8 Belastingdienst

Aan de orde is de voortzetting van het debat over de Belastingdienst. 

De voorzitter:

De eerste termijn van het debat over de Belastingdienst hebben we afgerond. We gaan door met de tweede termijn, want de staatssecretaris was klaar met zijn antwoorden. 

De beraadslaging wordt hervat. 

De voorzitter:

Mijnheer Omtzigt, hebt u een punt van orde? 

De heer Omtzigt (CDA):

We hadden gevraagd of de staatssecretaris misschien een reactie wilde geven op het document. 

De voorzitter:

Kan dat een korte reactie zijn? Ik wil namelijk niet weer een heel debat, maar als daar behoefte aan is, hoor ik het wel. 

Staatssecretaris Wiebes:

Er lagen nog vier dingen uit de eerste termijn en die had ik voor de tweede termijn geprogrammeerd. Maar ik had ook wat tijd. Ik heb een reactie, zoals is gevraagd. We hebben de vraag over de databeveiliging van de heer Van Dijck met de printscreen. We hebben de privacy officer van mevrouw De Vries. En we hebben de steen in de maag van de heer Van Weyenberg. Zijn dat dingen die zich voor een … 

De voorzitter:

Dat zijn punten die u in de tweede termijn aan de orde zou stellen. Ik zou graag zien dat u de reactie geeft die u hebt toegezegd. De rest doen we straks in de tweede termijn. 

Staatssecretaris Wiebes:

Oké, voorzitter. Een nieuw document. Ik heb net bevestigd dat ik inderdaad signalen heb gekregen dat er signalen zouden zijn gegeven. Mogelijkerwijs komt er ook in dit document iets dergelijks voor. Dat weet ik niet. Dat er weer een nieuw stuk is, bewijst wat mij betreft dat we eerst de spullen compleet moeten hebben voordat we daar een zinvol gesprek over kunnen hebben. Dit toont precies aan dat we blijkbaar nog even moeten werken aan het compleet krijgen van dingen. Mijn hoofdvraag blijft: is er gelekt. In het kielzog daarvan zijn waarschuwingen van belang, maar het staat niet vast dat er is gelekt. Wij hebben ook nog niets aan waarschuwingen. Die zijn relevant op het moment dat wij hebben vastgesteld dat er iets gelekt zou zijn en dat staat nog niet vast. Nu stellen wij ons blijkbaar de vraag wie was gewaarschuwd voor iets waarvan wij niet weten of het is gebeurd. 

Mijn stelling is — en dit bewijst dat maar weer eens — dat ik zorgvuldig moet zorgen voor dat onderzoek. Dan weten wij of er gelekt is. Als dat zo is, weten wij ook of daarvoor is gewaarschuwd. Dan weten wij ook wat er met die waarschuwingen is gedaan, want dat is ook relevant. Nu vliegen de snippers papier door de Kamer. Wij krijgen nu overduidelijk niet alles op tafel en voordat ik de Kamer antwoord, wil ik wel alles op tafel hebben. 

De voorzitter:

Dit was uw reactie op het stuk? 

Staatssecretaris Wiebes:

Ja. 

De voorzitter:

Ik geef de gelegenheid voor het stellen van een vraag, want anders krijgt het debat weer een nieuwe dynamiek. 

De heer Grashoff (GroenLinks):

Dat snap ik, voorzitter. Ik heb een korte vraag. De staatssecretaris zegt dat de vraag of er waarschuwingen zijn geweest, pas relevant is als er informatie zou zijn gelekt. Ik kan me haast niet voorstellen dat hij dat meent, want die waarschuwing tegen het bestaan van een lek is, los van de vraag of dat lek in de praktijk ook heeft gelekt, natuurlijk relevant, want het moet op orde zijn. Ik kan me dus haast niet voorstellen dat de staatssecretaris meent dat dit zo aan elkaar is gekoppeld. Ik vind ze los van elkaar relevant. 

Staatssecretaris Wiebes:

Ik ga een eind met de heer Grashoff mee als hij zegt dat die waarschuwingen relevant zijn zodra duidelijk wordt dat er destijds een reëel risico was op een lek, ook al is er niet gelekt. Voor mij staat dit nog helemaal niet vast. Stel je voor dat er geen risico was op een lek en iemand komt met iets wat een waarschuwing zou kunnen worden genoemd, dan is die niet per se relevant. Ik heb het stuk niet doorgenomen, maar naar mijn mening staat het überhaupt niet vast dat het om een waarschuwing gaat. Laten wij hier serieus naar kijken. Ik sluit aan bij het jargon van de heer Grashoff: als er een serieus en ongeoorloofd risico was op een lek terwijl het niet gelekt heeft, zijn waarschuwingen relevant. Echter, waarschuwingen zijn niet relevant als er niets aan de hand zou blijken te zijn. Ik denk dat wij het daar wel over eens worden. 

De voorzitter:

Dank u wel. Dan gaan wij nu over naar de tweede termijn. De spreektijd is 1 minuut en 20 seconden inclusief het indienen van moties. 

De heer Omtzigt (CDA):

Voorzitter. Dit is een onbevredigend debat nadat er een week geleden een serieuze aantijging was. Wij weten namelijk nog steeds niet of er loggegevens zijn waarmee mensen de belastinggegevens van twaalf miljoen Nederlanders konden inzien, en of daar ooit een audit op is uitgevoerd. Dat moet nog worden uitgezocht. Normaal verwacht je dat die audits op een stapel liggen. 

Vorig jaar is al toegezegd dat er een nieuwe klokkenluidersregeling zou komen. Toen werden wij met hetzelfde probleem geconfronteerd, namelijk dat het via de media ging. Dat is vervelend want het leidt tot Kamerdebatten, maar het leidt niet tot een efficiënte oplossing van problemen. Ik herhaal daarom de vraag waarom er toen geen nieuwe vertrouwenspersoon is aangesteld of een nieuwe manier van werken is gekozen opdat mensen dit soort problemen kunnen melden. 

De commissie-Joustra heeft geen cultuuronderzoek gedaan, maar dat moet er wel komen, want de aantijgingen zijn schokkend. Het onderzoek moet natuurlijk extern zijn en niet intern door de Belastingdienst. Als er een mogelijk lek was en er waren waarschuwingen, dan kan er zelfs sprake zijn van strafbare feiten. Dat doe je niet met een intern onderzoek. Vandaar mijn motie. 

Motie

De Kamer, 

gehoord de beraadslaging, 

overwegende dat de aantijgingen over databeveiliging en het gebrek daaraan buitengewoon serieus zijn aangezien zij de belastinggegevens en andere persoonsgegevens van alle Nederlanders betreffen; 

constaterende dat achttien mensen lange tijd USB-sticks met belastingdata konden downloaden; 

van mening dat het niet gepast is dat de Belastingdienst zelf het onderzoek uitvoert; 

verzoekt de regering, een extern en onafhankelijk onderzoek te laten plaatsvinden naar databeveiliging bij de Belastingdienst en specifiek bij de Broedkamer/Data & Analytics vanaf 2013, en in dat onderzoek in te gaan op ten minste de volgende aspecten: 

• logging over de hele periode; 

• controle en uitgevoerde audits op de logging van inzien van gegevens en downloaden van de gegevens; 

• waarschuwingen over privacy, logging en autorisatie en de opvolging die daaraan is gegeven; 

• of het mogelijk was dat data meegenomen of gedownload werden en of dat nog traceerbaar is; 

verzoekt de regering, dit rapport ten minste twee weken voor het zomerreces aan de Kamer aan te bieden inclusief een appreciatie, 

en gaat over tot de orde van de dag. 

De voorzitter:

Deze motie is voorgesteld door de leden Omtzigt en Bashir. Naar mij blijkt, wordt de indiening ervan voldoende ondersteund. 

Zij krijgt nr. 341 (31066). 

De heer Tony van Dijck (PVV):

Voorzitter. De grote vraag na vandaag is natuurlijk: zweeft er ergens in Nederland een USB-stick, een cd of een bestand rond met alle belastinggegevens van 11 miljoen Nederlanders en 2 miljoen bedrijven? Dat is de grote vraag. We weten het niet. De staatssecretaris heeft wel signalen gehad dat er signalen zijn, maar waarover er signalen zijn, dat weet hij niet, maar het is de moeite waard om het uit te zoeken wat die signalen dan zouden kunnen zijn waar hij signalen over gehad zou hebben. Al die tijd hangt het datalek boven de markt. De staatssecretaris stapt er dan luchtig overheen en ziet overal signalen, maar hij ziet ze niet of hij wil ze niet zien. De vertrekregeling, de RVU-boete, de privacy, de staatssecretaris huppelt gewoon verder. ZEMBLA heeft nu een USB-stick met honderden documenten van de Belastingdienst, lees ik net. Medewerkers verklaren onder ede dat belastinggegevens onvoldoende zijn beschermd gedurende drie jaar. Externen hadden drie jaar ongecontroleerd toegang tot alle belastinggegevens en er werd niets gelogd en niets gemonitord. Dit zou de hoogste prioriteit moeten hebben bij deze staatssecretaris. 

Tot slot nog een vraag die in de eerste termijn is blijven liggen. Gisteren kwam het bericht naar buiten dat 70% minder boekenonderzoeken wordt gedaan dan twintig jaar geleden en dat inspecteurs massaal weg zouden lopen omdat ze het onverantwoord en naïef noemen. Klopt dit? De staatssecretaris verwijst naar een volgend AO maar ook dit signaal dat we gisteren tot ons kregen, is het onderzoeken waard. 

De heer Bashir (SP):

Voorzitter. Een van de medewerkers van de Belastingdienst verklaart onder ede in de uitzending van ZEMBLA: Ik weet dat de leiding van de Belastingdienst al medio 2015 te horen heeft gekregen dat de databeveiliging volledig tekortschoot en dat de wet werd overtreden, maar met die signalen is op dat moment niets gedaan. Vervolgens hebben wij hier een debat met de staatssecretaris over die signalen en over dit stuk en hij heeft het er dan alleen maar over dat hij signalen heeft gekregen over deze signalen. Als ik zoiets zou horen en ik staatssecretaris was, zou ik allereerst willen weten wat er dan precies in 2015 is besproken en gedaan. Vervolgens komt nu pas het stuk naar buiten, niet via de staatsecretaris die het weer eens niet heeft onderzocht, maar weer eens via de media. Heeft de staatssecretaris dit stuk tot op dit moment niet gezien? Kan hij bevestigen dat hij het niet heeft gezien en er niet over heeft doorgevraagd? Dan is de vervolgvraag: waarom heeft hij daarover niet doorgevraagd? Waarom wilde hij niets weten over dat stuk? Dit lijkt mij namelijk wel cruciaal. Het gaat om gegevens van miljoenen Nederlanders en bedrijven, om privacygevoelige informatie maar ook bedrijfsgevoelige informatie. Dan kun je dat toch niet zomaar laten lopen? 

Wat ik mij ook afvraag, is of het klopt dat de staatssecretaris pas actie heeft ondernomen over de aanbesteding en het onderzoek daarnaar, nadat onderzoeksjournalisten van ZEMBLA daarnaar hebben gevraagd. Als ik het goed begrijp, hebben de onderzoeksjournalisten van ZEMBLA aan de staatssecretaris en zijn departement de vraag gesteld of er iets aan de hand is met die aanbesteding en is de staatssecretaris vervolgens een onderzoek begonnen en heeft hij de onderzoeksjournalisten gemeld: we zijn bezig met een onderzoek. Klopt dat? 

De heer Van Weyenberg (D66):

Voorzitter. Tot nu toe staan nog heel veel vragen open. De staatssecretaris geeft dat overigens ook toe. Daarom is het goed dat uitgebreid onderzoek plaatsvindt of de beveiliging op orde was en of op sommige momenten echt iets is misgegaan en gegevens terechtgekomen zijn op plekken waar ze niet horen. Dat kost tijd. Dat snap ik ook. Ik heb wel een positief gevoel bij de net ingediende motie om het onderzoek ernaar maximaal onafhankelijk vorm te geven. 

Ik heb naar twee punten nog specifiek gevraagd. Het eerste, waarop de staatssecretaris zal terugkomen in tweede termijn, is het werkbezoek en het onder druk zetten. Ik wacht dat af. Wat mij betreft mag dat geen dag langer in de lucht blijven hangen dan nodig is. 

Het tweede punt betreft de vraag wat de leiding van de Belastingdienst en de staatssecretaris wisten over de waarschuwingen. De staatssecretaris zei dat hij het niet wilde weten. Ik wil dat in de vorm van een feitenrelaas wel weten. Ik wil het ook sneller weten dan de staatssecretaris. Daarom dien ik de volgende motie in. 

Motie

De Kamer, 

gehoord de beraadslaging, 

constaterende dat de staatssecretaris van Financiën signalen ontvangen heeft over interne waarschuwingen over beveiligingsrisico's binnen de Belastingdienst; 

constaterende dat de staatssecretaris de Kamer pas wil informeren over deze signalen met de halfjaarrapportage in april 2017; 

overwegende dat de Kamer sneller inzicht wil hebben in de waarschuwingen over beveiligingsrisico's en hoe hierop is gereageerd; 

verzoekt de regering, uiterlijk 1 maart 2017 een feitenrelaas naar de Kamer te sturen over alle interne waarschuwingen in de periode 2014-2016 over beveiligingsrisico's, en dit feitenrelaas te doen opstellen door een onafhankelijk rapporteur, 

en gaat over tot de orde van de dag. 

De voorzitter:

Deze motie is voorgesteld door de leden Van Weyenberg en Grashoff. Naar mij blijkt, wordt de indiening ervan voldoende ondersteund. 

Zij krijgt nr. 342 (31066). 

De heer Van Weyenberg (D66):

Deze motie is medeondertekend door de heer Grashoff. Ik hoop dat de staatssecretaris dit feitenrelaas alsnog gewoon toezegt. De exacte vorm laat ik dan graag aan hem over. 

De heer Groot (PvdA):

Voorzitter. Ik heb in eerste termijn gezegd dat dit debat hooguit een tussenstand zou kunnen geven. Dat blijkt ook te kloppen. Wij hebben in een aantal opzichten opheldering gekregen en in een aantal opzichten niet. Over de periode ten tijde van de oprichting van de Broedkamer moet nog een en ander worden uitgezocht en opgehelderd. Hetzelfde geldt voor de waarschuwingen die er intern zouden zijn geweest over de beveiliging van de Belastingdienst. Ook dat punt wordt meegenomen in het onderzoek. Ik hoop in tweede termijn, vandaag nog, antwoord te krijgen op de vraag of gesproken is met de leden van de Broedkamer en welke ervaringen er zijn met het werkbezoek daar. Zo niet, dan kan dit ook in het onderzoek worden meegenomen. 

Het is van belang dat de onderste steen boven komt. Dat geldt ook voor de aanbesteding. Het is goed dat daarnaar een forensisch onderzoek komt. Ik reken erop dat alle openstaande vragen nog worden uitgezocht. Tegelijkertijd heb ik ook begrepen dat de Belastingdienst en het ministerie daarvoor tijd nodig hebben. 

Ten slotte wil ik over het onderzoek dat de staatssecretaris gaat doen, graag weten door wie dat wordt gedaan en hoe het vorm krijgt. De slager moet toch niet zijn eigen vlees keuren. Ik hoor dat ook graag in verband met de reactie op de motie van de heer Omtzigt. 

De heer Grashoff (GroenLinks):

Voorzitter. De situatie rondom mogelijk ondeugdelijke databeveiliging bij de Belastingdienst kan ik niet anders zien dan in de context van de bredere problematiek bij de Belastingdienst, die onder meer is onderzocht door de heren Borstlap en Joustra. Zij doen een aantal belangrijke constateringen over de managementcultuur en de wijze waarop de dienst werd geleid — gesloten cultuur, eigengereid, slechte regie, beheersing van processen niet op orde — en doen een aantal wezenlijk aanbevelingen. In dat licht neem ik de signalen die via ZEMBLA naar buiten zijn gekomen, extra serieus. Zij passen wel een beetje in dat beeld, om het een beetje onparlementair te zeggen. Dat betekent des te meer dat deze staatssecretaris echt alles moet doen om op de kortst mogelijke termijn maximaal transparant te zijn en te zorgen voor onafhankelijke stukjes onderzoek naar de zaken die aangekaart zijn. Dat is ook de reden geweest dat ik de motie van de heer Van Weyenberg heb meeondertekend. Daarin wordt van de staatssecretaris gevraagd om in de naar mijn mening bestuurlijk relevantste kwestie met grote spoed een onafhankelijk en goed feitenoverzicht te presenteren van de waarschuwingen die er zijn geweest, ongeacht of uiteindelijk sprake is geweest van daadwerkelijke datalekken. Als een serieuze waarschuwing in een bedrijfscultuur niet als zodanig wordt opgepakt, is dat een laakbaar feit als het om zoiets belangrijks gaat. 

Mevrouw Aukje de Vries (VVD):

Voorzitter. Ik begrijp dat het voor veel mensen in deze zaal en volgens mij ook voor de staatssecretaris onbevredigend is dat nog niet op alle vragen een antwoord kan worden gegeven. Ik hoop dat dit met de onderzoeken die worden gedaan, straks wel kan gebeuren. Ik vind ook dat dit op een grondige manier moet worden gedaan. Ik ben blij met de toezegging van de staatssecretaris dat wordt uitgezocht of er sprake was van waarschuwingen en dat dit wordt meegenomen in het onderzoek. 

Ik heb nog twee punten. Ten eerste staat er nog een vraag open over de privacy officer. Daarop zal de staatssecretaris nog terugkomen. Ten tweede noem ik het meldpunt. Hoe los je het probleem op van lekken naar de media? Hoe kun je daar invulling aan geven? Ik ben benieuwd of de staatssecretaris een termijn hiervoor kan noemen. Het blijft altijd wat vaag wanneer het meldpunt kan worden gerealiseerd. 

De heer Omtzigt (CDA):

Is de VVD met mij van mening dat het goed is als het onderzoek dat wordt gedaan naar mogelijke datalekken en dus naar fouten die bij de Belastingdienst zijn gemaakt of zouden kunnen zijn gemaakt — dat moet nog aangetoond worden — extern en onafhankelijk is en niet door de Belastingdienst zelf wordt gedaan? We moeten situaties vermijden zoals die rond het eerste rapport over het bonnetje, dat door een ambtenaar was geschreven en waarbij staatssecretaris Teeven niet op zijn rol bij het OM mocht worden aangesproken, waardoor er helemaal niets boven kwam. Er moet een goed onderzoek worden gedaan. Deelt mevrouw De Vries de mening dat dit onderzoek extern en onafhankelijk moet zijn? 

Mevrouw Aukje de Vries (VVD):

Volgens mij is het belangrijk dat er een degelijk onderzoek komt te liggen. De staatssecretaris heeft gezegd dat hij de vraag nog naar de Tweede Kamer stuurt en dat hij haar zal informeren wie het onderzoek zal uitvoeren. Dat vind ik het allerbelangrijkste. 

De heer Omtzigt (CDA):

De wens tot degelijkheid delen we. Daarom staat ook in mijn motie dat het in juni klaar moet zijn. Het hoeft dus geen vluggertje te zijn, noch hoeft het klaar te zijn voor 15 maart. Deelt de VVD wel de mening dat de slager zijn eigen vlees niet moet keuren? Als er sprake is geweest van een mogelijk beveiligingslek terwijl daar heel veel voor gewaarschuwd is, zelfs dat het strafbare feiten zou kunnen opleveren, moet dat niet worden onderzocht door de Belastingdienst zelf of door mensen die daar werken, maar juist door mensen van buiten. 

Mevrouw Aukje de Vries (VVD):

Ik wacht de voorzet van de staatssecretaris af. Dan weten we wie het gaat uitvoeren en hoe hij wil borgen dat er geen mensen bij betrokken zijn die eventueel bij het onderzoek zelf betrokken zijn. Dat wacht ik eventjes af. 

De voorzitter:

Dank u wel. De staatssecretaris kan direct antwoorden. Het woord is aan hem. 

Staatssecretaris Wiebes:

Voorzitter. Ik moet toch even één opmerking maken, omdat het in de betogen een beetje onhelder is en je thuis dan denkt dat al vaststaat dat er iets mis is. Laten we het even helder zeggen. Er is een uitzending geweest. Dat is het feit. Op dit moment staat echter allerminst vast dat er een datalek is geweest of dat er een onaanvaardbaar risico op een datalek is geweest. Dat staat niet vast. Er zijn aantijgingen; dat is het feit. Er is gelogd, gemonitord enzovoorts. We moeten nu uitzoeken of er — ik volg de redenering van de heer Grashoff — een onaanvaardbaar risico op een datalek is geweest of dat er een datalek is geweest. Dat moeten we nog uitzoeken. We moeten niet aannemen dat er iets mis is met data als we dat niet weten. Er zijn aantijgingen die ernstig zijn en die ik bekijk. Dat moet toch even worden gezegd. 

De heer Omtzigt (CDA):

Deze aantijgingen zijn er. Die zijn ernstig. Er is echter ook het feit dat de staatssecretaris dit een week heeft kunnen bekijken en de aantijgingen had kunnen wegnemen. Hij had de logfiles van de achttien USB-sticks die waarschijnlijk twee jaar lang gebruikt konden worden door medewerkers om dingen te downloaden en ergens neer te zetten, kunnen terugvinden en analyseren. Hij heeft echter niet eens gezegd dat hij ze gevonden heeft. Dat is allemaal niet gebeurd. Het feit dat ze niet gevonden kunnen worden, is op zich buitengewoon ernstig. 

Staatssecretaris Wiebes:

Ik heb niet gezegd dat ze niet gevonden kunnen worden. Ik heb gezegd dat ik mij er de afgelopen week zes dagen op heb gericht om me ervan te vergewissen dat de datasituatie nú voldoende veilig is. Om het risico extra in te dammen, heb ik extra maatregelen genomen. Daar heb ik mij op gericht en dat is nu ook het meest relevant. 

De voorzitter:

En nu de vragen en de moties. 

Staatssecretaris Wiebes:

De heer Omtzigt vraagt nogmaals waarom er niet een nieuwe vertrouwenspersoon is benoemd. Ik ben daar, meen ik, op ingegaan. Ik heb gezegd dat er een breed netwerk van vertrouwenspersonen bestaat. Het probleem is niet dat er geen vertrouwenspersoon bestaat. Mensen kunnen met allerlei soorten dingen bij een vertrouwenspersoon terecht. Het probleem is dat het stelsel blijkbaar nog niet dekkend is. Ik zoek naar een aanvullende figuur. Daarvoor zijn wij in gesprek met het Huis van klokkenluiders. Dat is het antwoord op die vraag geweest. In de halfjaarrapportage wil ik kunnen aankondigen dat deze persoon actief is. Dat is mijn streven, want wij zijn het er hier allemaal over eens dat dit niet kan. 

Ik kom op de motie op stuk nr. 341 over een extern en onafhankelijk onderzoek. Ik haak hier even aan bij het feit dat niet vaststaat dat hier iets fout is. De eerste die het vlees moet keuren, is toch altijd de slager. Het is de Belastingdienst die verantwoordelijk is voor zijn dataveiligheid. Het is de Belastingdienst die hogere normen heeft aangelegd voor deze specifieke afdeling dan voor de rest. Het is de Belastingdienst die dit moet bekijken en oplossen. Het is de Belastingdienst die de logs boven tafel moet halen. Nee, ze zijn niet zoek, maar ze zijn nog niet ontsloten, althans niet voor de periode langer dan twee jaar geleden. Ik hecht eraan dat de Belastingdienst dit doet, maar ik vind het belangrijk dat de onafhankelijkheid geborgd is. Ik wil niet dat de verantwoordelijkheid wegdrijft van de Belastingdienst door het extern te laten doen. Ik wil dat die verantwoordelijkheid bij de dienst blijft. Ik stel voor om aan te sluiten bij een zogenaamde EDP-auditor, iemand van de Rijksaccountantsdienst die toezicht houdt op het ordelijk verloop. Nogmaals, laten we de verantwoordelijkheid niet weghalen waar zij hoort. 

Het spreekt vanzelf dat als er strafbare zaken boven tafel komen, de Belastingdienst dat natuurlijk dient te melden en uit handen te geven aan de mensen die daarvoor staan. Zo gaat dat altijd als er strafbare zaken in een organisatie naar boven komen. De volgorde is echt belangrijk. De eerste die het vlees moet keuren, is de slager. Pas als daar een brevet van onvermogen ligt, gaan wij andere dingen doen. De heer Omtzigt heeft volkomen gelijk op het strafrechtelijke punt. Bij de Belastingdienst zijn er geen rechters. 

De voorzitter:

Wat is het oordeel over de motie? 

Staatssecretaris Wiebes:

Het oordeel luidt: ontraden. 

De voorzitter:

Mijnheer Omtzigt heeft een vraag over de motie. 

De heer Omtzigt (CDA):

Er wordt nu ontraden om onafhankelijk en extern onderzoek te doen, terwijl er sprake is van serieuze aantijgingen. Het verbaast mij oprecht. Het is gewoon een motie waarin gevraagd wordt om een onderzoek extern te laten doen. Anders moet je, als er iets gevonden wordt dat niet in de haak is, over jezelf rapporteren dat je iets gedaan hebt wat niet goed is. En dan blijft dat er altijd boven hangen. Dit is ook ter bescherming van de Belastingdienst. Wij hebben geleerd van het rapport van Van Brummen bij die hele bonnetjesaffaire. Daar moest iets gevonden worden wat er intern was, maar er werd een heel ding opgetuigd om ervoor te zorgen dat het niet gevonden werd. De staatssecretaris mag intern onderzoeken wat hij wil, maar met deze zware aantijgingen vraag ik mij af wat nou het bezwaar is om daar extern onderzoek naar te laten verrichten. 

Staatssecretaris Wiebes:

Mijn voorstel is, nee, mijn besluit zou zijn om de onafhankelijkheid van het onderzoek te borgen door de ADR te laten meekijken. Als wij echt de weg opgaan dat organisaties als de Belastingdienst hun eigen dataveiligheid niet meer zouden kunnen onderzoeken, dan zijn we ver heen. Ik ben in dit stadium echt totaal niet bereid om die conclusie te accepteren. De onafhankelijkheid van het onderzoek borgen? Ja. Maar dat uit handen geven? Daar zie ik echt geen aanleiding toe. 

De voorzitter:

Tot slot, mijnheer Omtzigt. 

De heer Omtzigt (CDA):

De dataveiligheid had al onderzocht moeten zijn. We hebben in het debat naar de audits gevraagd. Als die overgelegd waren, hadden wij kunnen zien dat er intern onderzoek gedaan was. Dat blijkt nu onvoldoende beschikbaar te zijn. Laten we het daar maar op houden. Dan wil je toch dat dit extern onderzocht wordt. Ik snap echt niet dat de staatssecretaris nu eerst intern onderzoek gaat doen, waarna we nog een keer iets extern gaan doen. Doe dat nu niet. 

Staatssecretaris Wiebes:

Het staat niet vast dat dingen onvoldoende zijn. Er zijn serieuze aantijgingen en die worden bekeken. Zodra blijkt dat er heel serieuze dingen aan de hand zijn waarvan je kunt zeggen dat de onafhankelijkheid in het geding is, dan schakelen we op. Op dit moment zijn die indicaties er niet. De aantijgingen zijn ernstig, maar er zijn geen indicaties dat dit een feit is. Die zijn er niet. Het moet wel serieus onderzocht worden. Wat mij betreft sluit de accountantsdienst van het Rijk zich daarbij aan. 

De voorzitter:

Mijn Grashoff, u mag een korte vraag stellen want het gaat om een motie van de heer Omtzigt. 

De heer Grashoff (GroenLinks):

Zeker, maar we zullen ook over die motie moeten stemmen en dat kan soms lastig zijn. De staatssecretaris laat de ADR meekijken. Dat begrijp ik niet helemaal. Wat is dat meekijken? Vindt het onderzoek plaats onder de verantwoordelijkheid van de Auditdienst Rijk? Ik kan er nog geen chocola van maken. 

Staatssecretaris Wiebes:

Het onderzoek vindt wat mij betreft plaats onder de verantwoordelijkheid van degene die erover gaat, namelijk de Belastingdienst. De accountantsdienst zou moeten borgen dat dit onderzoek op een degelijke manier gebeurt. De dienst rapporteert er ook over. Het is de verantwoordelijkheid van de accountantsdienst van het Rijk om zich een oordeel over het onderzoek te vormen. 

De voorzitter:

Dan de motie op stuk nr. 342. 

Staatssecretaris Wiebes:

Ik moet eerst nog een vraag van de heer Bashir beantwoorden. Waarom heb ik dat stuk niet gezien? Ik kan niet vragen naar stukken die ik niet ken. Dan moet ik vragen of er ergens misschien een niet afgemaakt nooit vastgesteld conceptstuk is waarin iets anders staat dan wat wij nu in deze discussie bespreken. Ik heb aangenomen dat ik een goed antwoord heb gekregen op de vraag of er signalen zijn dat er al eerder aan de top van de dienst is gemeld dat er risico's zijn. Daarop heb ik het antwoord gehad dat die signalen wellicht zijn gegeven. Ik ben er nog niet uit of dit stuk dat bevestigt. In de ogen van de heer Omtzigt is dat wel het geval. Ook hier heb ik weer bevestigd: jazeker, ik heb signalen gekregen dat er signalen zijn geweest. Dit stuk verandert die conclusie helemaal niet. Je kunt niet vragen naar een stuk dat je niet kent, naar een stuk waarvan je niet weet dat het bestaat. Officieel bestaat het niet eens. 

De heer Bashir (SP):

De staatssecretaris had het kunnen weten, want in de uitzending werd gerefereerd aan signalen die in het stuk worden genoemd. Maar ik heb een andere vraag. Die vraag gaat over het stuk zelf, maar ook over andere stukken die de Belastingdienst tegenwoordig niet officieel vastlegt. Wat is de reden daarvan? Waarom worden stukken niet meer officieel vastgelegd? Waarom zijn het allemaal conceptstukken? Is daar een reden voor? Heeft dat te maken met de informatievoorziening van de staatssecretaris of van de Kamer? Kan de staatssecretaris hierop ingaan? 

Staatssecretaris Wiebes:

Het is volstrekt niet de gang van zaken om stukken niet vast te stellen. De commissie heeft geoordeeld dat er onduidelijkheden zijn over de vaststelling van de verslagen van de raad van bestuur. Onlangs heeft de heer Bashir van mij bijvoorbeeld nog een rapport gekregen over de interne fiscale beheersing. Dat is een vastgesteld stuk dat ik de Kamer heb toegestuurd omdat de discussie daarover ging. 

De heer Bashir (SP):

Dan wil ik weten waarom dit specifieke stuk nooit officieel is vastgelegd. 

Staatssecretaris Wiebes:

Ik ken dit stuk nu een minuut of twaalf. Ik kan daar geen antwoord op geven. 

De voorzitter:

Nee, mijnheer Bashir, de staatssecretaris vervolgt zijn betoog. 

De heer Bashir (SP):

Ik neem aan dat de staatssecretaris hierop terugkomt. Dan weten we waarom dit stuk niet is vastgelegd. 

Staatssecretaris Wiebes:

Ik neem dit mee in dat onderzoek, en dan zien wij daarin of er waarschuwingen zijn geweest, van welke orde en wat dan ook. 

De heer Bashir heeft ook nog een antwoord tegoed op de vraag of het onderzoek pas na ZEMBLA is gestart. Ik meen dat ik dat in het debat heb beantwoord. In de aanloop naar de uitzending van ZEMBLA kwamen wij, door vragen van de omroep, deze aantijgingen op het spoor. Tot dan toe was er voor mij geen aanleiding om datalekken te veronderstellen. Eerlijk gezegd heb ik die nog steeds niet, anders dan de aantijgingen van ZEMBLA, maar ik vind de signalen serieus genoeg en daarom zijn we die gaan onderzoeken. Dat is ook wel logisch, dat je iets gaat onderzoeken als je een serieus signaal krijgt. Ik denk dat de heer Bashir oprecht boos naar de microfoon was gestormd als ik had gezegd: ach, signalen, wat doe je ermee, zo veel signalen, laat ik ze niet onderzoeken. Nee, als je zo'n serieus signaal krijgt, ga je het onderzoeken. Dat is wat je doet. Dat hoort ook. Zo moet dat. 

De heer Van Weyenberg, met in zijn kielzog de heer Grashoff, dient een motie in over een feitenrelaas over alle interne waarschuwingen. Ik hecht op dit punt toch aan de volgorde. Ik moet eerst zien of er iets aan de hand is. Het staat namelijk niet vast dat er iets aan de hand is. Dat is nou precies wat we moeten bezien. Als er iets aan de hand blijkt te zijn en er sprake is van een onaanvaardbaar hoog risico — ik volg de woorden van de heer Grashoff — en dat hoeft nog niet eens het lek zelf te zijn, dan wordt het zeer relevant om naar die interne waarschuwingen te kijken. Ik neem dat mee in het onderzoek en dat lukt niet op deze termijn. Ik geloof dat ik de intenties van de heren Grashoff en Van Weyenberg snap, namelijk dat zij willen weten of ook hier sprake is van een cultuur van waarschuwingen waarbij mensen tegen een muur lopen, maar ik kan alleen maar doen wat ik kan doen. Ik probeer bij de halfjaarrapportage zo ver mogelijk te zijn en dan zal ik zo open mogelijk zijn over de resultaten. Ik ontraad daarom deze motie. 

De heer Van Weyenberg (D66):

Het is geen kwestie van kunnen maar van willen. Nogmaals, deze motie gaat niet over de vraag of er een beveiligingslek is geweest. Dat moet worden onderzocht. De vraag is of er waarschuwingen zijn geweest. Zelfs de staatssecretaris geeft toe dat hij signalen heeft dat er signalen zijn. Dan vind ik het echt niet meer dan normaal dat de Kamer zegt: zet even snel op een rij welke interne waarschuwingen er zijn gedaan. Dat staat los van de vraag of die waarschuwingen terecht waren. Als het antwoord uit het feitenrelaas is "we hebben het onderzocht en het bleek onterecht", dan vind ik dat een goede uitkomst. Ik wil het echter weten. Ik vind het vrij onbegrijpelijk dat de staatssecretaris deze zoektocht niet met deze urgentie oppakt. 

Staatssecretaris Wiebes:

Ik denk dat de heer Van Weyenberg toch echt met mij eens moet zijn dat de hoofdvraag is of er uiteindelijk iets mis was. Waarschijnlijk worden wij in Nederland tientallen keren per dag gewaarschuwd voor het einde der tijden, maar zolang wij niet denken dat het einde der tijden nabij is, hoeven we dat niet allemaal te onderzoeken. Als hier, in de woorden van de heer Grashoff, iets mis was, dan worden die waarschuwingen uiterst relevant. En ze worden meegenomen in het onderzoek. 

De voorzitter:

Ook nu hoor ik herhalingen, overigens van beide kanten, zowel van de Kamerleden als van de staatssecretaris. 

De heer Van Weyenberg (D66):

Nog even voor de orde: natuurlijk weet ik dat die waarschuwingen terecht waren. Het was echter niet Pinokkio die waarschuwde maar medewerkers van de Belastingdienst. Die neem ik buitengewoon serieus als zij waarschuwen. 

De voorzitter:

U hebt uw punt gemaakt. De heer Omtzigt heeft een nieuw punt? 

De heer Omtzigt (CDA):

Wat betreft het document dat net gestuurd is, heb ik er alle begrip voor dat dat niet in een uur bestudeerd is. Degene naar wie het gaat, is op dit moment de baas van de Broedkamer. Als de baas van de Broedkamer zelf moet onderzoeken of er waarschuwingen geweest zijn, dan zijn we toch wel een klein beetje ... De staatssecretaris heeft alleen signalen dat er signalen zouden kunnen zijn. Dan wil je toch extern en onafhankelijk onderzoeken, en een feitenrelaas hebben waar de heer Van Weyenberg om vraagt? Wat is erop tegen dat hier van buitenaf eens naar binnen wordt gekeken? 

De voorzitter:

Deze discussie is net gevoerd. 

De heer Omtzigt (CDA):

We hebben de uitzending gezien. Er zijn ramen afgeplakt bij de Broedkamer, en nu mogen ze het zelf gaan onderzoeken. 

De voorzitter:

Sorry. De heer Grashoff. 

De heer Grashoff (GroenLinks):

Ik heb toch nog even een vraag naar aanleiding van de reactie van de staatssecretaris op de motie van de Van Weyenberg en mijzelf. Hij gaat verder in het interpreteren van mijn woorden. Als er niet werkelijk iets aan de hand zou zijn met een serieus risico, dan is er ook niets te onderzoeken. De motie-Van Weyenberg/Grashoff gaat nu juist over de wijze waarop je dit op een fatsoenlijke manier en onafhankelijk aan ons duidelijk kunt maken. Wat is er opeenvolgend gebeurd, wie heeft wie gewaarschuwd, wat is er met die waarschuwing gedaan, is de waarschuwing terecht of onterecht terzijde geschoven? Dit is precies waar de staatssecretaris het over heeft. Ik geef hem het dringende advies om hier iets minder koppig in te zijn, als ik het zo mag zeggen. 

Staatssecretaris Wiebes:

Nu wordt ook het verzoek uitgebreid. Nu gaat het over wie er met wie … Dan wordt het toch een ambtelijke whodunit. Dat doen we echt niet. Het is van belang om te weten hoe er met interne waarschuwingen is omgegaan. Het is niet van belang, althans niet in parlementaire zin, wie wanneer wat tegen wie zei en wie daarmee schuld heeft of zichzelf juist heeft gereinigd. Dat is hier niet aan de orde en dat hoort niet in deze zaal. De heer Grashoff zei dit in een bijzin en misschien bedoelde hij het niet, maar dit is wat mij betreft precies zoals het niet moet. 

De heer Van Weyenberg heeft in zijn eerste termijn, en de heer Groot heeft in zijn tweede termijn gevraagd wat we nou toch doen met die medewerkers van D&A. Hoe komen we er nou toch achter of zij hebben geleefd in een cultuur waarin zij onder druk zijn gezet? We kunnen ze niet onder druk zetten om daar een verklaring over af te leggen. Dat moet niet. Er moet dus op een aanvaardbare en laagdrempelige manier gesproken worden met deze mensen. Ik heb het volgende kunnen bedenken. Ik wil een nieuwe en tot nu toe niet aan D&A verbonden vertrouwenspersoon vragen om deze mensen te vragen of zij bereid zouden zijn om gewoon een gesprek te hebben over de cultuur die daar heerst, over de manier waarop zij eventueel druk hebben ervaren en hoe zij daarmee omgaan. Dat moet vrijwillig zijn, want we willen mensen niet onder druk zetten om te vertellen of ze onder druk worden gezet. Ik dacht dat dit een laagdrempelige manier was om ze te benaderen. Want ja, er zijn bijeenkomsten geweest, maar tijdens een grote bijeenkomst met veel mensen steek je je hand niet op om te zeggen dat je onder druk wordt gezet. 

De voorzitter:

De heer Van Weyenberg wil een vraag stellen. Houdt u het kort, mijnheer Van Weyenberg. 

De heer Van Weyenberg (D66):

Ik ben een aantal keren kritisch geweest over de staatssecretaris. Dit vind ik echter een goed voorstel. 

De voorzitter:

Ah, nu krijgt u alle ruimte. Ik maak een grapje. 

De heer Van Weyenberg (D66):

Ik vind het chic om dat dan ook gewoon te erkennen. Juist omdat ik het me, net als de staatssecretaris, gewoon niet kan voorstellen, wil ik dit ook uit de wereld helpen. Ik wil ook niemand onder druk zetten om te biechten. Dit lijkt mij een uitstekend, laagdrempelig voorstel. 

De voorzitter:

Zo. 

Gaat u afronden, staatssecretaris? 

Staatssecretaris Wiebes:

Ja, ik ben er bijna, voorzitter. De heer Grashoff heeft andermaal benadrukt dat hij de interne waarschuwing relevant vindt, wat ik trouwens in algemene zin met hem eens ben. 

Ik heb inmiddels ook geprobeerd om mevrouw De Vries, ook aan de hand van de vraag van de heer Omtzigt, meer duidelijkheid te geven over de vraag wanneer het meldpunt daar is. 

De heer Van Dijck heeft gevraagd of specifiek mensen bij D&A een printscreen kunnen maken. Waar is de heer Van Dijck? Hij is op dit moment niet in de zaal? Hij is ganz verschwunden. 

De voorzitter:

Daar komt de heer Van Dijck de zaal weer ingelopen. 

Staatssecretaris Wiebes:

Er zijn precies dezelfde mogelijkheden binnen D&A als binnen de rest van de dienst. De privacy en de verantwoordelijkheden worden op individueel niveau geborgd. Mensen moeten echter wel hun werk kunnen doen. Een printscreen kan inderdaad worden gemaakt. Zodra je dingen per mail gaat versturen, wordt dat weer gelogd en zitten er waarschuwingen in. Aan de bestanden die je kunt versturen is bijvoorbeeld een maximumomvang verbonden. Daaronder begint op een gegeven moment het automatische systeem ook te piepen dat er mails zijn met te grote bestanden daaraan gekoppeld. Dat zijn dingen die gelden voor de Belastingdienst als geheel, en die gelden dus ook voor D&A. Daarbij geldt ook nog dat de externe medewerkers natuurlijk geen mobiele devises hebben, dus sowieso nooit buiten het kantoor toegang tot data hebben. Maar een printscreen kan worden gemaakt, omdat mensen ook af en toe op een blaadje willen krabbelen. Mensen moeten uiteindelijk wel hun werk kunnen doen. 

De voorzitter:

Hoelang denkt u nog ongeveer nodig te hebben, staatssecretaris? 

Staatssecretaris Wiebes:

Nou, ik moet nog op één vraag ingaan, namelijk die van mevrouw De Vries over de privacy officer. Ik vind dit een heel goede vraag en ik hecht eraan om die ook echt te beantwoorden. Toentertijd, in februari, was deze functie nog niet uitgekristalliseerd. Dat was de bevinding van de Auditdienst Rijk. Dat was helemaal aan het begin, bij de oprichting van D&A. De privacy officer is 1 maart 2015 in functie getreden, dus ruwweg een maand na de oprichting van D&A. Er is een functieomschrijving voor wat deze persoon doet. Die doet bijvoorbeeld privacy impact assessments op datagebruik in projecten. Dat is degene die naar data-analist Groot stapt en zegt: mijnheer Groot, u bent dit en dit aan het analyseren, maar u hebt mijns inziens een te ruime toegang tot de data, want deze en deze dingen hebt u niet nodig en dat is niet proportioneel of niet doelmatig en het kan wel met een beetje minder. Dan wordt de autorisatie van de heer Groot aangepast. Dat is wat zo'n persoon doet. Maar die adviseert en monitort ook het veiligheidsbeleid. Die persoon is nu bijvoorbeeld bezig met het project Fysieke toegang D&A, wat nu bij BZK loopt. Dat is deze persoon aan het doen en die heeft in dit verband ook heel concrete en nuttige taken. 

De voorzitter:

Hiermee zijn we aan het eind gekomen van dit debat. 

De beraadslaging wordt gesloten. 

De voorzitter:

Over de ingediende moties zullen we volgende week woensdag stemmen. Ik dank de staatssecretaris voor zijn antwoorden en de Kamerleden voor hun inbreng. 

De vergadering wordt van 14.41 uur tot 15.35 uur geschorst.