Naleving privacywetgeving bij Belastingdienst: vooruitgang, maar te traag

In dit artikel:

De Belastingdienst voldoet op veel belangrijke punten nog niet aan de privacywetgeving. Dat concludeert de Autoriteit Persoonsgegevens (AP) in de eerste jaarlijkse rapportage over de gegevensbescherming bij de dienst. Het geïntensiveerde toezicht, dat in 2024 begon en voorlopig tot medio 2029 duurt, heeft wel effect: de Belastingdienst werkt aantoonbaar aan verbeteringen, maar volgens de AP gaat dat nog te langzaam.

De AP onderzocht twaalf onderwerpen. Op slechts twee daarvan voldoet de Belastingdienst inmiddels aan de wet: het melden van datalekken en het uitvoeren van privacytoetsen. Op de tien andere terreinen zijn de tekortkomingen nog niet opgelost. Zo zijn selectiealgoritmes onvoldoende onderbouwd, waardoor risico’s op discriminatie blijven bestaan. Ook kan de dienst niet altijd aantonen dat een mens algoritmische beslissingen controleert wanneer dat wettelijk verplicht is. De beveiliging van persoonsgegevens schiet eveneens tekort en de interne privacyorganisatie moet beter functioneren.

Op enkele punten verwacht de AP snel verbetering. Zo wordt het burgerservicenummer eind 2026 uit het betalingskenmerk verwijderd en staan het uitschakelen van enkele problematische systemen en andere aanpassingen gepland. Verouderde IT-systemen maken snelle verbetering moeilijk, maar volgens de AP moet gegevensbescherming zwaarder wegen dan andere beleidsprioriteiten. Extra investeringen in de IT kunnen nodig zijn.

Staatssecretaris Eerenberg van Financiën noemt de voortgang onvoldoende en wil verbeteringen versnellen. De AP hield tussen 2019 en 2022 vaker en zwaarder toezicht op de Belastingdienst dan op andere overheidsorganisaties, maar structurele verbetering bleef uit. De toezichthouder blijft daarom controleren en publiceert in januari 2028 een nieuwe beoordeling.