Brief regering : Hercontroles Wet politiegegevens (Wpg)

31 934
Douane

Nr. 1352
BRIEF VAN DE STAATSSECRETARISSEN VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 27 maart 2024

Als vervolg op de audits in het kader van de Wet politiegegevens (Wpg) die in 2022
en 2023 bij de Belastingdienst en de Douane zijn uitgevoerd, heeft de Auditdienst
Rijk (ADR) in december 2023 drie hercontroles uitgevoerd. Met deze brief sturen wij
u de rapportages van de ADR over deze hercontroles.

Auditproces Wpg

De verwerking van politiegegevens door buitengewoon opsporingsambtenaren (boa’s) in
het kader van de opsporingstaak valt sinds 2019 onder de Wpg. De Wpg stelt specifieke
eisen aan de informatieverwerking van politiegegevens in vergelijking met de Algemene
Verordening Gegevensbescherming die voor de overige werkprocessen van de Belastingdienst
en de Douane geldt. De Autoriteit Persoonsgegevens (AP) heeft organisaties die boa’s
in dienst hebben tot eind 2022 de tijd gegeven om met een onafhankelijke privacy-audit
compliantie aan de Wpg te toetsen.

Over de eerste audits en de voortgang bij de Belastingdienst bent u eerder geïnformeerd
in de brieven van 30 januari 2023 en 5 juli 2023.1 Over de audit van de Douane is uw Kamer in januari en april 2023 geïnformeerd.2 Uit deze eerste audits is gebleken dat de werkprocessen van boa’s binnen de Belastingdienst
en de Douane niet aan de Wpg voldeden. Naar aanleiding hiervan zijn binnen drie maanden
na de oplevering van de auditrapporten wettelijk verplichte verbeterrapporten opgesteld.

Binnen de Belastingdienst werken boa’s bij het Bureau Economische Handhaving (BEH),
dat onderdeel is van de directie en Grote Ondernemingen (GO) en daarbuiten bij de
directies Midden- en Kleinbedrijf (MKB), Particulieren (P) en GO (exclusief BEH).
Vanwege de uiteenlopende werkzaamheden is het auditproces voor BEH enerzijds en MKB,
P en GO (excl. BEH) afzonderlijk georganiseerd. Voor de Belastingdienst zijn dus ook
twee afzonderlijke verbetertrajecten ingezet.

De Belastingdienst en de Douane werken aan de uitvoering van verbeterpunten voor de
implementatie van de Wpg. Op de activiteiten uit de verbeterrapporten zijn in december
2023 wettelijk verplichte hercontroles uitgevoerd door de ADR. De hercontroles van
de ADR geven onafhankelijke oordelen over de voortgang op een door de ADR in overleg
met de betrokken directies gemaakte selectie van auditpunten, waar volgens de opgestelde
verbeterrapporten in de periode sinds de eerste audit verbeteringen zijn doorgevoerd.

De ADR constateert op alle drie de trajecten voortgang, maar tegelijkertijd zijn er
nog verdere verbeteringen nodig om volledig aan de Wpg te voldoen. Dit lichten wij
hieronder toe.

Bureau Economische Handhaving (BEH)

De ADR constateert over de hercontrole bij het BEH dat, ondanks de gerealiseerde verbetermaatregelen
op een aantal punten, het BEH de wettelijke eisen met betrekking tot de verwerking
van politiegegevens door boa’s (nog) niet op afdoende wijze in opzet, implementatie
en toepassing heeft ingevuld. De opzet is op dertien punten wel als voldoende beoordeeld
en op één punt als deels voldoende. Hoewel er in de afgelopen periode verbeteringen
zijn doorgevoerd, moeten er nog noodzakelijke stappen volgen om de procedures en maatregelen
te implementeren.

De ADR constateert bijvoorbeeld dat in het kwaliteitshandboek Wpg nu informatie is
vastgelegd over werkwijzen, rollen en doelbinding waarmee in de opzet is voldaan.
Een van de redenen voor het nog niet voldoen in de implementatie en toepassing is
dat er op een aantal auditpunten nog geen (periodieke) interne controles worden uitgevoerd.

De Belastingdienst onderschrijft de bevindingen van de ADR. Deze zijn volgens verwachting,
omdat de tijd tussen de audit en de hercontrole te kort was om op alle auditpunten
volledig te voldoen. De dienst spant zich in om vóór 1 september 2024 alle auditpunten
van de hercontrole bij het BEH te hebben geïmplementeerd met als doel op deze punten
te voldoen aan de wettelijke vereisten van de Wpg.Voor de realisatie van alle verbeteringen
die volgens de initiële audit noodzakelijk zijn, is ook een goede ondersteunende IT-voorziening
noodzakelijk. De ontwikkeling daarvan is afhankelijk van schaarse en tijdige beschikbaarheid
van IT-capaciteit en naar verwachting niet voor 2025 gerealiseerd.

Boa’s MKB, P en GO (exclusief BEH)

De ADR constateert over de hercontrole dat de directies MKB en P voor de tien vastgestelde
auditpunten van de hercontrole in opzet (grote) stappen hebben gezet, maar dat het
in een aantal gevallen nog ontbreekt aan een verdere uitwerking en inrichting in implementatie
en toepassing, en in de controle hierop. De in de hercontrole meegenomen auditpunten
voldeden bij de initiële audit alle tien niet aan de norm, maar bij de hercontrole
voldeden ze deels of volledig.

Zo constateerde de ADR dat nu per zaak de categorieën van betrokkenen goed worden
geregistreerd, dat de geheimhoudingsplicht goed is vastgelegd in opzet, implementatie
en toepassing en dat er een proces is ingericht voor datalekken van onder andere politiegegevens.
De ADR miste ten tijde van de audit op een aantal punten de vastlegging en invulling
van (periodieke) controles.

De initiële audit had ook betrekking op de boa’s van GO buiten het BEH. Na een interne
analyse is naar voren gekomen dat de boa’s werkzaam binnen de directie GO buiten het
Bureau Economische Handhaving (BEH) geen boa-werkzaamheden binnen de directie GO verrichten
die onder het regime van de Wpg vallen. Gevolg hiervan is dat de ADR zich bij de onderhavige
hercontrole alleen richt op de beoordeling van de verbeteringen binnen de directies
MKB en P.

De Belastingdienst kan zich vinden in de bevindingen van de ADR in het rapport over
directies MKB en P, waaronder de constatering dat er (grote) stappen voorwaarts zijn
gezet. De Belastingdienst is zich ervan bewust dat er ook in de komende periode flinke
inspanningen gevraagd worden om gezamenlijk de noodzakelijke verbeterpunten door te
voeren en naar aanleiding van de hercontroles waar nodig aanvullingen op de verbeterpunten
toe te voegen.

In 2024 wordt verder gewerkt aan deze tien verbeterpunten en aan de resterende verbeterpunten
die geen onderdeel uitmaakten van de hercontrole. Voor de ondersteunende ICT-voorziening
geldt hetzelfde als voor het BEH: deze is naar verwachting niet voor 2025 gerealiseerd.

Douane

De ADR komt op basis van de hercontrole tot het oordeel dat bij de onderwerpen waar
de Douane mee aan de slag is gegaan, in opzet grote stappen zijn gezet, maar dat in
een aantal gevallen een verdere uitwerking in implementatie en toepassing mist.

De Douane herkent zich in het oordeel van de ADR dat in een aantal gevallen verdere
verbeteracties nodig zijn om de implementatie en toepassing aantoonbaar te maken.
De uitwerking van deze verbetermaatregelen vergt meer tijd dan in eerste instantie
is ingeschat. Dit geldt ook voor een aantal verbetermaatregelen die in het vierde
kwartaal van 2023 en het eerste kwartaal van 2024 zijn ingepland.

De Douane zet zich in om alle verbetermaatregelen in opzet, implementatie en toepassing
te realiseren voor het einde van 2024. Bij de maatregelen die samenhangen met systeemaanpassingen
en die met voorrang in de IT-planning opgenomen zijn, dient rekening gehouden te worden
met het volle IT-portfolio bij de Douane, wat noodzaakt tot reguliere prioritering
van IT-werkzaamheden en mogelijk langere uitloop.

Tot slot

De rapporten van de hercontroles zijn, conform de wettelijke verplichting, vóór 1 maart
2024 bij de AP ingediend. Via de reguliere stand-van-zakenbrieven Douane en de reguliere
stand-van-zakenbrieven Belastingdienst, wordt uw Kamer op de hoogte gehouden van de
voortgang van de verbeteraanpak. Deze brieven worden elk tweemaal per jaar verstuurd.
De eerstvolgende stand-van-zakenbrief Douane is voorzien voor juli 2024. De stand-van-zakenbrief
Belastingdienst wordt zoals gebruikelijk voorafgaand aan het nog in te plannen commissiedebat
Belastingdienst aan uw Kamer aangeboden.

De Staatssecretaris van Financiën,
A. de Vries

De Staatssecretaris van Financiën,
M.L.A. van Rij