De naleving van privacywetgeving bij de Belastingdienst is nog steeds niet overal op orde. Staatssecretaris Eerenberg informeert de Tweede Kamer over de bevindingen van de Autoriteit Persoonsgegevens (AP) en de maatregelen om de gegevensbescherming te verbeteren.
Sinds 2024 heeft de AP een toezichtarrangement ingesteld bij de Belastingdienst. In de rapportage over de periode 2024 tot medio 2026 beoordeelt de AP twaalf deelonderwerpen op naleving van de Algemene verordening gegevensbescherming (AVG) en de Wet politiegegevens (Wpg), en op slagkracht om verbeteringen door te voeren.
De staatssecretaris neemt de conclusies serieus en omarmt de aanbevelingen. Ondanks aantoonbare inspanningen is de naleving nog onvoldoende. Het zal nog enkele jaren duren voordat de gegevensbescherming overal op orde is.
Grootste verbeteropgaven
Bij drie onderwerpen ziet de AP de grootste verbeteropgave: de datakluis, logging en controle hierop, en de afhandeling van inzageverzoeken.
De gegevens in de datakluis worden geïndexeerd, zodat deze na beoordeling door een externe commissie kunnen worden verwijderd, vernietigd of gearchiveerd. Voor logging en controle hierop is het interne beleid aangescherpt.
De Belastingdienst kan niet aantonen dat inzageverzoeken consequent binnen de wettelijke termijn worden afgehandeld. In 2027 komt een tijdelijke centrale voorziening. Vanaf 2028 moeten verzoeken bij één centraal punt binnenkomen en door één team worden behandeld.
Selectie-instrumenten en onrechtmatige systemen
Bij zeven andere onderwerpen is de naleving eveneens onvoldoende, maar ziet de AP meer perspectief op verbetering. Hieronder vallen selectie-instrumenten, menselijke tussenkomst, het verwerkingsregister en onrechtmatige systemen.
De Belastingdienst wil in 2026 veertig selectie-instrumenten toetsen en uiterlijk in 2027 alle circa honderd instrumenten. Daarbij wordt ook beoordeeld of menselijke tussenkomst noodzakelijk en betekenisvol is.
Het gebruik van BSN in betalingskenmerken wordt voor particulieren uiterlijk eind 2026 uitgefaseerd en voor ondernemers in het derde kwartaal van 2027.
Bij de meldplicht datalekken beoordeelt de AP de naleving als goed. Ook zijn achterstanden bij privacyrisicobeoordelingen (DPIA’s) ingelopen. De staatssecretaris wil in 2027 aantoonbare voortgang realiseren op alle fronten.
Geef een reactie