AP: Belastingdienst voldoet niet aan privacyregels
De Belastingdienst doet nog te weinig om de privacy van burgers en ondernemers te beschermen. Dat concludeert de Autoriteit Persoonsgegevens (AP), die de fiscus controleerde op twaalf onderdelen. Op tien daarvan voldoet de dienst niet aan de eisen, stelt de toezichthouder.
De Belastingdienst neemt volgens de AP niet genoeg maatregelen om persoonsgegevens goed te beveiligen. Zo zijn er nog niet voldoende systemen om bij te houden wie welke gegevens bekijkt (logging). Bij sommige systemen hebben te veel medewerkers onnodig toegang tot persoonsgegevens.
BSN-nummers
Algoritmes mogen niet zelfstandig besluiten nemen, er moet altijd een mens bij betrokken zijn, maar de Belastingdienst kan niet aantonen dat er "sprake is van betekenisvolle menselijke tussenkomst". Verder doet de fiscus te weinig om discriminatie bij "geautomatiseerde selectiecriteria" te voorkomen.
De AP wil ook dat de Belastingdienst stopt met het verwerken van burgerservicenummers in betalingskenmerken en vorderingsnummers. Het is de bedoeling dat de burgerservicenummers vanaf eind dit jaar niet meer in de betalingskenmerken staan.
Verouderde systemen
De Belastingdienst heeft in de afgelopen jaren meerdere boetes van de privacytoezichthouder gekregen. De fiscus voert nu wel verbeteringen door, maar die gaan langzaam, aldus de toezichthouder. Die dringt aan op extra investeringen. "Volgens de AP moet de bescherming van persoonsgegevens zwaarder meewegen."
De Belastingdienst wijst vaak op de verouderde IT-systemen, waardoor het moeilijk zou zijn om de noodzakelijke verbeteringen snel door te voeren, stelt de AP. Het belang van gegevensbescherming concurreert met beleidswensen van het kabinet en de Tweede Kamer.
Intensiever toezicht
De Belastingdienst erkent in een reactie dat de conclusies "niet tot tevredenheid" stemmen. Daarom kijkt de fiscus welke verbeteringen sneller kunnen worden doorgevoerd. "De realiteit is ook dat het nog enkele jaren zal duren voordat de gegevensbescherming overal op orde is", aldus een woordvoerder.
De AP intensiveerde het toezicht op de Belastingdienst in 2024 en doet dat voorlopig tot medio 2029. In januari 2028 publiceert de AP hierover een volgend rapport.
Bron: ANP/AP
Gerelateerd
Twaalf meldingen bij Autoriteit Persoonsgegevens na datalek CEVA
Twaalf bedrijven hebben inmiddels bij de Autoriteit Persoonsgegevens (AP) melding gemaakt van mogelijk gelekte klantengegevens, door een samenwerking met logistiek...
'Vele datalekken vergroten kans dat cybercriminelen slagen'
Met alle datalekken van tegenwoordig, zoals recent bij een logistiek bedrijf, kunnen cybercriminelen data uit verschillende lekken aan elkaar koppelen en zo steeds...
Bol en Bijenkorf waarschuwen klanten voor datalek bij 'logistiek partner'
Webwinkel Bol waarschuwt klanten voor een datalek bij een logistiek bedrijf waar Bol mee samenwerkt. Volgens de webwinkel hebben onbevoegden daar toegang gekregen...
AP publiceert nieuwe ransomware-rapportage met lessen uit praktijk
De Autoriteit Persoonsgegevens (AP) heeft de Ransomware-rapportage 2025 gepubliceerd. Daarin delen organisaties hun ervaringen met ransomware-aanvallen en zet de...
Autoriteit Persoonsgegevens stelt nieuwe voorwaarden aan organisaties voor melden van fraude
De Autoriteit Persoonsgegevens (AP) heeft recent een advies gepubliceerd over het verwerken van persoonsgegevens bij signalen en meldingen van mogelijke fraude.