Brief regering : Reactie op het verzoek van het lid Azarkan, gedaan tijdens de Regeling van Werkzaamheden van 1 februari 2022, over de Fraudesignaleringsvoorziening van de Belastingdienst

Nr. 972 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 10 februari 2022

Tijdens de regeling van werkzaamheden van 1 februari jl. (Handelingen II 2021/22,
nr. 44) heeft uw Kamer mij een aantal vragen gesteld naar aanleiding van mijn brief
van 25 januari jl.1 over een tweetal rapporten van PwC over de Fraudesignaleringsvoorziening (FSV). De
vragen zagen op de constateringen door PwC over uiterlijke kenmerken, op overtredingen
van de algemene verordening gegevensbescherming (AVG) en op de gegevensverstrekking
aan het Ministerie van Justitie en Veiligheid. Hieronder ga ik in op deze onderwerpen.

Uiterlijke kenmerken

Het lid Azarkan (DENK) heeft mij bij de regeling van werkzaamheden gevraagd in te
gaan op de verwijzingen naar uiterlijke kenmerken die worden genoemd in het rapport
over de effecten van FSV voor burgers die door de directie Particulieren geregistreerd
zijn. Ik heb PwC om een nadere toelichting gevraagd. In reactie hierop heeft PwC de
Belastingdienst een brief gestuurd die ik als bijlage integraal met uw Kamer deel2. PwC schrijft dat het uiterlijk voorkomen waar door medewerkers naar gerefereerd
wordt in de documentatie het volgende betreft:

– Leeftijd (18–35)

– Een niet-westers voorkomen

– Geslacht (man)

– Materieel bezit (dure auto’s)

PwC benadrukt dat het geen onderzoek heeft gedaan naar de vraag naar de mate waarin
de verwijzingen daadwerkelijk invloed hebben gehad op selectie en beoordeling. Ook
heeft het niet kunnen vaststellen in welke mate deze observaties breder representatief
zijn voor de werkzaamheden binnen de Belastingdienst.

Ik weet dat de constatering uit het onderzoek veel vragen oproept en begrijp dat uw
Kamer daar zo snel mogelijk antwoord op verwacht. Dat vereist wel een zorgvuldige
beoordeling van de concrete signalen en dossiers in hun context. Dit kan pas wanneer
de Belastingdienst heeft kunnen zien welke voorbeelden PwC in de communicatie heeft
aangetroffen. Op 8 februari jl. heeft de Belastingdienst de achtergronddocumentatie
van het betreffende onderzoek ontvangen. De toegang tot FSV is sinds de stopzetting
begin 2020 beperkt tot een kleine groep mensen voor onderzoek en verantwoording. Waarschijnlijk
zal ook in andere systemen moeten worden gekeken. Zodra de juiste procedures en autorisaties
zijn geregeld kunnen de voorbeelden worden opgezocht en wanneer deze gevonden zijn
beoordeeld. Ik zal uw Kamer zo spoedig mogelijk nader informeren. Ik zal dan tevens
reageren op de vraag van het lid Nijboer of er sprake was van racisme. Dat neemt niet
weg dat de signalen uit het onderzoek mij nu al grote zorgen baren. Risico-inschattingen
op basis van uiterlijk of andere volstrekt irrelevante kenmerken vind ik volkomen
ontoelaatbaar.

Algemene Verordening Gegevensbescherming

Het lid Azarkan (DENK) heeft tevens gevraagd wat ik gedaan heb naar aanleiding van
de conclusie dat de privacy van burgers niet gewaarborgd was. Hij heeft gevraagd of
ik daar aangifte van gedaan heb. Daarnaast heeft lid Omtzigt gevraagd aan te geven
op welke punten de AVG overtreden is en of dat bij de Autoriteit Persoonsgegevens
(AP) gemeld is.

Voor de beantwoording van deze vragen acht ik het verstandig om te verwijzen naar
de conclusies die de AP zelf al eerder heeft getrokken. Zij heeft onderzoek gedaan
naar de gegevensverwerking in FSV en heeft hierover op 29 oktober 2021 een rapport3 uitgebracht. Daarin constateert ze de volgende overtredingen:

• Het doel van FSV was onduidelijk;

• FSV bevatte onjuiste en niet-geactualiseerde persoonsgegevens;

• Signalen werden te lang bewaard;

• Het verwerken van persoonsgegevens waaronder nationaliteit of medische of strafrechtelijke
gegevens was onrechtmatig;

• De beveiliging van de gegevens voldeed niet aan de standaarden;

• De Functionaris voor de gegevensbescherming (FG) van het Ministerie van Financiën
werd te laat betrokken bij de gegevensbeschermingseffectbeoordeling (GEB) van FSV.

Ik onderschrijf deze conclusies. FSV had nooit zo moeten worden gebruikt. De AP heeft
aangegeven voornemens te zijn om te handhaven. Ik wacht dit af. Sinds de stopzetting
van FSV begin 2020 is al een groot aantal acties ingezet om de gegevensbescherming
en waarborgen in het toezicht te versterken. Zo licht de Belastingdienst lijsten en
meer dan negenhonderd applicaties door, wordt het signalenproces waarin FSV werd gebruikt
AVG-conform heringericht, is er een zoekactie naar mogelijk onterechte afwijzingen
voor minnelijke schuldsanering (MSNP) en zijn meer dan 200.000 mensen geïnformeerd
over hun FSV-registratie. In de rapportagereeks4 Herstellen, Verbeteren, Borgen (HVB) is uw Kamer hierover ingelicht.

Het lid Omtzigt zei tevens dat overtredingen van de AVG binnen 72 uur gemeld moeten
worden. Deze eis ziet specifiek op datalekken. Bij een datalek gaat het om toegang
tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie
zonder dat dit de bedoeling is van deze organisatie. Onterechte of onrechtmatige gegevensverwerking
(waarvan volgens de AP sprake was bij het gebruik van FSV) is daarmee niet automatisch
een datalek. Ook de externe verstrekking van gegevens over burgers in FSV is volgens
de onafhankelijke FG van Financiën niet automatisch een datalek. De vraag of voor
de door PwC waargenomen verstrekkingen een grondslag was, viel buiten de scope van
het op 25 januari jl. met uw Kamer gedeelde onderzoek. Zoals in deze Kamerbrief5 toegezegd laat ik deze vraag beoordelen. Ook wordt bekeken of één of meerdere verstrekkingen
als datalek moeten worden beschouwd. De Belastingdienst treedt hoe dan ook in overleg
met de in het rapport genoemde organisaties en zal de betrokken burgers conform de
motie van het lid Marijnissen6 informeren aan wie hun gegevens zijn verstrekt.

De AP is op de hoogte van het rapport van PwC over externe gegevensverstrekking. Zoals
genoemd in mijn brief van 25 januari jl.7 heb ik het rapport met de AP gedeeld. De Belastingdienst en de AP zijn hierover met
elkaar in contact.

Gegevensverstrekking aan het Ministerie van Justitie en Veiligheid

Het lid Omtzigt heeft verder gevraagd aan welke organisatieonderdelen binnen het Ministerie
van Justitie en Veiligheid gegevens over burgers in FSV zijn verstrekt, en of dit
ook de jeugdbescherming is. Ik kan deze vraag helaas nog niet beantwoorden. PwC heeft
31 gevallen aangetroffen waarin direct, indirect of in het onderwerpveld informatie
over een FSV-registratie is verstrekt aan het Ministerie van Justitie en Veiligheid.
Het heeft negen gevallen aangetroffen waarin een separaat risicosignaal dat ook in
FSV kon voorkomen naar het ministerie werd gestuurd. Uit de gevonden e-mailberichten
heeft PwC niet kunnen afleiden naar welk organisatieonderdeel deze gestuurd zijn.
Zoals vermeld in mijn brief van 1 februari jl.8 heeft PwC op 20 januari 2022 de data (van het onderzoek naar gegevensverstrekking)
aan de Belastingdienst overgedragen. De Belastingdienst zal deze data onderzoeken
en doet dat met inachtneming van de privacy van de genoemde burgers. Momenteel is
de Belastingdienst daarom bezig met het inrichten van de juiste procedure om een beperkt
aantal medewerkers toegang te geven tot de onderzoeksgegevens van PwC. Zo kan worden
achterhaald aan welk onderdeel binnen het Ministerie van Justitie en Veiligheid informatie
is verstrekt. Ik zal u in de volgende kwartaalrapportage HVB in maart hierover nader
informeren.

De Staatssecretaris van Financiën,
M.L.A. van Rij