Belastingdienst kampt met AVG-tekortkomingen in algoritmes
De Belastingdienst voldoet op veel cruciale terreinen nog steeds niet aan de privacywetgeving. Hoewel de fiscus zichtbaar werkt aan het oplossen van de problemen, verloopt de voortgang te langzaam. Dat concludeert de Autoriteit Persoonsgegevens in de eerste editie van de 'Staat van de gegevensbescherming bij de Belastingdienst'. De toezichthouder maakt in dit rapport de balans op van het geïntensiveerde toezicht dat in 2024 werd ingesteld na een reeks eerdere sancties en boetes.
Slechts twee van twaalf onderwerpen op orde
Uit het doorlichten van twaalf specifieke onderwerpen blijkt dat de Belastingdienst de wet momenteel bij slechts twee onderdelen volledig naleeft. Het gaat hierbij om het tijdig melden van datalekken en het uitvoeren van verplichte privacytoetsen (DPIA's). Volgens de toezichthouder is het uitvoeren van deze toetsen een duidelijke verbetering ten opzichte van voorgaande jaren, wat aantoont dat de fiscus gegevensbescherming bij nieuwe projecten structureel meeweegt. Ook op het gebied van het verwijderen van het burgerservicenummer uit betalingskenmerken voor burgers wordt eind 2026 voortgang verwacht.
Bij de overige tien onderzochte domeinen schiet de naleving van de Algemene Verordening Gegevensbescherming echter nog tekort. Zo zijn selectiealgoritmes onvoldoende onderbouwd, wat noodzakelijk is om discriminatie te voorkomen. Ook kan de Belastingdienst niet aantonen dat er voldoende menselijke controle plaatsvindt bij geautomatiseerde besluitvorming. Daarnaast schiet de algemene beveiliging van persoonsgegevens tekort, waardoor het risico op misbruik blijft bestaan, en moet de interne privacyorganisatie beter gaan functioneren om duurzame resultaten te boeken.
Spanning tussen verouderde IT en wetgeving
De Belastingdienst wijst voor de trage voortgang vaak op de complexiteit van verouderde IT-systemen, waardoor privacyverbeteringen moeten concurreren met nieuwe beleidswensen van het kabinet en de Tweede Kamer. De Autoriteit Persoonsgegevens benadrukt dat de bescherming van persoonsgegevens zwaarder moet wegen en dat dossiers met de grootste risico's voor burgers voorrang moeten krijgen. Om de digitale weerbaarheid van burgers en het vertrouwen in de Belastingdienst te herstellen, zijn volgens de toezichthouder mogelijk extra IT-investeringen noodzakelijk.
Bestuurslid Katja Mur van de Autoriteit Persoonsgegevens noemt de situatie zorgelijk, aangezien de fiscus gevoelige gegevens van vrijwel iedere Nederlander verwerkt en privacy nauw samenhangt met grondrechten zoals non-discriminatie. Wel ziet de toezichthouder dat de top van de Belastingdienst inmiddels strakker stuurt op de verbetertrajecten. Het geïntensiveerde toezicht van de AP blijft van kracht tot medio 2029, waarbij een volgende statusrapportage in januari 2028 wordt gepubliceerd.
