31 066 Belastingdienst

Nr. 485 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 28 mei 2019

In de recente halfjaarsrapportage¹ heb ik toegezegd uw Kamer eind mei 2019 nader te informeren over de voortgang van de implementatie van de Algemene verordening gegevensbescherming (AVG) bij de Belastingdienst. Daarnaast heb ik toegezegd het rapport van de Auditdienst Rijk (ADR) over de implementatie van de AVG binnen het Ministerie van Financiën en de Belastingdienst aan uw Kamer te sturen, inclusief de wijze waarop de aanbevelingen van de ADR zullen worden opgevolgd.

Met deze brief geef ik gevolg aan deze toezeggingen.

Voortgang implementatie AVG

In juni 2018 heb ik uw Kamer geïnformeerd over de implementatie van de AVG bij de Belastingdienst, de zogenaamde basispositie.² De Belastingdienst moest toen nog een aantal maatregelen uitvoeren om de AVG te implementeren. De Belastingdienst heeft in het vervolgtraject inmiddels de maatregelen kunnen realiseren, met uitzondering van de maatregel «verwijderen van verouderde gegevens».

Ten aanzien van het verwijderen van verouderde gegevens is geconstateerd dat het niet lukt voor eind mei 2019 de achterstand bij het verwijderen van verouderde gegevens weg te werken. Dit wordt veroorzaakt door twee problemen. Ten eerste is het voor een aantal oude systemen niet mogelijk om de verouderde gegevens op basis van de AVG-normen te verwijderen. De benodigde systeemaanpassingen zijn dusdanig ingrijpend gebleken, dat dit op korte termijn niet mogelijk is. Ten tweede speelt het probleem dat digitale documenten stuk voor stuk op basis van de inhoud handmatig beoordeeld moeten worden op de aanwezigheid van persoonsgegevens. Een bestandsnaam of bestandsformaat zegt namelijk onvoldoende over de inhoud van een bestand.

Om te voorkomen dat de niet-tijdig verwijderde gegevens onrechtmatig kunnen worden verwerkt door medewerkers van de Belastingdienst, heeft de Belastingdienst mitigerende maatregelen genomen. De verouderde documenten worden in een zogenoemde datakluis geplaatst waardoor de toegang tot de persoonsgegevens wordt weggenomen. De (digitale) datakluis is een afgeschermde omgeving waar medewerkers van de Belastingdienst geen toegang toe hebben; alleen daartoe aangewezen beheerders hebben toegang. De Belastingdienst neemt actie om de gegevens uit de datakluis nader te beoordelen en, als de gegevens geen permanente waarde hebben of verouderd zijn, daadwerkelijk te verwijderen.

Hierna zal ik toelichten hoe de Belastingdienst uitvoering heeft gegeven aan de maatregelen om de AVG te implementeren.

• Transparantie en informatieverplichting

  De Belastingdienst heeft op zijn eigen webpagina een privacyverklaring gepubliceerd. De privacyverklaring geeft informatie over de persoonsgegevens die de Belastingdienst verwerkt van burgers, bedrijven en eigen personeel, waar die gegevens vandaan komen en aan wie ze eventueel geleverd worden. Het continu actualiseren van de verklaring is onderdeel van het reguliere beheerproces.

• Inzage- en correctieverzoeken

  De Belastingdienst heeft een proces ingericht voor het indienen van onder andere inzage- en correctieverzoeken. In de privacyverklaring staat op welke manier en via welk postadres een betrokken persoon zijn inzage- of correctieverzoek bij de Belastingdienst kan indienen.

• Register van verwerkingen

  De Belastingdienst heeft een register van verwerkingen. In het register zijn ongeveer 400 verwerkingen van de Belastingdienst opgenomen. Hoewel de AVG dat niet voorschrijft, streeft de Belastingdienst naar publicatie van het register. Op dit moment is een samenvatting van het register gepubliceerd als bijlage bij de privacyverklaring. Actualisering, zoals het registreren van nieuwe verwerkingen, en kwaliteitsverbetering van het register zijn onderdeel van het reguliere beheersproces.

• Datalekken

  De Belastingdienst heeft het proces voor het melden van datalekken in verband met de AVG aangepast. Actualisering en kwaliteitsverbetering van het proces zijn onderdeel van het reguliere beheersproces.

• Geautomatiseerde besluitvorming

  De Belastingdienst maakt binnen de kaders van de AVG en Uitvoeringswet AVG gebruik van geautomatiseerde besluitvorming. Vanwege de complexiteit van het onderwerp is in de privacyverklaring vooralsnog een algemene uitleg van de rekenregels en logica die aan geautomatiseerde besluiten ten grondslag liggen, opgenomen. De Belastingdienst is betrokken bij de rijksbrede ontwikkelingen in dit kader.

• Gegevensbescherming door ontwerp (privacy by design) en gegevensbescherming door standaardinstellingen (privacy by default)

  Er is een handleiding voor architecten en ontwerpers opgesteld over de principes van gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen. Bij wijziging of vernieuwing van systemen wordt aan de hand van risicoanalyses bepaald hoe hieraan concreet invulling wordt gegeven. Het verder ontwikkelen van deze principes is onderdeel van het reguliere beheersproces. Ook bij activiteiten rond bewustwording komen de principes aan de orde.

• Informatiebeveiliging; autorisaties

  Het actualiseren van autorisaties voor toegang tot persoonsgegevens is afgerond. Het actueel houden van autorisaties is onderdeel van het reguliere beheersproces.

  De Belastingdienst heeft verder mitigerende maatregelen genomen om het intern oneigenlijk delen van gegevens te voorkomen. Het gaat daarbij onder andere om het uitfaseren van gegevensexport faciliteiten in applicaties en het vooraf toetsen aan de AVG van een opvraging vanuit de data-analyseomgeving.

• Functionaris voor gegevensbescherming

  Het Ministerie van Financiën, waaronder de Belastingdienst, heeft een functionaris voor gegevensbescherming aangesteld.

• Gegevensbeschermingseffectbeoordeling (GEB/DPIA)

  De Belastingdienst heeft een handleiding voor het uitvoeren van GEB/DPIA opgesteld. Bij nieuwe verwerkingen wordt getoetst of het nodig is om een GEB/DPIA uit te voeren. Bij bestaande verwerkingen wordt periodiek, in een cyclus van ongeveer drie jaar, getoetst of de risico’s en de genomen maatregelen bij een verwerking geactualiseerd moeten worden en of het uitvoeren van een GEB/DPIA nodig is.

• Verwerkers

  De Belastingdienst heeft waar nodig verwerkersovereenkomsten geactualiseerd. Het actueel houden is onderdeel van het reguliere beheersproces.

• Verantwoording

  De Belastingdienst heeft de verantwoording voor de naleving van de AVG in de nieuwe topstructuur belegd bij de directeuren van de dienstonderdelen. Bij de concerndirectie Informatievoorziening en databeheersing zijn de functies van privacyofficer en chief information security officer ingericht. Verder heeft iedere directie een contactpersoon voor gegevensbescherming, een zogenoemde datacoördinator. Samen met de functionaris voor gegevensbescherming van het Ministerie van Financiën en de Belastingdienst wordt in het reguliere beheersproces de naleving van de AVG getoetst en zo nodig geactualiseerd.

  Om de bewustwording en de kennis over de AVG bij medewerkers te vergroten heeft de Belastingdienst verschillende activiteiten ontwikkeld en uitgevoerd. Er zijn workshops gehouden over het verantwoord omgaan met gegevens; de campagne «Allemaal veilig digitaal» is gevoerd; er zijn verschillende webinars gehouden. Ook hebben alle medewerkers verplicht de basiscursus privacy en AVG moeten volgen. De Belastingdienst zet de bewustwordings- en opleidingsactiviteiten voort in het beheersproces.

Rapport ADR

Begin 2019 heeft de ADR in opdracht van de plv. secretaris-generaal van Financiën een onderzoek uitgevoerd naar het op schema liggen van de opgestelde implementatietrajecten van de AVG voor zowel het kerndepartement van Financiën als de Belastingdienst. De doelstelling van het onderzoek was om het kerndepartement van Financiën en de Belastingdienst extra inzicht te geven in de stand van zaken van een aantal maatregelen uit de implementatieplannen om zodoende op 25 mei 2019 aantoonbaar (op een adequaat niveau) aan de AVG te kunnen voldoen. Als bijlage bij deze brief stuur ik uw Kamer het onderzoeksrapport «Implementatie AVG bij het Ministerie van Financiën»³.

Ten aanzien van de Belastingdienst heeft de ADR een aantal thema’s onderzocht:

• archiveren, schonen en verwijderen;

• beoordelen en actualiseren autorisaties;

• delen van gegevens; en

• verwerkersovereenkomsten.

De ADR heeft de stand van zaken van een aantal geselecteerde maatregelen uit de implementatieplannen onderzocht en de factoren die van invloed zijn op een goede en tijdige realisatie van de nog uit te voeren geselecteerde maatregelen. Op basis van de bevindingen heeft de ADR aanbevelingen gedaan.

Als reactie op het rapport van de ADR geeft de Belastingdienst aan de door de ADR benoemde risico’s met betrekking tot de implementatie te herkennen. Het rapport van de ADR geeft de situatie van februari 2019 weer. De periode februari-mei 2019 heeft de Belastingdienst gebruikt om de bevindingen van de ADR weg te nemen. De Belastingdienst meldt dat de bevindingen inmiddels zijn opgelost, met uitzondering van het verwijderen van oude gegevens.

De Belastingdienst heeft op de volgende manier opvolging gegeven aan de aanbevelingen van de ADR.

• 1. Heroverweging/hertoets van alle issues (AVG-acties)

  De Belastingdienst heeft in april/mei 2019 de maatregelen uit de risico- en issueanalyse nogmaals bezien. De uitkomst is dat een deel van de acties ziet op het actualiseren of verbeteren van processen binnen de Belastingdienst. De uitvoering van die acties maakt onderdeel uit van het reguliere beheersproces en de borging van de opvolging gebeurt via de planning & control cyclus. De Belastingdienst heeft door actief te sturen de maatregelen die noodzakelijk zijn om de AVG te implementeren, gerealiseerd. Zoals eerder in deze brief aangegeven, gaat het verwijderen van oude gegevens op korte termijn niet lukken.

• 2. Een meer projectmatige aanpak om strakker te kunnen sturen

  De sturing rond de implementatie van de AVG is bij de Belastingdienst belegd bij de concerndirectie Informatievoorziening en databeheersing; naast de reguliere lijnsturing. Vanaf begin 2019 heeft de concerndirectie de regie op de uitvoering geïntensiveerd door de betrokken medewerkers van de dienstonderdelen frequenter bijeen te roepen voor inhoudelijke afstemming. Het gaat daarbij om medewerkers die projectmatig ingezet zijn voor de implementatie van de AVG en om structurele contactpersonen voor de AVG, zogenoemde datacoördinatoren. Ook is er «op maat» geadviseerd bij dienstonderdelen met specifieke vragen en is een aantal centraal aangestuurde acties uitgevoerd; zoals het opstellen van maandrapportages voor het inzicht op de voortgang en het ontwikkelen van een centrale aanpak voor het schonen van netwerkschijven. Daarmee is bereikt dat sneller en uniform bijgestuurd is.

• 3. Pro-actievere rol van het CIO-office van de Belastingdienst en privacyofficer

  Het CIO-office van de Belastingdienst en de privacyofficer maken onderdeel uit van de concerndirectie Informatievoorziening en databeheersing. Vanaf begin 2019 stuurt de privacyofficer de maandelijkse overleggen van datacoördinatoren aan. Het doel van deze overleggen is het delen van kennis over inhoudelijke en uitvoeringsonderwerpen op het gebied van gegevensbescherming, waaronder de AVG. Daarnaast hebben het CIO-office en de privacyofficer in deze periode aan dienstonderdelen ondersteuning «op maat» geboden op specifiekere onderwerpen. De maandelijkse overleggen en de ondersteuning worden voortgezet en maken onderdeel uit van de reguliere werkwijze.

• 4. Opstellen beleidskaders in samenwerking met de uitvoerende dienstonderdelen

  Nadere analyse van deze aanbeveling leert dat het niet zozeer om het opstellen van beleidskaders lijkt te gaan, maar meer om begeleiding bij het uitwerken van bestaande kaders naar uitvoeringsrichtlijnen voor individuele directies van de Belastingdienst; en het toepassen daarvan. Onder andere in de maandelijkse overleggen onder leiding van de privacyofficer wordt hier invulling aan gegeven.

• 5. Inrichten project voor structurele verbeteracties voor naleving van de AVG, maar met breder bereik

  De Belastingdienst heeft de afgelopen twee jaar hard gewerkt om de AVG te implementeren. Verbeteracties die een breder bereik hebben, zoals het toepassen van de selectielijsten en het op orde brengen van de informatiehuishouding, worden op basis van interne controles, audits en gedane aanbevelingen (leercirkel) uitgevoerd in het reguliere beheersproces.

• 6. Aandachtspunten voor de aantoonbare naleving van de AVG

  • De Belastingdienst werkt aan het verbeteren van het inzicht in het gebruik van persoonsgegevens in de keten door het actualiseren en het verbeteren van de kwaliteit van het register van werkingen en het uitvoeren van GEB/DPIA’s.

  • De prioriteitstelling in de informatievoorziening om functionaliteiten aan te kunnen brengen in applicaties ten behoeve van het schonen en verwijderen maakt onderdeel uit van het IV-portfolioproces.

  • Het Ministerie van Justitie en Veiligheid heeft het initiatief genomen om (interdepartementaal) een voor het rijk te gebruiken voldoende dekkend normenkader op het gebied van gegevensbescherming c.q. AVG te ontwikkelen. De CIO-offices van het kerndepartement van Financiën en de Belastingdienst hebben zich hierbij aangesloten.

Om de uitvoering van de aanbevelingen door de Belastingdienst te toetsen, zal ik de ADR vragen een aanvullende audit te doen op de implementatie van de AVG bij de Belastingdienst. De uitkomst van de aanvullende audit zal ik te zijner tijd aan uw Kamer te sturen.

De Belastingdienst heeft een grote inspanning geleverd om te kunnen voldoen aan de AVG en blijft dat doen. Dit laat onverlet dat in een bepaalde situatie de Belastingdienst alsnog in strijd met de AVG kan handelen. Denk bijvoorbeeld aan het oordeel van de Autoriteit Persoonsgegevens over het gebruik van het BSN in het btw-identificatienummer.⁴ Ook kan niet worden uitgesloten dat zich in de toekomst een datalek voordoet. De Belastingdienst handelt deze situaties conform de normen van de AVG af. Zoals ik eerder heb aangegeven, is naleving van de AVG geen statisch gegeven, maar een proces dat voortdurend aandacht vergt. De genomen maatregelen en de gestelde kaders moeten worden onderhouden. De Belastingdienst blijft dus doorlopend werken aan maatregelen en kaders en streeft daarmee naar een duurzame naleving van de AVG.

De Staatssecretaris van Financiën, M. Snel

---

1 Kamerstuk 31 066, nr. 480; aanbiedingsbrief en 23^e halfjaarsrapportage van 17 april 2019.

2 Aanhangsel Handelingen II 2017/18, nr. 2345

3 Raadpleegbaar via www.tweedekamer.nl

4 Kamerstuk 32 761, nr. 128