Datum publicatie	Organisatie	Vergaderjaar	Dossier- en ondernummer
15-09-2023 11:47	Tweede Kamer der Staten-Generaal	2022-2023	31066 nr. 1280

31 066 Belastingdienst

Nr. 1280 VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 11 september 2023

De vaste commissie voor Financiën heeft een aantal vragen en opmerkingen voorgelegd aan de Minister en Staatssecretarissen van Financiën over

− de brief van 22 mei 2023 inzake het rapport Archiefwet naar aanleiding van RTL berichtgeving (Kamerstuk 29 362, nr. 327),
− de brief van 23 mei 2023 inzake Nadere toelichting USB Belastingdienst gebruik naar aanleiding van NRC artikel (Kamerstuk 33 061, nr. 1236),
− de brief van 1 juni 2023 inzake toezeggingen, gedaan tijdens het debat van 23 mei 2023, over de opvolging van het rapport «Ongekend onrecht» (Kamerstuk 35 510, nr. 132),
− De brief van 5 juni 2023 inzake nazending beslisnota's bij de Kamerbrief «Nadere toelichting USB Belastingdienst gebruik naar aanleiding van NRC artikel».

De vragen en opmerkingen zijn op 21 juni 2023 aan de Minister en Staatssecretarissen van Financiën voorgelegd. Bij brief van 31 augustus 2023 zijn de vragen beantwoord.

De voorzitter van de commissie, Tielen

De adjunct-griffier van de commissie, Meijerink

I Vragen en opmerkingen vanuit de fracties

Vragen en opmerkingen van de leden van de VVD-fractie

De leden van de VVD-fractie hebben kennisgenomen van de brieven van de bewindspersonen en hebben enkele vragen en opmerkingen. Deze leden hechten veel waarde aan een juiste en adequate informatievoorziening voor de rijksoverheid en specifiek voor het Ministerie van Financiën en de Belastingdienst. Bij de Belastingdienst gaat veel privacygevoelige informatie rond van onze inwoners en ondernemers. Deze leden vinden het van uitermate groot belang dat de Dienst daar zeer zorgvuldig mee omgaat en dat dit niet zomaar op straat komen te liggen of in het criminele circuit terecht komt. Deze leden roepen de bewindspersonen op hier streng op toe te zien.

De leden van de VVD-fractie zien uit naar de volgende brieven over deze casus die nog voor het zomerreces en in september naar de Kamer worden gestuurd. Deze leden zullen dan ook ingaan op deze problematiek.

De leden van de VVD-fractie vragen of andere vormen van data-uitwisseling op dit moment mogelijk zijn zoals online applicaties, dus naast het gebruik van (fysieke) USB-sticks. Bijvoorbeeld, maar niet uitsluitend, Google-docs, WeTransfer of Dropbox? Zijn de systemen van de Belastingdienst zo ingericht dat het gebruik deze applicaties (of door middel van een work-around) niet mogelijk zijn? Graag een reactie. Verder kijken deze leden uit naar het nog te ontvangen onderzoek over het gebruik van de USB-ontheffing.

Vragen en opmerkingen van de leden van de D66-fractie

De leden van de D66-fractie hebben met ongenoegen kennisgenomen van de berichtgeving over de eerdere gebreken in de gegevensbescherming bij de Belastingdienst. Deze leden hebben eerder bij het commissiedebat over de Fraudesignaleringsvoorziening op 25 mei 2023 stilgestaan bij onderhavige stukken. Zij geven de Staatssecretaris graag de gelegenheid om nu ook schriftelijk te reageren op hun vragen.

De leden van de D66-fractie vragen hoe de Staatssecretaris ervoor zorgt dat processen waarbij concrete aanwijzingen zijn dat de gegevensbescherming niet geborgd is meteen stop worden gezet. Welke processen heeft de Staatssecretaris het afgelopen jaar om die reden onderbroken? Hoe informeert de Staatssecretaris de Kamer hierover? Hoe zorgt de Staatssecretaris ervoor dat de noodzaak hiervan in de hele Dienst doorleefd wordt?

De leden van de D66-fractie zijn van mening dat een overheid grote verantwoordelijkheid heeft in hoe zij omgaat met de persoonsgegevens van haar burgers. Zij kijken uit naar de aanhoudende inzet van de Staatssecretaris op dit gebied.

Vragen en opmerkingen van de leden van de CDA-fractie

De leden van de CDA-fractie hebben kennisgenomen van de stukken inzake informatiehuishouding.

Ten aanzien van het rapport Archiefwet merken de leden van de CDA-fractie op dat zij uitzien naar de brief over informatiehuishouding en -voorziening, waarin ook zal worden ingegaan op het rapport Archiefwet. Deze leden lezen verder dat halfjaarlijks aan de Kamer wordt gerapporteerd over het interdepartementale programma Open Overheid, maar dat binnen het Ministerie van Financiën dit programma is gespiegeld met het programma Informatie op Orde 2021–2026, dat de voortgang monitort en maandelijks rapporteert aan de bestuursraad van het Ministerie van Financiën. Zij vragen hoe de rapportage over het departementale programma samenhangt met de halfjaarlijkse rapportage over het interdepartementale programma en of de bestuursraad ook eerder kan rapporteren bij opvallende zaken.

Met betrekking tot de brief met nadere toelichting over USB Belastingdienst vragen de leden van de CDA-fractie allereerst of er geen veiligere methodes voor digitale informatie-uitwisseling zijn, waarbij gebruik van de data ook beperkt of gecontroleerd kan worden, dan met een USB-stick.

Bij de overdracht van gegevens in overige processen lezen de leden van de CDA-fractie dat het management periodiek de noodzaak voor de toegekende ontheffing behoort te beoordelen en deze in te laten trekken als de noodzaak niet langer daar is. Zij vragen wat periodiek betekent en hoe structureel dit wordt toegepast. Ook lezen zij dat toegekende ontheffingen niet meegenomen kunnen worden als de medewerker een andere functie gaat vervullen. Zij vragen of in praktijk wordt gecontroleerd of de medewerker de USB-stick ook inlevert.

Bij het toezicht op ontheffing lezen de leden van de CDA-fractie dat bij de directies van de Belastingdienst een controle uitgevoerd zal worden op de uitgegeven autorisaties om te bezien of die nog allen noodzakelijk zijn. Zij vragen of dit dan niet standaard al periodiek gebeurt, of dat alleen wordt gecontroleerd bij verlenen van de ontheffing. Bij het huidige aantal ontheffingen lezen de leden dat IV en bedrijfsvoering ook een aanzienlijk aantal ontheffingen hebben. Eerder in de brief zagen zij dat deze onderdelen geen toegang hebben tot de (fiscale) gegevens van burgers en bedrijven. Zij vragen welke informatie zij dan wel via de USB-sticks krijgen voor het uitvoeren van hun werkzaamheden.

Vragen en opmerkingen van de leden van de SP-fractie

De leden van de SP-fractie lezen met verbazing in het NRC-artikel van 19 mei jl. dat medewerkers van de Belastingdienst na het onwettig verklaren van de Fraude Signalering Voorziening (FSV)-lijst deze nog steeds gebruiken, en dat informatie uit de FSV-lijsten ook in andere systemen van de Dienst is gevonden. Kunnen de bewindspersonen uitleggen waarom binnen de Belastingdienst niet beseft wordt dat het gebruik van FSV en aanverwante werkwijzen niet meer kunnen? De leden van de SP-fractie vinden het niet uit te leggen dat binnen de Belastingdienst de cultuur heerst dat er gewerkt kan worden met gegevens die leidden tot:

– het vermorzelen van vele gezinnen in het toeslagenschandaal;
– het aftreden van een kabinet;
– de reflectie van rechterlijke macht inclusief de Raad van State;
– een hersteloperatie die inmiddels 7 miljard mag kosten; en
– megaboetes aan de Belastingdienst vanwege het gebruik van verkeerde gegevens, het schenden van de privacy van mensen en discriminerende algoritmen.

Kunnen de bewindspersonen uitleggen waarom binnen de Belastingdienst gedacht wordt dat dit alles niet relevant is voor de werkzaamheden van de Belastingdienst?

De leden van de SP willen graag weten of het werken met FSV-lijsten kan worden gezien als plichtsverzuim om integer te handelen. Zo nee, waarom niet? Zo ja, wat gaat er gebeuren?

De leden van de SP-fractie kunnen vele nodige vragen stellen, maar vragen of de bewindspersonen het belangrijk vinden dat de Belastingdienst wettig handelt. En als dit het geval is, waarom dan nog altijd niet is doorgedrongen dat de handelwijze van de Belastingdienst als het gaat om fraude-opsporing, de omgang met persoonsgegevens enzovoorts in strijd is met het recht. Waarom accepteren de bewindspersonen dat de leiding van de Belastingdienst geen orde op zaken heeft gesteld? Zijn zij het met de leden van de SP-fractie eens dat dit riekt naar werkweigering?

Vragen en opmerkingen van het lid Omtzigt

Het lid Omtzigt wenst een aantal opmerkingen te maken over de brief over de USB-sticks. Dit lid merkt als eerste op dat het probleem door de regering opnieuw wordt gebagatelliseerd. Het artikel «Zo werd de Belastingdienst een veelpleger in het misbruik van persoonsgegevens» (NRC, 19 mei 2023), raakt in de ogen van het lid Omtzigt het hart van de rechtsstaat. De Belastingdienst heeft vergaande bevoegdheden. Het heffen en innen van belasting wordt niet door iedereen als iets leuks gezien en grijpt diep in bij gezinnen en bedrijven. Het is van groot belang dat juist de Belastingdienst zich aan de wet houdt en dat de regering de Kamer nauwgezet informeert als er problemen zijn bij de Belastingdienst. Als ook maar de helft van het artikel klopt, is er op beide punten een groot probleem, merkt dit lid voorzichtig op.

De Algemene Verordening Gegevensbescherming (AVG) wordt vaak belachelijk gemaakt omdat het voetbalclubs en scholen beperkt in het openbaar maken van foto’s en namenlijsten. Maar de AVG is er juist voor bedoeld om de meest gevoelige persoonsgegevens goed te beschermen. En de meest gevoelige persoonsgegevens bevinden zich bij de Belastingdienst en in het elektronische patiëntendossier. Dat zijn de plekken die goed beschermd moeten zijn.

Het lid Omtzigt wil een aantal zeer precieze vragen stellen over het artikel en heeft daar een goede reden voor. In mei 2018, vlak voor het ingaan van de AVG stelde hij als CDA-Kamerlid deze vraag: «Op welk moment zal de Belastingdienst volledig voldoen aan de AVG?». Hij kreeg toen als antwoord: «De Belastingdienst heeft in het traject voor implementatie van de AVG een aantal tekortkomingen in de naleving geconstateerd. In de antwoorden op vraag 5 en 12 worden deze toegelicht. Er zijn al verschillende maatregelen genomen om deze te weg te nemen, maar een aantal maatregelen moet nog uitgevoerd worden. Op het moment dat de nu voorziene maatregelen gerealiseerd zijn, kan gezegd worden dat de Belastingdienst voldoet aan de AVG. Het streven is deze situatie binnen een jaar (gerekend vanaf 25 mei jl.) te bereiken» (Aanhangsel Handelingen, vergaderjaar 2017/2018, nr. 2345).

Sindsdien heeft het lid Omtzigt regelmatig vragen gesteld. Hij constateert nu dat slechts een klein deel van de problemen gemeld is aan de Kamer en dat de deadline voor het voldoen aan de AVG nu verschoven is naar ergens rond 2027. Dat is na deze kabinetsperiode. Overigens is het niet uitgesloten dat die deadline dan weer verder verschuift.

Eigenlijk zou het lid Omtzigt een algemene uitleg willen vragen wat er precies aan de hand is en welke dingen niet gemeld zijn de afgelopen jaren. Dit lid heeft echter weinig vertrouwen dat de bewindspersonen dit spontaan zullen doen. Daarom vraagt hij om te beginnen of de bewindspersonen de volgende documenten aan de Kamer kunnen doen toekomen en van een context kunnen voorzien:

1. De mail die alle topambtenaren van de Belastingdienst kregen op 10 februari 2017 en de mail waarin staat dat: «Uit een afgelopen week uitgevoerde inventarisatie is [...] gebleken dat er in de hele dienst ruimhartig ontheffingen zijn verleend.»; en
2. de memo’s over RAM en «database auto», die de top van Belastingdienst en/of de politieke top bereikt hebben sinds 2015.

USB-sticks

Het lid Omtzigt verzoekt het kabinet heel precies uit te zoeken wat het beleid en wat de uitvoering was van dat beleid tussen 2015 en nu. Hij verwelkomt het aangekondigde onderzoek, maar maakt zich wel zorgen om de onzekerheid die in de tekst staat. Vanaf het allereerste moment wisten de regering en de Belastingdienst welke problemen er waren. In 2017 was de Autoriteit Persoonsgegevens (AP) een onderzoek begonnen met de Broedkamer/Data en Analytics. Er werden toen drie tekortkomingen geconstateerd. In het rapport van 2019, waarin de AP opmerkt dat de problemen min of meer naar tevredenheid zijn opgelost, merkt de AP op:

«De AP heeft in haar eerste onderzoek betreffende drie beveiligingsaspecten geconstateerd dat deze niet in orde waren, te weten:

1. Het ontbreken van de logging van de drie activiteiten:
- a. export van data vanuit de brongegevens naar de werkplek van een medewerker;
- b. het schrijven van data op een usb-stick; en
- c. het opslaan van bijlagen op mobile devices.
2. De controle op de logging. Voor een deel van de logging vond er in zijn geheel geen periodieke controle plaats, omdat deze logging niet was aangesloten op het systeem waar actieve monitoring plaatsvindt. Voor het e-mailverkeer van DF&A dat wel was aangesloten op dit systeem bestond er geen periodieke controle van data die via e-mail buiten de Belastingdienst werd gebracht.
3. Het verwijderen/intrekken van autorisaties van medewerkers of extern ingehuurde medewerkers na uitdiensttreding én het verlenen van te ruime toegangsrechten aan de D&A medewerkers waardoor deze toegang hadden tot data die niet noodzakelijk was om hun werk uit te voeren.»

De Belastingdienst wist dus ontzettend goed aan welke randvoorwaarden voldaan moest worden voor het gebruik van USB-sticks. Die randvoorwaarden zijn streng, omdat er maar één ambtenaar hoeft te zijn die misbruik maakt. Die kan de hele FSV-lijst of andere stukken kopiëren op een USB-stick en extern gebruiken/verkopen. Dit is geen fictie, want de FSV-lijst is meerdere keren voor het gemak gekopieerd (niet om te verkopen) en dat betekent dat hij nog steeds in de Belastingdienst rondzwerft. Het lid Omtzigt heeft dan ook twee vragen: hoe is vanaf 2019 geborgd dat de Belastingdienst aan deze voorwaarden zou voldoen (en is dat wel geborgd op de een of andere manier en zo ja, op welke manier) en in welke mate is er niet voldaan aan de drie voorwaarden? Als er echt duizenden ontheffingen geweest zijn (en nog steeds duizenden zijn) is er sprake van een datalek. Is dat datalek gemeld aan de Autoriteit Persoonsgegevens (AP), vraagt het lid Omtzigt aan het kabinet.

FSV en deelextracties

Op dit onderdeel heeft het lid Omtzigt twee vragen. Er waren zeker 25 extracties of deelextracties van FSV gevonden: zijn die allemaal gewist, en zo ja wanneer? En is al duidelijk waar die data van de deelextracties allemaal terecht gekomen is?

Vergelijkbare systemen

Bij de Belastingdienst bestonden zeker rond de 100 andere lijsten met risicosignalen. In 2020 is toegezegd onderzoek te doen naar die lijsten. Het lid Omtzigt verneemt graag van het kabinet wie welke onderzoeksvraag gaat beantwoorden en wanneer duidelijkheid gegeven zal worden over deze vergelijkbare lijsten.

RAM

Het lid Omtzigt begrijpt uit het NRC dat RAM een uitgebreide database was die binnen de Belastingdienst gebruikt is. Hij verbaast zich erover dat de Kamer daar de afgelopen jaren nooit over geïnformeerd is. Het lid Omtzigt verzoekt het kabinet uitgebreid te beschrijven wat de database was. In dat licht heeft hij de volgende vragen:

1. Van wanneer tot wanneer was de database RAM in gebruik?
2. Van wanneer tot wanneer was de afgeslankte vorm van RAM in gebruik?
3. Welke deel van de data was nog toegankelijk na het uitzetten?
4. Hoeveel mensen hadden toegang tot de database toen hij volledig in gebruik was?
5. Welke gegevens van mensen stonden opgeslagen in RAM (bijvoorbeeld via de deeldatabases zoals kern sofa)?
6. Welke GBEB’s/DPIA’s zijn er gemaakt van RAM? Kan het kabinet die met de Kamer delen?
7. Stond RAM op beveiligde servers?
8. Wie konden data downloaden op USB-sticks, wanneer en is dat via logging bijgehouden?
9. Wie waren de afnemers van RAM?
10. Wil het kabinet de Kamer voorzien van alle andere relevante informatie die gemeld moet worden?

Het komt het lid Omtzigt voor dat RAM een mega datalek is, dat gemeld had moeten worden aan de Kamer. Kan het kabinet aangeven waarom dit niet gedaan is? Meer in zijn algemeenheid wil het lid Omtzigt opmerken dat hij van een nieuwe bestuurscultuur bij het kabinet helemaal niets merkt en hij verzoekt het kabinet volledig schoon schip te maken met het melden hoe het werkelijk zit met databases, zwarte lijsten en meer.

Database auto

Tenslotte op dit punt, ontvangt het lid Omtzigt graag langs dezelfde lijnen als hierboven gevraagd voor de database RAM een volledige beschrijving van de database auto.

Opmerkingen van het lid Omtzigt over «Toezeggingen, gedaan tijdens het debat van 23 mei 2023, over de opvolging van het rapport «Ongekend onrecht»»

Het lid Omtzigt heeft de bijlagen doorgenomen die bij mail A.10.60 horen en heeft daarover een aantal specifieke vragen:

1. Klopt het dat de medewerker die de mail van appendix 10.68 verstuurd heeft geen medewerking heeft gegeven/geweigerd heeft deel te nemen aan het horen? Kan het kabinet dit onderdeel toelichten?
2. Klopt het dat op haar initiatief haar dossier en daarin de mails vernietigd zijn?
3. Zijn deze terug te halen door ICT bij de Belastingdienst? Wil het kabinet dat proberen?
4. Klopt het dat deze medewerker nog op een soortgelijke positie werkzaam is bij de Belastingdienst?
5. Klopt het dat de gesprekken hebben plaatsgevonden in een niet-constructieve/vijandige sfeer over de CAF 11-gedupeerden (in ieder geval niet gericht op een oplossing)?
6. Klopt het dat een deel van de correspondentie van deze medewerkster onder de mail d.d. 5 juni 2019 aan de secretaresse van de toenmalige Staatssecretaris hangt?

Het lid Omtzigt ontvangt ook graag de bijlagen bij A.10.70 om een compleet beeld te krijgen. Zijn beeld hier is echter wel: de ambtenaar, die contact had met mevrouw González Pérez om tot een oplossing te komen in de CAF-11 zaak, beweert herhaaldelijk dat de directeur-generaal Belastingdienst en de Staatssecretaris op de hoogte gehouden zijn van dit dossier. Deze medewerker was lid van het MT Belastingdienst. Echter: deze medewerker heeft niet meegewerkt aan het Deloitte-rapport en heeft documenten gewist. Desondanks is deze medewerker nog steeds werkzaam bij de Belastingdienst. Kan het kabinet aangeven of er fouten zitten in de redenering hierboven?

Is het kabinet bereid om na te gaan wat er klopt van de herhaaldelijke beweringen dat de politieke en ambtelijke top op de hoogte gehouden zijn van elke stap in het CAF 11-dossier?

II Reactie van de Staatssecretaris van Financiën

Vragen en opmerkingen van de leden van de VVD-fractie

De leden van de VVD-fractie hebben kennisgenomen van de brieven van de bewindspersonen en hebben enkele vragen en opmerkingen.

Vraag 1

Antwoord 1

Toegang tot internet is voor de medewerkers van de Belastingdienst en Dienst Toeslagen gereguleerd op basis van een zogenaamde «ontzeggingslijst». Deze lijst werkt op basis van categorieën van diensten die niet benaderd mogen worden door medewerkers. Voorbeelden van categorieën zijn «online gokdiensten», «wapens en geweld», «erotiek», «bestandsuitwisseling» en «online e-mail». Websites die in één (of meerdere) van die categorieën vallen, geven de foutmelding «U bent niet geautoriseerd om deze website te bezoeken». Om het – al dan niet per ongeluk – lekken van informatie naar buiten de Belastingdienst en Dienst Toeslagen te voorkomen, zijn dus ook de websites geblokkeerd die informatie-uitwisselingsdiensten aanbieden waaronder de in de vraag genoemde voorbeelden. Voor een veilige uitwisseling van gegevens met bedrijven, maakt de Belastingdienst gebruik van de zogenaamde «Belastingdienst Filetransfer» (BFT) Dat is een standaard product van één van de leveranciers van de Belastingdienst waarbij de gegevens binnen het eigen datacenter van de Belastingdienst blijven. Bij gebruik van de BFT wordt gelogd welke bestanden verzonden of ontvangen zijn en aan wie het bestand verzonden is of van wie het bestand ontvangen is. De systemen van de Belastingdienst zijn zo ingericht dat data-uitwisseling via online applicaties niet mogelijk is.

Vragen en opmerkingen van de leden van de D66-fractie

De leden van de D66-fractie hebben met ongenoegen kennisgenomen van de berichtgeving over de eerdere gebreken in de gegevensbescherming bij de Belastingdienst.

Vraag 2

Antwoord 2

De Belastingdienst verwerkt voor de uitvoering van zijn taken persoonsgegevens waarop de Algemene verordening gegevensbescherming (AVG) of de Wet politiegegevens (Wpg) van toepassing kunnen zijn. De Wpg schrijft periodieke audits voor op de naleving van de Wpg, onder andere door de werkgevers van buitengewone opsporingsambtenaren (BOA's). Ook bij de Belastingdienst werken BOA's. Naar aanleiding van de uitkomsten van de uitgevoerde privacy audit bij Bureau Economische Handhaving (BEH) van de directie Grote ondernemingen van de Belastingdienst zijn de medewerkers van BEH volledig ingezet op het uitvoeren van verbetermaatregelen. Hier heb ik uw Kamer op 30 januari 2023 over geïnformeerd1. Door de inzet van deze medewerkers op de verbetermaatregelen zijn deze medewerkers niet werkzaam geweest in de processen.

Daarnaast heb ik in de Stand-van-zakenbrief (Kamerstuk 31 066, nr. 1276), waarmee ik deze beantwoording heb aangeboden, aangegeven dat, naar aanleiding van de privacy audit voor andere onderdelen van de Belastingdienst waar BOA’s werken die onder de Wpg vallen, de Belastingdienst heeft besloten de werkzaamheden van de BOA’s gedeeltelijk op te schorten. In deze periode wordt geen ondersteuning door BOA’s geleverd aan nieuwe strafrechtelijke onderzoeken, bijvoorbeeld met betrekking tot (omissie)delicten uit de AWR of strafbare feiten zoals valsheid in geschrifte ex artikel 225 Wetboek van Strafrecht.

Zoals eerder gemeld aan de Kamer2 zet de Belastingdienst, als er concrete aanwijzingen zijn dat de gegevensbescherming niet goed is geborgd, een verbeterproces in. Dit betekent dat we verwerkingsprocessen en applicaties beoordelen, passende mitigerende maatregelen treffen, en zo nodig een gegevensbeschermingseffectbeoordeling (GEB) uitvoeren en eventuele aanvullende documenten opstellen, deze aan verschillende kwaliteitschecks onderwerpen en zo nodig uiteindelijk voor advies voorleggen aan de Functionaris voor Gegevensbescherming (FG). De Staatssecretarissen van Financiën informeren de Kamer schriftelijk wanneer er processen worden stopgezet doordat de gegevensbescherming niet voldoende geborgd was, en dit gevolgen heeft voor de burger. Zo is uw Kamer bijvoorbeeld op 2 maart 2020 geïnformeerd3 over de Fraude Signalering Voorziening (FSV) die op 28 februari 2020 stil is gelegd.

Daarnaast worden, zoals benoemd in de Stand-van-zakenbrief alle 791 bedrijfsprocessen (inclusief onderliggende applicaties) getoetst aan compliantie op AVG, Baseline Informatiebeveiliging Overheid (BIO) en de (nieuwe) Archiefwet. Via de Stand-van-zakenbrieven zal ik u op de hoogte houden van de voortgang.

Voor een goede omgang met persoonsgegevens is het essentieel dat medewerkers op de hoogte zijn van de wet- en regelgeving, het belang van gegevensbescherming onderschrijven en de middelen hebben om hun werk op een AVG- en Wpg-conforme manier uit te voeren. Daarom bevat het programma Herstellen Verbeteren en Borgen (HVB) een aantal trajecten om het bewustzijn over gegevensbescherming te versterken. Zo is meer informatie beschikbaar gesteld op het intranet en kunnen medewerkers met een «online security and awareness game» hun kennis over gegevensbescherming vergroten. Inmiddels heeft ruim 85% van de medewerkers dit gedaan. Komende jaren zal regelmatig een nieuwe versie van de game worden ontwikkeld die door alle medewerkers wordt doorlopen. Ook wordt privacy en gegevensbescherming in 2023 een vast, verplicht onderdeel van het opleidingsprogramma van nieuwe medewerkers in de uitvoering. Hierdoor zorgt de Belastingdienst, dat de noodzaak van gegevensbescherming door de hele Belastingdienst wordt doorleefd.

Vragen en opmerkingen van de leden van de CDA-fractie

De leden van de CDA-fractie hebben kennisgenomen van de stukken inzake informatiehuishouding.

Vraag 3

Antwoord 3

Uw Kamer is met de brief van 5 juli 2023 geïnformeerd4 over de stand van zaken van de (nieuwe) Archiefwet, ook was hier het eerder gepubliceerde adviesrapport over het voldoen aan de huidige en de nieuwe archiefwet als bijlage toegevoegd. Eveneens is ingegaan op de relatie tussen het interdepartementale programma Open Overheid bij het Ministerie van BZK en het departementale programma Informatie Op Orde bij het Ministerie van Financiën.

De halfjaarlijkse voortgangsrapportage programma Open Overheid is opgebouwd uit de maandelijkse voortgangsrapportages uit het departementale programma Informatie Op Orde. Deze rapportages bestaan uit dezelfde (inhoudelijke) opbouw. Iedere maand wordt over elk verbeterproject van het Ministerie van Financiën gerapporteerd en op basis hiervan worden de rapportages van de Belastingdienst, de Dienst Toeslagen en de Douane gemaakt. Per twee maanden worden deze samengevoegd voor het gehele Ministerie van Financiën, vervolgens besproken in de bestuursraad en daarna aangeboden aan het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK). Het Ministerie van BZK voegt dit per halfjaar voor de gehele overheid samen en rapporteert hierover aan uw Kamer. In de praktijk dient de meest actuele rapportage van het Ministerie van Financiën, dus de voortgangsrapportage tot en met juni en de voortgangsrapportage tot en met december, als basis voor de halfjaarlijkse rapportages vanuit het Ministerie van BZK.

Vraag 4

Antwoord 4

Als Staatssecretaris van Financiën -Fiscaliteit en Belastingdienst- heb ik in mijn brief aan uw Kamer van 23 mei 20235 aangeven waarvoor een USB-stick gebruikt wordt binnen de processen van de Belastingdienst. In het geval van een individuele uitwisseling van informatie met burgers en/of bedrijven, is het beleid daarvoor dat waar mogelijk gebruik gemaakt moet worden van de zogenoemde Belastingdienst File Transfer (zie antwoord 1) en als dat niet mogelijk is, gebruik te maken van e-mail6.

Er zijn echter situaties waarin deze vormen van uitwisseling niet kunnen worden toegepast, bijvoorbeeld omdat het apparaat (waarop de informatie staat of terecht moet komen of de organisatie waar de informatie ligt), niet aangesloten is op het internet. Voorbeeld daarvan is een kassasysteem dat alleen een USB-poort heeft om de informatie die in de kassa opgeslagen is, uit te kunnen lezen. Juist om de veiligheid van het gebruik van een USB-stick te verhogen, heeft de Belastingdienst als maatregel ingevoerd dat informatie die op een USB-stick geplaatst wordt, automatisch versleuteld wordt. Bij onverhoopt verlies van de USB-stick kan een eventuele vinder niets anders met deze USB-stick dan opnieuw in te richten (het zogenaamde «formatteren»). Daarbij gaat de originele inhoud van de USB-stick verloren.

Vraag 5

Antwoord 5

Binnen de Belastingdienst wordt een USB-ontheffing standaard voor de duur van één jaar verstrekt en in de systemen geautoriseerd. Daarna moet de ontheffing opnieuw aangevraagd worden. Dat is het moment voor de leidinggevende om te beoordelen of de ontheffing nog noodzakelijk is. Deze standaardtermijn is door de manager bij het toekennen van de autorisatie wel in te korten tot een kortere periode, maar niet te verlengen buiten de één jaar. Medio september 2023 voert de Belastingdienst een aangescherpt USB-ontheffingen beleid in. De aanscherping ziet met name op een concretere beschrijving van de taken en verantwoordelijkheden van de manager en het toezicht op de juiste uitvoering van de werkzaamheden door de Business Security Officer van de directie in de vorm van een werkinstructie.

Vraag 6

Ook lezen zij dat toegekende ontheffingen niet meegenomen kunnen worden als de medewerker een andere functie gaat vervullen. Zij vragen of in praktijk wordt gecontroleerd of de medewerker de USB-stick ook inlevert.

Antwoord 6

Een uitgegeven USB-stick staat geregistreerd op naam van de Belastingdienstmedewerker. De manager moet een administratie bijhouden over de aan een medewerker uitgereikte bedrijfsmiddelen waaronder de interne USB-sticks. Als een medewerker een dienstonderdeel verlaat of een andere functie krijgt waarbij de USB-ontheffing niet meer nodig is, moet de manager controleren of er nog bedrijfsmiddelen uitgereikt zijn aan de medewerker en wordt de USB-ontheffing automatisch ingetrokken. Deze bedrijfsmiddelen, waaronder de interne USB-stick, moeten door de medewerker ingeleverd worden. De Business Security Officer van de directie ziet toe op de juiste uitvoering van de werkzaamheden conform dit proces.

Vraag 7

Antwoord 7

Op mijn verzoek, naar aanleiding van een toezegging aan uw Kamer, onderzoekt de Belastingdienst of het werkproces optimaal ingericht is.7 De controle waar u in de vraag naar verwijst, wordt momenteel bij de directies uitgevoerd en is aanvullend op de jaarlijkse controle. Bij de Belastingdienst gehanteerde jaarlijkse controle, controleert de manager de aanvraag van een individuele medewerker om een ontheffing te krijgen op het gebruik van de USB-poort. En ook bij een eventuele verlenging van de aanvraag, moet de manager opnieuw nut en noodzaak beoordelen.

Vraag 8

Bij het huidige aantal ontheffingen lezen de leden dat IV en bedrijfsvoering ook een aanzienlijk aantal ontheffingen hebben. Eerder in de brief zagen zij dat deze onderdelen geen toegang hebben tot de (fiscale) gegevens van burgers en bedrijven. Zij vragen welke informatie zij dan wel via de USB-sticks krijgen voor het uitvoeren van hun werkzaamheden.

Antwoord 8

In de brief van 23 mei 20238 aan uw Kamer, zijn voorbeelden aangehaald van het gebruik van de USB-poort door anderen dan medewerkers in het toezicht. Softwareleveranciers leveren zogenaamde patches van hun software uit op USB-sticks. Daarbij wordt de USB-stick ook gebruikt voor het overzetten of ontvangen van tekeningen van gebouwen met gewenste aanpassingen naar het Rijksvastgoedbedrijf. Een ander inzetgebied is voor het maken van een veiligheidskopie van systeeminstellingen. Deze veiligheidskopie kan dan in een fysieke kluis opgeslagen worden zodat de kopie niet vatbaar is voor bijvoorbeeld per ongeluk verwijderen van de gegevens. In het geval van een individuele uitwisseling van informatie met burgers en/of bedrijven, is het beleid daarvoor dat waar mogelijk gebruik gemaakt moet worden van de zogenoemde Belastingdienst File Transfer (zie antwoord 1) en als dat niet mogelijk is, gebruik te maken van e-mail. Er zijn echter situaties waarin deze vormen van uitwisseling niet kunnen worden toegepast, bijvoorbeeld omdat het apparaat (waarop de informatie staat of terecht moet komen of de organisatie waar de informatie ligt) niet aangesloten is op het internet (zoals bijvoorbeeld bepaalde kassasystemen). In dat geval mogen medewerkers werkzaam in het toezichtproces, gebruik maken van een USB-apparaat voor het overdragen van de informatie. Zie ook het antwoord op vraag 1 van de leden van de VVD.

Vragen en opmerkingen van de leden van de SP-fractie

Vraag 9

Antwoord 9

De voorgaande Staatssecretaris van Financiën -Fiscaliteit en Belastingdienst- heeft uw Kamer geïnformeerd over het stilleggen van de FSV-applicatie op 27 februari 2020.9 Deze beslissing om te stoppen met de FSV had veel eerder genomen moeten worden. Zoals eerder met uw Kamer is gedeeld10, heeft er een inventarisatie plaatsgevonden om zeker te stellen dat de Belastingdienst, Dienst Toeslagen en Douane geen gevoelige persoonsgegevens verwerken zonder deugdelijke wettelijke grondslag. Er zijn destijds ook meerdere maatregelen genomen om de problematiek rondom fraudebestrijding door de Belastingdienst te verbeteren11.

FSV wordt niet meer gebruikt door de Belastingdienst voor het toezicht. De brondata uit FSV zijn na stopzetting veiliggesteld in de FSV kluis. De toegang hiertoe is afgeschermd en in beheer bij Buitengewone Zaken Blauw (de programmadirectie belast met de afhandeling van FSV problematiek). In navolging op het stopzetten van FSV in februari 2020 is het voor Belastingdienst-medewerkers niet meer mogelijk om bewerkingen door te voeren in FSV. Er is alleen toegang tot gegevens in FSV voor een zeer beperkt aantal medewerkers die in het kader van de hersteloperatie van FSV en UHT toegang nodig hebben om uitvoering te geven aan het beleid om personen die in FSV geregistreerd waren te informeren, tegemoet te komen, herstel te bieden of schade te vergoeden.

De gegevens uit FSV worden enkel gebruikt voor: het doen van onderzoeken naar FSV (onder andere de Onderzoeken van de AP, KPMG en PwC); het informeren van burgers (Moties van het lid Marijnissen12); reageren op verzoeken van burgers om informatie of beroep op rechten van betrokkene (onder andere het. inzagerecht); het behandelen van klachten en het behandelen verzoeken om schadevergoeding (herstel). Ook binnen de Catshuisregeling vindt er FSV-gebruik plaats tijdens de integrale beoordeling. Dit is om aan te tonen of er wel of geen vooringenomenheid van overheidsinstanties plaats had gevonden en om burgers mogelijk alsnog tegemoetkoming toe te kennen. Inzage en gebruik worden gelogd en gecontroleerd.

PwC rapporteerde eerder13 dat het exports van FSV had aangetroffen op de lokale netwerkschijven wat actief gebruik indiceert. De mate van raadpleging van deze exports is volgens PwC niet vastgelegd en daarmee niet te kwantificeren. Deze exports werden veiliggesteld en konden niet meer gebruikt worden. NRC wees in haar artikel van 19 mei 2023 desondanks op het gebruik van gegevens uit FSV door de Belastingdienst op basis van exports. Naar aanleiding hiervan heeft de Belastingdienst nogmaals zijn netwerkschijven en samenwerkingsruimten op basis van zoektermen doorzocht om herkenbare kopieën van FSV en de voorloper daarvan, Dagboek PIT, te identificeren en veilig te stellen in de FSV kluis. Deze analyse vindt op dit moment plaats. De uitkomsten hiervan worden met uw Kamer gedeeld zodra de analyses zijn afgerond, naar verwachting zal dit meegenomen worden bij de aanbieding van het volgende Jaarplan Belastingdienst.

Over de gegevensverstrekking van FSV-informatie vanuit mailboxen aan derden bent u voor de laatste maal geïnformeerd met een brief van 16 mei 202314. Daarin is opgenomen dat geen sprake is van grootschalige gegevensverstrekking aan andere organisaties van FSV-informatie vanuit mailboxen. In verstrekkingen van informatie uit of over FSV kwamen 510 personen voor. Organisaties die een dergelijke verstrekking hebben ontvangen hebben onderzocht of zij hieraan gevolgen hebben verbonden voor de personen die in deze verstrekkingen voorkwamen. Zij hebben geen gevolgen kunnen vaststellen.

Binnen de Belastingdienst is het onbetwist dat het gebruik van gegevens uit FSV niet mag en niet hoort. Daarbij wordt opgemerkt dat het voor een medewerker niet altijd duidelijk is wat de oorsprong van bepaalde data in lijsten of systemen is. Dit benadrukt nogmaals het belang om op organisatieniveau te regelen dat de Belastingdienst AVG-compliant handelt. Dit is een meerjarig traject als gevolg van zowel het grote aantal als de complexiteit van de processen. In de tussentijd kan, ondanks de genomen maatregelen, niet worden uitgesloten dat andere lijsten of (data in) applicaties worden ontdekt die vraagtekens oproepen. Voor dergelijke situaties waarin nader onderzoek nodig is of een lijst of bepaalde data gevolgen heeft gehad voor burgers of bedrijven, wordt een afwegingskader ontwikkeld. In de Stand-van-zakenbrief is dit verder toegelicht.

Vraag 10

De leden van de SP-fractie vinden het niet uit te leggen dat binnen de Belastingdienst de cultuur heerst dat er gewerkt kan worden met gegevens die leidden tot:

– het vermorzelen van vele gezinnen in het toeslagenschandaal;
– het aftreden van een kabinet;
– de reflectie van rechterlijke macht inclusief de Raad van State;
– een hersteloperatie die inmiddels 7 miljard mag kosten; en
– megaboetes aan de Belastingdienst vanwege het gebruik van verkeerde gegevens, het schenden van de privacy van mensen en discriminerende algoritmen.

Kunnen de bewindspersonen uitleggen waarom binnen de Belastingdienst gedacht wordt dat dit alles niet relevant is voor de werkzaamheden van de Belastingdienst?

Antwoord 10

Wat in het verleden is gebeurd, mag nooit weer gebeuren en herhaling moet voorkomen worden. Daarvoor zijn vele diverse maatregelen genomen. Zo wordt ingezet op signaalmanagement om te borgen dat signalen van onregelmatigheden binnen de organisatie doorlopend worden verzameld, geclassificeerd en besproken binnen de organisatie. Een open cultuur binnen de organisatie moet zorgen dat alle signalen boven tafel komen en worden besproken. Onze medewerkers nemen daarom deel aan ontwikkeltraject waarin het belang van reflectie en openheid bij ingewikkelde dilemma’s centraal staat. Er is daarbij veel aandacht voor het voorkomen van institutioneel racisme en onbewuste vooroordelen. Ik verwijs u naar de Stand-van-zakenbrief voor een overzicht van de voortgang van de genomen maatregelen met betrekking tot de aanpak van institutioneel racisme.

Verbetering van de informatiehuishouding is een belangrijke maar omvangrijke opgave. Het is belangrijk om te benoemen dat de Belastingdienst een grote organisatie is en dat verbeteringen binnen de organisatie veel tijd en energie vergen. Belastingdienst en Dienst Toeslagen geven ieder specifiek invulling aan het rijksbrede programma «Open op Orde» met een eigen verbeterprogramma over alle facetten van de informatiehuishouding. Concrete acties binnen dit programma zien o.a. op: personele versterking van de organisatie, bewustwording en training van medewerkers op het gebied van informatiehuishouding en archivering, de implementatie van de wet open overheid (passieve en actieve openbaarmaking).

De voortgang van de diverse verbeteringsacties worden gemonitord. De informatiehuishouding wordt met hoge regelmaat besproken op alle niveaus binnen Belastingdienst/Dienst Toeslagen en het Ministerie van Financiën, tot aan de Bestuursraad. Beleid en uitvoering spreken elkaar wekelijks over gezamenlijke acties, signalen en knelpunten.

Bij Dienst Toeslagen geeft de Stand van de uitvoering direct inzicht in de signalen en knelpunten waar medewerkers in de uitvoering tegenaan lopen. De Tweede Kamer wordt op diverse wijze geïnformeerd over alle verbeteracties. De Inspectie belastingdienst, toeslagen en douane is speciaal in het leven geroepen om meer onafhankelijk toezicht te houden. Verschillende andere instanties kijken naar onderdelen van de verbetering, zoals de Commissie sociale veiligheid en integriteit Financiën en de Inspectie Overheidsinformatie & Erfgoed.

Vraag 11

De leden van de SP willen graag weten of het werken met FSV-lijsten kan worden gezien als plichtsverzuim om integer te handelen. Zo nee, waarom niet? Zo ja, wat gaat er gebeuren?

Antwoord 11

De applicatie FSV werd gebruikt voor het registreren van risicosignalen. Uit onderzoek bleek dat het gebruik van dit systeem op verschillende punten niet voldeed aan de AVG. Ik heb geen aanwijzing om te veronderstellen dat dit bij de individuele medewerker die in het toezicht werkt kenbaar was of kon zijn. Bij het management kon op basis van een uitgevoerde gegevensbeschermingseffectbeoordeling wel bekend zijn dat het gebruik van FSV risico’s met zich meebracht. Daar zijn destijds acties voor ondernomen, zoals het intrekken van autorisaties voor toegang tot FSV en het schonen van FSV15.

Vraag 12

Antwoord 12

Het feit dat de Belastingdienst niet voldoet aan wetgeving gericht op het borgen van de privacy van burgers, en openheid en transparantie van de overheid vind ik ernstig. In 2020 is de Belastingdienst gestart met het programma Herstellen, Verbeteren en Borgen (HVB)16. Sinds maart 2020 hebben mijn voorgangers zich ingezet om problemen op te lossen in de wijze waarop de Belastingdienst is omgegaan met (persoons)registraties, risicomodellen en het gebruik van persoonsgegevens zoals nationaliteit. En daar zijn wij mee doorgegaan. Het doel is dat zowel de continuïteit als de legitimiteit van de uitvoering van de taken van de Belastingdienst is geborgd. Zoals destijds aangekondigd is dit een meerjarig traject als gevolg van zowel het grote aantal als de complexiteit van de processen.

Naar aanleiding van vragen over de AVG-compliantie bij de Belastingdienst tijdens het commissiedebat van 25 mei over FSV heb ik aangegeven de mogelijkheden te onderzoeken om dit proces te gaan versnellen. Via deze Stand-van-zakenbrief geef ik u hierover een update.

Vragen en opmerkingen van het lid Omtzigt

Vraag 13

3. De mail die alle topambtenaren van de Belastingdienst kregen op 10 februari 2017 en de mail waarin staat dat: «Uit een afgelopen week uitgevoerde inventarisatie is [...] gebleken dat er in de hele dienst ruimhartig ontheffingen zijn verleend.»; en
4. de memo’s over RAM en «database auto», die de top van Belastingdienst en/of de politieke top bereikt hebben sinds 2015.

Antwoord 13

Momenteel vindt van deze twee punten een inventarisatie plaats. Zodra deze is afgerond wordt de Kamer geïnformeerd. Daarnaast, zoals ook wordt vermeld in de bijgestuurde Stand-van-zakenbrief, is er besloten nader onderzoek te doen naar RAM.

Vraag 14

In 2017 was de Autoriteit Persoonsgegevens (AP) een onderzoek begonnen met de Broedkamer/Data en Analytics. Er werden toen drie tekortkomingen geconstateerd. In het rapport van 2019, waarin de AP opmerkt dat de problemen min of meer naar tevredenheid zijn opgelost, merkt de AP op:

«De AP heeft in haar eerste onderzoek betreffende drie beveiligingsaspecten geconstateerd dat deze niet in orde waren, te weten:

4. Het ontbreken van de logging van de drie activiteiten:
- a. export van data vanuit de brongegevens naar de werkplek van een medewerker;
- b. het schrijven van data op een usb-stick; en
- c. het opslaan van bijlagen op mobile devices.
5. De controle op de logging. Voor een deel van de logging vond er in zijn geheel geen periodieke controle plaats, omdat deze logging niet was aangesloten op het systeem waar actieve monitoring plaatsvindt. Voor het e-mailverkeer van DF&A dat wel was aangesloten op dit systeem bestond er geen periodieke controle van data die via e-mail buiten de Belastingdienst werd gebracht.
6. Het verwijderen/intrekken van autorisaties van medewerkers of extern ingehuurde medewerkers na uitdiensttreding én het verlenen van te ruime toegangsrechten aan de D&A medewerkers waardoor deze toegang hadden tot data die niet noodzakelijk was om hun werk uit te voeren.»

Het lid Omtzigt heeft dan ook twee vragen: hoe is vanaf 2019 geborgd dat de Belastingdienst aan deze voorwaarden zou voldoen (en is dat wel geborgd op de een of andere manier en zo ja, op welke manier) en in welke mate is er niet voldaan aan de drie voorwaarden?

Antwoord 14

Het treffen van maatregelen ter bescherming van informatie, is een continu proces en vindt plaats op basis van risicoanalyses en het voldoen aan betreffende regelgeving. De aanbevelingen van de AP uit 2017 zijn toegepast op de plekken waar medewerkers toegang hebben tot verzamelingen van bronbestanden voor het uitvoeren van data-analyses. In de context van de Belastingdienst zijn dat de data-analisten van DF&A. De door de AP beschreven maatregelen betreffen dan ook uitsluitend het scenario van toegang tot processen waarbij medewerkers vanuit hun opgedragen taak, toegang hebben tot brongegevens, zoals bij de Broedkamer het geval was. De maatregelen die de Belastingdienst getroffen heeft om het risico op verkeerd gebruik van de USB-ontheffing te mitigeren, zijn dan ook specifiek op de aanbevelingen gericht. In het rapport uit 2019 heeft de AP geconcludeerd dat de getroffen verbetermaatregelen dusdanig deze risico’s verminderen dat de eerder door de AP geconstateerde problemen niet langer voortduren.

Vanaf 2019 heeft de Belastingdienst verder gewerkt aan een analyseomgeving met nog verder gaande maatregelen. In deze omgeving beschikken medewerkers niet meer over een fysieke werkplek om analyses uit te voeren, maar vinden de analyses plaats in een zogenaamde virtuele werkplek. De fysieke werkplek dient in dat geval als «beeldscherm en toetsenbord op afstand». Dataverkeer tussen deze virtuele werkplek en de fysieke werkplek is niet mogelijk. De USB-poort op de fysieke werkplek is daarbij ook niet toegankelijk voor de virtuele werkplek. Alle handelingen op de virtuele werkplek worden actief gelogd naar een centrale logvoorziening.

Vraag 15

Als er echt duizenden ontheffingen geweest zijn (en nog steeds duizenden zijn) is er sprake van een datalek. Is dat datalek gemeld aan de Autoriteit Persoonsgegevens (AP), vraagt het lid Omtzigt aan het kabinet.

Antwoord 15

Bij een datalek is er sprake van vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie, of zonder dat dit wettelijk is toegestaan. De medewerkers die beschikten over een ontheffing om gebruik te maken van een USB-stick, waren daarvoor door hun teammanager geautoriseerd vanwege het uitvoeren van een functie. Het aanwezig zijn van een groot aantal ontheffingen voor gebruik van een USB-stick is daarom geen datalek.

Vraag 16

Er waren zeker 25 extracties of deelextracties van FSV gevonden: zijn die allemaal gewist, en zo ja wanneer? En is al duidelijk waar die data van de deelextracties allemaal terecht gekomen is?

Antwoord 16

In de brief van 3 december 202117 aan uw Kamer stond dat er 25 lokaal opgeslagen (deel)extracties van FSV gevonden zijn op netwerkschijven van Toeslagen. De netwerkschijven zijn geschoond en de (deel)extracties zijn veiliggesteld en opgeslagen in de datakluis. Die gegevens zijn niet meer beschikbaar voor de organisatie, enkel nog beschikbaar voor onderzoek. Alle FSV-kopieën die zijn gevonden zijn opgeslagen in de kluis en niet meer beschikbaar voor Dienst Toeslagen. De laatste keer dat gegevens in de kluis zijn opgeslagen (inclusief FSV kopie) is geweest op 15 juni 2022. Ook wordt gemeld dat niet uit te sluiten is dat individuele FSV-registraties op persoonlijke schijven van medewerkers zijn opgeslagen en dat ondanks meerdere zoekacties deze mogelijk niet allemaal zijn veiliggesteld.

In reactie op de inbreng van de SP-fractie in antwoord 9 wordt toegelicht dat nogmaals een zoekactie wordt gedaan naar herkenbare kopieën van FSV en de voorloper daarvan, Dagboek PIT op netwerkschijven en samenwerkingsruimten van de Belastingdienst. Deze analyse vindt op dit moment plaats. De uitkomsten hiervan worden met uw Kamer gedeeld zodra de analyses zijn afgerond.

Vraag 17

Antwoord 17

In oktober 2020 is bij de medewerkers van de Belastingdienst een inventarisatie gedaan naar lijsten met nationaliteit en/of risico- of fraudesignalen in mailboxen, persoonlijke omgevingen of (lokale) samenwerkingsgebieden. Medewerkers hebben meer dan tweehonderd bestanden aangeleverd. Een toetsingscommissie heeft de geleverde informatie beoordeeld. Ze heeft de (119) bestanden die daadwerkelijk aan de criteria van de uitvraag voldeden, voorzien van een inschatting van het risico dat de lijst gevolgen heeft gehad voor burgers.18 39 lijsten hebben het oordeel «hoog risico» gekregen, waarmee nog niet vaststaat of er daadwerkelijk onterechte nadelige gevolgen voor burgers zijn geweest.

Op 30 mei 2022 zijn lijsten met risico- of fraudesignalen gerapporteerd aan de Tweede Kamer.19 Hierin is toegezegd te onderzoeken of burgers onterechte gevolgen hebben gehad van deze lijsten. Hierbij speelt mee dat primair de aandacht gericht is op FSV. In het onderzoek zal worden beoordeeld wat het doel van de lijst is, welk type gegevens gebruikt zijn en hoeveel belastingplichtigen op de lijst staan. Omdat het onderzoek nog niet afgerond is, kan nog niet geconcludeerd worden wat dit betekent per lijst. Op basis van de uitkomsten van het onderzoek, zal bepaald worden of een passende oplossing nodig is en wat die is. Zoals in de Kamerbrief van 17 mei 202320 over FSV gerelateerde onderwerpen gemeld is, is het onderzoek naar andere lijsten met risicosignalen onlangs gestart. Het is op dit moment nog te vroeg om hier nader op in te gaan. In het eerste kwartaal van 2024 zijn de resultaten naar verwachting beschikbaar.

Vraag 18

Het lid Omtzigt verzoekt het kabinet uitgebreid te beschrijven wat de database was. In dat licht heeft hij de volgende vragen:

1. Van wanneer tot wanneer was de database RAM in gebruik?
2. Van wanneer tot wanneer was de afgeslankte vorm van RAM in gebruik?
3. Welke deel van de data was nog toegankelijk na het uitzetten?
4. Hoeveel mensen hadden toegang tot de database toen hij volledig in gebruik was?
5. Welke gegevens van mensen stonden opgeslagen in RAM (bijvoorbeeld via de deeldatabases zoals kern sofa)?
6. Welke GEB’s/DPIA’s zijn er gemaakt van RAM? Kan het kabinet die met de Kamer delen?
7. Stond RAM op beveiligde servers?
8. Wie konden data downloaden op USB-sticks, wanneer en is dat via logging bijgehouden?
9. Wie waren de afnemers van RAM?
10. Wil het kabinet de Kamer voorzien van alle andere relevante informatie die gemeld moet worden?

Antwoord 18

Zoals in de bijgestuurde Stand-van-zakenbrief is aangegeven, is besloten RAM te onderzoeken en worden bovenstaande vragen meegenomen in dit onderzoek. Via de Stand-van-zakenbrieven zal uw Kamer hierover op de hoogte worden gehouden. Ik stuur uw Kamer alvast de GEB toe. Pas na het onderzoek kunnen er conclusies getrokken worden over RAM.

Uit de GEB ontstaat het beeld dat Toeslagen, als toenmalig onderdeel van de Belastingdienst, een van de gebruikers van RAM was. Uw Kamer is echter bij de beantwoording van vragen van het lid Azarkan erover geïnformeerd dat RAM een systeem is van de Belastingdienst dat niet door Toeslagen wordt gebruikt.21 Het mogelijke verband tussen RAM en Toeslagen wordt betrokken in het bovengenoemde onderzoek.

Vraag 19

Tenslotte op dit punt, ontvangt het lid Omtzigt graag langs dezelfde lijnen als hierboven gevraagd voor de database RAM een volledige beschrijving van de database auto.

Antwoord 19

Ik zal hieronder ingaan op uw vragen en daarmee tevens uw verzoek afdoen van een nadere toelichting databank auto zoals toegezegd in aan de Commissie Financiën op 22 juni jl. Databank Auto (hierna: DBA) is als pilot gebouwd in 2010. De eerste productieversie is gerealiseerd in 2012 en stond op beveiligde servers. In 2014 is er een PIA opgemaakt. Naar aanleiding van deze PIA is onder andere de informatiebeveiliging van DBA verbeterd en zijn er een tal van bronbestanden uit de systemen verwijderd. Daarnaast is de exporteer-knop uit de werkomgeving verwijderd en zijn autorisaties aangescherpt.

Het MT CAP heeft Databank Auto stilgelegd op 1 juli 2020 vanwege onvoldoende AVG-doel-binding. Uw Kamer is meermaals geïnformeerd over het bestaan van en het stilleggen van DBA via onder andere de rapportages over het programma Herstellen, Verbeteren en Borgen22. Sindsdien is er geen afgeslankte vorm van DBA in gebruik geweest. De data uit de databank zijn op een aparte omgeving gezet waar twee interne en één externe (inhuur) beheerder toegang toe hebben om data te verversen en aanpassingen te doen met betrekking tot de vormgeving van de tabellen in de database. Deze data wordt ververst voor een nieuwe applicatie waarvan een GEB en verwerkingsregister is opgezet die de FG heeft ingezien. Deze applicatie is AVG-bindend bevonden.

Zoals ik ook heb gemeld in antwoord 2 wordt er, indien er concrete aanwijzingen zijn dat de gegevensbescherming niet goed is geborgd, een verbeterproces ingezet binnen de Belastingdienst.23 Dit betekent dat we verwerkingsprocessen en applicaties beoordelen, passende mitigerende maatregelen treffen, en zo nodig een gegevensbeschermingseffectbeoordeling (GEB) uitvoeren en eventuele aanvullende documenten opstellen, deze aan verschillende kwaliteitschecks onderwerpen en zo nodig uiteindelijk voor advies voorleggen aan de Functionaris voor Gegevensbescherming (FG).

Middels de DBA kon informatie worden verstrekt aan geautoriseerde medewerkers van de directies Centrale Administratieve Processen (CAP), Grote Ondernemingen (GO), Midden- en Klein Bedrijven (MKB) ter ondersteuning van het heffen en innen op automiddelen en privégebruik auto. Daarnaast ondersteunde DBA het toezicht houden op (onderdelen) van het loonheffingsproces en op de inkomstenbelasting. Ook werd het gebruikt door de Douane voor het raadplegen van kentekens in het kader van de fysieke controles in het havengebied om de veiligheid van de douanemedewerkers te waarborgen. In de DBA stonden onder andere de NAW gegevens en geboortedatum. Ik verwijs uw Kamer naar de bijgevoegde GEB voor een volledig overzicht en een uitgebreide omschrijving van de gegevens die de DBA bevatte. Uit de GEB blijkt dat er in totaal ongeveer 1.000 geautoriseerde gebruikers waren.

Al het gebruik van de DBA werd gelogd. Het was op elk moment te achterhalen wie gebruik maakte of had gemaakt van de DBA en tevens welke functionaliteiten waren gebruikt (bijvoorbeeld het raadplegen op basis van BSN, het Beheer van Relaties adresoverzicht of het kenteken). Ook werd geregistreerd als een medewerker een BSN wilde raadplegen waartoe deze niet bevoegd was. Het toegangsbeheer en het autorisatiebeheer was geregeld via een autorisatiestructuur (IMS).

Voor een beperkt deel van de geautoriseerde gebruikers was het mogelijk om via de DBA gegevens op entiteit niveau te exporteren naar Excel. Dit was enkel mogelijk voor medewerkers die veldtoetsen uitvoeren: dit betekent dat een medewerker ter plekke bij de ondernemer of werkgever de administratie controleert. Deze exporteer-actie werd gelogd en er werd periodiek getoetst of er bij de geëxporteerde gegevens sprake van een veldtoetsopdracht was. Alle gebruikers konden door middel van een schermafbeelding gegevens kopiëren. Zoals je dit ook met je eigen telefoon kan doen. Deze schermafbeelding wordt gebruikt om informatie toe te voegen aan een verslag van heffing (bij toetsing van een aangifte) of als informatie/uitleg naar de adviseur of belastingplichtige ingeval van een correctie. Ook bij bezwaar in beroep werden de schermafbeeldingen bij het verweerschrift toegevoegd.

Het gebruik van een dergelijk geëxporteerd gegevensbestand was vervolgens niet te controleren. Het viel niet uit te sluiten dat dergelijke bestanden onjuist werden gebruikt of buiten de Belastingdienst terecht zijn gekomen.

Zoals beschreven in antwoord 15 is er sprake van een datalek wanneer toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Of zonder dat dit wettelijk is toegestaan. Bij DBA gaat het om een door het management goedgekeurde applicatie en het gebruik van die applicatie. Het is daarom geen datalek.

Vraag 20

Het lid Omtzigt heeft de bijlagen doorgenomen die bij mail A.10.60 horen en heeft daarover een aantal specifieke vragen:

1. Klopt het dat de medewerker die de mail van appendix 10.68 verstuurd heeft geen medewerking heeft gegeven/geweigerd heeft deel te nemen aan het horen? Kan het kabinet dit onderdeel toelichten?
2. Klopt het dat op haar initiatief haar dossier en daarin de mails vernietigd zijn?
3. Zijn deze terug te halen door ICT bij de Belastingdienst? Wil het kabinet dat proberen?
4. Klopt het dat deze medewerker nog op een soortgelijke positie werkzaam is bij de Belastingdienst?
5. Klopt het dat de gesprekken hebben plaatsgevonden in een niet-constructieve/vijandige sfeer over de CAF 11-gedupeerden (in ieder geval niet gericht op een oplossing)?
6. Klopt het dat een deel van de correspondentie van deze medewerkster onder de mail d.d. 5 juni 2019 aan de secretaresse van de toenmalige Staatssecretaris hangt?

Antwoord 20

Vraag 1: Uit de reconstructie van PwC van 29 september 2021 blijkt dat de medewerker die de mail van appendix 10.68 verstuurd heeft geen medewerking heeft verleend aan het onderzoek van PwC.24 Wel heeft de secretaris-generaal van het Ministerie van Financiën toestemming verleend aan PwC om de mailbox van de betrokken medewerker te doorzoeken, omdat het maatschappelijke- en onderzoeksbelang zwaarder weegt dan de belangen van de betrokkenen.25 Zoals vermeld in de brief van 1 juni 2023 heeft PwC voor het onderzoek naar het memo Palmen binnen een door PwC gekozen selectie van periode en bronnen vrij kunnen zoeken naar relevante stukken voor het onderzoek.26 NB: Het lid Omtzigt verwijst naar de bijlagen bij mail A.10.60. Gelet erop dat de specifieke vragen zien op de bijlagen van mail A.10.68 ga ik ervan uit dat het lid per abuis de bijlagen bij mail A.10.60 noemt.

Vraag 2 en 3: Er is geen indicatie dat op initiatief van bovengenoemde medewerker, MT-lid 5, mails zijn vernietigd. De mails van alle relevante betrokkenen zijn onderzocht. Daarbij is gebruik gemaakt van een back-up van de mailbox. Voor het terughalen van deze informatie is dus ook geen noodzaak.

Vraag 4: Het is vast gebruik dat over individuele medewerkers geen mededelingen worden gedaan. Daarbij is van belang dat het Kabinet het niet wenselijk vindt dat individuele medewerkers ongewild onderdeel worden van het publieke debat. Uw Kamer kan mij als politiek verantwoordelijk voor de Dienst Toeslagen, aanspreken op de gang van zaken binnen Toeslagen.

Vraag 5: Uit de PwC-reconstructie volgt dat er in 2017 verschillende gesprekken zijn gevoerd tussen de advocate mevrouw González Pérez en Toeslagen over het CAF-11 dossier, waaronder op 10 april 2017 en 8 mei 2017. De transcripties van de advocate González Pérez van deze gesprekken zijn vertrouwelijk gedeeld met uw Kamer. Het doel van de gesprekken was om tot een oplossing te komen. Uiteindelijk hebben de gesprekken niet geleid tot een overeenkomst waar zowel de advocate als Toeslagen zich in konden vinden.

Vraag 6: De medewerker die de mail van appendix 10.68 heeft verstuurd is een van de betrokkenen in de correspondentie die onder de mail van 5 juni 2019 hangt.

Vraag 21

Is het kabinet bereid om na te gaan wat er klopt van de herhaaldelijke beweringen dat de politieke en ambtelijke top op de hoogte gehouden zijn van elke stap in het CAF 11-dossier?

Antwoord 21

De bijlagen bij mail A.10.70 heeft uw Kamer inmiddels ontvangen als bijlage bij de Kamerbrief van 5 juli 2023.27 Zoals eerder aangegeven worden over individuele medewerkers geen mededelingen gedaan. De gang van zaken rond het memo Palmen en CAF 11 is uitgebreid onderzocht door PwC.28 Voor de beantwoording van de vraag wat er klopt van de betreffende bewering uit de mail wordt verwezen naar de eerdere beantwoording hierover van de vragen van de rapporteurs (specifiek vraag 11n t/m 18n).29 Daarnaast zijn de overlegmomenten over het CAF 11-dossier als bijlage van de brief van 29 maart 2023 meegestuurd.30

Verzoek 7 juli beantwoording vragen plenaire debat opvolging «Ongekend onrecht»

In het licht van bovenstaande beantwoording ga ik hierbij tevens in op het verzoek van uw Kamer van 7 juli jl. tot beantwoording van vragen uit het plenaire debat op 23 mei 2023 over de opvolging van het rapport «Ongekend onrecht».

De vaste commissie voor Financiën heeft verzocht om de nog openstaande vragen uit het plenaire debat over de opvolging van het rapport «Ongekend onrecht» van 23 mei 2023 binnen twee weken aan de Kamer sturen en om daarbij ten behoeve van de beantwoording tevens gewiste mailboxen terug te halen en te doorzoeken.

Specifiek wijst de commissie daarbij op de vragen in de volgende passage uit het debat:

De heer Omtzigt (Lid Omtzigt):

(...) Voorzitter. Dan de teruggevonden stukken. Hoe kan het, zeg ik tegen de Minister-President, dat deze stukken er twee jaar na dato komen? Vanmorgen heb ik de stukken gelezen. In het managementteam zat één persoon die niet meewerkte aan het PwC-onderzoek. Háár mail zat tussen de stukken. Daarin stond dat ze de top van de Belastingdienst en de bewindspersonen altijd op de hoogte gehouden had. Klopt het, zoals ik vanmorgen gelezen heb, dat zij bij meerdere gesprekken die met de advocaat gevoerd zijn, aanwezig geweest is? Als dat zo is, dan wil ik de gespreksverslagen van die gesprekken van de kant van de Belastingdienst hier binnen een week hebben. Ik wil binnen een week weten hoe de bewindspersonen en de directeur-generaal op de hoogte gehouden zijn. Ik wil daar een complete lijst van. Het stond namelijk niet in de tijdlijn. Het stond niet in alle rapporten die we gezien hebben. Het stond helemaal nergens (...)

Antwoord verzoek Kamer 7 juli 2023

Het MT-lid 5 is inderdaad aanwezig geweest bij de gesprekken op 10 april en 8 mei 2017. Zoals eerder aangegeven in de brief van 5 juli 202331 zijn er vanuit de Belastingdienst en Dienst Toeslagen tot op heden geen eigen gespreksverslagen aangetroffen van de gesprekken die gevoerd zijn op deze datum. In reactie op de vraag hoe de bewindspersonen en directeur-generaal op de hoogte zijn gehouden verwijs ik naar de beantwoording van vraag 21 waarin verwezen wordt naar mijn eerdere beantwoording hierover van de vragen van de rapporteurs (specifiek vraag 11 t/m 18). Voor wat betreft de Staatssecretaris verwijs ik tevens naar de overlegmomenten van de toenmalig Staatssecretaris over het CAF 11-dossier die als bijlage van de brief van 29 maart 2023 is meegestuurd.32 Daaruit volgt dat de toenmalig de Staatssecretaris vanaf augustus 2017 incidenteel en vanaf het voorjaar van 2019 regelmatig werd bijgepraat over de ontwikkelingen in het CAF 11-dossier.

X Noot

⁴

Kamerstuk 29 362, nr. 334.

X Noot

⁵

Kamerstuk 31 066, nr. 1236.

X Noot

⁶

Uitgewerkt in de handleiding «Extern mailen en Belastingdienst File Transfer» versie 4, september 2018.

X Noot

⁷

Kamerstuk 31 066, nr. 1236.

X Noot

⁸

Kamerstuk 31 066, nr. 1236.

X Noot

⁹

Kamerstuk 31 066, nr. 632.

X Noot

¹⁰

Kamerstuk 31 066, nr. 1089.

X Noot

¹¹

Kamerstuk 31 066, nr. 632.

X Noot

¹²

Kamerstuk 28 362, nr. 41 en Kamerstuk 35 510, nr. 21.

X Noot

¹³

Kamerstuk 31 066, nr. 992.

X Noot

¹⁴

Kamerstuk 31 066, nr. 1231.

X Noot

¹⁵

Zie bijlage tijdlijn Kamerstuk 31 066, nr. 632.

X Noot

¹⁶

Kamerstuk 31 066, nr. 816.

X Noot

¹⁷

Kamerstuk 31 066, nr. 935.

X Noot

¹⁸

Kamerstuk 31 066, nr. 1030.

X Noot

¹⁹

Kamerstuk 31 066, nr. 1030.

X Noot

²⁰

Kamerstuk 31 066, nr. 1227.

X Noot

²¹

Kamerstuk 31 066, nr. 1053

X Noot

²²

Kamerstuk 31 066, nr. 681, Bijlage: rapportage verwerking van risicosignalen voor toezicht en Kamerstuk 31 066, nr. 807, Bijlage: Toelichting op specifieke onderwerpen Herstellen, verbeteren, borgen (HVB).

X Noot

²³

Kamerstuk 31 066, nr. 920.

X Noot

²⁴

Kamerstuk 35 510, nr. 84.

X Noot

²⁵

https://informatiepuntkinderopvangtoeslag.rijksoverheid.nl/publicaties/0a439499ac20a82567eacc1a8de3b6eb/bijlage-c-openbaar-te-maken-documenten-deel2.pdf, blz. 6.

X Noot

²⁶

Kamerstuk 35 510, nr. 130.

X Noot

²⁷

Kamerstuk 35 510, nr. 136.

X Noot

²⁸

Kamerstuk 35 510, nr. 84, paragraaf 278.

X Noot

²⁹

Kamerstuk 35 510, nr. 107.

X Noot

³⁰

Kamerstuk 35 510, nr. 118.

X Noot

³¹

Kamerstuk 35 510, nr. 136.

X Noot

³²

Kamerstuk 35 510, nr. 118.

Extra informatie

Gerelateerd

Publicaties in kamerdossier

Geconsolideerde regelgeving

Publicaties referendum

31 066 Belastingdienst

Nr. 1280 VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

I Vragen en opmerkingen vanuit de fracties

II Reactie van de Staatssecretaris van Financiën

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

Directe link

Disclaimer