31 066 Belastingdienst

Nr. 1146 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 16 december 2022

De Belastingdienst ontvangt van burgers, bedrijven en andere overheidsinstanties signalen van mogelijke niet-naleving¹ van de fiscale verplichtingen. Na het uitzetten van de Fraudesignaleringsvoorziening (FSV) is de behandeling van een deel van deze signalen in 2020² opgeschort. De Belastingdienst heeft een nieuw signalenproces ontworpen. Hiervoor is een gegevensbeschermingseffectbeoordeling (GEB) opgesteld, waarop de Belastingdienst het advies van de Autoriteit Persoonsgegevens (AP) heeft gevraagd. Dit advies heb ik op 31 augustus jl.³ met uw Kamer gedeeld; het gaat om een stevig advies, dat leidde tot de conclusie dat de stilgelegde verwerkingen nog niet hervat kunnen worden. De Belastingdienst heeft de aanbevelingen bestudeerd en zelf heb ik op 17 november jl. met de AP gesproken. De Belastingdienst heeft een nieuwe aanpak ontwikkeld, die ik voor uw Kamer kort uiteenzet. Vervolgens beschrijf ik de afwegingen die hieraan ten grondslag liggen en ga ik uitgebreider in op de gekozen aanpak.

De Dienst Toeslagen verwerkt signalen via een eigen proces en is daarom in deze brief buiten beschouwing gelaten. De Staatssecretaris van Financiën – Toeslagen en Douane zal uw Kamer hierover informeren in de Stand-van-zakenbrief Toeslagen, die voor het kerstreces met uw Kamer wordt gedeeld.

Signalen van mogelijke niet-naleving moeten zo snel mogelijk weer kunnen worden onderzocht, omdat dit van belang is voor de informatiepositie van de Belastingdienst bij de handhaving. Het kost echter veel tijd om de verwerking in te richten volgens de eisen van de Algemene Verordening Gegevensbescherming (AVG). In reactie op de voorgelegde GEB adviseert de AP een totaalbeeld op te stellen van de hele keten van verwerkingen van signalen. De Belastingdienst ontvangt echter signalen van verschillende bronnen, die in verschillende (toezicht)processen verwerkt kunnen worden; er is niet één keten, maar meerdere parallelle processen voor verschillende typen signalen. Het opstellen van een alomvattende procesbeschrijving voor deze processen is een complexe en tijdrovende opgave. Om de hervatting te bespoedigen richt de Belastingdienst een programma in, waarin het proces per type signaal wordt aangepakt. Wanneer de verwerking van een signaaltype is ingericht met voldoende waarborgen volgens de eisen van de AVG, kan deze hervat worden. Prioriteit wordt gegeven aan signalen waarvan in het verleden is gebleken dat ze vaak relevant en bruikbaar zijn, zoals meldingen van overheidspartners⁴ die momenteel niet behandeld worden. Op deze manier streef ik ernaar de belangrijkste stilgelegde signaalprocessen in 2023 weer op te kunnen starten. Ik ga hieronder in op het programma en de planning.

Dilemma’s rondom het gebruik van persoonsgegevens

De Belastingdienst heeft de taak om het naleven van fiscale wet- en regelgeving in brede zin te handhaven.⁵ De Belastingdienst vergroot zijn informatiepositie door het gebruik van signalen. Dat zijn bijvoorbeeld meldingen van burgers of berichten van andere overheidsinstellingen zoals het Openbaar Ministerie (OM), die bij hun eigen onderzoek op informatie stuiten die ook voor de Belastingdienst relevant kan zijn. Zowel deze instellingen als burgers verwachten dat de Belastingdienst deze signalen beoordeelt en waar relevant betrekt voor effectief inzet in het toezicht. Sinds het uitzetten van meerdere signalenprocessen in 2020 gebeurt dat niet altijd. Tijdens het vragenuur op 18 oktober jl. (Handelingen II 2022/23, nr. 13, item 3) bleek dat de zorgen in uw Kamer om het toezicht, de naleving en de belastingmoraal toenemen.

Het behandelen van signalen brengt onvermijdelijk de verwerking van persoonsgegevens met zich mee, wat de privacy van betrokken burgers raakt. Dit speelt breder: een organisatie als de Belastingdienst heeft honderden processen. Zoals eerder⁶ aan uw Kamer gemeld is er nu geen zekerheid dat elk van de lopende processen volledig aan de AVG voldoet. Voor de lange termijn werkt de Belastingdienst aan het systematisch in kaart brengen, toetsen en waar nodig verbeteren van alle bestaande processen.⁷

Voor de korte termijn staan we voor de afweging tussen zekerheid over maximale privacywaarborgen, de mate van restrisico die we hierover accepteren, en de uitvoering van wettelijke opdracht van de Belastingdienst. Mijn uitgangspunt is dat bestaande processen doorlopen tenzij er concrete aanwijzingen zijn dat de gegevensbescherming niet goed geborgd is. Dat geldt dus ook voor de nu lopende signalenprocessen (zie hieronder). Voor de stilgelegde processen moet de gegevensbescherming geborgd zijn voor deze worden hervat. Daarbij dienen eventuele restrisico’s op inbreuk op de privacy zorgvuldig en beredeneerd te worden afgewogen tegen de noodzaak om gegevens te verwerken bij de taak van de Belastingdienst om toezicht te houden.

De huidige situatie

Voor het registreren van een deel van de binnengekomen signalen werd FSV gebruikt. Na het uitzetten van FSV in februari 2020⁸ is besloten verschillende soorten signalen voorlopig niet te behandelen. Zoals mijn voorganger op 28 april⁹ en 10 juli 2020¹⁰ schreef, betekent dit niet dat er geen enkel signaal meer wordt verwerkt. Zo selecteert de FIOD de strafrechtelijk relevante signalen om deze te onderzoeken. Verder gaat bijvoorbeeld het programma Verhuld Vermogen door. Bovendien houdt de Belastingdienst ook zonder signalen toezicht, bijvoorbeeld via reguliere controles en steekproeven bij aangiftes van burgers en ondernemers.

Niettemin bevatten de daartoe bestemde postbussen een groeiende voorraad signalen. Voor de Belastingdienst – zonder Toeslagen – zijn het er naar schatting 22.400.¹¹ Dit zijn bijvoorbeeld de meldingen van burgers via Meld Misdaad Anoniem die naar oordeel van de FIOD niet tot strafrechtelijk onderzoek nopen. Het zijn geen geverifieerde meldingen van bewezen niet-naleving. Een deel van de signalen zal daadwerkelijk bruikbaar zijn, een deel niet.

Er is een nieuw proces ontwikkeld voor het oppakken van signalen, met een ondersteunende applicatie: de tijdelijke signalenvoorziening (TSV). Een nieuw proces kan echter pas aanvangen wanneer het is getoetst aan de eisen van de AVG. Daarom is een GEB uitgevoerd, die is voorgelegd aan de AP. Met een GEB worden vooraf de risico’s van een gegevensverwerking in kaart gebracht, zodat daarna passende maatregelen kunnen worden genomen. De vraag hierbij is dus, zoals hierboven is aangegeven, welke eventuele restrisico’s op grond van een gedegen afweging geaccepteerd kunnen worden. Het is belangrijk om te beseffen dat een GEB in de eerste plaats ziet op een proces van verwerking van gegevens, niet op de applicatie die daarvoor gebruikt wordt. Maar zolang het onderliggend proces niet hervat kan worden, wordt TSV uiteraard ook niet gebruikt.

Het advies van de AP

In haar advies¹² op de GEB stelde de AP dat het essentieel is om uiterst zorgvuldig te werk te gaan bij de hervatting van het signalenproces. Zij adviseerde de verwerking [van signalen] niet aan te vangen totdat haar adviezen zijn verwerkt. De twee belangrijkste knelpunten uit het advies voor het opstarten van het signaalproces betreffen de wettelijke grondslag en het totaalbeeld van verwerkingen. Ik vat deze aanbevelingen kort samen met daaronder mijn reactie.

Wettelijke grondslag verwerking signalen

Voor alle verwerkingen die de Belastingdienst in het kader van de behandeling van signalen wil uitvoeren, dient hij een voldoende duidelijke en nauwkeurige wettelijke grondslag te hebben. De AP adviseert om na te gaan ten aanzien van welke verwerkingen (nadere) wettelijke borging vereist is en deze wettelijke borging te initiëren.

De AP heeft zich hierbij niet uitgesproken over de vraag of de bestaande wetgeving voldoende grondslag biedt. De Belastingdienst en het Ministerie van Financiën hebben inmiddels een juridische analyse uitgevoerd met gebruikmaking van eerder advies van de Landsadvocaat:

• Voor de rechtmatige verwerking van persoonsgegevens kan een taak van algemeen belang de grondslag bieden. De heffing en inning van Rijksbelastingen is een taak van algemeen belang die in de belastingwet in algemene zin aan de Belastingdienst is opgedragen. Het samenstel van de Algemene wet inzake Rijksbelastingen (AWR), de andere belastingwetten en -regelingen en de uitvoering daarvan kan in principe voldoende rechtsbasis bieden voor het ontvangen en verwerken van signalen. Een nadere wettelijke borging van de grondslag wordt volgens deze juridische analyse vooralsnog niet nodig geacht.

• Uit de concrete procesbeschrijving moet onder meer specifiek blijken waarom de verwerkingen van een signaal noodzakelijk zijn voor de vervulling van de taak van algemeen belang. Daarom kan pas na de procesbeschrijving definitief worden geconcludeerd of de rechtsbasis voldoende is voor het verwerken van de desbetreffende signaalsoort.

Totaalbeeld van verwerkingen

De voorgelegde GEB ziet maar op een beperkt deel van de verwerkingen waarin gebruikt wordt gemaakt van signalen. De AP adviseert een totaalbeeld op te stellen waarin alle risico’s voor alle betrokkenen in de hele keten van verwerkingen van signalen, binnen en buiten de Belastingdienst, zijn meegewogen.

Het advies van de AP vraagt dus om een bredere opzet dan gekozen was in de voorgelegde GEB, waarin alleen het beoordelen van een binnenkomend signaal en het bepalen van de voorgestelde behandelwijze zijn beschreven. Zo’n brede opzet is echter gecompliceerd: de Belastingdienst ontvangt verschillende typen signalen die kunnen worden gebruikt in meerdere bestaande toezichtprocessen, afhankelijk van de bron, de directie waaronder de belastingplichtige valt, het belastingmiddel in kwestie, de inhoud van het signaal, enzovoorts. Wanneer de Belastingdienst een doorzendplicht naar een andere overheidsinstelling heeft, kunnen de signalen ook weer terechtkomen in externe processen die buiten de verantwoordelijkheid van de Belastingdienst vallen. Er zijn dus meerdere routes die signalen kunnen doorlopen. De opdracht om de hele keten van verwerkingen in kaart te brengen, komt erop neer dat al deze processen in kaart moeten worden gebracht. Hier wordt weliswaar aan gewerkt, maar dat is een zeer tijdrovende opgave.

Wat sneller kan, is het afzonderlijk in kaart brengen van de verschillende signaalprocessen. Wanneer de verwerkingsketen van een bepaald type signaal in kaart is gebracht en ingericht met de juiste waarborgen, dan wordt de behandeling van signalen van dat type hervat. Op die manier hoeft de behandeling van het ene type signaal niet te wachten tot het proces voor alle andere types is ingericht.

De gekozen aanpak

Programma voor het in kaart brengen verschillende signalenprocessen

Dat we sommige signalen van mogelijke niet-naleving momenteel niet opvolgen, is onwenselijk. Ik wil dat de behandeling zo snel mogelijk wordt hervat met de juiste waarborgen. Daarom richt de Belastingdienst een programma in waarin de verschillende signaalprocessen afzonderlijk in kaart worden gebracht. Zoals hierboven beschreven, kan op deze manier sneller in elk geval een deel van de signalen weer worden behandeld.

In het eerste kwartaal van 2023 voert de Belastingdienst een nulmeting uit van de verschillende stilgezette en nog lopende signaalprocessen. Ook begint in januari een steekproefsgewijs onderzoek naar de voorraad binnengekomen signalen sinds 2020 (zie hieronder). Om het proces te bespoedigen begint de Belastingdienst parallel aan de nulmeting en het steekproefsgewijze onderzoek al met het in kaart brengen van processen waarvan reeds duidelijk is dat ze prioritair zijn. Ook wordt gekeken of er processen zijn die in het eerste kwartaal al hervat kunnen worden, omdat de gegevensbescherming al voldoende is geborgd. Vanaf medio 2023 worden de overige processen in kaart gebracht op basis van de prioritering. Op deze manier streef ik ernaar eind 2023 de belangrijkste processen ingericht te hebben en te kunnen hervatten. De minder prioritaire signalen komen in 2024 aan bod. Ik zal uw Kamer in de stand-van-zakenbrief voor het volgende commissiedebat nader informeren over de nulmeting, het onderzoek en de prioritering van processen.

Prioritering

Signalen verschillen in betrouwbaarheid, concreetheid, herleidbaarheid en verondersteld fiscaal belang. Daarnaast is het ene proces sneller in kaart te brengen dan het andere. Ten slotte kan blijken dat de precieze grondslag voor de beoogde verwerkingen verschilt (zie hierboven).

Grofweg is er een spectrum van signalen van overheidspartners als het Openbaar Ministerie tot aan anonieme meldingen van burgers. Voor de eerste geldt dat ze reeds door een deskundige instantie onderzoekswaardig voor de Belastingdienst zijn bevonden, en dat heldere afspraken zijn te maken over de op te nemen persoonsgegevens. Voor de laatste geldt dat zij ongestructureerd kunnen binnenkomen en dat ze niet altijd herleidbaar zijn tot een specifieke belastingplichtige. Bovendien kan de Belastingdienst niet voorkomen dat een melding per e-mail of brief bijzondere persoonsgegevens bevat waarvoor geen verwerkingsgrondslag is. De inrichting van dat proces vraagt daarom om extra waarborgen. Daarom komen signalen van overheidspartners (bijvoorbeeld Justis) als eerste aan bod. Tips en kliks van burgers volgen later.

Voorraad binnengekomen signalen sinds 2020

Zoals hierboven uitgelegd zijn sinds medio 2020 – naar schatting – 22.400 signalen binnengekomen in de daartoe bestemde postbussen die niet behandeld kunnen worden. Omdat de relevantie van signalen naarmate de tijd vordert mogelijk afneemt, is niet duidelijk welk deel hiervan nu nog zinvol gebruikt kan worden door de Belastingdienst. Daarom start in januari 2023 een steekproefsgewijs onderzoek om te bepalen wat met deze voorraad te doen op het moment dat het signalenproces hervat kan worden. Zo krijgen we inzicht in de (fiscale) relevantie van de signalen die niet zijn opgepakt. De omvang is beperkt tot 300 signalen en de resultaten zijn niet herleidbaar tot personen dan wel bedrijven. De signalen worden alleen gebruikt voor het verkrijgen van inzicht en worden niet behandeld in het toezicht. Op basis van de uitkomsten van het onderzoek wordt besloten of en zo ja, welke van de bewaarde signalen alsnog behandeld kunnen worden.

Tot slot

Uw Kamer en ik delen de ambitie om signalen van mogelijke niet-naleving zo snel mogelijk weer op te kunnen volgen. De gegevensbescherming moet daarbij geborgd zijn. Voor de tussentijd hecht ik eraan nogmaals te benadrukken dat het toezicht en de fraudebestrijding niet stilliggen. De behandeling van verschillende typen signalen, zoals die voor de FIOD of over Verhuld Vermogen, is nooit stilgelegd en blijft actief. Ook zonder signalen voert de Belastingdienst nog steeds toezichthoudende activiteiten uit, om naleving te bevorderen of zoveel mogelijk af te dwingen waar dat nodig is.

De Staatssecretaris van Financiën, M.L.A. van Rij

---

1 In andere documenten wordt ook wel gesproken van meldingen of risico- of fraudesignalen. Hier is gekozen voor signalen van mogelijke niet-naleving, in het kort «signalen». Het woord signalen kan ook betrekking hebben op andere meldingen die niets met toezicht te maken hebben, maar bijvoorbeeld met dienstverlening. Daarover gaat deze brief niet.

2 Kamerstuk 31 066, nrs. 632 en 681.

3 Kamerstuk 31 066, nr. 1098.

4 Bijvoorbeeld Justis/TRACK.

5 Kamerstuk 31 066, nr. 958.

6 Kamerstuk 31 066, nr. 709.

7 Kamerstuk 31 066, nr. 709.

8 Kamerstukken 31 066 en 32 761, nr. 604.

9 Kamerstuk 31 066, nr. 632.

10 Kamerstuk 31 066, nr. 681.

11 Op 8 november jl. schreef ik uw Kamer dat het geschatte aantal signalen bij de Belastingdienst 22.400 en dat voor de Dienst Toeslagen 7.000 bedraagt (Kamerstuk 31 066, nr. 1132), in totaal dus ca. 30.000 signalen.

12 Kamerstuk 31 066, nr. 1098.