De Belastingdienst voldoet op veel belangrijke onderdelen nog steeds niet aan de privacywetgeving. Hoewel de organisatie sinds 2024 stappen heeft gezet om de bescherming van persoonsgegevens te verbeteren, verloopt de vooruitgang te langzaam. Daardoor blijven de grondrechten van miljoenen burgers en ondernemers in het geding. Dat concludeert de Autoriteit Persoonsgegevens (AP) in het rapport Staat van de gegevensbescherming bij de Belastingdienst.
De AP houdt sinds 2024 verscherpt toezicht op de Belastingdienst en beoordeelt de voortgang op twaalf onderdelen. Daaruit blijkt dat de naleving van de Algemene verordening gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) op tal van terreinen tekortschiet.
Een belangrijk knelpunt is het gebruik van geautomatiseerde selectie-instrumenten. De Belastingdienst moet beter onderbouwen welke criteria worden gebruikt om burgers en ondernemers voor controles te selecteren. Zonder voldoende waarborgen bestaat het risico op discriminatie. Ook kan de dienst nog niet aantonen dat bij algoritmische besluiten, waar de wet dat vereist, sprake is van betekenisvolle menselijke tussenkomst.
Beveiliging persoonsgegevens onvoldoende
Daarnaast schiet de beveiliging van persoonsgegevens tekort. Vooral de controle op het raadplegen van gegevens door medewerkers is onvoldoende geregeld. Hierdoor bestaat het risico dat onbevoegden toegang krijgen tot gevoelige informatie.
Ook bewaart de Belastingdienst persoonsgegevens langer dan toegestaan, onder meer in afgeschermde digitale omgevingen. Verder moeten de systemen Klant Toezicht Applicatie (KTA) en Informatiesjabloon worden uitgefaseerd, omdat de verwerking van persoonsgegevens daarin niet aan de wettelijke eisen voldoet.
Andere tekortkomingen betreffen het onnodige gebruik van burgerservicenummers in betalingskenmerken en vorderingsnummers, de afhandeling van inzageverzoeken en een onvolledig verwerkingsregister.
Wel vooruitgang zichtbaar
De toezichthouder constateert tegelijkertijd dat de Belastingdienst serieus werk maakt van verbeteringen. Zo voldoet de organisatie inmiddels aan de wettelijke eisen voor het melden van datalekken en het uitvoeren van privacyrisicoanalyses (DPIA’s). Ook zijn plannen opgesteld om onrechtmatige systemen te vervangen en selectiealgoritmen te toetsen. De uitvoering blijft echter achter. Vooral bij de controle op toegang tot persoonsgegevens is nauwelijks vooruitgang geboekt.
Volgens de AP vormen verouderde IT-systemen en complexe organisatorische processen belangrijke obstakels. De toezichthouder erkent deze problemen, maar vindt dat de Belastingdienst prioriteit moet geven aan maatregelen die de grootste risico’s voor burgers beperken.
De AP dringt daarnaast aan op versterking van de interne privacyorganisatie, zodat verbeteringen structureel worden geborgd. In januari 2028 verschijnt een nieuwe beoordeling. Het verscherpte toezicht loopt voorlopig tot medio 2029 en kan worden verlengd als de resultaten onvoldoende blijven.
Bron: AP, 11 november 2026
Geef een reactie