Verslag van een schriftelijk overleg : Verslag van een schriftelijk overleg over voortgang in het onderzoek naar Fraude Signalering Voorziening (FSV) (Kamerstuk 31066-650)

Nr. 682
VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 21 juli 2020

De vaste commissie voor Financiën heeft een aantal vragen en opmerkingen voorgelegd
aan de Staatssecretaris van Financiën – Fiscaliteit en Belastingdienst voorgelegd
over de brief van 26 mei 2020 inzake «Voortgang in het onderzoek naar Fraude Signalering
Voorziening (FSV)» (Kamerstuk 31 066, nr. 650).

Op 4 juni 2020 zijn de vragen en opmerkingen aan de Staatssecretaris van Financiën
– Fiscaliteit en Belastingdienst voorgelegd. Bij brief van 10 juli 2020 zijn de vragen
beantwoord.

De voorzitter van de commissie, Anne Mulder

Adjunct-griffier van de commissie, Freriks

I Vragen en opmerkingen vanuit de fracties

Vragen en opmerkingen van de leden van de fractie van de VVD

De leden van de VVD-fractie hebben kennisgenomen van de brief en de offerteaanvraag
over de Fraude Signalering Voorziening (FSV). Deze leden vinden het een zeer kwalijke
zaak dat de Belastingdienst jarenlang gebruik heeft gemaakt van de FSV terwijl niet
duidelijk lijkt te zijn dat FSV voldoet aan de AVG. Deze leden hebben hierover verschillende
vragen en opmerkingen.

De leden van de VVD-fractie vragen een uitgebreide toelichting op de manier waarop
FSV heeft gewerkt. Wanneer kwam iemand op de FSV-lijsten en waarom? Hoeveel mensen
en hoeveel unieke BSN’s staan op de FSV-lijsten? Kan het kabinet uitzoeken of de mensen
in de CAF-zaken ook allemaal op de FSV-lijsten staan? Hoeveel mensen hebben bij de
Belastingdienst navraag gedaan of zij op de FSV-lijst staan? Hoe gaat de Belastingdienst
hiermee om? Welke gegevens over individuen worden opgenomen in de FSV-lijst(en)? Hoeveel
medewerkers hebben door de jaren heen toegang gehad tot FSV?

De leden van de VVD-fractie lezen in de brief over de voortgang over de aandacht voor
de behandeling van persoonsgegevens binnen de Belastingdienst. Het is goed dat de
Belastingdienst sessies organiseert over de AVG en het werken met persoonsgegevens.
Wel is de vraag hoe het kan dat de Belastingdienst veel aandacht besteedt aan de behandeling
van persoonsgegevens door de dienst, maar dat de FSV-applicatie nog tot vrij recent
heeft kunnen bestaan. Kan de Staatssecretaris dit verklaren?

De leden van de VVD-fractie vragen waarom pas op 27 februari 2020 is besloten FSV
te stoppen. Hoe kan het dat de Functionaris Gegevensbescherming (FG) binnen een dag
advies kon geven? Waarom is de FG zo laat geïnformeerd over het bestaan van FSV?

De leden van de VVD-fractie lezen in de bij de Belastingdienst interne werkinstructie
«bepalen Opzet of Grove Schuld» (Bijlage bij Kamerstuk 31 066, nr. 544) dat het team Fraude bij opzet of grove schuld het BSN moet toevoegen aan FSV mocht
blijken dat dit nummer er nog niet in staat. Op basis waarvan toetst het team Fraude
of er sprake is van opzet? Komt ook het BSN van mensen die team Fraude wel behandelen,
maar waarbij geen bewijs wordt gevonden voor opzet, terecht in FSV? Wat gebeurt er
wanneer blijkt bij het onderzoek van team Fraude dat de persoon in kwestie al in FSV
staat? Verliest deze dan automatisch het recht op een persoonlijke betalingsregeling?
Zo nee, zo ja, graag een toelichting.

De leden van de VVD-fractie lezen (bijlage bij Kamerstuk 31 066, nr. 604) dat FSV behoort aan de directie MKB, maar lezen in de eerdere toegestuurde tijdlijn
dat de directeur Grote Ondernemingen eigenaar is van de applicatie. Kan de Staatssecretaris
toelichten onder welke directie de FSV-applicatie valt en waarom er door de directeur
Grote Ondernemingen moest worden besloten tot een nader onderzoek naar de applicatie
FSV, gezien het feit dat er in FSV vooral individuele persoonsgegevens staan?

De leden van de VVD-fractie lezen in de notitie Fraude meldpunten Belastingdienst
dat binnengekomen meldingen niet eenduidig worden geregistreerd, maar worden deze
meldingen, ook al zijn deze niet terecht, niet alsnog geregistreerd in FSV? De leden
vragen wat de relatie is tussen FSV en de verschillende fraudemeldpunten en het verschil
tussen FSV en het «zaakvolgsysteem». Deze leden lezen in de notitie dat het fraudesysteem
binnen de Belastingdienst verschillende hiaten vertoont. Wat is er met deze conclusies
gedaan? Op welke manier wordt het gehele systeem van de verschillende fraudemeldpunten
verbeterd en waarom op deze manier? Hoe wordt voorkomen dat hieruit een volgende FSV-gerelateerde lijst ontstaat?

De leden van de VVD-fractie vragen of de ADR en de Adviescommissie uitvoering toeslagen
(AUT) zijn geïnformeerd over het bestaan en het uit de lucht halen van FSV. Zo ja,
wat waren hun reacties? Zo nee, waarom niet?

De leden van de VVD-fractie vragen of bij de Staatssecretaris bekend is of FSV door
de Autoriteit Persoonsgegevens wordt meegenomen in het onderzoek naar het gebruik
van tweede nationaliteit door de Belastingdienst.

Vragen en opmerkingen van de leden van de fractie van de PVV

Met interesse hebben de leden van de PVV-fractie kennisgenomen van de brief van de
Staatssecretaris van financiën d.d. 26 mei 2020 inzake de Voortgang in het onderzoek
naar Fraude Signalering Voorziening (FSV).

Naar aanleiding van deze brief hebben de leden van de PVV-fractie nog enkele vragen.

Hebben de andere marktpartijen, genoemd in de offerteaanvraag FSV, eveneens gereageerd?

Op welke gronden is de opdracht aan KPMG Advisory N.V. gegund en niet aan een andere
marktpartij?

Bood KPMG Advisory N.V. iets significants aanvullend ten opzichte van andere marktpartijen?

Op welke manier zal het onderzoek verricht worden; betreft het een papieren onderzoek
of zal er eveneens onderzoek plaatsvinden op de werkvloer?

In het begin van de zomer zal de Staatssecretaris de Tweede Kamer informeren over
de eerste uitkomsten van het onderzoek uit fase I alsmede overgaan tot beantwoording
van Kamervragen. Kan de Staatssecretaris aangeven wat wordt verstaan onder: «begin
van de zomer»? Is dat 22 juni of is medio juli in de ogen van de Staatssecretaris
eveneens nog het begin van de zomer?

In fase II zal een externe partij onderzoek verrichten naar de mogelijke effecten
op de beoordeling van burgers en bedrijven, zo lezen de leden van de PVV-fractie.
Hierbij worden eveneens partijen buiten de gebruikelijke raamovereenkomst betrokken.
Kan de Staatssecretaris aangeven waarom een dergelijk inkooptraject minimaal vier
maanden gaat duren? Kan het inkooptraject niet versneld worden?

Is er al een offerteaanvraag opgesteld voor fase II? Zo ja, waar kunnen de leden van
de PVV-fractie die vinden c.q. inzien?

Wordt of is de offerteaanvraag publiekelijk gepubliceerd? Zo ja, waar?

Van welke marktpartijen heeft de Staatssecretaris reeds offertes ontvangen?

Kan de Staatssecretaris aangeven of het onderzoek naar FSV van invloed is op de compensatieregeling
c.q. de Wet hardheidsaanpassing Awir in het kader van de kinderopvangtoeslag? Zo ja,
op welke wijze is het van invloed?

Vragen en opmerkingen van de leden van de fractie van het CDA

De leden van de CDA-fractie hebben kennisgenomen van de brief van de Staatssecretarissen
over de aanbesteding van het onderzoek naar FSV. Deze leden hebben hierover nog enkele
vragen.

De leden van de CDA-fractie merken allereerst op dat de meeste onderzoeksvragen, namelijk
de werking van FSV, het effect van FSV voor burgers en bedrijven en of er met FSV
vergelijkbare applicaties bestaan, eigenlijk vragen betreffen waarop de Belastingdienst
het antwoord zelf weet of die de dienst kan onderzoeken en een derde niet. Is er al
intern onderzoek gedaan door de Belastingdienst naar deze onderzoeksvragen? En waarom
is er niet voor gekozen om het onderzoek door de Belastingdienst te laten uitvoeren,
maar extern te laten verifiëren?

Welke vergelijkbare applicaties heeft de Belastingdienst zelf al in beeld? Graag een
volledige lijst.

Dit spanningsveld zien deze leden ook terug in de nota van inlichtingen bij de aanbesteding
en dit roept de volgende vragen op.

Onder punt 9 staat dat er geen forensisch onderzoek gedaan dient te worden naar recente
aanpassingen van de systemen en het systeemgebruik. Kan de Staatssecretaris toelichten
waarom hier geen onderzoek naar gedaan wordt?

Onder punt 12 staat dat er maar vier directies gebruik maken van FSV: MKB, Particulieren,
Toeslagen en CAP. Klopt het dat er dus geen onderzoek gedaan wordt naar de vraag of
er breder gebruik werd gemaakt van FSV?

Indien dat klopt, weet de Staatssecretaris dan zeker dat er elders geen gebruik van
gemaakt werd?

Zo nee, wil de Staatssecretaris dan de onderzoeksvraag uitbreiden en ervoor zorgen
dat de hele Belastingdienst (inclusief FIOD, Douane etc.) meegenomen wordt en ook
andere externe partijen waarvan de Staatssecretaris vermoedt dat de applicatie gebruikt
is?

Onder punt 14 staat dat de onderzoeker geen toegang krijgt tot FSV zelf, ook niet
onder strikte geheimhouding, alleen maar toegang tot de handleiding bij de FSV. De
leden van de CDA-fractie begrijpen dat de bescherming van de data in FSV van groot
belang is, maar zij vragen zich echt af hoe er degelijk onderzoek gedaan kan worden
naar FSV, zonder toegang tot FSV. Waarom is niet gekozen tot toegang onder strikte
geheimhouding? En als dat echt niet mogelijk is, waarom doet de Belastingdienst dan
niet zelf onderzoek naar de werking van FSV in de praktijk? Verwacht de Staatssecretaris
echt dat alle informatie over de werking en het gebruik van FSV in de handleiding
beschreven staat? De leden van de CDA-fractie dringen erop aan dat er ook echt onderzoek
gedaan wordt naar FSV inclusief het gebruik ervan.

En kan de Staatssecretaris deze handleiding van FSV aan de Kamer doen toekomen?

Onder punt 25 staat dat er een dossier is van ongeveer 75 documenten over FSV die,
na schoning van conceptversiestukken, aan de onderzoeker ter beschikking gesteld worden.
Ook hierbij vragen de leden van de CDA-fractie zich af of wel echt sprake is van een
onderzoek als de onderzoekers geen toegang hebben tot FSV, maar alleen tot de door
de Belastingdienst ter beschikking gestelde documenten over FSV. Als je een huis koopt,
vertrouw je ook niet alleen op de verkooptekst, maar ga je het huis bezichtigen. Kan
de Staatssecretaris aangeven waarom sprake zou zijn van een gedegen onderzoek als
alleen de handleiding gelezen mag worden?

Onder punt 28 staat dat de onderzoekers de beschikking hebben over 15 ingevulde vragenlijsten.
Deze vragenlijst was uitgezet bij de directeuren van GO, MKB, Particulieren, Toeslagen,
CAP, DF&A en FIOD. Kan de Staatssecretaris de onder dit punt vermelde, maar niet beantwoorde,
vraag beantwoorden of van elk dienstonderdeel een vragenlijst is opgenomen? Waarom
wordt het onderzoek expliciet beperkt tot operationeel zijnde applicaties in gebruik
bij CAP, MKB, Particulieren en Toeslagen? Zou het ook niet heel relevant zijn om bijvoorbeeld
te weten welke applicaties GO en DF&A gebruiken of gebruikt hebben?

Onder punt 36 staat dit nog explicieter: applicaties die voor 25 februari zijn gesloten
worden niet onderzocht. Kan de Staatssecretaris toelichten waarom deze voorwaarde
geldt? Acht de Staatssecretaris het niet relevant of er applicaties zijn die in de
afgelopen jaren waarbij mogelijk sprake was van oneigenlijk en/of onrechtmatig gebruik
van persoonsgegevens?

In meer algemene zin is het duidelijk dat FSV volstrekt niet aan de AVG voldoet. Is
er juridisch advies (intern of extern) ingewonnen of er een meldingsplicht is t.o.v.
alle mensen die in FSV opgenomen zijn/waren, zo vragen de leden van de CDA-fractie.
Zo ja, hoe luidde dat advies en kan de Staatssecretaris dat aan de Kamer doen toekomen?
Zo nee, waarom denkt de Staatssecretaris dat dat niet nodig is?

De leden van de CDA-fractie hebben ook kennisgenomen van het ADR-vervolgrapport over
de toepassing van de AVG bij de Belastingdienst. Kan de Staatssecretaris aangeven
welke applicaties toen in beeld gekomen zijn? Was de FSV-applicatie toen in beeld
en hoe is die beoordeeld?

Meer in het algemeen. De leden van de CDA-fractie vragen al twee jaar lang of de Belastingdienst
AVG-proof is of niet. Is op enig moment de FSV-applicatie daar in beeld gekomen? En
heeft er een beoordeling plaatsgevonden of FSV AVG-proof is of niet?

Vragen en opmerkingen van de leden van de fractie van D66

De leden van de D66-fractie hebben kennisgenomen van de brief over de voortgang in
het onderzoek naar FSV.

De leden van de D66-fractie vragen waarom het (toenmalige) Ministerie van Infrastructuur
en Milieu de rijksbrede raamovereenkomst auditdiensten heeft afgesloten.

De leden van de D66-fractie vragen per welke datum de eerste en tweede fase van het
onderzoek afgerond zijn.

De leden van de D66-fractie vragen naar het doel van het vaststellen van de inmiddels
17 domeinarchitecturen, zoals onder andere naar voren is gebracht bij verschillende
jaarplannen van de Belastingdienst. Heeft het vaststellen van deze domeinarchitecturen
onder andere als doel om beter zicht te hebben op de verschillende aanwezige (ICT-
en data)systemen? Zijn bij het vaststellen van de verschillende domeinarchitecturen,
waaronder Toeslagen, signalen naar boven gekomen over het bestaan van soortgelijke
applicaties die niet voldoen aan de privacywetgeving? Hoeveel vergelijkbare systemen
zijn in aanloop naar het uitzetten van het onderzoek aan het licht gekomen?

Hoeveel signalen van mogelijke fraude zijn sinds de brief van 28 april opgepakt en
gedeeld met onder andere het Openbaar Ministerie en gemeenten? Voor het delen van
signalen met welke andere partijen heeft de Belastingdienst een wettelijke plicht
of samenwerkingsconvenant?

Vragen en opmerkingen van de leden van de fractie van de SP

De leden van de SP-fractie zijn zeer verbaasd dat het onderzoek weer wordt gedaan
door het comfortabele netwerk van zogenaamd onafhankelijke accountants, die onderzoeken
opleveren waarin altijd óf een volgende opdracht geadviseerd wordt, óf dat de conclusies
geen consequenties hebben voor personen of posities. De leden van de SP-fractie vinden
het heel ongezond dat de overheid werkt met een «aanbestedingspool» die bestaat uit
accountantskantoren die ook meewerken aan belastingontwijking en zelfs criminele zaken
faciliteren. KPMG heeft zeer recent nog een boete van 517 duizend euro gekregen van
de Britse toezichthouder Financial Reporting Council (FRC) wegens een gebrek aan professionele
scepsis. Hoe denkt de Staatssecretaris te kunnen verkopen dat zo een organisatie een
dure opdracht krijgt? Hoe denkt de Staatssecretaris dat het onderzoek met vertrouwen
kan worden tegemoet getreden? Erkent hij dat juist in deze kwestie het onwenselijk
is dat accountantskantoren – die zelf geen schoon blazoen hebben en die al jarenlang
bij de Belastingdienst rondlopen voor allerhande advies en onderzoek – nu uitgesloten
moeten worden van verder «extern» onderzoek? Door de vele activiteiten van KPMG de afgelopen jaren binnen de Belastingdienst
én de overige overheid, is er een totaal ongezonde relatie ontstaan om echt onafhankelijk
te onderzoeken en te oordelen. De leden van de SP-fractie wijzen de keuze ten diepste
af.

Voor de tweede fase van het onderzoek geldt, dat dit gebruikt maakt van wat KPMG nu
onderzoekt. Hoe denkt de Staatssecretaris dat een onafhankelijk onderzoeker zal kijken
naar de basis als dat onderzoek rammelt? Is het mogelijk dat in de tweede fase het
eerste onderzoek overgedaan moet worden, om het simpele feit dat het eerste onderzoek
rammelt?

De leden van de SP-fractie wijzen niet alleen de keuze van KPMG af, ze zijn ook geschrokken
van de achterliggende onderzoeksopdracht. Zij vragen de Staatssecretaris wie die heeft
gemaakt. Want waarom wordt er bijvoorbeeld geen forensisch onderzoek gedaan? Waarom
is gekozen om dit onderzoek niet tot een formele audit te maken, maar dat het als
doel heeft dat het een adviesrapport zonder verklaring oplevert (punt 42, 44)? Kan
de Staatssecretaris de overwegingen toelichten? Tot slot willen de leden van de SP-fractie
graag weten wat de reden is geweest achter de oplevering rond 8/15 juni? Is hierbij
snelheid of kwaliteit leidend geweest? Is het de bedoeling dat de Kamer het adviesrapport
ook krijgt alvorens tot de tweede fase wordt overgegaan? De leden van de SP-fractie
wensen het adviesrapport te zien voordat wordt overgegaan tot de tweede fase van onderzoek.

De leden van de SP-fractie zijn ook verbaasd over de indruk dat het onderzoek toch
niet gaat over álle systemen en applicaties in de héle Belastingdienst. Waar komt
onder punt 12 de keuze vandaan om het onderzoek te beperken tot de vier directies
die gebruik maakten van FSV (CAP, Toeslagen, MKB, Particulieren)? Waarom zijn de vragenlijsten
uitgezet bij primaire procesdirecties (punt 59) waar dus niet DF&A onder valt. De
leden van de SP-fractie wijzen erop dat de voorloper van DF&A, «de Broedkamer», behoorlijk
onder vuur heeft gelegen en de leden vinden het zeer ongewenst als juist de systemen
van DF&A buiten dit onderzoek vallen. De leden van de SP-fractie wijzen erop dat dit
in strijd is met de afspraak dat er naar álle systemen in de héle Belastingdienst
zou worden gekeken.

De leden van de SP-fractie hebben juist over DF&A een paar specifieke vragen naar
aanleiding van de punten in de offerte. Is er in de door DF&A ingevulde vragenlijst
sprake van applicaties die mogelijk vergelijkbaar zijn met FSV en die mogelijk strijdig
zijn met AVG en andere wet- en regelgeving? Zo ja, om welke applicaties gaat het en
welke maatregelen worden genomen? Wordt in de DF&A-rapportage melding gemaakt van
applicaties, databestanden, datadumps, BSN-lijsten en query’s die in het verleden zijn gebruikt, waaronder bij voorlopers van DF&A, waaronder het Expertisecentrum Handhaving
en Intelligence (EHI)? De leden van de SP-fractie willen graag weten of dergelijke
informatie over burgers op enigerlei wijze thans nog in systemen van de Belastingdienst
aanwezig is en door kan werken in profilering, risicoselectie, uitworp of afwijkende
behandeling tot op heden ten dage. Kan de Staatssecretaris aangeven of lijsten en
applicaties van het «Team Signaal & Fraude-analyse» van EHI opgeschoond zijn? En deze
leden willen weten of er in dit team in de periode 2013 – 2018 (tweede) nationaliteit
op enigerlei wijze is verwerkt en of er nog door dit team query’s gedraaid zijn op
(tweede) nationaliteit. Tot slot willen de leden van de SP-fractie weten of het «Team
Selectie en Detectie» van EHI op enigerlei wijze gegevens over (tweede) nationaliteit
heeft verwerkt in de periode 2013 – 2018. Heeft (tweede) nationaliteit op enigerlei
wijze een rol gespeeld bij het opstellen van (specifieke) selectie- dan wel uitval-
of uitworpregels? Zo ja, gebeurde dit op eigen initiatief, of werd daartoe opdracht
gegeven? De leden van de SP-fractie staan nog steeds op het standpunt dat ze willen
dat de risicoselectie en de selectieregels transparant worden gemaakt.

De leden van de SP-fractie vragen waarom er geen toegang plaatsvindt tot FSV zelf.
Hoe is vast te stellen dat een systeem vergelijkbaar is, als de aanleiding niet kan
worden geanalyseerd? Ook vinden deze leden het vreemd dat het onderzoek alleen gaat
naar applicaties die operationeel zijn en dat in ontwikkeling zijnde applicaties buiten
de scope vallen (punt 28). Betekent dit dat er niet naar eerder uitgezette systemen
of applicaties wordt gekeken? En ook niet naar wat nu ontwikkeld wordt? Hoe is dit
te rijmen met de wens «de onderste steen boven te krijgen». De leden van de SP-fractie
vragen waarom deze audit is ingeperkt tot het moment waarop FSV nog actief was. Het
is toch mogelijk dat er in het verleden systemen of applicaties gebruikt werden die
ook problematisch kunnen zijn voor zaken die tot op heden spelen in de levens van
mensen of de situaties van ondernemers en/of bedrijven?

De leden van de SP-fractie willen tot slot wijzen op het feit dat er nog series Kamervragen
openstaan van verschillende Kamerleden en dat het uitblijven van alle antwoorden die
door dit onderzoek niet opgeschort hoeven te worden, een zeer onwenselijke zaak is.
Kan de Staatssecretaris de Kamervragen beantwoorden voor zover de antwoorden nu wel
beschikbaar zijn? Dit is van groot belang voor de positie als Kamer, de verantwoordelijkheid
van de Staatssecretaris om informatie te verschaffen conform artikel 68 van de Grondwet,
maar zeker ook voor de rechtsbescherming voor mensen die willen weten wat hun positie
is als ze in FSV staan. De leden van de SP-fractie doen een dringend beroep om de
Kamervragen te beantwoorden.

II Reactie van de Staatssecretaris van Financiën – Fiscaliteit en Belastingdienst

Vragen en opmerkingen van de leden van de fractie van de VVD

De leden van de VVD-fractie vragen een uitgebreide toelichting op de manier waarop
FSV heeft gewerkt en vragen wanneer iemand op de FSV-lijst geplaats werd en wat de
redenen hiervoor waren.

In de applicatie FSV registreerde de Belastingdienst signalen over (mogelijke) fraude.
Hierbij kan gedacht worden aan contra-informatie, inkomende meldingen en renseignementen.
In het KPMG onderzoek wordt ingegaan op het gebruik van FSV binnen de Belastingdienst.
De kern uit dit onderzoek heb ik hieronder opgenomen.

FSV is door de directies MKB, Toeslagen en Particulieren gebruikt voor de registratie
van interne en externe risicosignalen. Interne signalen zijn signalen afkomstig van
andere directies of teams binnen de Belastingdienst. Externe signalen zijn bijvoorbeeld
tips- en kliks of signalen van andere ketenpartners, convenantpartners of andere overheden.
Daarnaast raadpleegden ook de directies Grote Ondernemingen, Centrale Administratieve
Processen en FIOD (tot mei 2019) FSV.

Ook vragen deze leden hoeveel mensen en unieke BSN-nummers op deze FSV-lijsten staan.

In FSV staan zowel natuurlijk personen en rechtspersonen geregistreerd. In het vierde
kwartaal 2019 is de opdracht voor het maken van schoningsprogrammatuur gegeven. De
schoning is op 27 februari 2020 uitgevoerd. Bij deze schoning zijn 143.574 natuurlijke
personen of rechtspersonen verwijderd. Zie hieronder een overzicht van de aantallen
voor en na schoning.

 

Personen

Rechts-personen

Onbekend

Totaal

Vóór schoning

244.273

85.350

6

329.629

Na schoning

133.508

52.542

5

186.055

Verwijderd

110.765

32.808

1

143.574

 
 
 
 
 

Onbekend/typefout

Daarnaast vragen de leden van de VVD-fractie of het kabinet kan uitzoeken of er overlap
zit tussen de mensen in de CAF-zaken en de mensen die op de FSV-lijsten staan.

We hebben op dit moment deze informatie alleen ten aanzien van Toeslagen. Uit een
check op de backup van FSV van voor de schoning in februari 2020 blijkt dat van de
310 betrokkenen in de CAF-11 zaak 52 personen opgenomen zijn (geweest) in FSV. Van
de 9402 betrokkenen in overige CAF zaken zijn 2284 personen opgenomen (geweest) in
FSV.

Ook vragen de leden van de VVD-fractie hoeveel mensen navraag hebben gedaan of zij
op de FSV-lijst staan.

In totaal zijn er tot 8 juli jl. 123 natuurlijke personen en 29 rechtspersonen die
hebben gevraagd of zij in FSV staan.

De vraag van deze leden hoe de Belastingdienst hiermee omgaat beantwoorden wij als
volgt.

De Belastingdienst heeft in de afgelopen periode uiteenlopende verzoeken ontvangen
van burgers die willen weten welke informatie de Belastingdienst over hen heeft. Daaronder
zijn verzoeken van burgers die expliciet vragen om inzage in hun persoonsgegevens
in FSV. Het inzagerecht van de AVG is een belangrijk recht voor de burger. Op deze
manier kan een burger controleren of de persoonsgegevens die worden verwerkt juist
zijn. Ook kan een burger, als hij vindt dat de persoonsgegevens die de Belastingdienst
van hem verwerkt onjuist zijn, verzoeken om rectificatie. Belangrijk is hierbij dat
de burger het eigen belang niet hoeft te motiveren. Het belang van de burger wordt
aanwezig geacht. Het inzagerecht kan in uitzonderingsgevallen geweigerd worden; bijvoorbeeld
als er toezichtsbelangen spelen. In het geval van (enige) twijfel ten aanzien van
het wel of niet aanwezig zijn van grote toezichtsbelangen vraagt de behandelaar in
alle gevallen een second opinion. Daarnaast kan een behandelaar niet individueel een
weigeringsgrond aanroepen; dit gaat altijd in afstemming met collega’s die hierin
zijn gespecialiseerd.

FSV kent een diversiteit aan signalen die variëren in zwaarte en belang. Persoonsgegevens
kunnen bijvoorbeeld voorkomen in kliksignalen, in (lopende) onderzoeken door de Belastingdienst
of het Openbaar Ministerie. De Belastingdienst ziet het belang van een juiste behandeling
van deze inzageverzoeken waarbij recht gedaan wordt aan het belang van de verzoeker.
Daarom is er onderzoek gedaan naar de wijze waarop de inzageverzoeken zo zorgvuldig
mogelijk kunnen worden behandeld. In de behandelwijze wordt elk FSV-inzageverzoek
afzonderlijk gewogen en behandeld waarbij het uitgangspunt transparantie is en zo
mogelijk inzage wordt gegeven in persoonsgegevens. De Belastingdienst weegt daarbij
het toezichtsbelang. Alleen bij grote toezichtsbelangen zal de Belastingdienst op
individuele basis over kunnen gaan tot weigering van het FSV-inzageverzoek. De belangen
van derden worden hierbij gerespecteerd.

De leden van de VVD-fractie vragen welke gegevens van individuen in de FSV-lijsten
zijn geregistreerd.

Om deze vraag zo volledig mogelijk te beantwoorden wordt u verwezen naar de handleiding
van het dagboek FSV. Deze wordt als bijlage naar uw Kamer gestuurd1.

De vraag van deze leden over het aantal medewerkers die toegang hebben gehad tot FSV
beantwoorden wij als volgt.

Uit een eerdere telling als gevolg van de concept GEB FSV bleken er medio januari
2019 ruim 5000 medewerkers een autorisatie voor FSV te hebben voor één of meerdere
rollen. In mei 2019 heeft de Belastingdienst maatregelen genomen om de risico’s van
het gebruik van FSV te beperken. Door de maatregelen is bijvoorbeeld het aantal autorisaties
destijds teruggebracht van ruim 5000 naar 1229 autorisaties op het moment van uitschakelen
van FSV op 27 februari. Autorisaties bepalen welke medewerkers bepaalde acties kunnen
verrichten in het systeem. Ook is de procedure voor het verkrijgen van een autorisatie
aangescherpt.

Van de 1.229 unieke users die toegang hebben tot FSV zijn er 695 users die slechts
kunnen zien of er een signaal is, maar de inhoud van het signaal is voor hen niet
zichtbaar. De resterende 534 unieke users kunnen raadplegen en/of muteren.

De leden van de VVD-fractie lezen in de brief over de voortgang over de aandacht voor
de behandeling van persoonsgegevens binnen de Belastingdienst. Het is goed dat de
Belastingdienst sessies organiseert over de AVG en het werken met persoonsgegevens.

De leden van de VVD vragen om een verklaring voor het nog recentelijk bestaan van
de FSV-applicatie, ondanks de aandacht die er binnen de Belastingdienst is voor de
behandeling van persoonsgegevens.

Onze ambtsvoorganger heeft in de brief aan uw Kamer van 28 mei 2019 aangegeven dat
de Belastingdienst de maatregelen om de AVG te implementeren heeft kunnen realiseren,
met uitzondering van de maatregel «verwijderen van verouderde gegevens»(Kamerstuk
31 066, nr. 485). In die brief is de toezegging gedaan de Auditdienst Rijk (ADR) te vragen te toetsen
in hoeverre de Belastingdienst zijn oorspronkelijke aanbevelingen voor een toetsbare
implementatie van de AVG heeft opgevolgd. Over de uitkomst van dat onderzoek is uw
Kamer geïnformeerd in de brief van 27 februari 2020 (Kamerstuk 32 761, nr. 159).

De centrale boodschap van de ADR was dat de Belastingdienst met de aanbevelingen aan
de slag is gegaan, maar dat er nog vervolgacties nodig zijn om alle bevindingen volledig
op te lossen. Die boodschap heeft geleid tot het inzicht dat er meer maatregelen genomen
moesten worden dan in mei 2019 werd gedacht. De Belastingdienst is aan de slag met
de implementatie van deze aanbevelingen.

KPMG concludeert dat bij de Belastingdienst, organisatiebreed, in het kader van de
AVG in 2018 een schonings- en archiverings-proces gestart. Dit is momenteel nog niet
toereikend afgerond om te voldoen aan alle archiveringsvereisten. Daarnaast zijn rond
de ingezette risicomodellen de afgelopen twee jaar aanvullende procedurele en technische
waarborgen getroffen. Tevens is afgelopen voorjaar gestart met de schoning van bijvoorbeeld
kopieën en downloads van FSV of andere risicoselectielijsten om lokale processen met
gebruik van risicosignalen te beperken. De volledigheid van deze schonings- en archiveringsactie
is door het lokale en ongestructureerde karakter nog niet geborgd.

Wij kunnen ons gezien deze onderzoeken voorstellen dat het opmerkelijk is dat momenteel
nog in kaart gebracht moet worden of er eventueel met FSV vergelijkbare systemen zijn
en of deze wel voldoen aan privacywetgeving.

Wij constateren dat eerder vooral is gekeken of de Belastingdienst de juiste maatregelen
en procedures voor het aantoonbaar naleven van de AVG heeft geïmplementeerd. De Belastingdienst
heeft bijvoorbeeld een verwerkingenregister. We moeten echter ook constateren dat
onvoldoende daadwerkelijk aan die procedures werd voldaan. Zoals is aangekondigd in
de begeleidende Kamerbrief gaan we daarom alle verwerkingen valideren op opzet en
bestaan. Daarbij wordt tot op het detailniveau van de in de verwerking gebruikte applicaties
getoetst of de vereisten uit de AVG, Baseline Informatiebeveiliging Overheid (BIO)
en de archiefwet, op een juiste wijze zijn mee ontworpen en geïmplementeerd. Daarbij
zullen ook de uitkomsten worden betrokken van het onderzoek dat door de ADR zal worden
uitgevoerd naar de wijze van totstandkoming van risicomodellen, selectieregels, data-analyses
en query’s bij de Belastingdienst, en de waarborgen daarbij. Als blijkt uit de validatie
dat een verwerking niet voldoet aan deze vereisten, dan nemen we passende maatregelen
en daarnaast brengen we waar mogelijk ook in kaart wat de effecten op burgers en bedrijven
waren als gevolg van de tekortkoming in die verwerking. We houden er rekening mee
dat deze validatie, gegeven de veelheid aan verwerkingen, minimaal drie jaar in beslag
zal nemen. In de uitvoering zijn verwerkingen veelal dynamisch en is en blijft het
vakmanschap hoe het werk uitgevoerd wordt. Dit is voor de AVG niet anders dan voor
fiscale wetgeving.

Daarnaast vragen de leden van de VVD-fractie waarom pas op 27 februari is besloten
om niet langer gebruik te maken van FSV.

Zoals wij eerdere hebben aangegeven had dit veel eerder moeten gebeuren. In de brief
van 28 april jl. zijn wij uitgebreid ingegaan op de tijdlijn ten aanzien van FSV en
de GEB (Kamerstuk 31 066, nr. 632)

Daarnaast vragen de leden van de VVD hoe het mogelijk was dat de FG zo snel, binnen
een dag, advies kon geven.

De reden hiervoor was dat het de Functionaris Gegevens bescherming al vrij snel duidelijk
was dat er op essentiële punten niet werd voldaan aan de AVG.

Deze leden vragen naar de oorzaak voor het laat informeren van de FG over het bestaan
van FSV.

Zoals is aangegeven in de brief die wij uw Kamer 28 april jl. hebben doen toekomen,
had de concept-GEB die in januari 2019 is opgeleverd al aanleiding moeten zijn om
de FG te betrekken om een oordeel te kunnen geven of er nog wel zorgvuldig conform
de AVG met het systeem gewerkt kon worden.

In de hierboven genoemde brief hebben wij ook aangegeven dat de omvang van het werkterrein
en het belang van gegevensbescherming te belangrijk vinden om een solitaire functie
zonder ondersteuning te kunnen zijn. Door meer ondersteuning te bieden voor deze functie
kan de FG effectiever gebruik maken van zijn functie. Daarnaast kan dit team helpen
om meer bewustzijn te creëren voor deze functie binnen de Belastingdienst. Op deze
manier hopen wij te voorkomen dat de FG bij soortgelijke processen over het hoofd
wordt gezien, en dat hij hierdoor in het vervolg ook tijdig wordt geïnformeerd.

De leden van de VVD-fractie lezen in de bij de Belastingdienst interne werkinstructie
«bepalen Opzet of Grove Schuld» (Bijlage bij Kamerstuk 31 066, nr. 544) dat het team Fraude van Toeslagen bij opzet of grove schuld het BSN moet toevoegen
aan FSV mocht blijken dat dit nummer er nog niet in staat.

De leden van de VVD-fractie vragen op basis waarvan het team Fraude toetst of er sprake
is van opzet.

Voor de volledigheid: De term opzet of grove schuld in het fraudeproces verschilt
van opzet grove schuld ten aanzien van betalingsregelingen.

Er zijn twee verschillende typen bepalingen van opzet of grove schuld te onderscheiden
binnen het risicosignalenproces bij Toeslagen. De eerste bepaling werd vastgelegd
in FSV en vond plaats bij het uiteindelijk opleggen van een eventuele sanctie door
middel van een bestuurlijke boete of door strafrechtelijke vervolging en kent dan
ook een grotere bewijslast dan de tweede bepaling. Deze vond plaats bij het eventueel
aanbieden van een persoonlijke betalingsregeling. Hierbij werd gekeken of de schuld
mogelijk is ontstaan door opzet of nalatigheid aan de kant van de burger. Bij Toeslagen
vond geen verdere registratie van deze vorm van OGS in FSV plaats. De enige uitzondering
hierop was dat indien er tijdens de beoordeling dermate frauduleuze zaken (opzet grove
schuld in de zin van sanctie) werden ontdekt, dit aanleiding was voor een nieuw onderzoek.

In het geval dat een toeslag wordt verminderd of stopgezet naar aanleiding van een
toezichtsactie kan er een schuld ontstaan van de burger aan Toeslagen. Het Belastingdienstbrede
onderdeel Invordering (LIC) van de Belastingdienst verhaalt deze schuld op de burger.
Deze burger kan vervolgens een persoonlijke betalingsregeling aanvragen. Voorwaarde
voor het verkrijgen van deze betalingsregeling was dat de schuld niet te wijten was
aan opzet of nalatigheid aan de kant van de burger, oftewel OGS. FSV kon geraadpleegd
worden als iemand een persoonlijke betalingsregeling aanvroeg. Als reeds een sanctie
was opgelegd, dan werd bij beoordeling of er sprake zou kunnen zijn van OGS dit meegenomen
in de beoordeling.

Daarnaast kreeg invordering maandelijks de zgn. 1x1-lijst. Deze lijst diende eveneens
als bron in de beoordeling van eventuele OGS. Hier ging echter altijd nog een behandeling
aan vooraf. Hiermee werden de eerdergenoemde onterechte 1x1-aanduidingen in FSV eruit
gefilterd. Deze beoordeling kon erin resulteren dat een burger een O/GS-kwalificatie
kreeg, waardoor het voor de burger in beginsel niet mogelijk om in aanmerking te komen
voor een persoonlijke betalingsregeling. De standaard betalingsregeling van 24 maanden
behoorde altijd wel tot de mogelijkheden.

KPMG concludeert dat er bij de directie Toeslagen in het verleden risicosignalen zijn
ontvangen die door het Fraudemeldpunt als dermate duidelijk «frauduleus» werden beschouwd,
dat de aanvinkoptie «fraude» direct werd aangevinkt alvorens het signaal het volledige
onderzoekstraject had doorlopen. Als gevolg van een capaciteitstekort kon het voorkomen
dat een dergelijk signaal pas veel later of helemaal niet meer in behandeling is genomen.
Bij het eventueel aanbieden van een betalingsregeling hebben we bij Toeslagen moeten
vaststellen dat er burgers zijn die onevenredig schade hebben opgelopen doordat hen
deze kwalificatie te makkelijk is gegeven. Dit is uiteraard onacceptabel.

In de debatten en brieven aan uw Kamer heb ik inzake Herstel Toeslagen benoemd dat
waar Toeslaggerechtigden schade hebben ondervonden van een onterechte kwalificatie
«OGS», wij voor compensatie zullen zorgen.

Daarnaast vragen deze leden of het BSN van mensen die het team Fraude, van Toeslagen,
wel behandelt, maar waar bij die behandeling geen bewijs wordt gevonden voor opzet,
terecht in FSV zijn gezet.

Ja dit kwam terecht in FSV. Medewerkers van het Meldpunt Fraude Toeslagen selecteren
de berichten naar aard en op mogelijke bruikbaarheid voor Toeslagen. Binnengekomen
berichten worden geselecteerd naar berichten die niet relevant zijn voor Toeslagen
en berichten die mogelijk relevant zijn. Alle berichten waarbij mogelijk sprake is
van een onrechtmatige toekenning van een toeslag worden als signaal inhoudelijk beoordeeld
en zijn derhalve als mogelijk relevant voor Toeslagen aan te merken. Dit betreft ongeveer
10% van de ontvangen berichten. Pas als het signaal daadwerkelijk is opgepakt kan
bepaald worden of er sprake is van recht op toeslagen en mocht dit niet het geval
zijn of er opzet in het spel is. Dit kan betekenen dat pas achteraf blijkt dat het
signaal onterecht erin staat.

Ook vragen de leden van de VVD of iemand die in FSV staat geregistreerd automatisch
het recht op een persoonlijk betalingsregeling zou verliezen.

Nee, dit is niet het geval. KPMG concludeert in haar rapport dat in het invorderingsproces
afzonderlijk opzet/grove schuld kon worden geïndiceerd buiten FSV. Deze indicatie
werd, in combinatie met de opzet/grove schuld-indicatie in FSV vanuit het sanctieproces-,
gebruikt om te bepalen hoe streng een burger werd bejegend. Het effect van de registratie
in FSV hangt dus af van wat er uit het onderzoek van desbetreffende persoon is gebleken.
Als opzet reeds is aangetoond verliest (verloor) iemand het recht op een persoonlijke
betalingsregeling.

De leden van de VVD-fractie lezen in dat FSV behoort aan de directie MKB terwijl in
een eerder toegestuurde tijdlijn staat dat de directeur GO eigenaar is van de applicatie.
Zij vragen om een toelichting onder welke directie de FSV-applicatie valt en wat hiervoor
de motivering is.

FSV is sinds begin 2018 «as is» ondergebracht in de keten Generiek Kantoor Toezicht
(hierna: GKT) die onder de verantwoordelijkheid van de primaire procesdirectie Grote
Ondernemingen ressorteert. GKT ontwikkelt en onderhoudt applicaties in opdracht van
primaire procesdirecties. De directie MKB is de business owner van FSV. De directie
die een applicatie gebruikt is verantwoordelijkheid voor het uitvoeren en opvolgen
van GEB's op het eigen proces waarin de applicatie wordt gebruikt.

De leden van de VVD-fractie lezen in de notitie Fraudemeldpunten Belastingdienst dat
binnengekomen meldingen niet eenduidig worden geregistreerd en vragen of de binnengekomen
meldingen wanneer deze onterecht zijn niet alsnog geregistreerd worden in FSV. Tevens
vragen zij naar de relatie tussen FSV, de verschillende meldpunten en een zaakvolgsysteem.

Zoals eerder is aangegeven, werden bij Toeslagen ook signalen in FSV geregistreerd
die mogelijk relevant waren. Hierdoor werden soms ook berichten geregistreerd waarvan
later bleek dat dit niet terecht was.

De Belastingdienst ontvangt op jaarbasis zeer veel en verschillende signalen vanuit
verschillende gremia zoals burgers, overheden, ketenpartners e.d. Binnen de Belastingdienst
zijn voor de beoordeling en behandeling van deze signalen diverse meldpunten ingericht.
Zoals het Infodesk FIOD, Toeslagen Fraude en het Centraal Meldpunt Faillissementsfraude
(CMF). De werkwijze bij de verschillende directies binnen de Belastingdienst waar
de meldpunten zijn ondergebracht verschilt echter. Dit concludeert KPMG ook in haar
rapport. Bij sommige meldpunten worden alle meldingen in FSV geregistreerd. Bij de
directie Toeslagen landen uiteindelijk slechts 10% van de meldingen bij de Fraudepostbus
Toeslagen in FSV omdat een melding eerst werd onderzocht. Niet alle meldingen leiden
dus tot een registratie in FSV bij Toeslagen.

De applicatie Fraude Signaleringsvoorziening werd daarbij gebruikt om signalen van
mogelijk fraude te kunnen registreren. FSV is dus een registratiesysteem maar geen
zaakvolgsyteem.

Deze leden vragen wat er met de in de notitie geconstateerde hiaten is gedaan en op
welke manier het systeem van de verschillende meldpunten wordt verbeterd en waarom
op deze manier.

Naar aanleiding van de geconstateerde hiaten was de Belastingdienst een verkenning
naar de inrichting van de informatiestromen gestart. Deze verkenning had tot doel
om meer inzicht te krijgen in hoe de verschillende meldpunten zijn georganiseerd en
werken en welke verbeteringen nodig waren. We hebben besloten om deze verkenning onderdeel
uit te laten maken van het externe onderzoek door KPGM naar FSV en FSV-achtigen. De
Belastingdienst gaat de informatiestromen verbeteren en zal daarbij gebruik maken
van de constateringen en aanbevelingen uit het KPMG rapport. Daarnaast gaan we, zoals
in de begeleidende Kamerbrief is aangekondigd, alle verwerkingen valideren op opzet
en bestaan.

Daarnaast vragen de leden hoe wordt voorkomen dat hieruit een volgende FSV-gerelateerde
lijst ontstaat.

Omdat gebleken is dat op een verschillende wijze werd omgegaan met de behandeling
van signalen door de verschillende directies, is onderling afgestemd hier in vervolg
op een uniforme wijze mee om te gaan. Voor de behandeling van informatieverzoeken
(die verweven waren met de signalen) is inmiddels een nieuw proces ontwikkeld dat
losgekoppeld is van de behandeling van signalen. Dit proces is AVG proof en wordt
gebruikt om deze verzoeken te beoordelen en verwerken. Voor de behandeling van signalen
is dit proces nog in ontwikkeling.

Deze leden vragen ook of de ADR en de AUT zijn geïnformeerd over het bestaan en het
uit de lucht halen van FSV en hoe zij hierop hebben gereageerd.

Naar aanleiding van vragen van de Adviescommissie uitvoering toeslagen en van de ADR
is zowel aan de Adviescommissie als aan de ADR op verschillende momenten een aantal
documenten verstrekt. In enkele daarvan komt FSV aan de orde. In deze documenten is
onder meer te lezen dat FSV een applicatie is waarin fraudesignalen worden geregistreerd
en worden voorbeelden van signalen gegeven. Op 2 maart jl., de dag dat de brief aan
uw Kamer is verzonden waarin het tot nader orde uitzetten van FSV is gemeld, is aan
de ADR de GEB van FSV verzonden (Kamerstukken 31 066 en 32 761, nr. 604).

De AUT heeft in haar eindrapport FSV niet genoemd. De ADR heeft er op pagina 11 aandacht
aan besteed: «In geval van een sterk vermoeden van fraude, wordt de behandeling overgedragen aan
een fraudeteam. In dit geval werd de burger veelal opgenomen in de Fraude Signalering
Voorziening (FSV).» De ADR heeft nog vragen gesteld over de GEB van de FSV welke op 5 maart jl. zijn beantwoord.

De leden van de VVD-fractie vragen of FSV door de Autoriteit Persoonsgegevens is meegenomen
in het onderzoek naar het gebruik van de (tweede) nationaliteit door de Belastingdienst.

De AP zal binnenkort haar onderzoek afronden. Na afronding zal ik een kabinetsreactie
sturen waarbij ik deze vraag meeneem.

Vragen en opmerkingen van de leden van de fractie van de PVV

De leden van de fractie van de PVV vragen of de andere marktpartijen, die in de offerteaanvraag
FSV genoegd zijn, ook hebben gereageerd.

Alle aangeschreven marktpartijen, genoemd in de Offerteaanvraag nadere overeenkomst
FSV Procesbeschrijving en advies, hebben gereageerd. Twee van de vijf aangeschreven
partijen hebben verklaard niet in te schrijven omwille van het niet kunnen bieden
van de gevraagde kwaliteit en het niet kunnen vrijmaken van de juiste expertise voor
deze opdracht. De drie ontvangen inschrijvingen waren conform de aanbestedingsdocumenten.

De leden van de fractie van de PVV vragen ook naar gunningscriteria op basis waarvan
de opdracht aan KPMG Advisory N.V. is gegund.

Het gunningscriterium is Beste Prijs Kwaliteit verhouding. De inschrijver met de hoogste
totaalscore op prijs en kwaliteit komt voor gunning in aanmerking. KPMG heeft de hoogste
totaalscore behaald.

Daarnaast vragen deze leden of KPMG Advisory N.V. «iets significants aanvullend» kon
aanbieden in vergelijking met andere marktpartijen.

De inschrijvers waren gehouden aan de specificaties van de opdracht, zoals vermeld
in de aanbestedingsdocumenten.

KPMG heeft, binnen de kaders van de gestelde gunningscriteria, op het totaal van prijs
en kwaliteit meer geboden dan de andere inschrijvers en behaalde daarmee de Beste
Prijs Kwaliteit Verhouding.

Ook vragen de leden van de fractie van de PVV op welke manier dit onderzocht verricht
is.

Zoals inmiddels in het rapport staat genoemd, betreft het een papieren onderzoek (documentanalyse)
in combinatie met het afnemen van interviews met ongeveer dertig functionarissen van
de Belastingdienst en het laten uitvoeren en analyseren van query’s op de voor het
onderzoek beschikbaar gestelde database van FSV.

In het begin van de zomer zal de Staatssecretaris de Tweede Kamer informeren over
de eerste uitkomsten van het onderzoek uit fase I alsmede overgaan tot beantwoording
van Kamervragen.

De leden van de fractie van de PVV vragen wanneer de Kamer geïnformeerd zal worden
over de eerste uitkomsten van het onderzoek uit fase I en de beantwoording van de
Kamervragen.

De beantwoording van deze vraag is gelijktijdig met de brief over uitkomsten over
het onderzoek naar fase I aan uw kamer gestuurd.

In fase II zal een externe partij onderzoek verrichten naar de mogelijke effecten
op de beoordeling van burgers en bedrijven, zo lezen de leden van de PVV-fractie.
Hierbij worden eveneens partijen buiten de gebruikelijke raamovereenkomst betrokken.

De leden van de fractie van de PVV vragen waarom vier maanden aangehouden wordt voor
het inkooptraject en of dit niet versneld kan worden.

Wanneer er geen gebruik wordt gemaakt van bestaande raamovereenkomsten is er sprake
van een nieuwe overheidsopdracht. Deze zal, afhankelijk van de (geraamde) opdrachtwaarde,
in concurrentie moeten worden uitgevraagd volgens een van de toegestane aanbestedingsprocedures.
Afhankelijk van de te hanteren aanbestedingsprocedure wordt de doorlooptijd in sterke
mate bepaald door onder andere de in de Aanbestedingswet voorgeschreven termijnen.

De leden van de fractie van de PVV vragen of er al een offerteaanvraag is opgesteld
voor fase II van het onderzoek.

Hierop is het antwoord dat dit nog niet gebeurd. Hiervoor moest eerst het onderzoek
naar fase I worden afgewacht. Naar aanleiding van de uitkomsten van fase I is nu helder
wat de scope van de opdracht voor fase II moet worden. We hebben daarom in de begeleidende
Kamerbrief aangegeven welke onderwerpen we in Fase II mee willen nemen.

Ook vragen deze leden of, en zo ja waar, de offerteaanvraag publiekelijk is gepubliceerd.

Afhankelijk van de te hanteren aanbestedingsprocedure kan de offerteaanvraag, op grond
van de Aanbestedingswet, openbaar gepubliceerd moeten worden. Publicatie vindt dan
plaats via TenderNed.

De leden van de fractie van de PVV vragen van welke marktpartijen er offertes zijn
ontvangen voor de tweede fase van het onderzoek.

Op dit moment is er nog geen offerteaanvraag (voor fase II) opgesteld. De offerteaanvraag
is daarom nog niet gepubliceerd. Overigens zijn de inschrijvers voor een aanbesteding
pas bekend na het verstrijken van de inschrijftermijn. Pas dan mogen de offertes geopend
worden.

De leden van de fractie van de PVV vragen of het onderzoek naar FSV van invloed is
op de compensatieregeling in het kader van de kinderopvangtoeslag.

Zoals eerder met uw Kamer gedeeld zal de UHT voor het uitvoeren van de werkzaamheden
onder andere informatie inwinnen uit basisregistraties, het eigen Toeslagen Verstrekkingen
Systeem en archiefsystemen. Uit het onderzoek van KPMG blijkt dat tips en kliks en
aansluitend registratie in FSV geen automatisch gevolg voor de burger hadden. Tegelijkertijd
moeten we concluderen dat er in het verleden ruimhartig werd omgegaan met registratie
in FSV en met name het vinkje «fraude» wat aangevinkt kon worden bij het signaal.
Bij UHT is de werkwijze dat bij de burgers die zich hebben gemeld voor herbeoordeling
compensatie plaats vindt, tenzij er aantoonbare en goed onderbouwde argumenten zijn
om dit niet te doen. Mochten er dus burgers in de herbeoordeling zijn die onterecht
als fraudeur in FSV aangemerkt, worden zij tegemoet gekomen.

Vragen en opmerkingen van de leden van de fractie van het CDA

De leden van het CDA vragen naar de motivatie om een externe partij te betrekken bij
het onderzoek naar FSV, of er door de Belastingdienst zelf onderzoek is gedaan naar
de onderzoeksvragen en welke «vergelijkbare applicaties» bij de Belastingdienst in
beeld zijn.

Zoals in de brief van 28 april reeds is aangegeven hebben we tijdens de periode tussen
het informeren van uw Kamer over FSV en het inhuren van een externe partij ook intern
onderzoek gedaan. De onderzoeksvragen die hierbij zijn gehanteerd staan in deze brief
genoemd.

Hoewel dit interne onderzoek al meer helderheid heeft gebracht, moesten we helaas
ook constateren dat er nog veel onduidelijk was. Omdat wij het essentieel vonden om
de onderzoeksvragen vollediger te kunnen beantwoorden is toen besloten om hulp van
een externe partij in te roepen. Deze partij, KPMG Advisory N.V.,heeft in haar onderzoek
ook benoemd welke vergelijkbare applicaties bij de Belastingdienst in beeld zijn gebracht.

Dit spanningsveld zien deze leden ook terug in de nota van inlichtingen bij de aanbesteding
en dit roept de volgende vragen op.

De leden van de fractie van het CDA vragen naar de reden dat bij de aanbesteding is
aangegeven dat er geen forensisch onderzoek gedaan dient te worden naar recente aanpassingen
die in systemen zijn gemaakt en het systeemgebruik.

Gezien de korte tijd voor deze fase van het onderzoek willen we dat de externe partij
in korte tijd antwoord geeft op de meest urgente vraag hoe FSV gebruikt werd en of
er meer applicaties met de karakteristieken van FSV aanwezig zijn. Daarbij is een
scope aangebracht tot de toezichtsprocessen, daar eventuele effecten voor burgers
en bedrijven zich daar het meest laten gelden. Zoals aangekondigd komt er nog een
vervolgonderzoek.

De leden van de fractie van het CDA vragen daarnaast of het klopt dat er geen onderzoek
wordt gedaan naar de vraag of er bij andere directies, naast MKB, Particulieren, Toeslagen
en CAP, gebruik werd gemaakt van FSV.

Uitgangspunt van het onderzoek is het mogelijke gebruik van FSV binnen de gehele Belastingdienst,
dus ook andere directies dan die zijn genoemd. Op basis van de autorisaties voor FSV
weten we waar deze applicatie gebruikt wordt. De scope voor het onderzoek is daarom
beperkt tot de genoemde vier directies.

Hoewel het klopt dat er dus geen onderzoek is gedaan of er breder gebruik werd gemaakt
van FSV, heeft KPMG wel functionarissen binnen de FIOD geraadpleegd inzake risicosignalen,
ondanks dat de FIOD niet in scope is van hun onderzoek. Ook de Douane viel buiten
de scope van dit onderzoek.

De leden van de fractie van het CDA vragen daarnaast of er met zekerheid gesteld kan
worden dat bij de overige directie geen gebruik is gemaakt van FSV.

De applicatie FSV kan alleen gebruikt worden als een medewerker daar een autorisatie
voor heeft. Op basis van de administratie van autorisaties (IMS) is er nu geen aanleiding
om aan te nemen dat er bij overige directies gebruik is gemaakt van FSV.

Daarnaast vragen deze leden of bij twijfel over de directies die gebruik konden maken
van FSV de onderzoeksvraag uitgebreid kan worden.

Uit het onderzoek door KPMG is niet gebleken dat er nog andere, externe partijen toegang
hadden tot FSV. Wel werd er, bijvoorbeeld door het Fraudemeldpunt Toeslagen, informatie
gedeeld met externe partijen. Er zijn geen nadere acties op dit moment voorzien.

Onder punt 14 staat dat de onderzoeker geen toegang krijgt tot FSV zelf, ook niet
onder strikte geheimhouding, alleen maar toegang tot de handleiding bij de FSV. De
leden van de CDA-fractie begrijpen dat de bescherming van de data in FSV van groot
belang is, maar zij vragen zich echt af hoe er degelijk onderzoek gedaan kan worden
naar FSV, zonder toegang tot FSV.

De leden van de fractie van het CDA vragen zich af waarom er niet gekozen is tot toegang
onder strikte geheimhouding of, wanneer dat niet mogelijk is, voor onderzoek door
de Belastingdienst zelf.

In fase I is er in eerste instantie voor gekozen om alleen onderzoek te doen naar
de wijze waarop FSV gebruikt wordt door de verschillende directies en voor de verschillende
signaalsoorten. Oftewel: breng de processen voor de verschillende soorten signalen
in kaart. Voor dat onderzoek was geen toegang nodig tot de individuele gevallen.

De Belastingdienst heeft KPMG later wel gevraagd om onderzoek te doen naar het gebruik
van nationaliteit in het vrije tekstveld. Op basis van een query heeft de Belastingdienst
toegang gegeven tot de inhoud van het vrije tekstveld. Bij gegevensgerichte werkzaamheden
op vastleggingen in het vrije tekstveld van – de reeds geschoonde versie van – FSV
heeft KPMG vervolgens vastleggingen in kaart gebracht betreffende mogelijk gevoelige
bijzondere persoonsgegevens. KPMG concludeert ook dat er geen specifiek veld in FSV
is waar de nationaliteit dan wel tweede nationaliteit ingevuld werd. De enige mogelijkheid
daartoe is om het vrije tekstveld te gebruiken.

De leden van de CDA-fractie vragen naar de toegang van KPMG tot FSV en dringen erop
aan dat er ook echt onderzoek gedaan wordt naar FSV inclusief het gebruik ervan. Daarnaast
vragen deze leden waarom sprake zou zijn van een gedegen onderzoek als alleen de handleiding
gelezen mag worden.

In de offerteaanvraag hebben we de partijen gevraagd met een plan te komen om het
gebruik van FSV in beeld te brengen. De handleiding is één van de vertrekpunten voor
de externe onderzoeker om dat plan te kunnen opstellen. De partijen mochten daarbij
zelf aangeven in de offerte wat er nog meer nodig zou moeten zijn om het gebruik goed
in beeld te brengen. Op basis van het eigen plan heeft KPMG toegang gekregen tot andere
basisdocumenten als Gegevensbeschermingseffectbeoordelingen (GEB's) van verwerkingen
die in de loop van het onderzoek raakvlakken bleken te hebben met FSV, architecturen
en een uitdraai van het register van verwerkingen. Ook heeft KPMG medewerkers geïnterviewd
om het daadwerkelijk gebruik in beeld te brengen. Daarnaast heeft de Belastingdienst
op basis van een query KPMG toegang gegeven tot de inhoud van het vrije tekstveld

De leden van de fractie van het CDA vragen of de handleiding van FSV met de Kamer
gedeeld kan worden.

Er is een handleiding FSV van oktober 2013. Deze is digitaal beschikbaar en doe ik
u hierbij toekomen.

Onder punt 25 staat dat er een dossier is van ongeveer 75 documenten over FSV die,
na schoning van conceptversiestukken, aan de onderzoeker ter beschikking gesteld worden.
Ook hierbij vragen de leden van de CDA-fractie zich af of wel echt sprake is van een
onderzoek als de onderzoekers geen toegang hebben tot FSV, maar alleen tot de door
de Belastingdienst ter beschikking gestelde documenten over FSV. Als je een huis koopt,
vertrouw je ook niet alleen op de verkooptekst, maar ga je het huis bezichtigen.

Onder punt 28 staat dat de onderzoekers de beschikking hebben over 15 ingevulde vragenlijsten.
Deze vragenlijst was uitgezet bij de directeuren van CAP, DF&A, FIOD, GO, MKB, Particulieren,
en Toeslagen.

Daarnaast vragen deze leden of van elk dienstonderdeel een vragenlijst is opgenomen.

Ik kan bevestigen dat van de directies CAP, DF&A, FIOD, GO, MKB, Particulieren, en
Toeslagen.

een ingevulde vragenlijst is ontvangen over de verkenning naar de informatiestromen.

De leden van de fractie van het CDA vragen daarnaast naar de reden om het onderzoek
te beperken tot de applicaties die op dit moment operationeel zijn bij CAP, MKB, Particulieren
en Toeslagen.

In onze beantwoording hebben we eerder aangeven dat we uw Kamer op korte termijn willen
informeren over de mogelijke effecten op burgers en bedrijven als gevolg van de opname
in FSV en soortgelijke applicaties. Wij hebben uw Kamer in een eerdere brief toegezegd
alle applicaties van de Belastingdienst door te lichten op naleving van relevante
wet- en regelgeving. De nu niet geraakte applicaties komen nog aan de beurt in het
vervolgonderzoek. Zoals in de begeleidende Kamerbrief is gemeld, gaan we daarom alle
verwerkingen valideren op opzet en bestaan.

Deze leden vragen of niet meer applicaties, ook die van andere directies en ook uit
het verleden, meegenomen hadden moeten worden in het onderzoek.

Wij vinden deze inzichten inderdaad ook relevant. Daarom zijn we ook nog niet klaar
met dit onderzoek.

Nog specifieker, vragen de leden van de fractie van het CDA waarom in de aanbesteding
dit onderzoek is beperkt tot applicaties die voor 25 februari jl. niet waren gesloten.

Omwille van het op korte termijn informeren van uw Kamer, hebben we de scope van de
opdracht aan de externe partij moeten beperken.

De leden van de fractie van het CDA vragen ook of het niet relevant wordt gevonden
om ook applicaties uit voorgaande jaren mee te nemen.

Wij vinden het ook zeker relevant om te weten of daar sprake van is geweest. Daarom
zijn we ook nog niet klaar met dit onderzoek.

In meer algemene zin is het duidelijk dat FSV volstrekt niet aan de AVG voldoet.

De leden van de fractie van het CDA vragen of er juridisch advies is ingewonnen nu
duidelijk is dat FSV niet aan de AVG voldoet.

Het antwoord hierop is dat er is geen juridisch advies is ingewonnen.

Naar aanleiding van de vorige vraag, stellen deze leden de vraag waarom wij denken
dat er geen meldingsplicht is.

FSV is een registratietool voor diverse signalen en informatieverzoeken. Voor dit
soort tools is er geen meldingsplicht.

De leden van de CDA-fractie hebben ook kennisgenomen van het ADR-vervolgrapport over
de toepassing van de AVG bij de Belastingdienst.

Deze leden vragen welke applicaties in het ADR-vervolgrapport over de toepassing van
de AVG bij de Belastingdienst in beeld zijn gekomen.

De ADR heeft onderzoek gedaan naar de volledigheid van de maatregelen die de Belastingdienst
aan het implementeren was om de AVG in te voeren. Dat onderzoek zag dus niet op individuele
verwerkingen. Daarbij zijn dus ook geen applicaties in beeld gekomen.

Daarnaast vragen de leden van de CDA-fractie of de FSV-applicatie bij het ADR onderzoek
in beeld was en hoe deze is beoordeeld.

Het onderzoek van de ADR zag toe op de implementatie van maatregelen en was niet toegespitst
op de verwerkingen zelf dan wel de applicaties.

De leden van het CDA geven aan al langere tijd vragen te stellen over of de Belastingdienst
AVG-proof is of niet en vragen of de FSV-applicatie op basis hiervan in beeld is gekomen
en is beoordeeld.

Op basis van een analyse, een facultieve GEB op de informatieloketten MKB, heeft het
directieteam van MKB als business owner van FSV op 20 augustus 2018 besloten tot het
uitvoeren van een gegevensbeschermingseffectbeoordeling (GEB) op de applicatie FSV.
Bij het verschijnen van de eerste conceptversie van die GEB in januari 2019 kwamen
er bevindingen boven water op zowel de applicatie alsook op (een deel van) de processen
waar FSV in gebruikt werd. KMPG concludeert in het onderzoek dat de AVG- en biowaarborgen
waren bij FSV onvoldoende zijn geïmplementeerd. Ook ontbrak het volgens KPMG bij FSV
aan een accurate toewijzing van autorisaties en aan een logging van het gebruik van
FSV waardoor mutatie- en exportrechten mogelijk onrechtmatig zijn gebruikt.

Vragen en opmerkingen van de leden van de fractie van D66

De leden van de D66-fractie waarom eerder door het Ministerie van Infrastructuur en
Milieu de rijksbrede raamovereenkomst auditdiensten is afgesloten.

In het kader van het Rijksbreed Categoriemanagement voor Generieke Dienstverlening,
zijn de Financieel Advies en Auditdiensten door de Categoriehouder, het (toenmalige)
Ministerie van Infrastructuur en Milieu, voor alle deelnemers van de rijksoverheid
aanbesteed.

De leden van de D66-fractie vragen per welke datum de eerste en tweede fase van het
onderzoek afgerond zijn.

Zoals wij in de brief van 26 mei jl. hebben aangegeven bestaat het onderzoek naar
FSV uit twee fases. Fase I is nu afgerond en levert input voor fase II. In de brief
van 26 mei hebben wij aangegeven dat wij bij dit onderzoek, conform de wens van uw
Kamer, ook partijen buiten de gebruikelijke raamovereenkomst willen betrekken. Ook
willen wij de concept-opzet voor het tweede fase onderzoek, die wij verwachten nog
in het reces met uw Kamer te kunnen delen, graag met uw Kamer bespreken.

De leden van de D66-fractie vragen naar het doel van het vaststellen van de inmiddels
17 domeinarchitecturen, zoals onder andere naar voren is gebracht bij verschillende
jaarplannen van de Belastingdienst.

De domeinarchitectuur geeft een meerjarig beeld van de ontwikkeling van het IV-landschap
in het betreffende domein. Voorbeelden van een domein zijn het domein Auto en het
domein Inkomensheffing. De domeinarchitectuur geeft daarbij aan welke acties er nodig
zijn om de doorontwikkeling van het IV-landschap mogelijk te maken. Formele vaststelling
vindt plaats nadat getoetst is of de domeinarchitectuur voldoet aan de integrale visie,
kaders en richtlijnen van de belastingdienst. Na vaststelling dient de domeinarchitectuur
als input voor het Belastingdienstbrede portfolio.

Deze leden vragen of het vaststellen van de domeinarchitecturen ook als doel had om
een beter zicht te hebben op de verschillende aanwezige (ICT- en data-)systemen binnen
de Belastingdienst.

Een domeinarchitectuur beschrijft de gewenste inrichting van het IV-landschap en de
stappen die gezet moeten worden om daar te komen. Voor dat laatste is het noodzakelijk
om ook de huidige situatie te kennen. Onderdeel van het opstellen van een domeinarchitectuur
is dan ook het inventariseren van het huidige IV-landschap.

De leden van de D66-fractie vragen of bij het vaststellen van de verschillende domeinarchitecturen
signalen naar boven zijn gekomen over meer applicaties die niet voldoen aan de privacywetgeving.

Bij het inventariseren van het huidige IV-landschap wordt getoetst of de geschetste
doorontwikkeling voldoet aan de geldende privacy/ beveiligingsrichtlijnen en standaarden.
Indien daarbij een situatie aangetroffen wordt die niet conform is, wordt deze gecorrigeerd.

Bij het opstellen van de reeds afgeronde domeinarchitecturen zijn geen afwijkingen
op de AVG geconstateerd. Bij het KPMG onderzoek, en eerder het onderzoek van de ADR,
is wel gebleken dat er applicaties en verwerkingsprocessen zijn die nog niet voldoen
aan de AVG.

Deze leden vragen daarnaast hoeveel vergelijkbare systemen in de aanloop naar het
uitzetten van het onderzoek zijn gevonden.

Wij zijn zelf een onderzoek gestart, maar we zijn hiermee gestopt op moment dat duidelijk
werd dat voor dit onderzoek een externe partij werd ingehuurd. Op dat moment waren
er nog geen vergelijkbare systemen gesignaleerd.

De leden van de D66-fractie vragen ook hoeveel signalen van mogelijk fraude sinds
28 april zijn opgepakt en gedeeld met onder andere het OM en de gemeenten.

De applicatie waarin verzoeken geregistreerd werden, was FSV. Nu FSV uitgeschakeld
is, kunnen dergelijke verzoeken niet meer behandeld worden. Niet uitgesloten kan worden
dat op individueel niveau een medewerker alsnog urgente meldingen afgehandeld heeft.

Deze leden vragen ook met welke partijen, naast het OM en de gemeenten, de Belastingdienst
signalen deelt.

De Belastingdienst heeft convenanten met verschillende instanties. Om hier een completer
beeld van de krijgen, verwijs ik u naar de volgende website: https://www.belastingdienst.nl/wps/wcm/connect/bldcontentnl/belastingdi…. Het uitgangspunt is echter onze geheimhoudingsplicht op basis van artikel 67 AWR,
43C UAWR en wettelijke bepalingen in categorale wetgeving. De Belastingdienst deelt
geen gegevens, tenzij dit is vastgelegd in een wettelijke bepaling.

Vragen en opmerkingen van de leden van de fractie van de SP

De leden van de SP zijn kritisch op het gunnen van de opdracht aan KPMG en vragen
hoe deze keuze kan worden gemotiveerd en vragen of de onafhankelijkheid van KPMG wel gegarandeerd kan worden.

Wij zijn verplicht opdrachten eerst uit te zetten bij de mantelpartijen. De betrokken
partij heeft succesvol ingeschreven op een aanbesteding en is daarmee dus één van
de mantelpartijen in het perceel auditdiensten.

De leden van de SP vragen of de onafhankelijkheid van de uitkomsten van het onderzoek
van KPMG wel gegarandeerd kunnen worden, of het onderzoek wel met vertrouwen tegemoet
kan worden getreden en of dit onderzoek van KPMG een solide uitgangspunt kan zijn
voor fase II van het onderzoek.

KPMG heeft onafhankelijk en onder eigen verantwoordelijkheid een rapport opgeleverd.
KPMG heeft hierbij alle medewerking gekregen van de Belastingdienst. Het rapport is
voor ons voldoende basis om onze conclusies uit de brief van 10 juli op te baseren
en op basis van de bevindingen vervolgstappen te zetten.

De leden van de SP-fractie wijzen niet alleen de keuze van KPMG af, ze zijn ook geschrokken
van de achterliggende onderzoeksopdracht.
De leden van de SP-fractie vragen wie de onderzoeksopdracht heeft opgesteld.

De onderzoeksopdracht is opgesteld door de projectgroep die binnen de Belastingdienst
belast was met het opzetten van het onderzoek naar FSV.

Daarnaast vragen de leden van SP-fractie waarom er geen forensisch onderzoek wordt
gedaan.

Gezien de korte tijd voor deze fase van het onderzoek willen we dat de externe partij
in korte tijd antwoord geeft op de meest urgente vraag hoe FSV gebruikt werd en of
er meer applicaties met de karakteristieken van FSV aanwezig zijn. Daarbij is een
scope aangebracht tot de toezichtsprocessen, daar eventuele effecten voor burgers
en bedrijven zich daar het meest laten gelden. Zoals aangekondigd komt er nog een
vervolgonderzoek.

De leden van de SP-fractie vragen waarom ervoor is gekozen om dit onderzoek niet tot
een formele audit te maken.

Om een formele audit uit te voeren, is een toetskader noodzakelijk. Dat toetskader
zou in dit specifieke geval een actueel procesontwerp moeten zijn op basis waarvan
de auditor kan toetsen of de Belastingdienst werkt conform dat ontwerp. Voor de processen
waarin gebruik gemaakt werd van de applicatie FSV, ontbreekt het aan actuele procesontwerpen.
Daarom is gevraagd om uit te zoeken hoe FSV gebruikt werd en te adviseren over aanvullende
waarborgen voor correct gebruik.

De leden van de SP-fractie vragen wat de reden is geweest achter de oplevering rond
8/15 juni? Is hierbij snelheid of kwaliteit leidend geweest?

We willen uw Kamer op korte termijn, informeren over de werking van FSV en de eerste
resultaten van het onderzoek naar soortgelijke applicaties met uw Kamer delen. Ook
wij zien dat dit een zeer korte periode is maar vanwege het belang is het nodig geacht
een dergelijke korte doorlooptijd te moeten nemen waarbij nog steeds kwaliteit is
gevraagd. Daarom is de scope gericht op alleen de toezichtsprocessen binnen de vier
eerdergenoemde directies.

De leden van de fractie van de SP vragen of het de bedoeling is dat de Kamer het adviesrapport
ook krijgt voordat tot de tweede fase wordt overgegaan. De leden van de SP-fractie
wensen het adviesrapport te zien voordat wordt overgegaan tot de tweede fase van onderzoek.

Dit is inderdaad het geval.

De leden van de SP-fractie zijn ook verbaasd over de indruk dat het onderzoek toch
niet gaat over álle systemen en applicaties in de héle Belastingdienst.
Deze leden vragen zich daarom af waarom onder punt 12 de keuze is gemaakt om het onderzoek
te beperken tot de vier directies die gebruik maakten van FSV.

In onze beantwoording hebben we eerder aangeven dat we uw Kamer op korte termijn willen
informeren over de mogelijke effecten op burgers en bedrijven als gevolg van de opname
in FSV en soortgelijke applicaties. Wij hebben uw Kamer in een eerdere brief toegezegd
alle applicaties van de Belastingdienst door te lichten op naleving van relevante
wet- en regelgeving. De nu niet geraakte applicaties komen nog aan de beurt in het
vervolgonderzoek. Zoals in de begeleidende Kamerbrief is gemeld, gaan we daarom alle
verwerkingen valideren op opzet en bestaan.

Daarnaast vragen deze leden waarom de vragenlijsten niet zijn uitgezet bij DF&A.

DF&A heeft wel een vragenlijst ontvangen en ook ingevuld voor het onderzoek naar informatiestromen.
Voor het onderzoek naar de waarborgen heeft DF&A inderdaad geen vragenlijst ontvangen.
De reden hiervoor is dat het startpunt van het onderzoek lag op het moment van de
individuele behandeling van een signaal. DF&A houdt zich niet bezig met de individuele
behandeling van belastingplichtigen. Wel is een vertegenwoordiger van DF&A geïnterviewd
om zicht te krijgen op de wijze waarop signalen tot stand komen. Ook dat gespreksverslag
is met de externe onderzoekscommissie (KPMG) gedeeld.

De leden van de SP-fractie wijzen erop dat de voorloper van DF&A, «de Broedkamer»,
behoorlijk onder vuur heeft gelegen en de leden vinden het zeer ongewenst als juist
de systemen van DF&A buiten dit onderzoek vallen. De leden van de SP-fractie wijzen
erop dat dit in strijd is met de afspraak dat er naar álle systemen in de héle Belastingdienst
zou worden gekeken.

De leden van de SP-fractie hebben juist over DF&A een paar specifieke vragen naar
aanleiding van de punten in de offerte en vragen of er in de vragenlijst die door
DF&A is ingevuld applicaties worden benoemd die vergelijkbaar zijn met FSV en mogelijk
in strijd met de privacywetgeving en om welke applicaties het dan gaat.

Uit een eerste onderzoek is een rapport gemaakt met daarin een lijst van applicaties,
die in het KPMG rapport zijn opgenomen.

Deze leden vragen of in de DF&A-rapportage ook applicaties, databestanden, datadumps,
BSN-lijsten en query’s uit het verleden worden meegenomen, waaronder van het EHI.

EHI is in 2018 opgehouden te bestaan. De onderdelen zijn toen opgesplitst en ondergebracht
onder vier verschillende directies van de Belastingdienst. Producten die in de periode
dat EHI nog bestond en gestopt zijn, zijn niet meegenomen in het onderzoek.

De producten die door het deel van EHI zijn meegenomen naar DF&A en in 2019 en 2020
in gebruik waren of zijn, worden meegenomen in het onderzoek. De diversiteit van de
EHI producten en vertrek van veel medewerkers heeft er voor gezorgd dat het onderzoek
naar de lijst van producten veel tijd in beslag neemt. Dit is de reden dat het onderzoek
nog niet is afgerond.

Voor de vraag van de leden van de fractie van de SP of dergelijke informatie op het
moment nog aanwezig is in de systemen van de Belastingdienst is afronding van dit
onderzoek noodzakelijk. Doordat sprake is van een veelheid aan systemen binnen de
Belastingdienst is het verkrijgen van een volledig beeld overigens niet eenvoudig
op korte termijn te realiseren. Het gaat daarbij bijvoorbeeld niet alleen om centrale
risicomodellen en selectieregels, maar ook om query’s en lokale applicaties.

Wel zijn naast de reeds lopende onderzoeken inmiddels al een aantal stappen genomen
die tot doel hebben om vooringenomenheid in het toezicht te voorkomen. Zo wordt het
persoonsgegeven nationaliteit bij nieuwe query’s uitsluitend geleverd als hiervoor
een expliciete wettelijke grondslag is en er een gegevensbeschermingsbeoordeling of
Willen/Mogen/Kunnen toets is uitgevoerd. Ook voor een aantal bestaande query’s is
alsnog een gegevensbeschermingsbeoordeling of een Willen/Mogen/Kunnen toets uitgevoerd
waarbij onder meer het gebruik van nationaliteit wordt beoordeeld. Voor het ontwikkelen
van centrale risicomodellen is in het najaar van 2019 een formeel kwaliteits-framework
ingevoerd, waarin ook een controle op het voorkomen van selectiebias is opgenomen.
En is de ADR gevraagd onderzoek te doen naar de wijze van totstandkoming van risicomodellen,
selectieregels, data-analyses en query’s bij de Belastingdienst. Ook de uitkomsten
van het onderzoek van de AP naar het gebruik van nationaliteit worden afgewacht.

De leden van de SP vragen of lijsten en applicaties van het «Team Signaal & Fraude-analyse»
van EHI zijn opgeschoond.

Sinds eind 2018 is DF&A bezig om alle producten van voormalig EHI, die naar DF&A zijn
gegaan en die uitgeleverd worden aan andere onderdelen van de Belastingdienst, in
kaart te brengen en te analyseren op compliantie op wet- en regelgeving. Tegelijkertijd
worden deze dan onder het kwaliteitsframework van de DF&A gebracht. Daarbij hoort
onder andere ook een periodieke schoning van de producten. De verwachting is dat voor
het eind van het jaar alle producten opgeschoond zijn.

Deze leden vragen ook op er in dit team in de periode 2013–2018 (tweede) nationaliteit
is verwerkt of er op deze gegevens query’s zijn gedraaid.

Op basis van gesprekken met voormalig medewerkers is gebleken dat er in het verleden
query’s op nationaliteit zijn gedraaid. Ook de uitkomsten van het onderzoek van de
AP naar het gebruik van nationaliteit worden afgewacht.

Tenslotte vragen de leden van de SP-fractie of het «Team Selectie en Detectie» van
EHI gegevens over (tweede) nationaliteit heeft verwerkt in de periode 2013 tot 2018
en of tweede nationaliteit een rol heeft gespeeld bij het opstellen van selectie-
dan wel uitworpregels en of daartoe dan opdracht werd gegeven.

In de periode 2013–2018 vielen de selectieregels die werden gebruikt en ontwikkeld
voor de inkomstenbelasting onder de verantwoordelijkheid van EHI. In één selectieregel
in de selectiemodule die gebruikt werd bij de beoordeling van verzoeken voor een Voorlopige
Aanslag werd gebruik gemaakt van het gegeven nationaliteit. Deze selectieregel is
gebruikt voor de belastingjaren 2012 tot en met 2019 De betreffende selectieregel
is uiteindelijk op 15 mei jongstleden geheel stopgezet. Hierover hebben wij uw Kamer
geïnformeerd in onze brief van 11 mei 2020. In het schriftelijk overleg naar aanleiding
van die brief zijn hierover vragen gesteld. In de beantwoording van deze vragen zal
ik daar uitgebreid op in gaan.

Daarnaast vragen de leden van de SP-fractie waarom er geen toegang plaatsvindt tot
FSV zelf.

In de offerteaanvraag hebben we de partijen gevraagd met een plan te komen om het
gebruik van FSV in beeld te brengen. De handleiding is één van de vertrekpunten voor
de externe onderzoeker om dat plan te kunnen opstellen. De partijen mochten daarbij
zelf aangeven in de offerte wat er nog meer nodig zou moeten zijn om het gebruik goed
in beeld te brengen. Op basis van het eigen plan heeft KPMG toegang gekregen tot andere
basisdocumenten als Gegevensbeschermingseffectbeoordelingen (GEB's) van verwerkingen
die in de loop van het onderzoek raakvlakken bleken te hebben met FSV, architecturen
en een uitdraai van het register van verwerkingen. Ook heeft KPMG medewerkers geïnterviewd
om het daadwerkelijk gebruik in beeld te brengen. Daarnaast heeft de Belastingdienst
op basis van een query KPMG toegang gegeven tot de inhoud van het vrije tekstveld.

Ook vinden deze leden het vreemd dat het onderzoek alleen gaat naar applicaties die
operationeel zijn en dat in ontwikkeling zijnde applicaties buiten de scope vallen
(punt 28). Deze leden vragen of dit betekent dat er niet naar eerder uitgezette systemen
of applicaties wordt gekeken of naar wat nu ontwikkeld wordt.

In onze beantwoording hebben we eerder aangeven dat we uw Kamer op korte termijn willen
informeren over de mogelijke effecten op burgers en bedrijven als gevolg van de opname
in FSV en soortgelijke applicaties. Wij hebben uw Kamer in een eerdere brief toegezegd
alle applicaties van de Belastingdienst door te lichten op naleving van relevante
wet- en regelgeving. De nu niet geraakte applicaties komen nog aan de beurt in het
vervolgonderzoek. Zoals in de begeleidende Kamerbrief is gemeld, gaan we daarom alle
verwerkingen valideren op opzet en bestaan.

De leden van de SP-fractie willen tot slot wijzen op het feit dat er nog series Kamervragen
openstaan van verschillende Kamerleden en dat het uitblijven van alle antwoorden die
door dit onderzoek niet opgeschort hoeven te worden, een zeer onwenselijke zaak is.

De leden van de SP-fractie vragen of de Kamervragen beantwoord kunnen worden voor
zover de antwoorden nu beschikbaar zijn.

Met de beantwoording van de vragen uit het schriftelijk overleg hebben wij u tevens
een brief gestuurd over de uitkomsten van Fase I van het FSV-onderzoek en de beantwoording
op de eerder gestelde schriftelijke Kamervragen.