31 066 Belastingdienst

Nr. 369 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 4 juli 2017

Vrijdag 30 juni jl. heb ik u geïnformeerd over de eerste resultaten van het onderzoek naar het gegevensgebruik bij de afdeling Data & Analytics (D&A).¹ De vaste commissie voor Financiën (hierna: de commissie) heeft mij naar aanleiding daarvan per brief van maandag 3 juli jl. verzocht om een aantal vragen rond het onderzoek schriftelijk te beantwoorden.² Tevens heeft de commissie verzocht om een technische briefing met de onderzoekers. Op beide verzoeken ga ik in deze brief in.

Vragen van de commissie

De commissie heeft mij verzocht de volgende vragen te beantwoorden:

• 1. Wie deed het onderzoek? Wat was de onderzoeksopdracht?

• 2. Konden mensen anoniem, of met klokkenluidersbescherming melden (zoals Kamerleden vroegen tijdens het debat)?

• 3. Waarom was de onderzoeksperiode 2016–2017, terwijl de Staatssecretaris in het debat zei dat hij data had over de afgelopen twee jaar?

• 4. Wanneer ontvangt de Kamer het definitieve rapport?

Ik hecht eraan om voor ik op de verschillende vragen inga te verwijzen naar mijn brief aan uw Kamer van 14 februari jl.³ Daarin heb ik met betrekking tot het onderzoek bij D&A geschreven:

«Onderzoek gegevensgebruik bij D&A

Doel van dit onderzoek is om aan de hand van in elk geval beschikbare loggegevens over gebruik van systemen, applicaties en data bij D&A vanaf de oprichting op 1 februari 2016 tot heden, vast te stellen of getracht is daadwerkelijk gegevens van belastingplichtigen, belastingschuldigen of toeslaggerechtigden buiten de Belastingdienst te brengen.

Ik vind het van het grootste belang dat dit onderzoek in onafhankelijkheid van de afdeling D&A wordt uitgevoerd, om elke schijn van belangenverstrengeling te vermijden. Het onderzoek wordt uitgevoerd door de Belastingdienst, onder direct gezag van de hoofddirecteur Informatievoorziening. Daarmee is het onderzoek buiten de «blauwe kolom» opgehangen, en geheel los van de afdeling D&A.

De objectiviteit en degelijkheid van het onderzoek wordt geborgd door een beoordeling van de aanpak en de uitvoering van het onderzoek en de bevindingen door de Auditdienst Rijk (ADR).»

Vanwege de samenhang daartussen ga ik eerst in op de hierboven beschreven eerste en derde vraag. De onderzoeksopdracht van het onderzoek was, of getracht is daadwerkelijk gegevens van belastingplichtigen, belastingschuldigen of toeslaggerechtigden buiten de Belastingdienst te brengen in de periode februari 2016 tot februari 2017. Naast dit onderzoek vindt er nog een onderzoek plaats naar de informatiebeveiliging bij de Broedkamer en voorlopers daarvan. Dat onderzoek richt zich op de periode van 2012 tot februari 2016. Ook over dat onderzoek heb ik in mijn brief van 14 februari jl. (Kamerstuk 31 066, nr. 344) beschreven wie het onderzoek uitvoert en wat de onderzoeksdoelen zijn. Dit onderzoek is nog in volle gang en de resultaten daarvan zullen naar verwachting in september dit jaar beschikbaar zijn.

Het onderzoek bij D&A over de periode februari 2016 tot februari 2017 is uitgevoerd door controllers en auditors van de IV-organisatie van de Belastingdienst onder leiding van de directeur Bedrijfsvoering IV. De ADR voert een toets uit op de aanpak en de uitvoering.

Wat betreft de tweede vraag merk ik op dat de geconstateerde gegevensuitwisselingen die ik in mijn brief van vrijdag jl. heb genoemd (Kamerstuk 31 066, nr. 367), alle voortkomen uit het onderzoek. Deze zijn niet aan het licht gekomen als gevolg van meldingen. Medewerkers die kennis hebben van gevallen waarin er gegevens van belastingplichtigen, belastingschuldigen of toeslaggerechtigden buiten de Belastingdienst zijn gebracht, kunnen dat melden via de gebruikelijke meldpunten en procedures voor integriteit, datalekken en vertrouwenspersonen. In dit verband wijs ik op het in mijn brief van 27 januari jl. genoemde externe meldpunt waar mensen met hun zorgen heen kunnen wanneer zij het gevoel hebben dat ze dit niet bij hun eigen management kwijt kunnen.⁴ Dit initiatief is in overleg met het Huis voor Klokkenluiders uitgemond in een onafhankelijke commissie Integriteit Belastingdienst gepositioneerd onder de secretaris-generaal, waar (vermoedens van) misstanden en integriteitsschendingen kunnen worden gemeld.

De voorlopige resultaten zoals gemeld in mijn brief van 30 juni jl. (Kamerstuk 31 066, nr. 367) laten zien dat voor wat betreft de monitoring bij de afdeling D&A onvoldoende invulling is gegeven aan de richtlijn informatiebeveiliging (het Handboek Beveiliging Belastingdienst, HBB). Dit bleek een papieren werkelijkheid. In mijn brief van 14 februari jl. (Kamerstuk 31 066, nr. 344) heb ik tevens aangegeven dat ook een onderzoek loopt naar de mate waarin de Belastingdienst invulling geeft aan de richtlijn informatiebeveiliging. Dit onderzoek is afgerond in het najaar van dit jaar, zoals gemeld in de 19^e halfjaarsrapportage (Kamerstuk 31 066, nrs. 355 en 357).

Zodra de resultaten van het onderzoek naar het gegevensgebruik bij D&A en het daaruit voortvloeiende rapport zijn vastgesteld en de ADR in vervolg daarop een eigen rapport heeft uitgebracht over de wijze waarop het onderzoek door de Belastingdienst is uitgevoerd, stuur ik uw Kamer beide rapporten toe. Dit zal in ieder geval voor het einde van het zomerreces zijn.

Technische briefing

De commissie heeft mij tevens verzocht om toestemming te verlenen voor een besloten technische briefing door de onderzoekers. Ik verleen mijn toestemming om enkele Belastingdienstmedewerkers die betrokken zijn bij het onderzoek bij D&A deel te laten nemen aan deze technische briefing. Ik heb de directeur-generaal gevraagd de briefing bij te wonen en hem verzocht de grootst mogelijke openheid te tonen over de stand van zaken van het onderzoek.

De Staatssecretaris van Financiën, E.D. Wiebes

---

1 Kamerstuk 31 066, nr. 367

2 Raadpleegbaar via www.tweedekamer.nl

3 Kamerstuk 31 066, nr. 344

4 Kamerstuk 31 066, nr. 331, p. 5.