31 066 Belastingdienst

Nr. 816 BRIEF VAN DE STAATSSECRETARISSEN VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 22 april 2021

Op 13 oktober 2020 hebben wij het plan van aanpak «Herstellen, Verbeteren en Borgen» (HVB) aan uw Kamer toegezonden.¹ Dit plan is de uitwerking van de acties, die we sinds maart 2020 hebben ingezet om problemen op te lossen in de wijze waarop de Belastingdienst is omgegaan met (persoons)registraties, risicomodellen en het gebruik van persoonsgegevens zoals nationaliteit. Zoals aangekondigd² informeren wij uw Kamer in deze brief over de voortgang van de acties uit het plan van aanpak HVB. Tevens ontvangt uw Kamer bij deze brief de beantwoording van het Schriftelijk Overleg van 26 februari 2021 over de op 1 februari 2021 toegezonden brief inzake toezeggingen naar aanleiding van het notaoverleg van 1 februari 2021 en gebruik van tweede nationaliteit door de Belastingdienst (Kamerstuk 31 066, nr. 817).

Het feit dat de Belastingdienst niet voldoet (of niet voldoende kan aantonen te voldoen) aan wetgeving gericht op het borgen van de privacy van burgers, en openheid en transparantie van de overheid is ernstig. Daarom zijn wij sinds ons aantreden in februari 2020 bezig met het oplossen van deze problemen. Tegelijkertijd kan worden gesteld dat de impact van wetgeving zoals de Algemene verordening gegevensbescherming (AVG), Wet Open Overheid en de Archiefwet op uitvoeringsorganisaties groot is. Zo levert de interpretatie van de AVG soms vragen op bij de uitvoering en is een consistente implementatie in vele verschillende bedrijfsprocessen intensief. Het einddoel is dat zowel de continuïteit als de legitimiteit van de uitvoering van de taken van de Belastingdienst is geborgd.

Zoals eerder aangekondigd³ zal dit een meerjarig traject zijn als gevolg van zowel het grote aantal⁴ als de complexiteit van de processen. Dat dit meerjarige traject voor de Belastingdienst niet op zichzelf staat, blijkt uit het rapport van de Tijdelijke commissie Uitvoeringsorganisaties⁵ en uit de probleemanalyse die in het kader van het traject Werk aan Uitvoering⁶ is gemaakt.

Op 27 januari jl. bent u voor het eerst geïnformeerd over de stand van zaken van de acties van het programma HVB.⁷ Sindsdien is uw Kamer drie keer specifieker geïnformeerd over een aantal zaken die raakvlakken hebben met het programma HVB.

Op 5 februari jl. hebben wij u een brief gestuurd over de gedane toezeggingen in het notaoverleg «fraudeopsporing en gebruik van tweede nationaliteit door de Belastingdienst», dat op 1 februari jl. plaatsvond.⁸

Op 12 maart jl. stuurden wij u een brief met daarin een overzicht van de wetten waar de Belastingdienst zich niet aan gehouden heeft.⁹ Dit in reactie op de motie van het lid Omtzigt, die ons daartoe opriep.¹⁰ In deze brief hebben wij aangekondigd dat we in de brieven over het plan van aanpak HVB en het vervolg op de kabinetsreactie Parlementaire Ondervragingscommissie Kinderopvangtoeslag (POK) hier verder op in zouden gaan. Wij kondigen hierbij aan dat wij voor de zomer van 2021 de uitkomsten van de aangekondigde¹¹ inventarisatie van hardheden in wet- en regelgeving met uw Kamer zullen delen. Daarin zoeken we systematisch naar gevallen van niet-rechtstatelijk handelen, knellende wetten of harde grenzen met onbedoelde inkomenseffecten.

Vervolgens hebben wij – naar aanleiding van de motie van het lid Marijnissen¹² – u op 25 maart jl. de stand van zaken medegedeeld van het informeren van de mensen die in de Fraude Signalering Voorziening (FSV) geregistreerd stonden.¹³

In deze brief informeren we uw Kamer over de stand van zaken van de acties van het programma HVB aan de hand van de volgende indeling:

• A. Onderzoeken en maatregelen m.b.t. de Fraude Signalering Voorziening (FSV)

• A.1. Informeren burgers over vermelding in FSV

• A.2. In kaart brengen van effecten op burgers en bedrijven

  • A.2.1. Onderzoek door externe partij

  • A.2.2. Onderzoek naar gebruik FSV-signalen door convenantpartners

  • A.2.3. Analyse door Belastingdienst van de impact FSV-registratie en O/GS-kwalificatie bij een aanvraag van een minnelijke schuldsanering

• A.3. Uitvoering Motie Snels

• A.4. Tijdelijke signalen voorziening

• B. Onderzoek en maatregelen m.b.t. de werking van projectcode 1043

• C. Onderzoek en maatregelen t.a.v. lijsten met risicosignalen

• D. Onderzoek en maatregelen t.a.v. applicaties

  • D.1.1. Gebruik nationaliteit

  • D.1.2. Onderzoek verstrekkingendatabases

• E. Bedrijfsprocessen inrichten conform de AVG, BIO en Archiefwet

• F. Aanvullende acties t.a.v. omgang met persoonsgegevens

  • F.1.1. Onderhanden werk Combiteam Aanpak Facilitators (CAF)

  • F.1.2. Wettelijke grondslagen voor gebruik nationaliteit

U treft als bijlage bij deze brief een overzicht met de status en de planning van de acties uit het programma HVB, alsmede een overzicht van wettelijke grondslagen voor het gebruik van het persoonsgegeven nationaliteit door de Belastingdienst¹⁴.

A. Onderzoeken en maatregelen m.b.t. de Fraude Signalering Voorziening (FSV)

Sinds de laatste brief over de stand van zaken van het traject HVB is er een aparte programmaorganisatie opgezet om te handelen op de reacties van burgers naar aanleiding van de brief over hun vermelding in de FSV. Zoals wij hebben aangegeven in onze brief¹⁵ van 25 maart jl. heeft deze organisatie een speciaal telefoonnummer voor vragen over FSV opgericht. Ook is er een meldpunt opgericht voor burgers die mogelijk gevolgen van een FSV-registratie hebben ondervonden. Daarnaast zijn de processen voor het behandelen van Algemene verordening gegevensbescherming (AVG)-inzageverzoeken ingericht en is er menscapaciteit opgeschaald om zo snel mogelijk de inzageverzoeken n.a.v. de brief te kunnen behandelen. Tot slot is de Belastingdienst in kaart aan het brengen of een registratie in FSV mogelijk onterechte gevolgen heeft gehad. Het is nu nog niet mogelijk om te zeggen of dit zo is. Mocht dit het geval zijn, worden vanzelfsprekend de burgers en uw Kamer hierover geïnformeerd.

A.1. Informeren burgers over registratie in FSV en afhandeling inzageverzoeken

Op 25 maart jl. hebben wij uw Kamer geïnformeerd over het informeren van de burgers die in de FSV geregistreerd stonden¹⁶; op 30 en 31 maart jl. zijn de eerste 2.000 burgers geïnformeerd over hun FSV-registratie. Medio april heeft de Belastingdienst de volgende 20.000 burgers een brief gestuurd om ze te informeren over hun FSV-registratie. De verwachting is dat na deze 20.000 brieven een goed beeld is te geven van de reacties op de brieven. De planning is om uiterlijk eind juni alle resterende brieven verstuurd te hebben. In de brief is ingegaan op de informatievoorziening naar de mensen die behoefte hebben aan meer informatie. Mensen die in FSV geregistreerd stonden, kunnen hier op twee manieren meer informatie over verkrijgen:

• deze mensen kunnen zich melden bij twee meldpunten als ze verwachten onterechte nadelige gevolgen van FSV te hebben ondervonden. Zij kunnen zich via belastingdienst.nl/meldpunt melden als zij vermoeden dat ten onrechte geen minnelijke schuldsanering is toegekend of via belastingdienst.nl/fsv als zij vermoeden andere onterechte gevolgen te hebben ondervonden;

• deze mensen kunnen een AVG-inzageverzoek doen om inzicht te krijgen in de persoonsgegevens waarmee ze in FSV geregistreerd stonden.

A.2. In kaart brengen van effecten op burgers en bedrijven

A.2.1. Onderzoek door externe partij

Om het onderzoek naar de effecten van het gebruik van FSV op burgers en bedrijven zo snel mogelijk op te starten, is er, zoals wij hebben aangegeven in onze brief¹⁷ van 5 februari jl., voor gekozen om geen Europese aanbesteding te doen. Het eerste deel van het onderzoek naar de effecten voor burgers van het gebruik van FSV door Toeslagen, is gegund aan PWC. Het onderzoek bevindt zich in de fase waarin dossiers worden onderzocht. De onderzoeksvraag voor het tweede deel van het onderzoek, dat betrekking heeft op de effecten van het gebruik van FSV door de Belastingdienst op burgers en bedrijven, is in voorbereiding. Naar verwachting zal dat onderzoek in de tweede week van mei 2021 kunnen aanvangen. Wij streven er naar de onderzoeken in september 2021 te laten afronden en vervolgens de bevindingen met de Kamer te delen.

A.2.2. Onderzoek naar gebruik FSV-signalen door convenantpartners

In samenwerkingsverbanden worden met convenantpartners gegevens gedeeld op grond van wet- en regelgeving.¹⁸ Alle informatie-uitwisseling met de convenantpartners vindt plaats binnen convenanten, die binnen de grenzen van de wet- en regelgeving informatie-uitwisseling regelen. De Belastingdienst kan in bepaalde samenwerkingsverbanden informatie uit FSV hebben gedeeld met convenantpartners. Op 5 februari jl. hebben wij uw Kamer medegedeeld dat de Belastingdienst contact heeft opgenomen met de betreffende convenantpartners om hen te informeren over het mogelijk gebruik van informatie uit FSV.¹⁹ De vraag is in hoeverre informatie uit FSV is gebruikt en of sprake is van verkeerd gebruik. De Belastingdienst heeft een plan van aanpak opgesteld om na te gaan of er nog informatie uit FSV te herleiden is bij de convenantpartners. Dit plan van aanpak is met deze partners afgestemd. In het plan is opgenomen om te beginnen met een onderzoek met beperkte reikwijdte (met als peiljaar 2019) om inzicht te krijgen of, en zo ja in welke mate, gebruik is gemaakt van informatie uit FSV. Op basis van de uitkomst van dit onderzoek wordt besloten of en hoe verder onderzoek zal worden vormgegeven.

Omdat per samenwerkingsverband de wijze van informatie-uitwisseling verschillend is, is per samenwerkingsverband een nader onderzoek in gang gezet. Hieronder een stand van zaken in dit onderzoek bij elk van deze convenantpartners:

• 1. Regionale informatieve en expertisecentra (RIEC’s): de reikwijdte voor het onderzoek naar de RIEC informatie-uitwisseling is voor deze eerste fase beperkt tot de RIEC Noord-Nederland om een eerste beeld te genereren. Er is binnen de Belastingdienst een dataset gemaakt van de informatie-uitwisselingen binnen 2019, deze is gematcht met de data in FSV en wordt nader onderzocht.

• 2. De Landelijke stuurgroep interventieteams (LSI) heeft in een brief aan de Belastingdienst laten weten dat bespreking van risicosignalen alleen plaatsvindt indien tenminste twee convenantpartners binnen het LSI verband een signaal hebben over de betreffende casus. Daarnaast is het onwaarschijnlijk dat eventueel gedeelde informatie uit FSV over 2019 nog te herleiden is. Gegevens worden een maand na het sluiten van een project vernietigd. Aangezien de gegevens (over 2019 en eerder) niet meer beschikbaar zijn, is een nader onderzoek naar informatie-uitwisseling bij afgeronde LSI-projecten niet meer mogelijk.

• 3. Samenwerking onder artikel 64 Wet Suwi: de Belastingdienst heeft in 2019 in één project geparticipeerd. Met de deelnemende organisaties in dit project is geen informatie uit FSV gedeeld. Er wordt nog nagegaan of FSV een rol heeft gespeeld bij fiscale handhavingsmaatregelen die de Belastingdienst zelf tegen betrokkenen in dit project heeft genomen.

• 4. Informatie Knooppunt Zorgfraude (IKZ): informatie-uitwisseling met IKZ betreft één casus (meerdere personen) in peiljaar 2019 waarbij onduidelijk is of er een verband is met FSV. Dit wordt nader onderzocht.

Afhankelijk van de uitkomsten in de interne matches onder 1, 3 en 4 volgt nader onderzoek met de desbetreffende partners. Voordat een match met FSV kan worden uitgevoerd (zowel intern Belastingdienst als met de convenantpartners) is een AVG-toets noodzakelijk. Deze AVG-toets is inmiddels voor de interne match uitgevoerd en zal indien een externe match nodig blijkt ook met de betrokken convenantpartners nader worden afgestemd.

A.2.3. Analyse door de Belastingdienst van de impact FSV-registratie of kwalificatie O/GS bij een aanvraag van een minnelijke schuldsanering

Op 27 januari jl. hebben wij u geïnformeerd dat tot maart 2020 een werkinstructie gehanteerd is waarin stond dat bij individuele schulden boven de € 10.000,- een verzoek tot minnelijke schuldsanering natuurlijke personen (MSNP) werd afgewezen indien in FSV de registratie «melding fraudepost» stond.²⁰ Hetzelfde gebeurde tot november 2019 bij een kwalificatie Opzet en Grove Schuld (O/GS) bij toeslagschulden. In beide gevallen ging de Belastingdienst er zonder verdere inhoudelijke toetsing vanuit dat de burger niet te goeder trouw was. Dat is onacceptabel. Deze werkwijze voor de invulling van goeder trouw wordt nu dus niet meer toegepast. In de brief van 27 januari jl. hebben wij aangegeven dat de Belastingdienst analyseert welke burgers onterecht een afwijzing MSNP hebben gehad. De analyse bestaat uit twee fases:

• In de eerste fase worden de afwijzingsbrieven MSNP in beeld gebracht. Hiervoor worden 400.000 insolventiebrieven van de periode 1 januari 2012 tot en met 1 maart 2020 bekeken. Daarnaast zijn er 30.000 brieven voor de periode maart 2020 tot 9 maart 2021 bekeken (zoals hieronder wordt toegelicht is de onderzoeksperiode uitgebreid). Bij het getal van circa 430.000 zijn ook beschikkingen meegeteld waarin het verzoek is toegekend en brieven die zien op een wettelijke schuldsanering of faillissement. Op basis van deze 430.000 brieven zijn circa 50.000 mensen in beeld aan wie mogelijk geen MSNP is verleend. Deze worden in de tweede fase bekeken (zie hieronder) om te beoordelen of MSNP onterecht geweigerd is. Daarnaast worden nog andere archieven onderzocht om te bezien of daar nog afwijzingsbrieven MSNP in zitten. In de brief over de registratie in FSV is aangegeven dat mensen die vermoeden dat ze geen MSNP hebben gekeken zich kunnen melden. Er wordt ook nog gekeken naar de gegevens van deze mensen. Mogelijk zijn er dus meer dan 430.000 insolventiebrieven en komen er meer dan de circa 50.000 mensen in beeld aan wie mogelijk geen MSNP is verleend.

• In de tweede fase worden de afwijzingsbrieven die in beeld zijn gekomen, inhoudelijk beoordeeld. De Belastingdienst kijkt eerst wat de afwijzingsgrond is geweest. Daarna wordt beoordeeld of deze afwijzing ten onrechte was. De tweede fase is inmiddels gestart voor de circa 50.000 brieven die tot nu toe in beeld zijn. Mogelijk volgen uit de andere archieven nog meer brieven die in deze fase onderzocht zullen worden.

Naast de analyse door de Belastingdienst, loopt er onderzoek van de ADR. Zoals aangekondigd in de Kamerbrief²¹ van 27 november 2020 heeft de ADR de opdracht gekregen om de gevolgde werkwijzen bij de beoordeling van een kwalificatie O/GS – voor de terugvordering van toeslagen over de periode van 1 januari 2012 tot en met 31 december 2019 – te onderzoeken. In dit onderzoek wordt naast toeslagschulden ook gekeken naar de samenloop met belastingschulden. Dit onderzoek is nog niet gereed.

In onze brief²² van 12 maart jl. hebben wij aangegeven dat alle afwijzende beschikkingen MSNP momenteel handmatig worden gecontroleerd. Ook is de onderzoeksperiode van de analyse door de Belastingdienst met 1 jaar verlengd; van einddatum 1 maart 2020 naar 9 maart 2021. Dit is het moment van het instellen van de handmatige controle van alle afwijzende beschikkingen. Daarnaast betrekt de Belastingdienst in zijn analyse ook afwijzingsbrieven enkel vanwege een registratie FSV en/of kwalificatie O/GS of afwijsgronden op basis van de hoogte van een toeslag- of belastingschuld.

Naar aanleiding van deze constatering en de mogelijke doorwerking hiervan heeft de Belastingdienst contact gehad met het Ministerie van SZW en de Sociale Verzekeringsbank (SVB). Dat heeft te maken met de wijze waarop de korting op de AOW-uitkering wordt vastgesteld. Sinds de invoering van de gecombineerde aanslag in 2001, int de Belastingdienst de premies voor de volksverzekeringen samen met de inkomstenbelasting. Indien de Belastingdienst er na vier jaar niet in slaagt het aanslagbedrag te innen, draagt de Belastingdienst de onbetaalde aanslag voor aan de SVB voor een eventueel besluit tot korting op de AOW. Zoals we in de brief²³ van 27 januari jl. hebben aangegeven en hierboven hebben toegelicht, loopt er een analyse van de Belastingdienst om in kaart te brengen welke burgers ten onrechte een deelname aan een minnelijke schuldsanering is geweigerd. Het proces van minnelijke schuldsanering kan de AOW-opbouw respectievelijk AOW-uitkering van burgers beïnvloeden. De Belastingdienst zal over de uitkomsten van deze analyse (naar verwachting eind juni) daarom ook contact opnemen met de SVB. Indien een burger onterecht is voorgedragen bij de SVB, zal een eventuele AOW-korting worden hersteld. De Minister van SZW zal u in de stand van de uitvoering informeren over eventuele gevolgen voor de AOW-opbouw respectievelijk AOW-uitkering van burgers.

A.3. Uitvoering motie Snels

De motie van het lid Snels c.s.²⁴ verzoekt de regering in kaart te brengen hoeveel mensen door een vermelding in FSV ten onrechte geschaad zijn, welke schade deze mensen ondervonden hebben, en op basis hiervan een mogelijke compensatieregeling uit te werken voor onterecht geraakte slachtoffers. De eerste stap is het bepalen van eventueel onrechtmatig handelen. Hiertoe lopen het externe onderzoek naar de effecten van FSV op burgers en bedrijven (A.2.1), het onderzoek van de Belastingdienst naar de verstrekking van gegevens uit FSV aan convenantpartners (A.2.2) en de analyse door de Belastingdienst van de impact FSV-registratie of kwalificatie O/GS bij een aanvraag van een minnelijke schuldsanering (A.2.3). Zoals aangegeven in onze brief van 25 maart jl.²⁵ is de Belastingdienst bezig met de vormgeving van een tijdelijk organisatieonderdeel om onder andere (voor zover mogelijk) op individueel niveau in kaart te brengen of de registratie in FSV onterechte gevolgen heeft gehad en burgers hierover te informeren. De eerste stap hierin is het meldpunt FSV dat sinds maart actief is. Er wordt vooruitlopend op eventuele conclusies uit de onderzoeken, ook al nagedacht over oplossingen. Hiermee willen we burgers zo goed mogelijk helpen bij de informatievoorziening over FSV en – als daar op basis van de onderzoeken aanleiding toe tot blijkt te zijn – eventueel onrechtmatig handelen zo snel recht te zetten.

A.4. Tijdelijke signalen voorziening

De nieuwe (tijdelijke) signalen voorziening waarin deze signalen kunnen worden vastgelegd, is opgeleverd en kan binnenkort in gebruik worden genomen. Voor dit proces wordt door de Belastingdienst een gegevensbeschermings-effectbeoordeling (GEB) opgesteld. Hierin staan de waarborgen beschreven om het proces conform de AVG te laten verlopen. De GEB voor de processen bij de directies MKB, GO en P is vrijwel gereed. Na afronding van de GEB en het naar behoren implementeren van het proces en de benodigde maatregelen kan het proces weer worden opgestart.

Zodra met het verwerken van nieuw ingekomen signalen wordt gestart, zal ook een begin worden gemaakt met het behandelen van de eerder binnengekomen signalen die als gevolg van het stopzetten van FSV niet konden worden opgepakt. Dit aantal is opgelopen tot circa 13.000 signalen (inclusief Toeslagen). Bij het behandelen van deze (oude) signalen worden allereerst alle binnengekomen signalen handmatig in de tijdelijke signalen voorziening gezet. We verwachten dit in de zomer te hebben afgerond. Daarna wordt gestart met het behandelen van deze (oude) signalen. Om een beeld te krijgen hoeveel tijd er nodig is om de «achterstand» in het behandelen van (oude) signalen in te halen, wordt bij het behandelen middels een steekproef een analyse uitgevoerd. Dat is om vast te stellen hoeveel signalen fiscaal waardevol zijn, hoeveel er urgent waren en hoeveel tijd het kost om deze te behandelen. Op basis van deze analyse verwachten we in de zomer een inschatting te kunnen maken hoeveel tijd nodig is om de achterstand in de behandeling van de oude signalen in te lopen.

Er is gestart met de voorbereidende werkzaamheden voor de duurzame voorziening. Bij het ontwerpen van deze voorziening worden – naast de vereisten van de AVG, Baseline Informatiebeveiliging Overheid (BIO) en Archiefwet – de uitgangspunten van uniforme processen voor alle dienstonderdelen en een zorgvuldige naleving en opvolging van risicosignalen gehanteerd. Op basis hiervan wordt bepaald hoe de definitieve voorziening eruit moet zien en kan er een planning gemaakt worden.

B. Onderzoek en maatregelen m.b.t. de werking van projectcode 1043

In de brief²⁶ van 10 juli 2020 hebben wij aangegeven dat er meer onderzoek moest worden gedaan naar de werking van projectcode 1043 en de gevolgen voor belastingplichtigen. De eerste uitkomsten van dit onderzoek heb ik met u gedeeld bij brief²⁷ van 13 oktober 2020 over het onderzoek naar projectcode 1043 en het daarbij gevoegde feitenrelaas. Op 31 maart jl. hebben wij uw Kamer geïnformeerd over de stapsgewijze hervatting van projectcode 1043.²⁸ Wij zullen de uitkomsten van het verdere onderzoek, waaronder de uitkomsten van de GEB voor het proces «analyse aan de poort» die momenteel wordt uitgevoerd, het onderzoek van de fiscale behandeling en de analyse van ontvangen klachten en signalen, met u delen via de volgende brief over de stand van zaken van het traject HVB.

C. Onderzoek en maatregelen t.a.v. lijsten met risicosignalen

We zijn in 2020 gestart met het inventariseren van problemen met de verwerking van nationaliteit en risicosignalen bij de Belastingdienst. Mede op basis van het adviesrapport van KPMG van 10 juli 2020 zijn processen gestaakt voor de periode waarin de noodzakelijke randvoorwaarden voor rechtmatige verwerking van persoonsgegevens ontbraken. In dat kader zijn medewerkers gevraagd om lijsten in hun persoonlijke omgeving met mogelijke risico-, fraudesignalen en/of het persoonsgegeven nationaliteit aan te dragen. Onder lijsten verstaan wij gegevensbestanden. Op 27 januari jl. hebben we aan uw Kamer bericht dat de uitvraag onder alle medewerkers naar mogelijke lijsten met risico- en fraudesignalen of het persoonsgegeven nationaliteit op dat moment had geresulteerd in 211 lijsten. Na januari hebben medewerkers nog circa 40 lijsten aangeleverd. Dit bevestigt dat er een groeiend bewustzijn is aangaande verantwoord omgaan met gegevens. Dit is een goede ontwikkeling. Het valt niet uit te sluiten dat er, door het groeiend bewustzijn bij medewerkers, in de toekomst nog meer lijsten op het netvlies komen. Een eerste analyse is inmiddels afgerond. De onderstaande tabel bevat de uitkomsten hiervan.

Resultaat inventarisatie onder medewerkers

	Aantal lijsten	Toelichting
Nader onderzoek niet nodig	29	Dit zijn aangemelde lijsten waar geen persoons- of bedrijfsgegevens van belastingplichtigen of hun vertegenwoordigers in werden verwerkt, of uitsluitend persoonsgegevens ten behoeve van het sturen van de werkstroom. Denk hierbij aan burgerservicenummers.
Nader onderzocht	222	Nader onderzocht op 1) aanwezigheid van i) risicosignalen, ii) signalen van fraude verdenking en iii) het persoonsgegeven nationaliteit. Uitkomst:
		Lijsten met risicosignalen	82
		Lijsten met signalen van fraude verdenking	13
		Lijsten met het persoons-gegeven nationaliteit	50
		Lijsten met een combinatie van risicosignalen, signalen van fraude verdenking, persoonsgegeven nationaliteit	56
		Lijsten zonder risico-signalen, signalen van fraude verdenking, persoonsgegeven nationaliteit	21
Totaal	251

Op basis van deze uitkomsten wordt (voor zover mogelijk) gekeken naar de mogelijk onterechte nadelige gevolgen van deze lijsten voor burgers. De lijsten die nu in beeld zijn, zijn zeer divers. Het is mogelijk dat uit de nadere analyse zal blijken dat er bij sommige lijsten mogelijke onterechte gevolgen zijn geweest voor burgers. Bij andere lijsten zullen er geen gevolgen zijn geweest. Wij zullen uw Kamer over de uitkomsten informeren met onze volgende brief over de stand van zaken HVB.

D. Onderzoek en maatregelen t.a.v. applicaties

D.1. Gebruik nationaliteit

Naast de inventarisatie van lijsten met risico- en fraudesignalen of gebruik van het persoonsgegeven nationaliteit is de Belastingdienst in december 2020 begonnen met het doorzoeken van de aanwezige applicaties. In eerste instantie (22-1-2021) zijn er 893 applicaties geïdentificeerd. Tijdens het traject zijn daar nog 99 applicaties bijgekomen die ook in de verdere analyse zijn meegenomen.²⁹ In totaal zijn er 992 applicaties geanalyseerd. Daarvan blijken er 507 persoonsgegevens te bevatten. Daarnaast zijn er 68 lokale applicaties geïdentificeerd waarin persoonsgegevens worden verwerkt. Deze zullen nog worden gecontroleerd op het rechtmatig gebruik van risico- en fraudesignalen en het gebruik van het persoonsgegeven nationaliteit. Dit betreft de stand van dit moment; aangezien het onderzoek nog loopt kan het aantal applicaties nog wijzigen.

De bovengenoemde 507 applicaties met persoonsgegevens zijn getoetst op het gebruik van het persoonsgegeven nationaliteit, alsmede op medische- en strafrechtelijke gegevens. Bij 73 applicaties worden deze gegevens gebruikt. Bij de 73 applicaties is gekeken wat de grondslagen zijn voor gebruik van deze gegevens, gezien de rol van de applicatie in de specifieke bedrijfsprocessen. Het beeld van de processen die van deze applicaties gebruik maken is als volgt:

• Er is geconstateerd dat voor de bedrijfsprocessen behorende bij 64 applicaties een grondslag aanwezig is voor de verwerking van de persoonsgegevens.

• Bij het bedrijfsproces behorende bij één applicatie (INL) is geconstateerd dat er geen grondslag is voor de verwerking van de gegevens (termen) waarop getoetst is die in de vrije velden staan. De volgende maatregelen zijn getroffen:

  • de vrije velden zijn veiliggesteld, worden geschoond en zijn buiten gebruik gesteld behoudens dat beperkt autorisaties zijn verleend voor enkele bedrijfskritische processen. Het gebruik van de applicatie wordt gelogd;

  • instructies zijn opgesteld voor toekomstig gebruik van de vrije velden.

• Voor de bedrijfsprocessen behorende bij 8 applicaties is een verwerkingsgrondslag voor het gebruik van gegevens in de vrije velden geconstateerd, maar doordat de applicaties gebruikt worden voor meerdere bedrijfsprocessen is onduidelijk of alle gebruikers ook over de gegevens mogen beschikken. Een analyse zal worden uitgevoerd op de processen waarin deze applicaties worden gebruikt, waarna de risico’s worden bepaald en de procesbeschrijving eventueel verbeterd.

D.2. Onderzoek verstrekkingendatabases

In onze brief van 27 januari jl. over de stand van zaken HVB, hebben wij aan uw Kamer medegedeeld dat er een kopie van ons basisregistratiesysteem «Beheer van Relaties» (BVR) was gevonden, waarin nog onbedoeld dubbele nationaliteiten van Nederlanders waren geregistreerd.³⁰ Zoals wij in die brief hebben aangekondigd, zijn er direct beheersmaatregelen genomen toen dit aan het licht kwam en zal er nader onderzocht worden of er nog vergelijkbare kopieën van BVR bestaan, waarin dubbele nationaliteiten geregistreerd staan. Hierbij was onze eerste prioriteit om de lopende onderzoeken naar lijsten met risicosignalen en applicaties met nationaliteit af te ronden. In aansluiting op de onderzoeken naar lijsten en applicaties wordt in het tweede kwartaal van 2021 een derde onderzoek uitgevoerd naar de inzet van «verstrekkingen databases». Dit zijn technische voorzieningen waarbij (uit prestatie overwegingen) kopieën van bron databases worden gemaakt om persoonsgegevens beschikbaar te stellen aan andere applicaties. Wij laten deze onderzoeken om een compleet beeld te krijgen van de ondersteuning van de bedrijfsprocessen en of de grondslagen aanwezig zijn in de afnemende processen voor de verwerking van de verstrekte gegevens.

E. Bedrijfsprocessen inrichten conform de AVG, BIO en Archiefwet

De afgelopen jaren is de aandacht voor privacy gegroeid, en daarmee ook voor de manier waarop de overheid omgaat met gegevens van burgers. De Wet bescherming persoonsgegevens bood daarvoor al een kader. De komst van de Algemene verordening gegevensbescherming (AVG) heeft de aandacht hiervoor versterkt. Ook de Belastingdienst heeft zich op de AVG voorbereid.³¹ Het afgelopen jaar is gebleken dat de Belastingdienst de verwerking van persoonsgegevens³² ondanks die inspanningen op een aantal aspecten niet op orde heeft.³³ Het gaat dan om het aantoonbaar binnen wettelijke kaders verwerken van persoonsgegevens; met name wat betreft het verwerken van het persoonsgegeven nationaliteit en het verwerken van signalen over niet compliant gedrag zijn verbeteringen nodig. Daarnaast zijn op punten verbeteringen nodig wat betreft de toegang tot persoonsgegevens voor medewerkers.

Nu wordt de toegang tot informatie veelal bepaald op basis van de groepsfunctie en het organisatieonderdeel, waar de medewerker is tewerkgesteld. Afhankelijk van het type werk en bevoegdheden kunnen verschillende vormen van toegang nodig zijn. De processen worden op dit aspect gevalideerd en waar nodig worden aanpassingen doorgevoerd. Daarbij is het uitgangspunt dat medewerkers alleen de informatie krijgen die nodig is om hun taak of opdracht uit te voeren. Belangrijk hierbij is het behouden van de professionele ruimte die nodig is om maatwerk voor burgers en bedrijven te leveren.

Het tweede aspect is de conformiteit met de wettelijke vereisten, in opzet, bestaan en werking van processen. Ook hier heeft de Belastingdienst een slag te maken door te zorgen dat de processen helder en controleerbaar worden vastgelegd, en dat controleerbaar is dat conform die vastlegging wordt gewerkt. Het gaat om een groot aantal processen, waardoor deze verbeterslag tijd vergt. Als één van de grootste verwerkers van persoonsgegevens van Nederland, is de Belastingdienst het aan zijn stand verplicht om zorgvuldig met persoonsgegevens om te gaan. Op dit moment lopen verschillende trajecten om dit doel te realiseren.

Zoals in de Kamerbrief van 27 januari jl. is aangegeven, worden de bedrijfsprocessen en de daarbij behorende informatievoorziening van de Belastingdienst getoetst en waar nodig aangepast aan de eisen van de AVG, BIO en Archiefwet.³⁴ Hiervoor is een controlelijst in ontwikkeling. Deze controlelijst, in de Kamerbrief van 27 januari jl. omschreven als kader, bevat de relevante vereisten uit de AVG, BIO en Archiefwet m.b.t. de bedrijfsprocessen en de bijbehorende informatievoorziening. De controlelijst is randvoorwaardelijk voor het eenduidig toetsen van de bedrijfsprocessen en de bijbehorende informatievoorziening. De controlelijst vormt tevens de basis voor het control framework waarmee de aantoonbaarheid van de naleving aan de AVG, BIO en Archiefwet mogelijk wordt gemaakt. De controlelijst is grotendeels in concept gereed en is naar verwachting op korte termijn gereed om ter validatie aan te bieden aan de Auditdienst Rijk (ADR). De ADR is zich aan het beraden of zij deze validatie kunnen uitvoeren. Afhankelijk daarvan kan een planning worden gemaakt. Het toetsen van de bedrijfsprocessen aan de hand van de controlelijst zal een meerjarig traject zijn vanwege factoren zoals het grote aantal – het gaat om meer dan 600 bedrijfsprocessen met een veelvoud aan onderliggende werkprocessen – en de complexiteit van de processen waarin de applicaties gebruikt worden.

Daarnaast is de Belastingdienst bezig met de vernieuwing van de gegevenshuishouding om de verbeteringen ook voor de lange termijn te verzekeren. Er zijn architectuurkaders vastgesteld waarmee erop gestuurd wordt dat gegevens die nodig zijn in processen niet meer onnodig worden gekopieerd, maar zoveel mogelijk in de bron worden geraadpleegd. Zo kan beter grip worden gehouden op welke gegevens worden verwerkt en waar die zich bevinden. Het ontwerp van nieuwe systemen wordt getoetst aan deze kaders. Belangrijke uitgangspunten daarin zijn het structureel en expliciet leggen van de relaties tussen de gegevens, die worden gebruikt, hun (fiscaal) wettelijke grondslag en de naleving van eisen uit regelgeving zoals de AVG, de BIO en de Archiefwet. Daarnaast wordt gewerkt aan de versterking van datamanagement en datagovernance bij de Belastingdienst, zodat de verantwoordelijkheden ten aanzien van gebruik van gegevens helder zijn en blijven.

De Belastingdienst streeft ernaar de gegevenshuishouding en processen zo in te richten dat deze zowel de toezichthoudende- als dienstverlenende taken optimaal ondersteunen en ruimte bieden voor toekomstige technologische ontwikkelingen. Ook het wettelijk kader waarbinnen de Belastingdienst werkt, moet toegesneden zijn op huidige en toekomstige ontwikkelingen. Daarom wordt een wetsvoorstel voorbereid dat ziet op de verwerking van gegevens door de Belastingdienst.³⁵ Het doel daarvan is enerzijds het verstevigen en toekomstbestendig maken van de grondslagen voor het verkrijgen, intern verwerken en verstrekken van gegevens, en anderzijds het scheppen van waarborgen voor een rechtmatige, behoorlijke en transparante verwerking van gegevens door de Belastingdienst.

F. Aanvullende acties t.a.v. omgang met persoonsgegevens

F.1. Onderhanden werk Combiteam Aanpak Facilitators (CAF)

Het onderhanden werk bij het CAF-team en het werk dat daaruit is voortgevloeid en onder handen was bij de uitvoerende directies is stopgezet. Het bestaande werk is door de Belastingdienst in beeld gebracht en daarbij is een analyse gemaakt van de behandeling van deze signalen tot dusver om te beoordelen of die behandeling juist is verlopen. Deze zal nog door een externe partij worden getoetst en wordt dan met uw Kamer gedeeld.

F.2. Wettelijke grondslagen voor gebruik nationaliteit

Op 13 oktober 2020 hebben wij uw Kamer een zo compleet mogelijk overzicht toegezegd van expliciete grondslagen in wet- en regelgeving die de Belastingdienst kan gebruiken om het persoonskenmerk nationaliteit te verwerken.³⁶ Op 27 januari jl. hebben wij uw Kamer een dergelijk overzicht toegezonden dat (hoofdzakelijk) betrekking heeft op de fiscale taken van de Belastingdienst.³⁷ In de begeleidende brief hebben wij aangegeven dat we met de verschillende andere opdrachtgevers van de Belastingdienst gaan beoordelen of het overzicht nog verder aangevuld kan worden met expliciete wettelijke grondslagen voor het gebruik van nationaliteit bij de uitvoering van de niet-fiscale taken van de Belastingdienst.

De opdrachtgevers hebben dezelfde werkwijze gehanteerd als bij het opstellen van het overzicht van expliciete wettelijke grondslagen dat op 27 januari jl. naar uw Kamer is verzonden. Er is dus, binnen de wet- en regelgeving die de Belastingdienst voor deze opdrachtgevers uitvoert, gezocht naar bepalingen waaruit min of meer expliciet volgt dat de Belastingdienst het persoonsgegeven nationaliteit moet verwerken om uitvoering te geven aan die bepalingen. Signaalwoorden waarop is gezocht, zijn (afgeleid van) «Nederlander», «buitenland», «nationaliteit, «vreemdeling» en «onderdaan». Omdat het gaat om het persoonsgegeven nationaliteit betreft het enkel natuurlijke personen.

Deze uitvraag heeft geleid tot één aanvulling op het eerder verzonden overzicht:

• Artikel 5 van het Besluit ter voorkoming van witwassen en financiering van terrorisme BES. Bij de aanmelding en kennisgeving van geldtransporten waar dit besluit op ziet, moet de persoon in kwestie bepaalde gegevens verstrekken, waaronder de nationaliteit van in elk geval de vervoerder onderscheidenlijk kennisgever en de eigenaar van de liquide middelen en, indien van toepassing, van de afzender en de ontvanger of beoogd ontvanger van de liquide middelen.

Bij deze brief treft u het aangevulde overzicht aan van expliciete wettelijke grondslagen voor het gebruik van het persoonsgegeven nationaliteit bij de Belastingdienst. De Belastingdienst heeft met veel wetgeving te maken, waarbij de terminologie voor nationaliteit niet altijd eenduidig is. Hierdoor kan niet gegarandeerd worden dat het overzicht van expliciete wettelijke grondslagen volledig en limitatief is. Mocht de Belastingdienst dergelijke gevallen tegenkomen, dan wordt dit overzicht hierop aangepast. Zoals wij in de brief³⁸ van 27 januari jl. hebben aangegeven, zullen de resultaten van het onderzoek naar het gebruik van het persoonsgegeven nationaliteit in de applicaties worden vergeleken met het overzicht van expliciete wettelijke grondslagen. Als hieruit blijkt dat nationaliteit wordt verwerkt zonder expliciete wettelijke grondslag zal worden beoordeeld of die verwerking stopgezet moet worden of dat er alsnog in een expliciete wettelijke grondslag voorzien moet worden.

Tot slot

Wij gaan in de komende periode onverminderd door met de uitvoering van alle verbeteracties die we in de afgelopen periode in gang hebben gezet, zodat uiteindelijk de opzet, inrichting en werking van risicoselectie en de toezicht- en handhavingstaken van de Belastingdienst met voldoende rechtsstatelijke waarborgen zijn omkleed. Wij blijven alert op signalen van burgers, bedrijven en medewerkers over mogelijke problemen, zullen die dan onderzoeken en indien nodig beheersmaatregelen nemen. Uiteraard zullen wij uw Kamer op de hoogte houden van onze stappen. De volgende brief over de stand van zaken van de acties uit het plan van aanpak HVB ontvangt uw Kamer voor het zomerreces in juli 2021.

De Staatssecretaris van Financiën, J.A. Vijlbrief

De Staatssecretaris van Financiën, A.C. van Huffelen

---

1 Kamerstuk 31 066, nr. 709.

2 Kamerstuk 31 066, nr. 804.

3 Kamerstuk 31 066, nr. 807.

4 Het betreft meer dan 600 bedrijfsprocessen met een veelvoud aan onderliggende werkprocessen en vele applicaties.

5 Kamerstuk 35 387, nr. 2.

6 Bijlage bij Kamerstuk 29 362, nr. 290.

7 Kamerstuk 31 066, nr. 807.

8 Kamerstuk 31 066, nr. 804.

9 Kamerstuk 31 066, nr. 800.

10 Kamerstuk 31 066, nr. 780.

11 Kamerstuk 31 066, nr. 807.

12 Kamerstuk 35 510, nr. 21.

13 Kamerstuk 31 066, nr. 802.

14 Raadpleegbaar via www.tweedekamer.nl.

15 Kamerstuk 31 066, nr. 802.

16 Kamerstuk 31 066, nr. 802.

17 Kamerstuk 31 066, nr. 804.

18 Zie art. 64 Wet Suwi en de regelgeving met de ontheffing van de geheimhoudingsplicht die is uitgewerkt in art. 67 AWR en art. 43c Uitvoeringsregeling AWR, en de uitwerking hiervan in de convenanten.

19 Kamerstuk 31 066, nr. 804.

20 Kamerstuk 31 066, nr. 807.

21 Kamerstuk 31 066, nr. 739.

22 Kamerstuk 31 066, nr. 800.

23 Kamerstuk 31 066, nr. 807.

24 Kamerstuk 31 066, nr. 776.

25 Kamerstuk 31 066, nr. 802.

26 Kamerstuk 31 066, nr. 681.

27 Kamerstuk 31 066, nr. 637.

28 Kamerstuk 31 066, nr. 803.

29 Gezien de vele applicaties en de beperkt beschikbare tijd kan niet worden gegarandeerd dat het volledige informatielandschap aangaande de applicaties is meegenomen. Het is niet uitgesloten dat er in de komende periode nieuwe applicaties op het netvlies komen.

30 Kamerstuk 31 066, nr. 807.

31 Kamerstuk 31 066, nr. 485.

32 De AVG geeft aan dat een persoonsgegeven alle informatie is over een geïdentificeerde of identificeerbare natuurlijke persoon. Dit betekent dat informatie ofwel direct over iemand gaat, ofwel naar deze persoon te herleiden is. Gegevens van overleden personen of van organisaties zijn geen persoonsgegevens volgens de AVG.

33 Kamerstuk 31 066, nr. 709.

34 Kamerstuk 31 066, nr. 807.

35 Het wetsvoorstel betreft ook de verwerking van gegevens door Toeslagen en Douane.

36 Kamerstuk 31 066, nr. 637.

37 Kamerstuk 31 066, nr. 807.

38 Kamerstuk 31 066, nr. 807.