De Belastingdienst beschermt de gegevens van Nederlanders niet goed genoeg. De fiscus houdt zich op veel belangrijke terreinen nog altijd niet aan de privacywetgeving en verbeteringen worden te langzaam doorgevoerd. Dat concludeert de Autoriteit Persoonsgegevens (AP). Vanwege de manier waarop het met gegevens van burgers omgaat staat de Belastingdienst sinds 2024 onder verscherpt toezicht van de privacytoezichthouder.

In het rapport 'Staat van de gegevensbescherming bij de Belastingdienst' maakt de AP de balans van de afgelopen periode op. Voor het rapport onderzocht de toezichthouder de werkwijze van de Belastingdienst en bracht tekortkomingen in kaart. Bij twaalf onderwerpen beoordeelde de AP of de fiscus de wet naleeft en hoe snel de Belastingdienst de problemen aanpakt.

Bij tien onderwerpen schiet de naleving van de wet nog tekort, aldus de AP. Zo zijn de selectiealgoritmes onvoldoende onderbouwd, terwijl dat nodig is om discriminatie te voorkomen. De Belastingdienst kan ook nog niet aantonen dat er bij beslissingen van algoritmes een mens meekijkt als dat moet van de wet. Daarnaast beveiligt de Belastingdienst persoonsgegevens niet goed, waardoor de kans op misbruik bestaat.

Verder moet volgens de toezichthouder de privacyorganisatie van de fiscus beter functioneren voor duurzame verbetering van gegevensbescherming, moeten lokaal ontwikkelde applicaties worden teruggedrongen waarvan onduidelijk is in hoeverre ze voldoen aan de wet- en regelgeving, moet de fiscus stoppen met het verwerken van het burgerservicenummer in betalingskenmerken en vorderingsnummers, moet het inzageverzoeken van burgers op tijd en goed afhandelen en moet het zorgen voor een volledig en kwalitatief toereikend verwerkingsregister.

Tevens wil de AP dat de Belastingdienst de applicaties KTA en Informatiesjabloon uitfaseert, omdat de verwerking van persoonsgegevens met deze systemen niet voldoet aan de wet- en regelgeving. "Dat is onder meer zo omdat te veel medewerkers van de Belastingdienst onnodig toegang hebben tot persoonsgegevens", aldus de toezichthouder. Die noemt het feit dat de naleving op zoveel punten nog niet op orde is een ernstige constatering. "Het gaat hier immers om een van de grootste verwerkers van persoonsgegevens van Nederland."

"De Belastingdienst is een van de grootste verwerkers van persoonsgegevens van Nederland. Dat vaak gevoelige persoonsgegevens van vrijwel iedere Nederlander nog steeds niet goed genoeg worden beschermd, is dan ook een zorgelijke conclusie", zegt AP-bestuurslid Katja Mur. De Belastingdienst wijst vaak op de verouderde IT-systemen, waardoor het moeilijk zou zijn om de noodzakelijke verbeteringen snel door te voeren. Het belang van gegevensbescherming concurreert dan met beleidswensen van het kabinet en de Tweede Kamer. Volgens de AP moet de bescherming van persoonsgegevens zwaarder meewegen.