31 066 Belastingdienst

Nr. 972 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 10 februari 2022

Tijdens de regeling van werkzaamheden van 1 februari jl. (Handelingen II 2021/22, nr. 44) heeft uw Kamer mij een aantal vragen gesteld naar aanleiding van mijn brief van 25 januari jl.¹ over een tweetal rapporten van PwC over de Fraudesignaleringsvoorziening (FSV). De vragen zagen op de constateringen door PwC over uiterlijke kenmerken, op overtredingen van de algemene verordening gegevensbescherming (AVG) en op de gegevensverstrekking aan het Ministerie van Justitie en Veiligheid. Hieronder ga ik in op deze onderwerpen.

Uiterlijke kenmerken

Het lid Azarkan (DENK) heeft mij bij de regeling van werkzaamheden gevraagd in te gaan op de verwijzingen naar uiterlijke kenmerken die worden genoemd in het rapport over de effecten van FSV voor burgers die door de directie Particulieren geregistreerd zijn. Ik heb PwC om een nadere toelichting gevraagd. In reactie hierop heeft PwC de Belastingdienst een brief gestuurd die ik als bijlage integraal met uw Kamer deel². PwC schrijft dat het uiterlijk voorkomen waar door medewerkers naar gerefereerd wordt in de documentatie het volgende betreft:

• Leeftijd (18–35)

• Een niet-westers voorkomen

• Geslacht (man)

• Materieel bezit (dure auto’s)

PwC benadrukt dat het geen onderzoek heeft gedaan naar de vraag naar de mate waarin de verwijzingen daadwerkelijk invloed hebben gehad op selectie en beoordeling. Ook heeft het niet kunnen vaststellen in welke mate deze observaties breder representatief zijn voor de werkzaamheden binnen de Belastingdienst.

Ik weet dat de constatering uit het onderzoek veel vragen oproept en begrijp dat uw Kamer daar zo snel mogelijk antwoord op verwacht. Dat vereist wel een zorgvuldige beoordeling van de concrete signalen en dossiers in hun context. Dit kan pas wanneer de Belastingdienst heeft kunnen zien welke voorbeelden PwC in de communicatie heeft aangetroffen. Op 8 februari jl. heeft de Belastingdienst de achtergronddocumentatie van het betreffende onderzoek ontvangen. De toegang tot FSV is sinds de stopzetting begin 2020 beperkt tot een kleine groep mensen voor onderzoek en verantwoording. Waarschijnlijk zal ook in andere systemen moeten worden gekeken. Zodra de juiste procedures en autorisaties zijn geregeld kunnen de voorbeelden worden opgezocht en wanneer deze gevonden zijn beoordeeld. Ik zal uw Kamer zo spoedig mogelijk nader informeren. Ik zal dan tevens reageren op de vraag van het lid Nijboer of er sprake was van racisme. Dat neemt niet weg dat de signalen uit het onderzoek mij nu al grote zorgen baren. Risico-inschattingen op basis van uiterlijk of andere volstrekt irrelevante kenmerken vind ik volkomen ontoelaatbaar.

Algemene Verordening Gegevensbescherming

Het lid Azarkan (DENK) heeft tevens gevraagd wat ik gedaan heb naar aanleiding van de conclusie dat de privacy van burgers niet gewaarborgd was. Hij heeft gevraagd of ik daar aangifte van gedaan heb. Daarnaast heeft lid Omtzigt gevraagd aan te geven op welke punten de AVG overtreden is en of dat bij de Autoriteit Persoonsgegevens (AP) gemeld is.

Voor de beantwoording van deze vragen acht ik het verstandig om te verwijzen naar de conclusies die de AP zelf al eerder heeft getrokken. Zij heeft onderzoek gedaan naar de gegevensverwerking in FSV en heeft hierover op 29 oktober 2021 een rapport³ uitgebracht. Daarin constateert ze de volgende overtredingen:

• Het doel van FSV was onduidelijk;

• FSV bevatte onjuiste en niet-geactualiseerde persoonsgegevens;

• Signalen werden te lang bewaard;

• Het verwerken van persoonsgegevens waaronder nationaliteit of medische of strafrechtelijke gegevens was onrechtmatig;

• De beveiliging van de gegevens voldeed niet aan de standaarden;

• De Functionaris voor de gegevensbescherming (FG) van het Ministerie van Financiën werd te laat betrokken bij de gegevensbeschermingseffectbeoordeling (GEB) van FSV.

Ik onderschrijf deze conclusies. FSV had nooit zo moeten worden gebruikt. De AP heeft aangegeven voornemens te zijn om te handhaven. Ik wacht dit af. Sinds de stopzetting van FSV begin 2020 is al een groot aantal acties ingezet om de gegevensbescherming en waarborgen in het toezicht te versterken. Zo licht de Belastingdienst lijsten en meer dan negenhonderd applicaties door, wordt het signalenproces waarin FSV werd gebruikt AVG-conform heringericht, is er een zoekactie naar mogelijk onterechte afwijzingen voor minnelijke schuldsanering (MSNP) en zijn meer dan 200.000 mensen geïnformeerd over hun FSV-registratie. In de rapportagereeks⁴ Herstellen, Verbeteren, Borgen (HVB) is uw Kamer hierover ingelicht.

Het lid Omtzigt zei tevens dat overtredingen van de AVG binnen 72 uur gemeld moeten worden. Deze eis ziet specifiek op datalekken. Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Onterechte of onrechtmatige gegevensverwerking (waarvan volgens de AP sprake was bij het gebruik van FSV) is daarmee niet automatisch een datalek. Ook de externe verstrekking van gegevens over burgers in FSV is volgens de onafhankelijke FG van Financiën niet automatisch een datalek. De vraag of voor de door PwC waargenomen verstrekkingen een grondslag was, viel buiten de scope van het op 25 januari jl. met uw Kamer gedeelde onderzoek. Zoals in deze Kamerbrief⁵ toegezegd laat ik deze vraag beoordelen. Ook wordt bekeken of één of meerdere verstrekkingen als datalek moeten worden beschouwd. De Belastingdienst treedt hoe dan ook in overleg met de in het rapport genoemde organisaties en zal de betrokken burgers conform de motie van het lid Marijnissen⁶ informeren aan wie hun gegevens zijn verstrekt.

De AP is op de hoogte van het rapport van PwC over externe gegevensverstrekking. Zoals genoemd in mijn brief van 25 januari jl.⁷ heb ik het rapport met de AP gedeeld. De Belastingdienst en de AP zijn hierover met elkaar in contact.

Gegevensverstrekking aan het Ministerie van Justitie en Veiligheid

Het lid Omtzigt heeft verder gevraagd aan welke organisatieonderdelen binnen het Ministerie van Justitie en Veiligheid gegevens over burgers in FSV zijn verstrekt, en of dit ook de jeugdbescherming is. Ik kan deze vraag helaas nog niet beantwoorden. PwC heeft 31 gevallen aangetroffen waarin direct, indirect of in het onderwerpveld informatie over een FSV-registratie is verstrekt aan het Ministerie van Justitie en Veiligheid. Het heeft negen gevallen aangetroffen waarin een separaat risicosignaal dat ook in FSV kon voorkomen naar het ministerie werd gestuurd. Uit de gevonden e-mailberichten heeft PwC niet kunnen afleiden naar welk organisatieonderdeel deze gestuurd zijn. Zoals vermeld in mijn brief van 1 februari jl.⁸ heeft PwC op 20 januari 2022 de data (van het onderzoek naar gegevensverstrekking) aan de Belastingdienst overgedragen. De Belastingdienst zal deze data onderzoeken en doet dat met inachtneming van de privacy van de genoemde burgers. Momenteel is de Belastingdienst daarom bezig met het inrichten van de juiste procedure om een beperkt aantal medewerkers toegang te geven tot de onderzoeksgegevens van PwC. Zo kan worden achterhaald aan welk onderdeel binnen het Ministerie van Justitie en Veiligheid informatie is verstrekt. Ik zal u in de volgende kwartaalrapportage HVB in maart hierover nader informeren.

De Staatssecretaris van Financiën, M.L.A. van Rij

---

1 Kamerbrief bij rapporten over FSV (Particulieren en gegevensdeling), 25 januari 2022, kamerstuk 31 066, nr. 957

2 Raadpleegbaar via www.tweedekamer.nl

3 Kamerstuk 31 066, nr. 930

4 Kamerstuk 31 066, nrs. 709, 807, 816, 852, 2021/22, 31 066, nr. 920

5 Kamerbrief bij rapporten over FSV (Particulieren en gegevensdeling), 25 januari 2022

6 Kamerstuk 28 362, nr. 41. Zoals eerder door mijn ambtsvoorganger aangegeven geldt wel een uitzondering voor mensen waarbij het informeren gevolgen kan hebben voor de veiligheid van anderen en voor situaties waarin de (fiscaal)-juridische, toezicht- of opsporingsbelangen zwaarder wegen dan het informeren over de registratie.

7 Kamerbrief bij rapporten over FSV (Particulieren en gegevensdeling), 25 januari 2022 (Kamerstuk 31 066, nr. 957)

8 Kamerbrief Antwoorden op Kamervragen over rapporten Fraudesignaleringsvoorziening, 1 februari 2022, (Kamerstuk 31 066, nr. 960)