Antwoord schriftelijke vragen : Antwoord op vragen van het lid Omtzigt over het incomplete AVG-verwerkingsregister en over onbeantwoorde belangrijke vragen over de kinderopvangtoeslagaffaire

Antwoord van Staatssecretaris Vijlbrief (Financiën – Fiscaliteit en Belastingdienst)
en van Sstaatsecretaris Van Huffelen (Financiën – Toeslagen en Douane) (ontvangen
28 september 2020).

Vraag 1

Herinnert u zich dat ik bij het algemeen overleg over de Belastingdienst op 23 juni
2020 doorgevraagd heb of er andere zwarte lijsten (dan de Fraude Signalering Voorziening
– FSV) bekend waren?1

Antwoord 1

Ja.

Vraag 2

Herinnert u zich dat u in juli 2020 het KPMG-rapport «Rapportage verwerking van risicosignalen
voor toezicht» aan de Kamer gestuurd heeft?2

Antwoord 2

Ja.

Vraag 3

Klopt het dat KPMG de eerste versie van dit rapport al op 16 juni 2020 aan het ministerie
heeft aangeboden en dat toen al bekend was dat er meer applicaties waren die niet
deugden? Waarom is dat niet aan de Kamer gemeld?

Antwoord 3

Bij brief van 28 april jl. hebben wij aan uw Kamer aangegeven dat nog in kaart moest
worden gebracht of er eventueel met FSV vergelijkbare systemen zijn en of deze wel
voldoen aan de privacywetgeving. Om dit goed uit te zoeken is aan een externe partij
(KPMG) gevraagd hiernaar onderzoek te doen. Tijdens het algemeen overleg van 23 juni
2020 heeft de Staatssecretaris van Financiën – Fiscaliteit en Belastingdienst aangegeven
dat wij bij het naar de Kamer sturen van het definitieve rapport van KPMG zouden rapporteren
over FSV-achtigen.

Op 16 juni jl. heeft KPMG (opdrachtnemer) een eerste conceptversie van de rapportage
aan de Belastingdienst (opdrachtgever) aangeboden. Hieruit werd duidelijk dat er binnen
de in het rapport beschreven context, geen primaire processen of toezichtprocessen
zijn gevonden die in dezelfde mate risicosignalen verwerken, of die een sterke gelijkenis
met FSV vertonen. KPMG schetst daarnaast een algemeen beeld omtrent risicosignalering
en risicoselectie. Daarbij geeft KPMG duiding aan de wijze waarop zij de zoektocht
naar systemen die in aanmerking komen om onderzocht te worden, gaat vormgeven. In
deze conceptversie geeft KPMG aan dat zij op basis van documentenstudie en informatieverzameling
door middel van interviews tot een shortlist van toezichtprocessen en bijbehorende
applicaties zijn gekomen die mogelijk een vergelijkbare werking en doel hadden als
waarvoor FSV werd gebruikt. Dit concept is besproken tussen KPMG en de Belastingdienst.

In de volgende twee concepten (respectievelijk op 23 juni en 2 juli jl.) heeft KPMG
onder andere de resultaten van die zoektocht weergegeven en is verder onderzoek gedaan
naar de toezichtprocessen en bijbehorende applicaties op de shortlist. Ook deze concepten
zijn besproken tussen opdrachtgever en opdrachtnemer. Dit met het doel om feitelijke
onjuistheden te verbeteren en verduidelijkende vragen te kunnen stellen. Tevens is
de inhoud van alle concepten besproken in de stuurgroep FSV. Aan de stuurgroep FSV
nam de Staatssecretaris van Financiën – Toeslagen en Douane – deel. Zij heeft de conceptrapportages
in die hoedanigheid ontvangen. De Staatssecretaris van Financiën – Fiscaliteit en
Belastingdienst – nam geen deel aan de stuurgroep en heeft de genoemde conceptrapportages
daarom ook niet ontvangen.

Er is vóór 23 juni nog geen melding gedaan aan uw Kamer, omdat het onderzoek nog niet
was afgerond en de bevindingen van KPMG zoals verwoord in de concept-rapportages,
daar op dat moment ook geen aanleiding toe gaven. Op 10 juli jl. is het definitieve
rapport vastgesteld en dat is die dag nog aan uw Kamer toegestuurd. In onze begeleidende
brief3 van 10 juli jl. hebben wij tevens aangegeven welke beheersmaatregelen wij hebben
getroffen voor risico’s bij een aantal andere applicaties en verwerkingsprocessen
die zouden kunnen optreden bij het mogelijk niet voldoen aan de AVG.

Vraag 4

Wanneer wist u voor het eerst van het bestaan van project 1043 af?

Antwoord 4

Eind april ben ik, de Staatssecretaris van Financiën – Toeslagen en Douane, tijdens
achtergrondgesprekken met journalisten van Trouw en RTL Nieuws, op de hoogte gesteld
van het feit dat er in het kader van het toezicht bij de inkomstenbelasting gebruik
wordt gemaakt van projectcode 1043. Ook is in die periode door uw Kamer gevraagd naar
1043. Ik heb vervolgens verzocht om een uitleg. Op 4 mei jl. heb ik naar aanleiding
van mijn vragen een notitie ontvangen met toelichting. Op basis van deze toelichting
was de indruk dat heel goed uitgezocht moet worden wat het gebruik van deze term inhoudt.
In de brief van 10 juli jl.4 is aangegeven dat meer onderzoek gedaan moet worden naar de werking van projectcode
1043 en de gevolgen die het heeft voor belastingplichtigen. Op korte termijn wordt
u over dit onderwerp nader geïnformeerd.

Vraag 5

Beschouwt u project 1043 als een zwarte lijst of niet?

Antwoord 5

Er is geen duidelijke (juridische) definitie, ook niet in de AVG, wat een zwarte lijst
is.

Dat laat onverlet dat de Belastingdienst de processen zorgvuldig en conform en wet-
en regelgeving, zoals de AVG, moet uitvoeren. Dit betekent dat burgers niet onterechte
gevolgen zouden mogen ondervinden van toezicht- en handhavingsprocessen. Wij kunnen
ons daarbij voorstellen dat – hoewel een (juridische) definitie ontbreekt – vanuit
burgerperspectief het wel de sfeer kan oproepen van een zwarte lijst.

Zoals in de Kamerbrief5 van 10 juli jl. aan uw Kamer is geïnformeerd, is project 1043 de naam van een projectcode
die wordt gebruikt bij de risicodetectie van hoog risico-aangiften en mogelijke systeemfraude
in de inkomstenbelasting. Voor een aanvullende toelichting t.a.v. project 1043, verwijzen
wij u naar deze Kamerbrief. Binnenkort informeren wij u over de stand van zaken in
het onderzoek naar projectcode 1043.

Vraag 6

Wat betekent het dat de Belastingdienst een onderhanden versie heeft van een verwerkingsregister?

Antwoord 6

Het Ministerie van Financiën maakt gebruik van één register van verwerkingen. Niet
alle beschrijvingen van de verwerkingen van de Belastingdienst in dit register hebben
een definitieve status en zijn nog in bewerking. Er wordt gewerkt aan een kwaliteitsverbetering
van het register van verwerkingen.

Vraag 7

Wanneer heeft de Belastingdienst een compleet verwerkingsregister (dat niet onderhanden
is)?

Antwoord 7

Ten tijde van de implementatie van de AVG heeft de Belastingdienst zich ingezet om
het register zo volledig mogelijk te vullen. Hierbij zijn de bedrijfsprocessen als
basis gebruikt.

De informatie benodigd voor het vullen van het register vloeit voort uit de (ontwerp)documentatie
van de bedrijfsprocessen van de Belastingdienst. Deze documentatie geeft de verdieping
op welke wijze de processen ontworpen zijn, inclusief de samenhang met applicaties
en de samenhang met ander processen en op welke wijze er invulling gegeven wordt aan
de vereisten van de AVG en andere wet- en regelgeving.

Omdat we met name daar de gebreken zien gaat de Belastingdienst, zoals aan uw Kamer
geïnformeerd6, de bedrijfsprocessen systematisch, grondig en zorgvuldig doorlichten. Hierbij wordt
ook getoetst of het niet alleen in opzet maar ook in de praktijk aan de eisen van
de AVG en andere wet- en regelgeving voldoet. Op basis van de geactualiseerde ontwerpen
wordt het register conform de vereisten bijgewerkt. Zoals eerder aan uw Kamer bericht,
is voor dit traject helaas nog minimaal drie jaar voorzien. Zoals in antwoord 6 aangegeven
loopt er momenteel al een eerste verbeterslag van het register.

Hierbij geldt overigens dat het register in enige mate voortdurend onderhevig zal
zijn aan veranderingen omdat processen door de tijd veranderen, bijvoorbeeld door
wijzigingen in wetgeving.

Vraag 8

Herinnert u zich dat uw voorganger in mei 2019 het volgende meldde:

«De periode februari–mei 2019 heeft de Belastingdienst gebruikt om de bevindingen
van de ADR weg te nemen. De Belastingdienst meldt dat de bevindingen inmiddels zijn
opgelost, met uitzondering van het verwijderen van oude gegevens»

en

«De Belastingdienst werkt aan het verbeteren van het inzicht in het gebruik van persoonsgegevens
in de keten door het actualiseren en het verbeteren van de kwaliteit van het register
van werkingen»?7

Antwoord 8

Ja.

Vraag 9

Herinnert u zich dat de Auditdienst Rijk (ADR) in een vervolgonderzoek in december
2019, dat als bijlage weggefrommeld aan de Kamer gestuurd is, concludeerde:

«Geen voortgang op registratie van verwerkersovereenkomsten in AVG-register

ADR-bevinding uit het initiële rapport: Nog niet alle verwerkersovereenkomsten zijn
aanwezig of geactualiseerd

Uit de analyse van begin september 2019 blijkt dat er geen voortgang is geboekt ten
opzichte van februari 2019 met betrekking tot de volledigheid en de actualiteit van
de registratie van verwerkersovereenkomsten in het AVG-register van het Ministerie
van Financiën.»4

Antwoord 9

Ja.

Vraag 10

Wanneer heeft de Belastingdienst een functionerend, volledig en up-to-date verwerkingsregister
dat aan de Algemene verordening gegevensbescherming (AVG) voldoet?

Antwoord 10

Zie hiervoor het antwoord op vraag 7.

Vraag 11

Realiseert u zich dat uw onvolledige verwerkingsregister ertoe leidt dat KPMG moet
concluderen dat het mogelijk is dat processen met gebruik van risicosignalen buiten
ons gezichtsveld zijn gebleven?

Antwoord 11

Wij realiseren ons dat er onvoldoende gedetailleerde beschrijvingen beschikbaar zijn
voor onderzoeken die diepgaand zijn of een volledig dekkend beeld geven van de wijze
waarop de risicoselectieprocessen binnen de Belastingdienst worden uitgevoerd en hoe
applicaties daarbij worden gebruikt. In antwoord op vraag 7 is aangegeven wat we gaan
doen om dit te verbeteren.

Vraag 12

Heeft u aan de Autoriteit Persoonsgegevens gemeld dat u geen volledig verwerkingsregister
heeft? Zo ja, wanneer?

Antwoord 12

Wij hebben de uitkomsten van het KPMG-onderzoek actief met de AP gedeeld. Dit betreft
echter geen formele melding, omdat er geen verplichting bestaat om dat aan de AP te
melden.

Vraag 13

Kunt u deze vragen een voor een en voorafgaand aan het algemeen overleg start hersteloperatie
kinderopvangtoeslag op 20 augustus 2020 beantwoorden?

Antwoord 13

Het is niet gelukt deze vragen te beantwoorden voorafgaand aan het algemeen overleg
van 20 augustus 2020.

Vraag 14

Kunt u ook de volgende vragen, waarvoor de originele beantwoordingstermijnen van drie
weken (bijna) verstreken zijn en die betrekking hebben op de kinderopvangtoeslag,
ten minste een dag voor het genoemde algemeen overleg beantwoorden:

– onbeantwoorde vragen van het lid Omtzigt (CDA) aan de Staatssecretaris van Financiën
(Toeslagen en Douane) over 9000 dossiers die onterecht vernietigd zijn (ingezonden
6 juli 2020) (2020Z13583);

– onbeantwoorde vragen van het lid Omtzigt (CDA) aan de Staatssecretaris van Financiën
– Fiscaliteit en Belastingdienst en aan de Staatssecretaris van Financiën – Toeslagen
en Douane over het keihard liegen door de Belastingdienst/toeslagen (ingezonden 24 juli
2020) (2020Z14309);

– onbeantwoorde vragen van het lid Omtzigt (CDA) aan de Staatssecretaris van Financiën
– toeslagen en douane – over vele ouders die in deze zomervakantie een brief kregen
om binnen de veel te korte termijn van twee weken bewijsstukken over de kinderopvangtoeslag
2019 op te sturen (ingezonden 29 juli 2020) (2020Z14404)?

Antwoord 14

Op 18 augustus jl. heb ik uw Kamer de antwoorden op de eerste twee genoemde sets met
vragen gestuurd en een uitstelbrief over de derde set met vragen gestuurd.