31 066 Belastingdienst

Nr. 1162 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 30 januari 2023

Sinds maart 2019 valt de verwerking van politiegegevens door Buitengewone Opsporingsambtenaren (BOA’s) onder de Wet politiegegevens (Wpg). De Wpg schrijft periodieke audits voor op de naleving van de Wpg door de werkgevers van BOA’s. Ook bij de Belastingdienst werken BOA’s. Met deze brief wil ik uw Kamer informeren over het deels niet voldoen aan de auditverplichting door de Belastingdienst.

Daarnaast informeer ik uw Kamer over de bevindingen van de al wel uitgevoerde audit bij Bureau Economische Handhaving (BEH) van de Belastingdienst. De audit is uitgevoerd door de Auditdienst Rijk (ADR). Ik wil de ADR bedanken voor de gedegen audit. De conclusies in de rapporten zijn stevig. De ADR schrijft dat BEH in belangrijke mate niet voldoet aan de Wpg. Dit is een ernstige tekortkoming. Mijn voorganger heeft toegezegd¹ uw Kamer proactief te informeren wanneer blijkt dat de Belastingdienst zich onverhoopt niet houdt aan wet- en regelgeving. Daarom stuur ik het rapport van de ADR mee in de bijlage. BEH herkent zich in de geconstateerde tekortkomingen en pakt alle aanbevelingen met grote urgentie op. Ik zal uw Kamer via de stand-van-zakenbrieven Belastingdienst nader informeren over de te zetten stappen en de audit bij de andere onderdelen van de Belastingdienst die onder de Wpg vallen.

Wpg-audits

De Wpg vereist een jaarlijkse interne audit en iedere vier jaar een externe audit. De eerste externe Wpg-audit moest in 2021 worden uitgevoerd en uiterlijk eind 2021 bij de Autoriteit Persoonsgegevens (AP) worden ingediend. De AP heeft alle organisaties met BOA’s die sinds 2019 onder de Wpg vallen een jaar uitstel verleend tot 31 december eind 2022.

De FIOD, de bijzondere opsporingsdienst van de Belastingdienst, valt al vanaf 2009 geheel onder het regime van de Wpg. Het Wpg-auditrapport FIOD is op 9 februari 2022 gepubliceerd.² In 2022 heeft de ADR een audit uitgevoerd bij BEH.

Eind 2022 heeft de Belastingdienst de AP per brief geïnformeerd dat het niet lukt om tijdig de audit uit te voeren voor de andere onderdelen van de Belastingdienst die onder de Wpg vallen. De reden hiervoor is dat hier binnen de Belastingdienst onvoldoende aandacht voor is geweest. Daardoor is het niet halen van de termijn helaas te laat gesignaleerd. Inmiddels is de ADR verzocht om deze audit uit te voeren. De uitvoering van periodieke audits wordt in de toekomst geborgd in de organisatie.

Audit bij Bureau Economische Handhaving van de Belastingdienst

BEH voert verschillende niet-fiscale toezicht- en opsporingstaken uit in opdracht van de Ministeries van Economische Zaken en Klimaat en Justitie en Veiligheid. De grootste opsporingstaken liggen op het terrein van het niet deponeren van jaarrekeningen en faillissementsfraude.

In het rapport over de naleving van de Wpg in de periode 2019 tot en met 2021 bij BEH geeft de ADR een afkeurend oordeel, omdat in belangrijke mate niet werd voldaan aan de Wpg. De belangrijkste conclusies zijn dat BEH nog niet alle bestanden met politiegegevens heeft geïdentificeerd en gedocumenteerd. Daarnaast is het doel van de verwerkingen niet vastgelegd. Daarnaast zijn de noodzakelijkheid, rechtmatigheid, juistheid en volledigheid van politiegegevens niet geborgd. Ook zijn bewaar-, verwijder- en vernietigstermijnen niet aantoonbaar inzichtelijk gemaakt.

BEH herkent zich in deze forse conclusies. De geconstateerde tekortkomingen moeten en zullen zo snel mogelijk worden rechtgezet. De Belastingdienst heeft het Wpg-auditrapport aan de AP gestuurd, zoals de Wpg voorschrijft. De aanbevelingen uit het auditrapport worden projectmatig opgepakt. Dit leidt in maart 2023 tot een verbeterrapport. Vooruitlopend daarop is gestart met het uitvoeren van verbetermaatregelen, waarop de medewerkers van BEH volledig zijn ingezet. Zo is een aanvang gemaakt met het opstellen van Gegevensbeschermingseffectbeoordelingen (GEB’s) en worden procesbeschrijvingen versneld opgepakt. Daarnaast is per werkproces een risicoregister opgesteld met te nemen beheersmaatregelen en zijn stappen gezet in het aanwijzen van bevoegd functionarissen. Eind 2023 zal BEH een hercontrole laten uitvoeren door de ADR. Het is mijn verwachting dat een belangrijke verbetering te zien zal zijn ten opzichte van het voorliggende rapport.

Op dit moment zijn er geen aanwijzingen dat mensen schade hebben geleden die toerekenbaar is aan het niet nakomen van de Wpg door BEH. Uiteraard zal de Belastingdienst eventuele klachten en signalen serieus nemen en behandelen conform de geldende regelgeving en interne procedures.

Tot slot

De verwerking van politiegegevens vraagt grote zorgvuldigheid. Ik vind het van groot belang dat de Belastingdienst aan de vereisten van de Wpg voldoet. Alle aanbevelingen van de ADR worden overgenomen en de verbetermaatregelen worden zo spoedig mogelijk opgepakt. Ik zal uw Kamer voorafgaand aan het voor maart 2023 geplande commissiedebat in een stand-van-zakenbrief informeren over de voortgang.

De Staatssecretaris van Financiën, M.L.A. van Rij

---

1 Kamerstuk 31 066, nr. 800

2 Onderzoek audit Wet politiegegevens FIOD, ADR, 9 februari 2022