Brief regering : Stand van zaken Herstellen, Verbeteren, Borgen (HVB)

Nr. 816
BRIEF VAN DE STAATSSECRETARISSEN VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 22 april 2021

Op 13 oktober 2020 hebben wij het plan van aanpak «Herstellen, Verbeteren en Borgen»
(HVB) aan uw Kamer toegezonden.1 Dit plan is de uitwerking van de acties, die we sinds maart 2020 hebben ingezet om
problemen op te lossen in de wijze waarop de Belastingdienst is omgegaan met (persoons)registraties,
risicomodellen en het gebruik van persoonsgegevens zoals nationaliteit. Zoals aangekondigd2 informeren wij uw Kamer in deze brief over de voortgang van de acties uit het plan
van aanpak HVB. Tevens ontvangt uw Kamer bij deze brief de beantwoording van het Schriftelijk
Overleg van 26 februari 2021 over de op 1 februari 2021 toegezonden brief inzake toezeggingen
naar aanleiding van het notaoverleg van 1 februari 2021 en gebruik van tweede nationaliteit
door de Belastingdienst (Kamerstuk 31 066, nr. 817).

Het feit dat de Belastingdienst niet voldoet (of niet voldoende kan aantonen te voldoen)
aan wetgeving gericht op het borgen van de privacy van burgers, en openheid en transparantie
van de overheid is ernstig. Daarom zijn wij sinds ons aantreden in februari 2020 bezig
met het oplossen van deze problemen. Tegelijkertijd kan worden gesteld dat de impact
van wetgeving zoals de Algemene verordening gegevensbescherming (AVG), Wet Open Overheid
en de Archiefwet op uitvoeringsorganisaties groot is. Zo levert de interpretatie van
de AVG soms vragen op bij de uitvoering en is een consistente implementatie in vele
verschillende bedrijfsprocessen intensief. Het einddoel is dat zowel de continuïteit
als de legitimiteit van de uitvoering van de taken van de Belastingdienst is geborgd.

Zoals eerder aangekondigd3 zal dit een meerjarig traject zijn als gevolg van zowel het grote aantal4 als de complexiteit van de processen. Dat dit meerjarige traject voor de Belastingdienst
niet op zichzelf staat, blijkt uit het rapport van de Tijdelijke commissie Uitvoeringsorganisaties5 en uit de probleemanalyse die in het kader van het traject Werk aan Uitvoering6 is gemaakt.

Op 27 januari jl. bent u voor het eerst geïnformeerd over de stand van zaken van de
acties van het programma HVB.7 Sindsdien is uw Kamer drie keer specifieker geïnformeerd over een aantal zaken die
raakvlakken hebben met het programma HVB.

Op 5 februari jl. hebben wij u een brief gestuurd over de gedane toezeggingen in het
notaoverleg «fraudeopsporing en gebruik van tweede nationaliteit door de Belastingdienst»,
dat op 1 februari jl. plaatsvond.8

Op 12 maart jl. stuurden wij u een brief met daarin een overzicht van de wetten waar
de Belastingdienst zich niet aan gehouden heeft.9 Dit in reactie op de motie van het lid Omtzigt, die ons daartoe opriep.10 In deze brief hebben wij aangekondigd dat we in de brieven over het plan van aanpak
HVB en het vervolg op de kabinetsreactie Parlementaire Ondervragingscommissie Kinderopvangtoeslag
(POK) hier verder op in zouden gaan. Wij kondigen hierbij aan dat wij voor de zomer
van 2021 de uitkomsten van de aangekondigde11 inventarisatie van hardheden in wet- en regelgeving met uw Kamer zullen delen. Daarin
zoeken we systematisch naar gevallen van niet-rechtstatelijk handelen, knellende wetten
of harde grenzen met onbedoelde inkomenseffecten.

Vervolgens hebben wij – naar aanleiding van de motie van het lid Marijnissen12 – u op 25 maart jl. de stand van zaken medegedeeld van het informeren van de mensen
die in de Fraude Signalering Voorziening (FSV) geregistreerd stonden.13

In deze brief informeren we uw Kamer over de stand van zaken van de acties van het
programma HVB aan de hand van de volgende indeling:

A. Onderzoeken en maatregelen m.b.t. de Fraude Signalering Voorziening (FSV)

A.1. Informeren burgers over vermelding in FSV

A.2. In kaart brengen van effecten op burgers en bedrijven

A.2.1. Onderzoek door externe partij

A.2.2. Onderzoek naar gebruik FSV-signalen door convenantpartners

A.2.3. Analyse door Belastingdienst van de impact FSV-registratie en O/GS-kwalificatie bij
een aanvraag van een minnelijke schuldsanering

A.3. Uitvoering Motie Snels

A.4. Tijdelijke signalen voorziening

B. Onderzoek en maatregelen m.b.t. de werking van projectcode 1043

C. Onderzoek en maatregelen t.a.v. lijsten met risicosignalen

D. Onderzoek en maatregelen t.a.v. applicaties

D.1.1. Gebruik nationaliteit

D.1.2. Onderzoek verstrekkingendatabases

E. Bedrijfsprocessen inrichten conform de AVG, BIO en Archiefwet

F. Aanvullende acties t.a.v. omgang met persoonsgegevens

F.1.1. Onderhanden werk Combiteam Aanpak Facilitators (CAF)

F.1.2. Wettelijke grondslagen voor gebruik nationaliteit

U treft als bijlage bij deze brief een overzicht met de status en de planning van
de acties uit het programma HVB, alsmede een overzicht van wettelijke grondslagen
voor het gebruik van het persoonsgegeven nationaliteit door de Belastingdienst14.

A. Onderzoeken en maatregelen m.b.t. de Fraude Signalering Voorziening (FSV)

Sinds de laatste brief over de stand van zaken van het traject HVB is er een aparte
programmaorganisatie opgezet om te handelen op de reacties van burgers naar aanleiding
van de brief over hun vermelding in de FSV. Zoals wij hebben aangegeven in onze brief15 van 25 maart jl. heeft deze organisatie een speciaal telefoonnummer voor vragen over
FSV opgericht. Ook is er een meldpunt opgericht voor burgers die mogelijk gevolgen
van een FSV-registratie hebben ondervonden. Daarnaast zijn de processen voor het behandelen
van Algemene verordening gegevensbescherming (AVG)-inzageverzoeken ingericht en is
er menscapaciteit opgeschaald om zo snel mogelijk de inzageverzoeken n.a.v. de brief
te kunnen behandelen. Tot slot is de Belastingdienst in kaart aan het brengen of een
registratie in FSV mogelijk onterechte gevolgen heeft gehad. Het is nu nog niet mogelijk
om te zeggen of dit zo is. Mocht dit het geval zijn, worden vanzelfsprekend de burgers
en uw Kamer hierover geïnformeerd.

A.1. Informeren burgers over registratie in FSV en afhandeling inzageverzoeken

Op 25 maart jl. hebben wij uw Kamer geïnformeerd over het informeren van de burgers
die in de FSV geregistreerd stonden16; op 30 en 31 maart jl. zijn de eerste 2.000 burgers geïnformeerd over hun FSV-registratie.
Medio april heeft de Belastingdienst de volgende 20.000 burgers een brief gestuurd
om ze te informeren over hun FSV-registratie. De verwachting is dat na deze 20.000
brieven een goed beeld is te geven van de reacties op de brieven. De planning is om
uiterlijk eind juni alle resterende brieven verstuurd te hebben. In de brief is ingegaan
op de informatievoorziening naar de mensen die behoefte hebben aan meer informatie.
Mensen die in FSV geregistreerd stonden, kunnen hier op twee manieren meer informatie
over verkrijgen:

• deze mensen kunnen zich melden bij twee meldpunten als ze verwachten onterechte nadelige
gevolgen van FSV te hebben ondervonden. Zij kunnen zich via belastingdienst.nl/meldpunt
melden als zij vermoeden dat ten onrechte geen minnelijke schuldsanering is toegekend
of via belastingdienst.nl/fsv als zij vermoeden andere onterechte gevolgen te hebben
ondervonden;

• deze mensen kunnen een AVG-inzageverzoek doen om inzicht te krijgen in de persoonsgegevens
waarmee ze in FSV geregistreerd stonden.

A.2. In kaart brengen van effecten op burgers en bedrijven

A.2.1. Onderzoek door externe partij

Om het onderzoek naar de effecten van het gebruik van FSV op burgers en bedrijven
zo snel mogelijk op te starten, is er, zoals wij hebben aangegeven in onze brief17 van 5 februari jl., voor gekozen om geen Europese aanbesteding te doen. Het eerste
deel van het onderzoek naar de effecten voor burgers van het gebruik van FSV door
Toeslagen, is gegund aan PWC. Het onderzoek bevindt zich in de fase waarin dossiers
worden onderzocht. De onderzoeksvraag voor het tweede deel van het onderzoek, dat
betrekking heeft op de effecten van het gebruik van FSV door de Belastingdienst op
burgers en bedrijven, is in voorbereiding. Naar verwachting zal dat onderzoek in de
tweede week van mei 2021 kunnen aanvangen. Wij streven er naar de onderzoeken in september
2021 te laten afronden en vervolgens de bevindingen met de Kamer te delen.

A.2.2. Onderzoek naar gebruik FSV-signalen door convenantpartners

In samenwerkingsverbanden worden met convenantpartners gegevens gedeeld op grond van
wet- en regelgeving.18 Alle informatie-uitwisseling met de convenantpartners vindt plaats binnen convenanten,
die binnen de grenzen van de wet- en regelgeving informatie-uitwisseling regelen.
De Belastingdienst kan in bepaalde samenwerkingsverbanden informatie uit FSV hebben
gedeeld met convenantpartners. Op 5 februari jl. hebben wij uw Kamer medegedeeld dat
de Belastingdienst contact heeft opgenomen met de betreffende convenantpartners om
hen te informeren over het mogelijk gebruik van informatie uit FSV.19 De vraag is in hoeverre informatie uit FSV is gebruikt en of sprake is van verkeerd
gebruik. De Belastingdienst heeft een plan van aanpak opgesteld om na te gaan of er
nog informatie uit FSV te herleiden is bij de convenantpartners. Dit plan van aanpak
is met deze partners afgestemd. In het plan is opgenomen om te beginnen met een onderzoek
met beperkte reikwijdte (met als peiljaar 2019) om inzicht te krijgen of, en zo ja
in welke mate, gebruik is gemaakt van informatie uit FSV. Op basis van de uitkomst
van dit onderzoek wordt besloten of en hoe verder onderzoek zal worden vormgegeven.

Omdat per samenwerkingsverband de wijze van informatie-uitwisseling verschillend is,
is per samenwerkingsverband een nader onderzoek in gang gezet. Hieronder een stand
van zaken in dit onderzoek bij elk van deze convenantpartners:

1. Regionale informatieve en expertisecentra (RIEC’s): de reikwijdte voor het onderzoek
naar de RIEC informatie-uitwisseling is voor deze eerste fase beperkt tot de RIEC
Noord-Nederland om een eerste beeld te genereren. Er is binnen de Belastingdienst
een dataset gemaakt van de informatie-uitwisselingen binnen 2019, deze is gematcht
met de data in FSV en wordt nader onderzocht.

2. De Landelijke stuurgroep interventieteams (LSI) heeft in een brief aan de Belastingdienst
laten weten dat bespreking van risicosignalen alleen plaatsvindt indien tenminste
twee convenantpartners binnen het LSI verband een signaal hebben over de betreffende
casus. Daarnaast is het onwaarschijnlijk dat eventueel gedeelde informatie uit FSV
over 2019 nog te herleiden is. Gegevens worden een maand na het sluiten van een project
vernietigd. Aangezien de gegevens (over 2019 en eerder) niet meer beschikbaar zijn,
is een nader onderzoek naar informatie-uitwisseling bij afgeronde LSI-projecten niet
meer mogelijk.

3. Samenwerking onder artikel 64 Wet Suwi: de Belastingdienst heeft in 2019 in één project
geparticipeerd. Met de deelnemende organisaties in dit project is geen informatie
uit FSV gedeeld. Er wordt nog nagegaan of FSV een rol heeft gespeeld bij fiscale handhavingsmaatregelen
die de Belastingdienst zelf tegen betrokkenen in dit project heeft genomen.

4. Informatie Knooppunt Zorgfraude (IKZ): informatie-uitwisseling met IKZ betreft één
casus (meerdere personen) in peiljaar 2019 waarbij onduidelijk is of er een verband
is met FSV. Dit wordt nader onderzocht.

Afhankelijk van de uitkomsten in de interne matches onder 1, 3 en 4 volgt nader onderzoek
met de desbetreffende partners. Voordat een match met FSV kan worden uitgevoerd (zowel
intern Belastingdienst als met de convenantpartners) is een AVG-toets noodzakelijk.
Deze AVG-toets is inmiddels voor de interne match uitgevoerd en zal indien een externe
match nodig blijkt ook met de betrokken convenantpartners nader worden afgestemd.

A.2.3. Analyse door de Belastingdienst van de impact FSV-registratie of kwalificatie
O/GS bij een aanvraag van een minnelijke schuldsanering

Op 27 januari jl. hebben wij u geïnformeerd dat tot maart 2020 een werkinstructie
gehanteerd is waarin stond dat bij individuele schulden boven de € 10.000,- een verzoek
tot minnelijke schuldsanering natuurlijke personen (MSNP) werd afgewezen indien in
FSV de registratie «melding fraudepost» stond.20 Hetzelfde gebeurde tot november 2019 bij een kwalificatie Opzet en Grove Schuld (O/GS)
bij toeslagschulden. In beide gevallen ging de Belastingdienst er zonder verdere inhoudelijke
toetsing vanuit dat de burger niet te goeder trouw was. Dat is onacceptabel. Deze
werkwijze voor de invulling van goeder trouw wordt nu dus niet meer toegepast. In
de brief van 27 januari jl. hebben wij aangegeven dat de Belastingdienst analyseert
welke burgers onterecht een afwijzing MSNP hebben gehad. De analyse bestaat uit twee
fases:

• In de eerste fase worden de afwijzingsbrieven MSNP in beeld gebracht. Hiervoor worden
400.000 insolventiebrieven van de periode 1 januari 2012 tot en met 1 maart 2020 bekeken.
Daarnaast zijn er 30.000 brieven voor de periode maart 2020 tot 9 maart 2021 bekeken
(zoals hieronder wordt toegelicht is de onderzoeksperiode uitgebreid). Bij het getal
van circa 430.000 zijn ook beschikkingen meegeteld waarin het verzoek is toegekend
en brieven die zien op een wettelijke schuldsanering of faillissement. Op basis van
deze 430.000 brieven zijn circa 50.000 mensen in beeld aan wie mogelijk geen MSNP
is verleend. Deze worden in de tweede fase bekeken (zie hieronder) om te beoordelen
of MSNP onterecht geweigerd is. Daarnaast worden nog andere archieven onderzocht om
te bezien of daar nog afwijzingsbrieven MSNP in zitten. In de brief over de registratie
in FSV is aangegeven dat mensen die vermoeden dat ze geen MSNP hebben gekeken zich
kunnen melden. Er wordt ook nog gekeken naar de gegevens van deze mensen. Mogelijk
zijn er dus meer dan 430.000 insolventiebrieven en komen er meer dan de circa 50.000
mensen in beeld aan wie mogelijk geen MSNP is verleend.

• In de tweede fase worden de afwijzingsbrieven die in beeld zijn gekomen, inhoudelijk
beoordeeld. De Belastingdienst kijkt eerst wat de afwijzingsgrond is geweest. Daarna
wordt beoordeeld of deze afwijzing ten onrechte was. De tweede fase is inmiddels gestart
voor de circa 50.000 brieven die tot nu toe in beeld zijn. Mogelijk volgen uit de
andere archieven nog meer brieven die in deze fase onderzocht zullen worden.

Naast de analyse door de Belastingdienst, loopt er onderzoek van de ADR. Zoals aangekondigd
in de Kamerbrief21 van 27 november 2020 heeft de ADR de opdracht gekregen om de gevolgde werkwijzen
bij de beoordeling van een kwalificatie O/GS – voor de terugvordering van toeslagen
over de periode van 1 januari 2012 tot en met 31 december 2019 – te onderzoeken. In
dit onderzoek wordt naast toeslagschulden ook gekeken naar de samenloop met belastingschulden.
Dit onderzoek is nog niet gereed.

In onze brief22 van 12 maart jl. hebben wij aangegeven dat alle afwijzende beschikkingen MSNP momenteel
handmatig worden gecontroleerd. Ook is de onderzoeksperiode van de analyse door de
Belastingdienst met 1 jaar verlengd; van einddatum 1 maart 2020 naar 9 maart 2021.
Dit is het moment van het instellen van de handmatige controle van alle afwijzende
beschikkingen. Daarnaast betrekt de Belastingdienst in zijn analyse ook afwijzingsbrieven
enkel vanwege een registratie FSV en/of kwalificatie O/GS of afwijsgronden op basis
van de hoogte van een toeslag- of belastingschuld.

Naar aanleiding van deze constatering en de mogelijke doorwerking hiervan heeft de
Belastingdienst contact gehad met het Ministerie van SZW en de Sociale Verzekeringsbank
(SVB). Dat heeft te maken met de wijze waarop de korting op de AOW-uitkering wordt
vastgesteld. Sinds de invoering van de gecombineerde aanslag in 2001, int de Belastingdienst
de premies voor de volksverzekeringen samen met de inkomstenbelasting. Indien de Belastingdienst
er na vier jaar niet in slaagt het aanslagbedrag te innen, draagt de Belastingdienst
de onbetaalde aanslag voor aan de SVB voor een eventueel besluit tot korting op de
AOW. Zoals we in de brief23 van 27 januari jl. hebben aangegeven en hierboven hebben toegelicht, loopt er een
analyse van de Belastingdienst om in kaart te brengen welke burgers ten onrechte een
deelname aan een minnelijke schuldsanering is geweigerd. Het proces van minnelijke
schuldsanering kan de AOW-opbouw respectievelijk AOW-uitkering van burgers beïnvloeden.
De Belastingdienst zal over de uitkomsten van deze analyse (naar verwachting eind
juni) daarom ook contact opnemen met de SVB. Indien een burger onterecht is voorgedragen
bij de SVB, zal een eventuele AOW-korting worden hersteld. De Minister van SZW zal
u in de stand van de uitvoering informeren over eventuele gevolgen voor de AOW-opbouw
respectievelijk AOW-uitkering van burgers.

A.3. Uitvoering motie Snels

De motie van het lid Snels c.s.24 verzoekt de regering in kaart te brengen hoeveel mensen door een vermelding in FSV
ten onrechte geschaad zijn, welke schade deze mensen ondervonden hebben, en op basis
hiervan een mogelijke compensatieregeling uit te werken voor onterecht geraakte slachtoffers.
De eerste stap is het bepalen van eventueel onrechtmatig handelen. Hiertoe lopen het
externe onderzoek naar de effecten van FSV op burgers en bedrijven (A.2.1), het onderzoek
van de Belastingdienst naar de verstrekking van gegevens uit FSV aan convenantpartners
(A.2.2) en de analyse door de Belastingdienst van de impact FSV-registratie of kwalificatie
O/GS bij een aanvraag van een minnelijke schuldsanering (A.2.3). Zoals aangegeven
in onze brief van 25 maart jl.25 is de Belastingdienst bezig met de vormgeving van een tijdelijk organisatieonderdeel
om onder andere (voor zover mogelijk) op individueel niveau in kaart te brengen of
de registratie in FSV onterechte gevolgen heeft gehad en burgers hierover te informeren.
De eerste stap hierin is het meldpunt FSV dat sinds maart actief is. Er wordt vooruitlopend
op eventuele conclusies uit de onderzoeken, ook al nagedacht over oplossingen. Hiermee
willen we burgers zo goed mogelijk helpen bij de informatievoorziening over FSV en
– als daar op basis van de onderzoeken aanleiding toe tot blijkt te zijn – eventueel
onrechtmatig handelen zo snel recht te zetten.

A.4. Tijdelijke signalen voorziening

De nieuwe (tijdelijke) signalen voorziening waarin deze signalen kunnen worden vastgelegd,
is opgeleverd en kan binnenkort in gebruik worden genomen. Voor dit proces wordt door
de Belastingdienst een gegevensbeschermings-effectbeoordeling (GEB) opgesteld. Hierin
staan de waarborgen beschreven om het proces conform de AVG te laten verlopen. De
GEB voor de processen bij de directies MKB, GO en P is vrijwel gereed. Na afronding
van de GEB en het naar behoren implementeren van het proces en de benodigde maatregelen
kan het proces weer worden opgestart.

Zodra met het verwerken van nieuw ingekomen signalen wordt gestart, zal ook een begin
worden gemaakt met het behandelen van de eerder binnengekomen signalen die als gevolg
van het stopzetten van FSV niet konden worden opgepakt. Dit aantal is opgelopen tot
circa 13.000 signalen (inclusief Toeslagen). Bij het behandelen van deze (oude) signalen
worden allereerst alle binnengekomen signalen handmatig in de tijdelijke signalen
voorziening gezet. We verwachten dit in de zomer te hebben afgerond. Daarna wordt
gestart met het behandelen van deze (oude) signalen. Om een beeld te krijgen hoeveel
tijd er nodig is om de «achterstand» in het behandelen van (oude) signalen in te halen,
wordt bij het behandelen middels een steekproef een analyse uitgevoerd. Dat is om
vast te stellen hoeveel signalen fiscaal waardevol zijn, hoeveel er urgent waren en
hoeveel tijd het kost om deze te behandelen. Op basis van deze analyse verwachten
we in de zomer een inschatting te kunnen maken hoeveel tijd nodig is om de achterstand
in de behandeling van de oude signalen in te lopen.

Er is gestart met de voorbereidende werkzaamheden voor de duurzame voorziening. Bij
het ontwerpen van deze voorziening worden – naast de vereisten van de AVG, Baseline
Informatiebeveiliging Overheid (BIO) en Archiefwet – de uitgangspunten van uniforme
processen voor alle dienstonderdelen en een zorgvuldige naleving en opvolging van
risicosignalen gehanteerd. Op basis hiervan wordt bepaald hoe de definitieve voorziening
eruit moet zien en kan er een planning gemaakt worden.

B. Onderzoek en maatregelen m.b.t. de werking van projectcode 1043

In de brief26 van 10 juli 2020 hebben wij aangegeven dat er meer onderzoek moest worden gedaan
naar de werking van projectcode 1043 en de gevolgen voor belastingplichtigen. De eerste
uitkomsten van dit onderzoek heb ik met u gedeeld bij brief27 van 13 oktober 2020 over het onderzoek naar projectcode 1043 en het daarbij gevoegde
feitenrelaas. Op 31 maart jl. hebben wij uw Kamer geïnformeerd over de stapsgewijze
hervatting van projectcode 1043.28 Wij zullen de uitkomsten van het verdere onderzoek, waaronder de uitkomsten van de
GEB voor het proces «analyse aan de poort» die momenteel wordt uitgevoerd, het onderzoek
van de fiscale behandeling en de analyse van ontvangen klachten en signalen, met u
delen via de volgende brief over de stand van zaken van het traject HVB.

C. Onderzoek en maatregelen t.a.v. lijsten met risicosignalen

We zijn in 2020 gestart met het inventariseren van problemen met de verwerking van
nationaliteit en risicosignalen bij de Belastingdienst. Mede op basis van het adviesrapport
van KPMG van 10 juli 2020 zijn processen gestaakt voor de periode waarin de noodzakelijke
randvoorwaarden voor rechtmatige verwerking van persoonsgegevens ontbraken. In dat
kader zijn medewerkers gevraagd om lijsten in hun persoonlijke omgeving met mogelijke
risico-, fraudesignalen en/of het persoonsgegeven nationaliteit aan te dragen. Onder
lijsten verstaan wij gegevensbestanden. Op 27 januari jl. hebben we aan uw Kamer bericht
dat de uitvraag onder alle medewerkers naar mogelijke lijsten met risico- en fraudesignalen
of het persoonsgegeven nationaliteit op dat moment had geresulteerd in 211 lijsten.
Na januari hebben medewerkers nog circa 40 lijsten aangeleverd. Dit bevestigt dat
er een groeiend bewustzijn is aangaande verantwoord omgaan met gegevens. Dit is een
goede ontwikkeling. Het valt niet uit te sluiten dat er, door het groeiend bewustzijn
bij medewerkers, in de toekomst nog meer lijsten op het netvlies komen. Een eerste
analyse is inmiddels afgerond. De onderstaande tabel bevat de uitkomsten hiervan.

Resultaat inventarisatie onder medewerkers

 

Aantal lijsten

Toelichting

Nader onderzoek niet nodig

29

Dit zijn aangemelde lijsten waar geen persoons- of bedrijfsgegevens van belastingplichtigen
of hun vertegenwoordigers in werden verwerkt, of uitsluitend persoonsgegevens ten
behoeve van het sturen van de werkstroom. Denk hierbij aan burgerservicenummers.

Nader onderzocht

222

Nader onderzocht op 1) aanwezigheid van i) risicosignalen, ii) signalen van fraude
verdenking en iii) het persoonsgegeven nationaliteit. Uitkomst:

Lijsten met risicosignalen

82

Lijsten met signalen van fraude verdenking

13

Lijsten met het persoons-gegeven nationaliteit

50

Lijsten met een combinatie van risicosignalen, signalen van fraude verdenking, persoonsgegeven
nationaliteit

56

Lijsten zonder risico-signalen, signalen van fraude verdenking, persoonsgegeven nationaliteit

21

Totaal

251

 

Op basis van deze uitkomsten wordt (voor zover mogelijk) gekeken naar de mogelijk
onterechte nadelige gevolgen van deze lijsten voor burgers. De lijsten die nu in beeld
zijn, zijn zeer divers. Het is mogelijk dat uit de nadere analyse zal blijken dat
er bij sommige lijsten mogelijke onterechte gevolgen zijn geweest voor burgers. Bij
andere lijsten zullen er geen gevolgen zijn geweest. Wij zullen uw Kamer over de uitkomsten
informeren met onze volgende brief over de stand van zaken HVB.

D. Onderzoek en maatregelen t.a.v. applicaties

D.1. Gebruik nationaliteit

Naast de inventarisatie van lijsten met risico- en fraudesignalen of gebruik van het
persoonsgegeven nationaliteit is de Belastingdienst in december 2020 begonnen met
het doorzoeken van de aanwezige applicaties. In eerste instantie (22-1-2021) zijn
er 893 applicaties geïdentificeerd. Tijdens het traject zijn daar nog 99 applicaties
bijgekomen die ook in de verdere analyse zijn meegenomen.29 In totaal zijn er 992 applicaties geanalyseerd. Daarvan blijken er 507 persoonsgegevens
te bevatten. Daarnaast zijn er 68 lokale applicaties geïdentificeerd waarin persoonsgegevens
worden verwerkt. Deze zullen nog worden gecontroleerd op het rechtmatig gebruik van
risico- en fraudesignalen en het gebruik van het persoonsgegeven nationaliteit. Dit
betreft de stand van dit moment; aangezien het onderzoek nog loopt kan het aantal
applicaties nog wijzigen.

De bovengenoemde 507 applicaties met persoonsgegevens zijn getoetst op het gebruik
van het persoonsgegeven nationaliteit, alsmede op medische- en strafrechtelijke gegevens.
Bij 73 applicaties worden deze gegevens gebruikt. Bij de 73 applicaties is gekeken
wat de grondslagen zijn voor gebruik van deze gegevens, gezien de rol van de applicatie
in de specifieke bedrijfsprocessen. Het beeld van de processen die van deze applicaties
gebruik maken is als volgt:

• Er is geconstateerd dat voor de bedrijfsprocessen behorende bij 64 applicaties een
grondslag aanwezig is voor de verwerking van de persoonsgegevens.

• Bij het bedrijfsproces behorende bij één applicatie (INL) is geconstateerd dat er
geen grondslag is voor de verwerking van de gegevens (termen) waarop getoetst is die
in de vrije velden staan. De volgende maatregelen zijn getroffen:

– de vrije velden zijn veiliggesteld, worden geschoond en zijn buiten gebruik gesteld
behoudens dat beperkt autorisaties zijn verleend voor enkele bedrijfskritische processen.
Het gebruik van de applicatie wordt gelogd;

– instructies zijn opgesteld voor toekomstig gebruik van de vrije velden.

• Voor de bedrijfsprocessen behorende bij 8 applicaties is een verwerkingsgrondslag
voor het gebruik van gegevens in de vrije velden geconstateerd, maar doordat de applicaties
gebruikt worden voor meerdere bedrijfsprocessen is onduidelijk of alle gebruikers
ook over de gegevens mogen beschikken. Een analyse zal worden uitgevoerd op de processen
waarin deze applicaties worden gebruikt, waarna de risico’s worden bepaald en de procesbeschrijving
eventueel verbeterd.

D.2. Onderzoek verstrekkingendatabases

In onze brief van 27 januari jl. over de stand van zaken HVB, hebben wij aan uw Kamer
medegedeeld dat er een kopie van ons basisregistratiesysteem «Beheer van Relaties»
(BVR) was gevonden, waarin nog onbedoeld dubbele nationaliteiten van Nederlanders
waren geregistreerd.30 Zoals wij in die brief hebben aangekondigd, zijn er direct beheersmaatregelen genomen
toen dit aan het licht kwam en zal er nader onderzocht worden of er nog vergelijkbare
kopieën van BVR bestaan, waarin dubbele nationaliteiten geregistreerd staan. Hierbij
was onze eerste prioriteit om de lopende onderzoeken naar lijsten met risicosignalen
en applicaties met nationaliteit af te ronden. In aansluiting op de onderzoeken naar
lijsten en applicaties wordt in het tweede kwartaal van 2021 een derde onderzoek uitgevoerd
naar de inzet van «verstrekkingen databases». Dit zijn technische voorzieningen waarbij
(uit prestatie overwegingen) kopieën van bron databases worden gemaakt om persoonsgegevens
beschikbaar te stellen aan andere applicaties. Wij laten deze onderzoeken om een compleet
beeld te krijgen van de ondersteuning van de bedrijfsprocessen en of de grondslagen
aanwezig zijn in de afnemende processen voor de verwerking van de verstrekte gegevens.

E. Bedrijfsprocessen inrichten conform de AVG, BIO en Archiefwet

De afgelopen jaren is de aandacht voor privacy gegroeid, en daarmee ook voor de manier
waarop de overheid omgaat met gegevens van burgers. De Wet bescherming persoonsgegevens
bood daarvoor al een kader. De komst van de Algemene verordening gegevensbescherming
(AVG) heeft de aandacht hiervoor versterkt. Ook de Belastingdienst heeft zich op de
AVG voorbereid.31 Het afgelopen jaar is gebleken dat de Belastingdienst de verwerking van persoonsgegevens32 ondanks die inspanningen op een aantal aspecten niet op orde heeft.33 Het gaat dan om het aantoonbaar binnen wettelijke kaders verwerken van persoonsgegevens;
met name wat betreft het verwerken van het persoonsgegeven nationaliteit en het verwerken
van signalen over niet compliant gedrag zijn verbeteringen nodig. Daarnaast zijn op
punten verbeteringen nodig wat betreft de toegang tot persoonsgegevens voor medewerkers.

Nu wordt de toegang tot informatie veelal bepaald op basis van de groepsfunctie en
het organisatieonderdeel, waar de medewerker is tewerkgesteld. Afhankelijk van het
type werk en bevoegdheden kunnen verschillende vormen van toegang nodig zijn. De processen
worden op dit aspect gevalideerd en waar nodig worden aanpassingen doorgevoerd. Daarbij
is het uitgangspunt dat medewerkers alleen de informatie krijgen die nodig is om hun
taak of opdracht uit te voeren. Belangrijk hierbij is het behouden van de professionele
ruimte die nodig is om maatwerk voor burgers en bedrijven te leveren.

Het tweede aspect is de conformiteit met de wettelijke vereisten, in opzet, bestaan
en werking van processen. Ook hier heeft de Belastingdienst een slag te maken door
te zorgen dat de processen helder en controleerbaar worden vastgelegd, en dat controleerbaar
is dat conform die vastlegging wordt gewerkt. Het gaat om een groot aantal processen,
waardoor deze verbeterslag tijd vergt. Als één van de grootste verwerkers van persoonsgegevens
van Nederland, is de Belastingdienst het aan zijn stand verplicht om zorgvuldig met
persoonsgegevens om te gaan. Op dit moment lopen verschillende trajecten om dit doel
te realiseren.

Zoals in de Kamerbrief van 27 januari jl. is aangegeven, worden de bedrijfsprocessen
en de daarbij behorende informatievoorziening van de Belastingdienst getoetst en waar
nodig aangepast aan de eisen van de AVG, BIO en Archiefwet.34 Hiervoor is een controlelijst in ontwikkeling. Deze controlelijst, in de Kamerbrief
van 27 januari jl. omschreven als kader, bevat de relevante vereisten uit de AVG,
BIO en Archiefwet m.b.t. de bedrijfsprocessen en de bijbehorende informatievoorziening.
De controlelijst is randvoorwaardelijk voor het eenduidig toetsen van de bedrijfsprocessen
en de bijbehorende informatievoorziening. De controlelijst vormt tevens de basis voor
het control framework waarmee de aantoonbaarheid van de naleving aan de AVG, BIO en
Archiefwet mogelijk wordt gemaakt. De controlelijst is grotendeels in concept gereed
en is naar verwachting op korte termijn gereed om ter validatie aan te bieden aan
de Auditdienst Rijk (ADR). De ADR is zich aan het beraden of zij deze validatie kunnen
uitvoeren. Afhankelijk daarvan kan een planning worden gemaakt. Het toetsen van de
bedrijfsprocessen aan de hand van de controlelijst zal een meerjarig traject zijn
vanwege factoren zoals het grote aantal – het gaat om meer dan 600 bedrijfsprocessen
met een veelvoud aan onderliggende werkprocessen – en de complexiteit van de processen
waarin de applicaties gebruikt worden.

Daarnaast is de Belastingdienst bezig met de vernieuwing van de gegevenshuishouding
om de verbeteringen ook voor de lange termijn te verzekeren. Er zijn architectuurkaders
vastgesteld waarmee erop gestuurd wordt dat gegevens die nodig zijn in processen niet
meer onnodig worden gekopieerd, maar zoveel mogelijk in de bron worden geraadpleegd.
Zo kan beter grip worden gehouden op welke gegevens worden verwerkt en waar die zich
bevinden. Het ontwerp van nieuwe systemen wordt getoetst aan deze kaders. Belangrijke
uitgangspunten daarin zijn het structureel en expliciet leggen van de relaties tussen
de gegevens, die worden gebruikt, hun (fiscaal) wettelijke grondslag en de naleving
van eisen uit regelgeving zoals de AVG, de BIO en de Archiefwet. Daarnaast wordt gewerkt
aan de versterking van datamanagement en datagovernance bij de Belastingdienst, zodat
de verantwoordelijkheden ten aanzien van gebruik van gegevens helder zijn en blijven.

De Belastingdienst streeft ernaar de gegevenshuishouding en processen zo in te richten
dat deze zowel de toezichthoudende- als dienstverlenende taken optimaal ondersteunen
en ruimte bieden voor toekomstige technologische ontwikkelingen. Ook het wettelijk
kader waarbinnen de Belastingdienst werkt, moet toegesneden zijn op huidige en toekomstige
ontwikkelingen. Daarom wordt een wetsvoorstel voorbereid dat ziet op de verwerking
van gegevens door de Belastingdienst.35 Het doel daarvan is enerzijds het verstevigen en toekomstbestendig maken van de grondslagen
voor het verkrijgen, intern verwerken en verstrekken van gegevens, en anderzijds het
scheppen van waarborgen voor een rechtmatige, behoorlijke en transparante verwerking
van gegevens door de Belastingdienst.

F. Aanvullende acties t.a.v. omgang met persoonsgegevens

F.1. Onderhanden werk Combiteam Aanpak Facilitators (CAF)

Het onderhanden werk bij het CAF-team en het werk dat daaruit is voortgevloeid en
onder handen was bij de uitvoerende directies is stopgezet. Het bestaande werk is
door de Belastingdienst in beeld gebracht en daarbij is een analyse gemaakt van de
behandeling van deze signalen tot dusver om te beoordelen of die behandeling juist
is verlopen. Deze zal nog door een externe partij worden getoetst en wordt dan met
uw Kamer gedeeld.

F.2. Wettelijke grondslagen voor gebruik nationaliteit

Op 13 oktober 2020 hebben wij uw Kamer een zo compleet mogelijk overzicht toegezegd
van expliciete grondslagen in wet- en regelgeving die de Belastingdienst kan gebruiken
om het persoonskenmerk nationaliteit te verwerken.36 Op 27 januari jl. hebben wij uw Kamer een dergelijk overzicht toegezonden dat (hoofdzakelijk)
betrekking heeft op de fiscale taken van de Belastingdienst.37 In de begeleidende brief hebben wij aangegeven dat we met de verschillende andere
opdrachtgevers van de Belastingdienst gaan beoordelen of het overzicht nog verder
aangevuld kan worden met expliciete wettelijke grondslagen voor het gebruik van nationaliteit
bij de uitvoering van de niet-fiscale taken van de Belastingdienst.

De opdrachtgevers hebben dezelfde werkwijze gehanteerd als bij het opstellen van het
overzicht van expliciete wettelijke grondslagen dat op 27 januari jl. naar uw Kamer
is verzonden. Er is dus, binnen de wet- en regelgeving die de Belastingdienst voor
deze opdrachtgevers uitvoert, gezocht naar bepalingen waaruit min of meer expliciet
volgt dat de Belastingdienst het persoonsgegeven nationaliteit moet verwerken om uitvoering
te geven aan die bepalingen. Signaalwoorden waarop is gezocht, zijn (afgeleid van)
«Nederlander», «buitenland», «nationaliteit, «vreemdeling» en «onderdaan». Omdat het
gaat om het persoonsgegeven nationaliteit betreft het enkel natuurlijke personen.

Deze uitvraag heeft geleid tot één aanvulling op het eerder verzonden overzicht:

• Artikel 5 van het Besluit ter voorkoming van witwassen en financiering van terrorisme
BES. Bij de aanmelding en kennisgeving van geldtransporten waar dit besluit op ziet,
moet de persoon in kwestie bepaalde gegevens verstrekken, waaronder de nationaliteit
van in elk geval de vervoerder onderscheidenlijk kennisgever en de eigenaar van de
liquide middelen en, indien van toepassing, van de afzender en de ontvanger of beoogd
ontvanger van de liquide middelen.

Bij deze brief treft u het aangevulde overzicht aan van expliciete wettelijke grondslagen
voor het gebruik van het persoonsgegeven nationaliteit bij de Belastingdienst. De
Belastingdienst heeft met veel wetgeving te maken, waarbij de terminologie voor nationaliteit
niet altijd eenduidig is. Hierdoor kan niet gegarandeerd worden dat het overzicht
van expliciete wettelijke grondslagen volledig en limitatief is. Mocht de Belastingdienst
dergelijke gevallen tegenkomen, dan wordt dit overzicht hierop aangepast. Zoals wij
in de brief38 van 27 januari jl. hebben aangegeven, zullen de resultaten van het onderzoek naar
het gebruik van het persoonsgegeven nationaliteit in de applicaties worden vergeleken
met het overzicht van expliciete wettelijke grondslagen. Als hieruit blijkt dat nationaliteit
wordt verwerkt zonder expliciete wettelijke grondslag zal worden beoordeeld of die
verwerking stopgezet moet worden of dat er alsnog in een expliciete wettelijke grondslag
voorzien moet worden.

Tot slot

Wij gaan in de komende periode onverminderd door met de uitvoering van alle verbeteracties
die we in de afgelopen periode in gang hebben gezet, zodat uiteindelijk de opzet,
inrichting en werking van risicoselectie en de toezicht- en handhavingstaken van de
Belastingdienst met voldoende rechtsstatelijke waarborgen zijn omkleed. Wij blijven
alert op signalen van burgers, bedrijven en medewerkers over mogelijke problemen,
zullen die dan onderzoeken en indien nodig beheersmaatregelen nemen. Uiteraard zullen
wij uw Kamer op de hoogte houden van onze stappen. De volgende brief over de stand
van zaken van de acties uit het plan van aanpak HVB ontvangt uw Kamer voor het zomerreces
in juli 2021.

De Staatssecretaris van Financiën, J.A. Vijlbrief

De Staatssecretaris van Financiën, A.C. van Huffelen