Fiscus krijgt geen boete voor ernstige privacyovertredingen RAM-systeem
De Belastingdienst krijgt geen boete of andere sancties opgelegd wegens ernstige overtredingen met het RAM-systeem, zo heeft de Autoriteit Persoonsgegevens (AP) besloten. Via het RAM-systeem, waar de fiscus 20 jaar mee werkte, werd op grote schaal persoonlijke informatie van burgers verzameld, onder andere verkregen door middel van online scraping. Het systeem werd bij de invoering van de AVG in mei 2018 uitgeschakeld, maar de verzamelde data bleef tot begin 2021 beschikbaar.
Het systeem werd volgens interne rapportage waarover NRC berichtte gebruikt voor ‘profiling’ en het detecteren van 'verwonderadressen', waar volgens de verzamelde data sprake was van mogelijk afwijkende gedragspatronen. De gegevens die de fiscus gebruikte waren uit tientallen bronnen, binnen en buiten de overheid, afkomstig. Informatie uit het systeem kon zonder controle worden geëxporteerd naar Excel-sheets en meegenomen op eigen usb-sticks. Wie het systeem gebruikte en voor welke informatie werd niet bijgehouden.
"De Belastingdienst heeft met de applicatie RAM gedurende lange tijd de regelgeving ten aanzien van de bescherming van persoonsgegevens stelselmatig overtreden. De AP oordeelt dat er sprake is van ernstige overtredingen", aldus de toezichthouder in een brief aan demissionair staatssecretaris Van Oostenbruggen van Financiën.
De AP stelde vast dat met RAM op onrechtmatige wijze persoonsgegevens zijn verwerkt , waaronder bijzondere categorieën van persoonsgegevens en persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten. Tevens werden via het systeem discriminerende verwerkingen uitgevoerd, waren er geen passende technische en organisatorische maatregelen getroffen voor het beveiligen van persoonsgegevens. Ook onttrok de Belastingdienst zich jarenlang aan het toezicht door geen meldingen te doen, terwijl die wel wettelijk verplicht zijn.
"Het gaat om overtredingen die dermate ernstig zijn dat een stevige sanctie niet zou misstaan", zo oordeelt de privacytoezichthouder. Omdat de overtredingen inmiddels langer dan zeven jaar geleden zijn begaan heeft de AP besloten geen sancties op te leggen. De toezichthouder laat aanvullend weten dat hierbij ook meespeelt dat de staatssecretaris heeft erkend dat er fouten zijn gemaakt en dat de Belastingdienst zegt maatregelen te zullen nemen om soortgelijke fouten in de toekomst te voorkomen.
"Het is belangrijk dat een dergelijke situatie zich niet opnieuw voordoet en kan voordoen bij de Belastingdienst", reageert de staatssecretaris op de brief. Volgens Van Oostenbruggen had het RAM-systeem nooit op deze manier gebruikt moeten en mogen worden. "Het verleden kan ik niet veranderen, ik wil me dus richten op wat we in het heden moeten doen om te zorgen dat in de toekomst deze problematiek niet meer voorkomt."
De AP deed onlangs onderzoek naar zes 'RAM-achtige' systemen van de Belastingdienst. Twee van deze systemen moet de fiscus wegens overtredingen van de AVG zo snel mogelijk stopzetten, vier andere moet het aanpassen, maakte de Autoriteit Persoonsgegevens gisteren bekend.
Zijn ze overigens al mee begonnen door besloten groepen en zo privé, door te politie te laten meekijken. Stap één wordt nu al genomen en velen zullen nog genomen gaan worden. Wat China en Rusland kunnen dat kunnen wij in Nederland ook doen.
Als een ambtenaar een vergissing begaat, of een verkeerde instructie ter goeder trouw uitvoert, dan is zo'n ambtenaar natuurlijk niet persoonlijk aansprakelijk. Als de overtredingen echter evident bekend zijn (daarom waren ze immers in 2018 gestopt), en zijn zo grootschaling, ernstig en stelselmatig dan vervalt dat "ter goeder trouw" argument en moeten de verantwoordelijk ambtenaren persoonlijk vervolgd worden. Bij iets als dit moeten een paar mensen gewoon persoonlijk aansprakelijk gehouden worden en een fikse boete (voor een persoon, dat kan dan dus geen 10 miljard zijn maar bijvoorbeeld een jaarsalaris) krijgen, en/of celstraf.
Als een politieambtenaar tijdens de uitoefening van het werk conform de geweldsinstructie handelt en genoodzaakt is iemand dood te schieten dan is die agent gewoon bezig met de uitvoering van het werk. Als diezelfde ambtenaar zonder aanleiding op straat iemand zomaar dood schiet, dan gaat die politieambtenaar de cel in, en terecht. Ik snap niet waarom we niet op soortgelijke wijze handelen met hoge beleidsambtenaren in kantoorgebouwen in Den Haag. Waarom komen die er altijd wel mee weg? Er zijn op grote schaal stelselmatig ernstige overtredingen begaan, het is tijd dat er een duidelijk signaal uitgaat dat dat niet kan.
Volgende wassen neus : NIS2
Het zou wel mooi zijn als dit soort organen eens wat meer in de gaten gehouden wordt.
Slaap lekker.
Nederland krijgt korting op belasting, 1e overtreding, 5%, 2e overtreding verdubbeling, etc dan verdwijnen issues rondom privacy zeer snel.
Het kan ook helpen om de centrale staf (dg), tm verantwoordelihken in de lijn, voor de rest van hun leven in een afbetalings regeling voor het opgelopen tekort op te nemen.
Er zullen toch (top)ambtenaren of ministers voor zijn die daarvoor (in ieder geval politiek) aansprakelijk voor zijn.
Noblesse oblige.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?