingdienst/toeslagen (ingezonden 24 juli 2020) (2020Z14309);

• onbeantwoorde vragen van het lid Omtzigt (CDA) aan de Staatssecretaris van Financiën – toeslagen en douane – over vele ouders die in deze zomervakantie een brief kregen om binnen de veel te korte termijn van twee weken bewijsstukken over de kinderopvangtoeslag 2019 op te sturen (ingezonden 29 juli 2020) (2020Z14404)?

Antwoord 14

Op 18 augustus jl. heb ik uw Kamer de antwoorden op de eerste twee genoemde sets met vragen gestuurd en een uitstelbrief over de derde set met vragen gestuurd.

---

1 Kamerstuk 31 066, nr. 674, o.a. p. 68–69:

Er is dus niks bekend.

De heer Omtzigt (CDA):

Er is dus niks bekend.

Staatssecretaris Vijlbrief:

Ik ken die lijstjes niet.

De heer Omtzigt (CDA):

Er zijn geen andere zwarte lijsten bekend op dit moment?

Staatssecretaris Vijlbrief:

Niet bij mij in ieder geval, nee.

De heer Omtzigt (CDA):

In de microfoon graag. Er zijn geen andere zwarte lijsten bekend?

Staatssecretaris Vijlbrief:

Niet bij mij, meneer Omtzigt.

De heer Omtzigt (CDA):

Dank u wel.»

2 Bijlage bij Kamerstuk 31 066, nr. 681

3 Kamerstuk 31 066 nr. 681.

4 Kamerstuk 31 066 nr. 681.

5 Kamerstuk 31 066 nr. 681.

6 Kamerstuk 31 066 nr. 681.

7 Kamerstuk 31 066 nr. 485

4 Bijlage bij Kamerstuk 32 761, nr. 159