AP informeert incassobureaus over verantwoorde inzet AI

De Belastingdienst houdt zich op veel belangrijke terreinen nog niet aan de privacywetgeving. De verbetering gaat ook te langzaam. Tegelijkertijd werpt het geïntensiveerde toezicht van de Autoriteit Persoonsgegevens (AP) vruchten af: de Belastingdienst is zichtbaar bezig de problemen op te lossen. Dat blijkt uit de eerste editie van de 'Staat van de gegevensbescherming bij de Belastingdienst', die de AP vandaag publiceert.

In deze rapportage maakt de AP de balans op van het geïntensiveerde toezicht, dat in 2024 is ingesteld. Er is bijvoorbeeld gekeken naar de uitvoering van de door de AP opgelegde verbetertrajecten. Die zijn niet vrijblijvend: de Belastingdienst is wettelijk verplicht aanwijzingen van de AP als toezichthouder op te volgen. Gebeurt dat niet, dan kan de AP handhavend optreden en sancties en dwangmiddelen opleggen.

Voor de rapportage heeft de AP de werkwijze van de Belastingdienst grondig doorgelicht en tekortkomingen in kaart gebracht. Bij 12 onderwerpen beoordeelt de AP of de Belastingdienst de wet naleeft en hoe voortvarend de Belastingdienst de problemen aanpakt.

Er is vooruitgang

Bij 2 van die 12 onderwerpen houdt de Belastingdienst zich inmiddels aan de wet: het melden van datalekken en het uitvoeren van privacytoetsen (DPIA's). Dat laatste is een duidelijke verbetering ten opzichte van vorig jaar. Het laat zien dat de Belastingdienst bij nieuwe projecten de bescherming van persoonsgegevens structureel meeweegt.

Ook op andere terreinen verwacht de AP binnenkort verbetering. Zo verdwijnt het BSN eind 2026 uit het betalingskenmerk voor burgers. Ook zijn er plannen om enkele problematische systemen uit te schakelen.

Snel resultaat noodzakelijk

Bij de andere 10 onderwerpen schiet de naleving van de wet nog tekort. Zo zijn de selectiealgoritmes onvoldoende onderbouwd, terwijl dat nodig is om discriminatie te voorkomen. Ook kan de Belastingdienst nog niet aantonen dat er bij beslissingen van algoritmes een mens meekijkt als dat moet van de wet.

Daarnaast beveiligt de Belastingdienst persoonsgegevens niet goed, waardoor de kans op misbruik bestaat. Verder moet de eigen privacyorganisatie beter functioneren voor duurzame verbetering van gegevensbescherming.

AP-bestuurslid Katja Mur: "De Belastingdienst is een van de grootste verwerkers van persoonsgegevens van Nederland. Dat vaak gevoelige persoonsgegevens van vrijwel iedere Nederlander nog steeds niet goed genoeg worden beschermd, is dan ook een zorgelijke conclusie. Zeker als je bedenkt dat die bescherming samenhangt met andere grondrechten, zoals het recht op non-discriminatie."

Mur vervolgt: "Toch zien we ook het positieve effect van het geïntensiveerde toezicht. De top van de Belastingdienst stuurt duidelijk op de noodzakelijke verbeteringen. En veel medewerkers werken hard om de problemen op te lossen. Helaas heeft dat zich op belangrijke terreinen nog niet vertaald in het naleven van de wet."

Extra impuls is nodig

De Belastingdienst wijst vaak op de verouderde IT-systemen, waardoor het moeilijk zou zijn om de noodzakelijke verbeteringen snel door te voeren. Het belang van gegevensbescherming concurreert dan met beleidswensen van het kabinet en de Tweede Kamer.

Volgens de AP moet de bescherming van persoonsgegevens zwaarder meewegen. De terreinen met de grootste risico's voor burgers moeten voorrang krijgen. Voor de digitale weerbaarheid van burgers en het vertrouwen in het werk van de Belastingdienst is een extra impuls noodzakelijk. Daarom moet er mogelijk extra geïnvesteerd worden in de IT bij de Belastingdienst.

Geïntensiveerd toezicht

De Belastingdienst kreeg in de periode 2019-2022 bovengemiddeld veel sancties van de AP, waaronder diverse boetes en opgelegde verbetertrajecten. Dat zijn meer sancties dan welke andere overheidsorganisatie ook. Toch bleef structurele verbetering uit.

Daarom intensiveerde de AP het toezicht in 2024. De Belastingdienst erkende dat deze stap nodig was om het beter te gaan doen. Het geïntensiveerde toezicht loopt voorlopig tot medio 2029. De AP blijft erbovenop zitten, totdat het goed is. In januari 2028 publiceert de AP de volgende 'Staat van de gegevensbescherming bij de Belastingdienst'.