31 066 Belastingdienst

31 934 Douane

Nr. 1352 BRIEF VAN DE STAATSSECRETARISSEN VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 27 maart 2024

Als vervolg op de audits in het kader van de Wet politiegegevens (Wpg) die in 2022 en 2023 bij de Belastingdienst en de Douane zijn uitgevoerd, heeft de Auditdienst Rijk (ADR) in december 2023 drie hercontroles uitgevoerd. Met deze brief sturen wij u de rapportages van de ADR over deze hercontroles.

Auditproces Wpg

De verwerking van politiegegevens door buitengewoon opsporingsambtenaren (boa’s) in het kader van de opsporingstaak valt sinds 2019 onder de Wpg. De Wpg stelt specifieke eisen aan de informatieverwerking van politiegegevens in vergelijking met de Algemene Verordening Gegevensbescherming die voor de overige werkprocessen van de Belastingdienst en de Douane geldt. De Autoriteit Persoonsgegevens (AP) heeft organisaties die boa’s in dienst hebben tot eind 2022 de tijd gegeven om met een onafhankelijke privacy-audit compliantie aan de Wpg te toetsen.

Over de eerste audits en de voortgang bij de Belastingdienst bent u eerder geïnformeerd in de brieven van 30 januari 2023 en 5 juli 2023.¹ Over de audit van de Douane is uw Kamer in januari en april 2023 geïnformeerd.² Uit deze eerste audits is gebleken dat de werkprocessen van boa’s binnen de Belastingdienst en de Douane niet aan de Wpg voldeden. Naar aanleiding hiervan zijn binnen drie maanden na de oplevering van de auditrapporten wettelijk verplichte verbeterrapporten opgesteld.

Binnen de Belastingdienst werken boa’s bij het Bureau Economische Handhaving (BEH), dat onderdeel is van de directie en Grote Ondernemingen (GO) en daarbuiten bij de directies Midden- en Kleinbedrijf (MKB), Particulieren (P) en GO (exclusief BEH). Vanwege de uiteenlopende werkzaamheden is het auditproces voor BEH enerzijds en MKB, P en GO (excl. BEH) afzonderlijk georganiseerd. Voor de Belastingdienst zijn dus ook twee afzonderlijke verbetertrajecten ingezet.

De Belastingdienst en de Douane werken aan de uitvoering van verbeterpunten voor de implementatie van de Wpg. Op de activiteiten uit de verbeterrapporten zijn in december 2023 wettelijk verplichte hercontroles uitgevoerd door de ADR. De hercontroles van de ADR geven onafhankelijke oordelen over de voortgang op een door de ADR in overleg met de betrokken directies gemaakte selectie van auditpunten, waar volgens de opgestelde verbeterrapporten in de periode sinds de eerste audit verbeteringen zijn doorgevoerd.

De ADR constateert op alle drie de trajecten voortgang, maar tegelijkertijd zijn er nog verdere verbeteringen nodig om volledig aan de Wpg te voldoen. Dit lichten wij hieronder toe.

Bureau Economische Handhaving (BEH)

De ADR constateert over de hercontrole bij het BEH dat, ondanks de gerealiseerde verbetermaatregelen op een aantal punten, het BEH de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s (nog) niet op afdoende wijze in opzet, implementatie en toepassing heeft ingevuld. De opzet is op dertien punten wel als voldoende beoordeeld en op één punt als deels voldoende. Hoewel er in de afgelopen periode verbeteringen zijn doorgevoerd, moeten er nog noodzakelijke stappen volgen om de procedures en maatregelen te implementeren.

De ADR constateert bijvoorbeeld dat in het kwaliteitshandboek Wpg nu informatie is vastgelegd over werkwijzen, rollen en doelbinding waarmee in de opzet is voldaan. Een van de redenen voor het nog niet voldoen in de implementatie en toepassing is dat er op een aantal auditpunten nog geen (periodieke) interne controles worden uitgevoerd.

De Belastingdienst onderschrijft de bevindingen van de ADR. Deze zijn volgens verwachting, omdat de tijd tussen de audit en de hercontrole te kort was om op alle auditpunten volledig te voldoen. De dienst spant zich in om vóór 1 september 2024 alle auditpunten van de hercontrole bij het BEH te hebben geïmplementeerd met als doel op deze punten te voldoen aan de wettelijke vereisten van de Wpg.Voor de realisatie van alle verbeteringen die volgens de initiële audit noodzakelijk zijn, is ook een goede ondersteunende IT-voorziening noodzakelijk. De ontwikkeling daarvan is afhankelijk van schaarse en tijdige beschikbaarheid van IT-capaciteit en naar verwachting niet voor 2025 gerealiseerd.

Boa’s MKB, P en GO (exclusief BEH)

De ADR constateert over de hercontrole dat de directies MKB en P voor de tien vastgestelde auditpunten van de hercontrole in opzet (grote) stappen hebben gezet, maar dat het in een aantal gevallen nog ontbreekt aan een verdere uitwerking en inrichting in implementatie en toepassing, en in de controle hierop. De in de hercontrole meegenomen auditpunten voldeden bij de initiële audit alle tien niet aan de norm, maar bij de hercontrole voldeden ze deels of volledig.

Zo constateerde de ADR dat nu per zaak de categorieën van betrokkenen goed worden geregistreerd, dat de geheimhoudingsplicht goed is vastgelegd in opzet, implementatie en toepassing en dat er een proces is ingericht voor datalekken van onder andere politiegegevens. De ADR miste ten tijde van de audit op een aantal punten de vastlegging en invulling van (periodieke) controles.

De initiële audit had ook betrekking op de boa’s van GO buiten het BEH. Na een interne analyse is naar voren gekomen dat de boa’s werkzaam binnen de directie GO buiten het Bureau Economische Handhaving (BEH) geen boa-werkzaamheden binnen de directie GO verrichten die onder het regime van de Wpg vallen. Gevolg hiervan is dat de ADR zich bij de onderhavige hercontrole alleen richt op de beoordeling van de verbeteringen binnen de directies MKB en P.

De Belastingdienst kan zich vinden in de bevindingen van de ADR in het rapport over directies MKB en P, waaronder de constatering dat er (grote) stappen voorwaarts zijn gezet. De Belastingdienst is zich ervan bewust dat er ook in de komende periode flinke inspanningen gevraagd worden om gezamenlijk de noodzakelijke verbeterpunten door te voeren en naar aanleiding van de hercontroles waar nodig aanvullingen op de verbeterpunten toe te voegen.

In 2024 wordt verder gewerkt aan deze tien verbeterpunten en aan de resterende verbeterpunten die geen onderdeel uitmaakten van de hercontrole. Voor de ondersteunende ICT-voorziening geldt hetzelfde als voor het BEH: deze is naar verwachting niet voor 2025 gerealiseerd.

Douane

De ADR komt op basis van de hercontrole tot het oordeel dat bij de onderwerpen waar de Douane mee aan de slag is gegaan, in opzet grote stappen zijn gezet, maar dat in een aantal gevallen een verdere uitwerking in implementatie en toepassing mist.

De Douane herkent zich in het oordeel van de ADR dat in een aantal gevallen verdere verbeteracties nodig zijn om de implementatie en toepassing aantoonbaar te maken. De uitwerking van deze verbetermaatregelen vergt meer tijd dan in eerste instantie is ingeschat. Dit geldt ook voor een aantal verbetermaatregelen die in het vierde kwartaal van 2023 en het eerste kwartaal van 2024 zijn ingepland.

De Douane zet zich in om alle verbetermaatregelen in opzet, implementatie en toepassing te realiseren voor het einde van 2024. Bij de maatregelen die samenhangen met systeemaanpassingen en die met voorrang in de IT-planning opgenomen zijn, dient rekening gehouden te worden met het volle IT-portfolio bij de Douane, wat noodzaakt tot reguliere prioritering van IT-werkzaamheden en mogelijk langere uitloop.

Tot slot

De rapporten van de hercontroles zijn, conform de wettelijke verplichting, vóór 1 maart 2024 bij de AP ingediend. Via de reguliere stand-van-zakenbrieven Douane en de reguliere stand-van-zakenbrieven Belastingdienst, wordt uw Kamer op de hoogte gehouden van de voortgang van de verbeteraanpak. Deze brieven worden elk tweemaal per jaar verstuurd. De eerstvolgende stand-van-zakenbrief Douane is voorzien voor juli 2024. De stand-van-zakenbrief Belastingdienst wordt zoals gebruikelijk voorafgaand aan het nog in te plannen commissiedebat Belastingdienst aan uw Kamer aangeboden.

De Staatssecretaris van Financiën, A. de Vries

De Staatssecretaris van Financiën, M.L.A. van Rij

---

1 Kamerstukken II, 2022/23, 31 066, nr. 1162 en Kamerstukken II 2022/23, 31 066, nr. 1263

2 Kamerstukken II, 2022/23, 31 934, nrs. 66 en 69