Brief regering : Audit Wet politiegegevens Belastingdienst

Nr. 1162
BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 30 januari 2023

Sinds maart 2019 valt de verwerking van politiegegevens door Buitengewone Opsporingsambtenaren
(BOA’s) onder de Wet politiegegevens (Wpg). De Wpg schrijft periodieke audits voor
op de naleving van de Wpg door de werkgevers van BOA’s. Ook bij de Belastingdienst
werken BOA’s. Met deze brief wil ik uw Kamer informeren over het deels niet voldoen
aan de auditverplichting door de Belastingdienst.

Daarnaast informeer ik uw Kamer over de bevindingen van de al wel uitgevoerde audit
bij Bureau Economische Handhaving (BEH) van de Belastingdienst. De audit is uitgevoerd
door de Auditdienst Rijk (ADR). Ik wil de ADR bedanken voor de gedegen audit. De conclusies
in de rapporten zijn stevig. De ADR schrijft dat BEH in belangrijke mate niet voldoet
aan de Wpg. Dit is een ernstige tekortkoming. Mijn voorganger heeft toegezegd1 uw Kamer proactief te informeren wanneer blijkt dat de Belastingdienst zich onverhoopt
niet houdt aan wet- en regelgeving. Daarom stuur ik het rapport van de ADR mee in
de bijlage. BEH herkent zich in de geconstateerde tekortkomingen en pakt alle aanbevelingen
met grote urgentie op. Ik zal uw Kamer via de stand-van-zakenbrieven Belastingdienst
nader informeren over de te zetten stappen en de audit bij de andere onderdelen van
de Belastingdienst die onder de Wpg vallen.

Wpg-audits

De Wpg vereist een jaarlijkse interne audit en iedere vier jaar een externe audit.
De eerste externe Wpg-audit moest in 2021 worden uitgevoerd en uiterlijk eind 2021
bij de Autoriteit Persoonsgegevens (AP) worden ingediend. De AP heeft alle organisaties
met BOA’s die sinds 2019 onder de Wpg vallen een jaar uitstel verleend tot 31 december
eind 2022.

De FIOD, de bijzondere opsporingsdienst van de Belastingdienst, valt al vanaf 2009
geheel onder het regime van de Wpg. Het Wpg-auditrapport FIOD is op 9 februari 2022
gepubliceerd.2 In 2022 heeft de ADR een audit uitgevoerd bij BEH.

Eind 2022 heeft de Belastingdienst de AP per brief geïnformeerd dat het niet lukt
om tijdig de audit uit te voeren voor de andere onderdelen van de Belastingdienst
die onder de Wpg vallen. De reden hiervoor is dat hier binnen de Belastingdienst onvoldoende
aandacht voor is geweest. Daardoor is het niet halen van de termijn helaas te laat
gesignaleerd. Inmiddels is de ADR verzocht om deze audit uit te voeren. De uitvoering
van periodieke audits wordt in de toekomst geborgd in de organisatie.

Audit bij Bureau Economische Handhaving van de Belastingdienst

BEH voert verschillende niet-fiscale toezicht- en opsporingstaken uit in opdracht
van de Ministeries van Economische Zaken en Klimaat en Justitie en Veiligheid. De
grootste opsporingstaken liggen op het terrein van het niet deponeren van jaarrekeningen
en faillissementsfraude.

In het rapport over de naleving van de Wpg in de periode 2019 tot en met 2021 bij
BEH geeft de ADR een afkeurend oordeel, omdat in belangrijke mate niet werd voldaan
aan de Wpg. De belangrijkste conclusies zijn dat BEH nog niet alle bestanden met politiegegevens
heeft geïdentificeerd en gedocumenteerd. Daarnaast is het doel van de verwerkingen
niet vastgelegd. Daarnaast zijn de noodzakelijkheid, rechtmatigheid, juistheid en
volledigheid van politiegegevens niet geborgd. Ook zijn bewaar-, verwijder- en vernietigstermijnen
niet aantoonbaar inzichtelijk gemaakt.

BEH herkent zich in deze forse conclusies. De geconstateerde tekortkomingen moeten
en zullen zo snel mogelijk worden rechtgezet. De Belastingdienst heeft het Wpg-auditrapport
aan de AP gestuurd, zoals de Wpg voorschrijft. De aanbevelingen uit het auditrapport
worden projectmatig opgepakt. Dit leidt in maart 2023 tot een verbeterrapport. Vooruitlopend
daarop is gestart met het uitvoeren van verbetermaatregelen, waarop de medewerkers
van BEH volledig zijn ingezet. Zo is een aanvang gemaakt met het opstellen van Gegevensbeschermingseffectbeoordelingen
(GEB’s) en worden procesbeschrijvingen versneld opgepakt. Daarnaast is per werkproces
een risicoregister opgesteld met te nemen beheersmaatregelen en zijn stappen gezet
in het aanwijzen van bevoegd functionarissen. Eind 2023 zal BEH een hercontrole laten
uitvoeren door de ADR. Het is mijn verwachting dat een belangrijke verbetering te
zien zal zijn ten opzichte van het voorliggende rapport.

Op dit moment zijn er geen aanwijzingen dat mensen schade hebben geleden die toerekenbaar
is aan het niet nakomen van de Wpg door BEH. Uiteraard zal de Belastingdienst eventuele
klachten en signalen serieus nemen en behandelen conform de geldende regelgeving en
interne procedures.

Tot slot

De verwerking van politiegegevens vraagt grote zorgvuldigheid. Ik vind het van groot
belang dat de Belastingdienst aan de vereisten van de Wpg voldoet. Alle aanbevelingen
van de ADR worden overgenomen en de verbetermaatregelen worden zo spoedig mogelijk
opgepakt. Ik zal uw Kamer voorafgaand aan het voor maart 2023 geplande commissiedebat
in een stand-van-zakenbrief informeren over de voortgang.

De Staatssecretaris van Financiën,
M.L.A. van Rij