Interne signalen binnen de Belastingdienst over de Fraude Signalering Voorziening (FSV), een zwarte lijst waarmee de fiscus de AVG op ernstige wijze heeft geschonden, zijn onvoldoende opgepakt, zo stelt demissionair staatssecretaris Vijlbrief van Financiën.

Op de zwarte lijst werden allerlei signalen van vermeende of bewezen fraude van zowel binnen als buiten de Belastingdienst bijgehouden. Het ging dan bijvoorbeeld om meldingen bij Meld Misdaad Anoniem, meldingen van burgers en bedrijven en meldingen van andere overheidsorganisaties. Soms werd ook geregistreerd als bijvoorbeeld de gemeente iemands inkomensgegevens had opgevraagd. Dit had niks met mogelijke fraude te maken, maar die persoon kon dan toch op de zwarte lijst terechtkomen.

AVG

Onlangs oordeelde de Autoriteit Persoonsgegevens dat de Belastingdienst de AVG ernstig heeft geschonden met de FSV. De Tweede Kamer vroeg Vijlbrief naar aanleiding van het onderzoek van de privacytoezichthouder om opheldering. Zo wilde de Kamer weten hoe het kan dat de zwarte lijst niet is opgemerkt toen er binnen de Belastingdienst een programma werd uitgevoerd om de fiscus aan de AVG te laten voldoen.

Vijlbrief stelt dat de Belastingdienst in de periode 2017-2018 een programma uitvoerde om de AVG te implementeren. In mei 2019 werd de Tweede Kamer over de voortgang van de AVG-implementatie geïnformeerd. "Ik concludeer dat dat het beeld dat eerder met uw Kamer is gedeeld, niet geheel volledig en daarmee te positief is geweest", laat de staatssecretaris nu weten. Zo stelde de Belastingdienst dat het wat betreft "AVG-instrumenten" aan de regels voldeed, terwijl dit niet het geval was.

Eind 2018 werd binnen de Belastingdienst opdracht gegeven om een gegevensbeschermingseffectbeoordeling (GEB) over de zwarte lijst uit te voeren. Een GEB is een risicoanalyse bij de verwerking van persoonsgegevens. De FSV werd echter op 27 februari 2020 pas uitgeschakeld. Bij de beoordeling werd alleen de applicatie zelf onderzocht, niet het volledige gebruik van persoonsgegevens in de toezichtprocessen. "Dit had wel gemoeten", aldus Vijlbrief.

Daarnaast had de conclusie van de beoordeling aanleiding moeten zijn om de privacy officer van de Belastingdienst en de Functionaris voor Gegevensbescherming (FG) in te schakelen of er volgens de regels van de AVG nog met het systeem kon worden gewerkt. "Daar is onvoldoende aandacht voor geweest", merkt de staatssecretaris verder op.

Kamerlid Omtzigt wilde weten of er al voor deze beoordeling waarschuwingen over de FSV zijn geweest. "Uit een eerste inventarisatie blijkt dat er eerder interne signalen zijn geweest die onvoldoende zijn opgepakt", laat Vijlbrief daarop weten. Op dit moment wordt volgens de staatssecretaris onderzocht op welk niveau deze meldingen zijn gedaan en wat hiermee is gedaan.

Verder herhaalt de staatssecretaris dat het nog jaren zal duren voordat de Belastingdienst aan de AVG voldoet. "Ik heb in mijn Kamerbrief van 10 juli 2020 aangegeven dat hier minimaal drie jaar voor nodig is. Het voldoen aan de AVG vergt een permanente inspanning en continu aandacht."