Brief regering : Aanpak signalenproces Belastingdienst

Nr. 1146
BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 16 december 2022

De Belastingdienst ontvangt van burgers, bedrijven en andere overheidsinstanties signalen
van mogelijke niet-naleving1 van de fiscale verplichtingen. Na het uitzetten van de Fraudesignaleringsvoorziening
(FSV) is de behandeling van een deel van deze signalen in 20202 opgeschort. De Belastingdienst heeft een nieuw signalenproces ontworpen. Hiervoor
is een gegevensbeschermingseffectbeoordeling (GEB) opgesteld, waarop de Belastingdienst
het advies van de Autoriteit Persoonsgegevens (AP) heeft gevraagd. Dit advies heb
ik op 31 augustus jl.3 met uw Kamer gedeeld; het gaat om een stevig advies, dat leidde tot de conclusie
dat de stilgelegde verwerkingen nog niet hervat kunnen worden. De Belastingdienst
heeft de aanbevelingen bestudeerd en zelf heb ik op 17 november jl. met de AP gesproken.
De Belastingdienst heeft een nieuwe aanpak ontwikkeld, die ik voor uw Kamer kort uiteenzet.
Vervolgens beschrijf ik de afwegingen die hieraan ten grondslag liggen en ga ik uitgebreider
in op de gekozen aanpak.

De Dienst Toeslagen verwerkt signalen via een eigen proces en is daarom in deze brief
buiten beschouwing gelaten. De Staatssecretaris van Financiën – Toeslagen en Douane
zal uw Kamer hierover informeren in de Stand-van-zakenbrief Toeslagen, die voor het
kerstreces met uw Kamer wordt gedeeld.

Signalen van mogelijke niet-naleving moeten zo snel mogelijk weer kunnen worden onderzocht,
omdat dit van belang is voor de informatiepositie van de Belastingdienst bij de handhaving.
Het kost echter veel tijd om de verwerking in te richten volgens de eisen van de Algemene
Verordening Gegevensbescherming (AVG). In reactie op de voorgelegde GEB adviseert
de AP een totaalbeeld op te stellen van de hele keten van verwerkingen van signalen.
De Belastingdienst ontvangt echter signalen van verschillende bronnen, die in verschillende
(toezicht)processen verwerkt kunnen worden; er is niet één keten, maar meerdere parallelle
processen voor verschillende typen signalen. Het opstellen van een alomvattende procesbeschrijving
voor deze processen is een complexe en tijdrovende opgave. Om de hervatting te bespoedigen
richt de Belastingdienst een programma in, waarin het proces per type signaal wordt
aangepakt. Wanneer de verwerking van een signaaltype is ingericht met voldoende waarborgen
volgens de eisen van de AVG, kan deze hervat worden. Prioriteit wordt gegeven aan
signalen waarvan in het verleden is gebleken dat ze vaak relevant en bruikbaar zijn,
zoals meldingen van overheidspartners4 die momenteel niet behandeld worden. Op deze manier streef ik ernaar de belangrijkste
stilgelegde signaalprocessen in 2023 weer op te kunnen starten. Ik ga hieronder in
op het programma en de planning.

Dilemma’s rondom het gebruik van persoonsgegevens

De Belastingdienst heeft de taak om het naleven van fiscale wet- en regelgeving in
brede zin te handhaven.5 De Belastingdienst vergroot zijn informatiepositie door het gebruik van signalen.
Dat zijn bijvoorbeeld meldingen van burgers of berichten van andere overheidsinstellingen
zoals het Openbaar Ministerie (OM), die bij hun eigen onderzoek op informatie stuiten
die ook voor de Belastingdienst relevant kan zijn. Zowel deze instellingen als burgers
verwachten dat de Belastingdienst deze signalen beoordeelt en waar relevant betrekt
voor effectief inzet in het toezicht. Sinds het uitzetten van meerdere signalenprocessen
in 2020 gebeurt dat niet altijd. Tijdens het vragenuur op 18 oktober jl. (Handelingen
II 2022/23, nr. 13, item 3) bleek dat de zorgen in uw Kamer om het toezicht, de naleving en de belastingmoraal
toenemen.

Het behandelen van signalen brengt onvermijdelijk de verwerking van persoonsgegevens
met zich mee, wat de privacy van betrokken burgers raakt. Dit speelt breder: een organisatie
als de Belastingdienst heeft honderden processen. Zoals eerder6 aan uw Kamer gemeld is er nu geen zekerheid dat elk van de lopende processen volledig
aan de AVG voldoet. Voor de lange termijn werkt de Belastingdienst aan het systematisch
in kaart brengen, toetsen en waar nodig verbeteren van alle bestaande processen.7

Voor de korte termijn staan we voor de afweging tussen zekerheid over maximale privacywaarborgen,
de mate van restrisico die we hierover accepteren, en de uitvoering van wettelijke
opdracht van de Belastingdienst. Mijn uitgangspunt is dat bestaande processen doorlopen
tenzij er concrete aanwijzingen zijn dat de gegevensbescherming niet goed geborgd
is. Dat geldt dus ook voor de nu lopende signalenprocessen (zie hieronder). Voor de
stilgelegde processen moet de gegevensbescherming geborgd zijn voor deze worden hervat.
Daarbij dienen eventuele restrisico’s op inbreuk op de privacy zorgvuldig en beredeneerd
te worden afgewogen tegen de noodzaak om gegevens te verwerken bij de taak van de
Belastingdienst om toezicht te houden.

De huidige situatie

Voor het registreren van een deel van de binnengekomen signalen werd FSV gebruikt.
Na het uitzetten van FSV in februari 20208 is besloten verschillende soorten signalen voorlopig niet te behandelen. Zoals mijn
voorganger op 28 april9 en 10 juli 202010 schreef, betekent dit niet dat er geen enkel signaal meer wordt verwerkt. Zo selecteert
de FIOD de strafrechtelijk relevante signalen om deze te onderzoeken. Verder gaat
bijvoorbeeld het programma Verhuld Vermogen door. Bovendien houdt de Belastingdienst
ook zonder signalen toezicht, bijvoorbeeld via reguliere controles en steekproeven
bij aangiftes van burgers en ondernemers.

Niettemin bevatten de daartoe bestemde postbussen een groeiende voorraad signalen.
Voor de Belastingdienst – zonder Toeslagen – zijn het er naar schatting 22.400.11 Dit zijn bijvoorbeeld de meldingen van burgers via Meld Misdaad Anoniem die naar
oordeel van de FIOD niet tot strafrechtelijk onderzoek nopen. Het zijn geen geverifieerde
meldingen van bewezen niet-naleving. Een deel van de signalen zal daadwerkelijk bruikbaar
zijn, een deel niet.

Er is een nieuw proces ontwikkeld voor het oppakken van signalen, met een ondersteunende
applicatie: de tijdelijke signalenvoorziening (TSV). Een nieuw proces kan echter pas
aanvangen wanneer het is getoetst aan de eisen van de AVG. Daarom is een GEB uitgevoerd,
die is voorgelegd aan de AP. Met een GEB worden vooraf de risico’s van een gegevensverwerking
in kaart gebracht, zodat daarna passende maatregelen kunnen worden genomen. De vraag
hierbij is dus, zoals hierboven is aangegeven, welke eventuele restrisico’s op grond
van een gedegen afweging geaccepteerd kunnen worden. Het is belangrijk om te beseffen
dat een GEB in de eerste plaats ziet op een proces van verwerking van gegevens, niet
op de applicatie die daarvoor gebruikt wordt. Maar zolang het onderliggend proces
niet hervat kan worden, wordt TSV uiteraard ook niet gebruikt.

Het advies van de AP

In haar advies12 op de GEB stelde de AP dat het essentieel is om uiterst zorgvuldig te werk te gaan
bij de hervatting van het signalenproces. Zij adviseerde de verwerking [van signalen]
niet aan te vangen totdat haar adviezen zijn verwerkt. De twee belangrijkste knelpunten
uit het advies voor het opstarten van het signaalproces betreffen de wettelijke grondslag
en het totaalbeeld van verwerkingen. Ik vat deze aanbevelingen kort samen met daaronder
mijn reactie.

Wettelijke grondslag verwerking signalen

Voor alle verwerkingen die de Belastingdienst in het kader van de behandeling van
signalen wil uitvoeren, dient hij een voldoende duidelijke en nauwkeurige wettelijke
grondslag te hebben. De AP adviseert om na te gaan ten aanzien van welke verwerkingen
(nadere) wettelijke borging vereist is en deze wettelijke borging te initiëren.

De AP heeft zich hierbij niet uitgesproken over de vraag of de bestaande wetgeving
voldoende grondslag biedt. De Belastingdienst en het Ministerie van Financiën hebben
inmiddels een juridische analyse uitgevoerd met gebruikmaking van eerder advies van
de Landsadvocaat:

− Voor de rechtmatige verwerking van persoonsgegevens kan een taak van algemeen belang
de grondslag bieden. De heffing en inning van Rijksbelastingen is een taak van algemeen
belang die in de belastingwet in algemene zin aan de Belastingdienst is opgedragen.
Het samenstel van de Algemene wet inzake Rijksbelastingen (AWR), de andere belastingwetten
en -regelingen en de uitvoering daarvan kan in principe voldoende rechtsbasis bieden
voor het ontvangen en verwerken van signalen. Een nadere wettelijke borging van de
grondslag wordt volgens deze juridische analyse vooralsnog niet nodig geacht.

− Uit de concrete procesbeschrijving moet onder meer specifiek blijken waarom de verwerkingen
van een signaal noodzakelijk zijn voor de vervulling van de taak van algemeen belang.
Daarom kan pas na de procesbeschrijving definitief worden geconcludeerd of de rechtsbasis
voldoende is voor het verwerken van de desbetreffende signaalsoort.

Totaalbeeld van verwerkingen

De voorgelegde GEB ziet maar op een beperkt deel van de verwerkingen waarin gebruikt
wordt gemaakt van signalen. De AP adviseert een totaalbeeld op te stellen waarin alle
risico’s voor alle betrokkenen in de hele keten van verwerkingen van signalen, binnen en buiten de Belastingdienst, zijn meegewogen.

Het advies van de AP vraagt dus om een bredere opzet dan gekozen was in de voorgelegde
GEB, waarin alleen het beoordelen van een binnenkomend signaal en het bepalen van
de voorgestelde behandelwijze zijn beschreven. Zo’n brede opzet is echter gecompliceerd:
de Belastingdienst ontvangt verschillende typen signalen die kunnen worden gebruikt
in meerdere bestaande toezichtprocessen, afhankelijk van de bron, de directie waaronder
de belastingplichtige valt, het belastingmiddel in kwestie, de inhoud van het signaal,
enzovoorts. Wanneer de Belastingdienst een doorzendplicht naar een andere overheidsinstelling
heeft, kunnen de signalen ook weer terechtkomen in externe processen die buiten de
verantwoordelijkheid van de Belastingdienst vallen. Er zijn dus meerdere routes die
signalen kunnen doorlopen. De opdracht om de hele keten van verwerkingen in kaart
te brengen, komt erop neer dat al deze processen in kaart moeten worden gebracht.
Hier wordt weliswaar aan gewerkt, maar dat is een zeer tijdrovende opgave.

Wat sneller kan, is het afzonderlijk in kaart brengen van de verschillende signaalprocessen.
Wanneer de verwerkingsketen van een bepaald type signaal in kaart is gebracht en ingericht
met de juiste waarborgen, dan wordt de behandeling van signalen van dat type hervat.
Op die manier hoeft de behandeling van het ene type signaal niet te wachten tot het
proces voor alle andere types is ingericht.

De gekozen aanpak

Programma voor het in kaart brengen verschillende signalenprocessen

Dat we sommige signalen van mogelijke niet-naleving momenteel niet opvolgen, is onwenselijk.
Ik wil dat de behandeling zo snel mogelijk wordt hervat met de juiste waarborgen.
Daarom richt de Belastingdienst een programma in waarin de verschillende signaalprocessen
afzonderlijk in kaart worden gebracht. Zoals hierboven beschreven, kan op deze manier
sneller in elk geval een deel van de signalen weer worden behandeld.

In het eerste kwartaal van 2023 voert de Belastingdienst een nulmeting uit van de
verschillende stilgezette en nog lopende signaalprocessen. Ook begint in januari een
steekproefsgewijs onderzoek naar de voorraad binnengekomen signalen sinds 2020 (zie
hieronder). Om het proces te bespoedigen begint de Belastingdienst parallel aan de
nulmeting en het steekproefsgewijze onderzoek al met het in kaart brengen van processen
waarvan reeds duidelijk is dat ze prioritair zijn. Ook wordt gekeken of er processen
zijn die in het eerste kwartaal al hervat kunnen worden, omdat de gegevensbescherming
al voldoende is geborgd. Vanaf medio 2023 worden de overige processen in kaart gebracht
op basis van de prioritering. Op deze manier streef ik ernaar eind 2023 de belangrijkste
processen ingericht te hebben en te kunnen hervatten. De minder prioritaire signalen
komen in 2024 aan bod. Ik zal uw Kamer in de stand-van-zakenbrief voor het volgende
commissiedebat nader informeren over de nulmeting, het onderzoek en de prioritering
van processen.

Prioritering

Signalen verschillen in betrouwbaarheid, concreetheid, herleidbaarheid en verondersteld
fiscaal belang. Daarnaast is het ene proces sneller in kaart te brengen dan het andere.
Ten slotte kan blijken dat de precieze grondslag voor de beoogde verwerkingen verschilt
(zie hierboven).

Grofweg is er een spectrum van signalen van overheidspartners als het Openbaar Ministerie
tot aan anonieme meldingen van burgers. Voor de eerste geldt dat ze reeds door een
deskundige instantie onderzoekswaardig voor de Belastingdienst zijn bevonden, en dat
heldere afspraken zijn te maken over de op te nemen persoonsgegevens. Voor de laatste
geldt dat zij ongestructureerd kunnen binnenkomen en dat ze niet altijd herleidbaar
zijn tot een specifieke belastingplichtige. Bovendien kan de Belastingdienst niet
voorkomen dat een melding per e-mail of brief bijzondere persoonsgegevens bevat waarvoor
geen verwerkingsgrondslag is. De inrichting van dat proces vraagt daarom om extra
waarborgen. Daarom komen signalen van overheidspartners (bijvoorbeeld Justis) als
eerste aan bod. Tips en kliks van burgers volgen later.

Voorraad binnengekomen signalen sinds 2020

Zoals hierboven uitgelegd zijn sinds medio 2020 – naar schatting – 22.400 signalen
binnengekomen in de daartoe bestemde postbussen die niet behandeld kunnen worden.
Omdat de relevantie van signalen naarmate de tijd vordert mogelijk afneemt, is niet
duidelijk welk deel hiervan nu nog zinvol gebruikt kan worden door de Belastingdienst.
Daarom start in januari 2023 een steekproefsgewijs onderzoek om te bepalen wat met
deze voorraad te doen op het moment dat het signalenproces hervat kan worden. Zo krijgen
we inzicht in de (fiscale) relevantie van de signalen die niet zijn opgepakt. De omvang
is beperkt tot 300 signalen en de resultaten zijn niet herleidbaar tot personen dan
wel bedrijven. De signalen worden alleen gebruikt voor het verkrijgen van inzicht
en worden niet behandeld in het toezicht. Op basis van de uitkomsten van het onderzoek
wordt besloten of en zo ja, welke van de bewaarde signalen alsnog behandeld kunnen
worden.

Tot slot

Uw Kamer en ik delen de ambitie om signalen van mogelijke niet-naleving zo snel mogelijk
weer op te kunnen volgen. De gegevensbescherming moet daarbij geborgd zijn. Voor de
tussentijd hecht ik eraan nogmaals te benadrukken dat het toezicht en de fraudebestrijding
niet stilliggen. De behandeling van verschillende typen signalen, zoals die voor de
FIOD of over Verhuld Vermogen, is nooit stilgelegd en blijft actief. Ook zonder signalen
voert de Belastingdienst nog steeds toezichthoudende activiteiten uit, om naleving
te bevorderen of zoveel mogelijk af te dwingen waar dat nodig is.

De Staatssecretaris van Financiën,
M.L.A. van Rij