Toezeggingen en moties over het Risico Analyse Model (RAM) van de Belastingdienst

Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202631 066BelastingdienstNr. 1521 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 3 december 2025Op 6 maart 20251 informeerde mijn ambtsvoorganger u over het RisicoAnalyse Model (RAM) bij de Belastingdienst en het externe onderzoek datdaarnaar is verricht door KPMG.In die brief werd gemeld dat de Belastingdienst 20 jaar lang gebruikmaakte van een database waarin (fiscale) gegevens van burgers enbedrijven waren opgenomen. Die database was het RAM. De Belasting-dienst heeft RAM in mei 2018 uitgeschakeld, voor de inwerkingtreding vande Algemene Verordening Gegevensbescherming, wegens strijdigheidmet deze wetgeving wegens onvoldoende mitigerende maatregelen. Opbasis van het onderzoek van KPMG concludeerde mijn ambtsvoorgangerdat RAM niet voldeed aan de destijds geldende (wettelijke) eisen op hetgebied van privacywetgeving, beveiligingsvoorschriften en de Archiefwet.Mijn ambtsvoorganger stelde vast dat de Belastingdienst RAM niet hadmoeten en mogen gebruiken.Burgers en bedrijven moeten er zeker van kunnen zijn dat de Belasting-dienst conform wet- en regelgeving werkt, waaronder de algemenebeginselen van behoorlijk bestuur en dat zij vertrouwen kunnen stellen inde Belastingdienst. Vanaf 2018 zijn verbeteringen bij de Belastingdienstdoorgevoerd die leiden tot een betere balans tussen toezicht en gegevens-bescherming. De Belastingdienst van nu functioneert daarmee anders dande Belastingdienst van toen. In de brief van 6 maart jl. werden legiomaatregelen genoemd die reeds zijn genomen en stappen aangekondigddie nog moet worden gezet ter verdere verbetering van aspecten alsgegevensbescherming, gegevensverstrekking, omgang met bijzonderepersoonsgegevens en besluitvorming binnen de Belastingdienst. Ookwerden diverse toezeggingen gedaan.1Kamerstuk 31 066, nr. 1465 kst-31066-1521ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15211 Daarna is in het commissiedebat Belastingdienst van 13 maart 2025 en inhet schriftelijk overleg dat op 26 mei 20252 werd vastgesteld, hetonderwerp RAM behandeld. Hierbij zijn ook diverse toezeggingen gedaanen nam uw Kamer naar aanleiding van deze handelingen diverse motiesaan. In deze brief kom ik terug op een gedeelte van die toezeggingen enmoties. In paragraaf 1 ga ik in op systemen bij de Belastingdienst enDouane die qua functionaliteit gelijkenis met RAM vertonen. Daarna ga ikin paragraaf 2 in op de monitor fiscale dienstverleners, in paragraaf 3 opde verbeteracties voor convenanten aangaande gegevensverstrekking enin paragraaf 4 op het algoritmeregister. Tot slot ontving ik op 24 november2025 vragen3 van lid Ergin over «het uitstelbericht onderzoek naaraangetroffen documenten bij de Belastingdienst op nationaliteit enpostcode» die ik beantwoord.Na het kerstreces 2025 informeer ik u over de resterende toezeggingen enmoties aangaande RAM. Specifiek gaat het dan over het onderzoek dat deBelastingdienst heeft uitgevoerd naar de gevolgen van het gebruik vanRAM-spreadsheets op basis van nationaliteit en postcode dat op ditmoment door de Auditdienst Rijk gevalideerd wordt. Ook informeer ik udan over het uitsluiten dat RAM-spreadsheets nog worden gebruiktbinnen de Belastingdienst, Douane of bij samenwerkingsverbanden.1. Vergelijkbare systemen In haar onderzoek wees KPMG op zes systemen die nu in gebruik zijn endie qua functionaliteit vergelijkbaar zijn met het uitgezette systeem RAM.Het gaat om vijf systemen van de Belastingdienst en één systeem van deDouane. In het voorjaar heeft de Autoriteit Persoonsgegevens (AP) dezesystemen onderworpen aan een versnelde gegevensbeschermingscon-trole. Met de brief van 10 juli 20254 bent u geïnformeerd over hetdringend verzoek van de AP naar aanleiding van hun onderzoek. De APstelde vast dat medewerkers met geen van de zes systemen zelf risicose-lecties konden maken, hetgeen het grootste pijnpunt was bij RAM. Hetsysteem van de Douane is weliswaar een risicoselectiesysteem, maar ditsysteem bevat vooraf gedefinieerde regels. De systemen van de Belas-tingdienst betreffen alleen klantbeelden, waarbij de inbreuk op debescherming van persoonsgegevens beperkter is dan wanneer sprake isvan risicoselecties. Wel heeft de AP voor alle zes systemen geconstateerddat er tekortkomingen zijn in de bescherming van persoonsgegevens. DeAP heeft de Belastingdienst en de Douane opdracht gegeven voor alle zessystemen mitigerende maatregelen te nemen.Voor twee specifieke systemen «Informatiesjabloon» en de «KlantbeeldToezicht Applicatie» concludeerde de AP dat deze systemen op een zo kortmogelijke termijn uitgefaseerd moeten worden, omdat de risico’s voor debescherming van persoonsgegevens onevenredig zijn en niet voldoendemet mitigerende maatregelen zijn op te lossen. De Belastingdienst heeftop 16 oktober 2025 plannen van aanpak voor deze uitfasering bij de APingediend. Deze stukken zijn inmiddels beoordeeld door de AP. Bij hetbeoordelen van de ingediende plannen staan de risico’s voor burgerscentraal, maar heeft de AP ook oog voor de noodzaak voor de Belasting-dienst om zijn belangrijke publieke taak uit te kunnen blijven voeren.Conform de toezegging aan u informeer ik u hierover.2Kamerstuk 31 066, nr. 150532025Z203314Kamerstuk 31 066, nr. 1509Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15212 1.1 Informatiesjabloon Het Informatiesjabloon is een loket waar medewerkers van de Belasting-dienst eenvoudig gegevens (waaronder persoonsgegevens) van belas-tingplichtigen op kunnen vragen in Excel-formaat. De AP signaleert hogerisico’s voor de bescherming van de persoonsgegevens. In het plan vanaanpak beschrijft de Belastingdienst welke mitigerende maatregelen zijngenomen om persoonsgegevens beter te beschermen. Zo is het gegevengeslacht en het gegeven kenteken verwijderd, is het opvragen van veelpersoonsgegevens in één aanvraag niet meer mogelijk en wordenbestanden met persoonsgegevens alleen nog opgeslagen op eenbeveiligde omgeving. Het plan van aanpak beschrijft eveneens hoeInformatiesjabloon in een periode van twee jaar kan worden uitgefaseerden vervangen door een alternatief. Naar verwachting is het Informatiesja-bloon eind 2027 volledig uitgefaseerd.1.2 Klantbeeld Toezicht Applicatie (KTA) De Belastingdienst richt bedrijfsprocessen in voor het leveren vanproducten en diensten aan burgers en bedrijven. Om de activiteitenbinnen die processen te kunnen uitvoeren zijn gegevens nodig. KTA is eenapplicatie die bijna alle gegevens van belastingplichtigen in één klant-beeld beschikbaar stelt, zodat medewerkers effectief en efficiënt hun werkkunnen doen. KTA is niet gekoppeld aan onderhanden werk van eenmedewerker, waardoor veel medewerkers toegang hebben tot veelinformatie van belastingplichtigen. De AP heeft KTA beoordeeld als eensysteem met een hoog risico voor de bescherming van persoonsge-gevens.Het plan van aanpak beschrijft als eerste dat op diverse onderdelenmitigerende maatregelen zijn genomen. Het intrekken van de autorisatievan medewerkers die KTA gedurende twee maanden niet gebruiken isperiodiek herhaald, waarmee het aantal gebruikers is gedaald van circa18.000 naar 13.000 gebruikers. Ten tweede wordt ter versterking vanzorgvuldig gebruik van KTA een aanvullende maatregel voorbereid.Hierbij zal de medewerker bij het raadplegen van KTA gaan registrerenwelke opdracht/onderhanden werk ten grondslag ligt aan het raadplegenvan gegevens in KTA. Het traject voor het invoegen van een dergelijkscherm start nog in dit jaar. Dit draagt op korte termijn bij aan een beterebewustwording bij medewerkers in het werken met KTA. Door koppelingaan de monitoring, die de eerste helft van 2026 geoperationaliseerdwordt, leidt dit tot een reductie van het risico bij het gebruik van deapplicatie. Ten derde beschrijft het plan hoe KTA kan worden uitgefaseerden vervangen door de applicatie Inzicht. De applicatie Inzicht biedtnamelijk wel meerdere klantbeelden afgestemd op het proces waar demedewerkers op dat moment mee bezig zijn. Dit principe heet datamini-malisatie en vergt de bouw van klantbeelden per proces. Rekeninghoudend met de volle IT-portfolio is volledige vervanging door Inzichtnaar verwachting in 2028 gerealiseerd. Eind 2027 is circa 80% van dehuidige KTA gebruikers overgestapt naar de applicatie Inzicht en resterencirca 2.000 gebruikers die in 2028 de overstap maken.1.3 Overige systemen GRUFF, SMOB en IHPDe drie overige systemen die nu nog in gebruik zijn bij de Belastingdienst,te weten GRUFF, Inforay Selectie Module OB (SMOB) en InvorderingsHulp Programma (IHP) worden in 2026 uitgefaseerd. In de tussentijdTweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15213 worden mitigerende maatregelen genomen voor GRUFF en IHP om depersoonsgegevens in deze systemen beter te beschermen.Profiel-gebaseerd Risico Management (PRISMA)De AP heeft het systeem PRISMA beoordeeld als een systeem met eenlaag risico voor de bescherming van persoonsgegevens. De AP heeft deDouane de aanvullende opdracht gegeven om invulling te geven aan detransparantievereisten bij profilering en geautomatiseerde besluitvormingen aan de vereisten uit artikel 22 AVG. Gezamenlijk met de Belastingdienstwerkt de Douane aan een plan van aanpak voor selectie-instrumenten,waarin omschreven wordt welke stappen de Douane onderneemt enwaarin de tijdlijn wordt vastgelegd. Dit plan van aanpak wordt uiterlijkeind december opgeleverd.1.4 Reactie Autoriteit Persoonsgegevens op plannen van aanpak Op 17 november 2025 heeft de Belastingdienst de reactie van de AP op deplannen van aanpak ontvangen. Ik dank de AP voor haar reactie en u treftde reactie als bijlage aan bij deze brief.Specifiek voor KTA wordt aangegeven dat uitfasering per 1 januari 2028nog lang duurt, helemaal gezien de eventuele risico’s voor de grond-rechten van burgers. De AP ziet echter wel dat de Belastingdienstaanvullende maatregelen treft om de risico’s voor burgers te verkleinen.De AP zal daarom eind 2026/begin 2027 onderzoek doen om vast te stellenof de risico’s voor de burgers, door de ingevoerde mitigerende maatre-gelen, voldoende zijn teruggebracht om in te kunnen stemmen met hetstopzetten van het systeem per medio 2028. Is dit niet het geval dan is hetopleggen van een verwerkingsverbod per 1 december 2027 een reëleoptie.Met betrekking tot het plan voor uitfasering van Informatiesjabloon, geeftde AP aan zich te kunnen vinden in de planning voor het uitfaseren vanInformatiesjabloon voor zover het binnen de Belastingdienst wordtgebruikt; de planning hiervoor is om Informatiesjabloon vanaf medio 2027niet meer te gebruiken. Voor het uitfaseren van Informatiesjabloon voorzover het de externe gegevensverstrekking (op basis van wet- enregelgeving en convenanten aan andere overheden en samenwerkings-verbanden) betreft, gaat de planning uit van eind 2027. De AP verzoekt deBelastingdienst om na te gaan of deze termijn kan worden verkort.Om de voortgang te monitoren, verzoekt de AP de Belastingdienst omelke 4 maanden een voortgangsrapportage toe te zenden. De Belasting-dienst zal aan dit verzoek voldoen. Daarbij treedt de Belastingdienst ook inoverleg met de AP over de te zetten stappen voor KTA. Voor wat betreft deuitfasering van Informatiesjabloon zal de Belastingdienst tijdens heteerste voortgangsbericht nader ingaan op de mogelijkheden voor eenversnelde uitfasering voor extern gebruik.1.5 Informeren burgers bij onrechtmatigheid De leden Van Vroonhoven en Inge van Dijk verzoeken de regering om teonderzoeken of ook het UWV algoritmes of systemen in gebruik heeft dievergelijkbaar zijn met het RAM5. Daarnaast verzoeken zij om allealgoritmes en gegevenssystemen die vergelijkbaar zijn gebleken met hetRAM bij de Belastingdienst, de Dienst Toeslagen, de Douane en het UWVuiterlijk voor de zomer 2025 te beoordelen op rechtmatigheid. Zij vragen5Kamerstuk 31 066, nr. 1469Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15214 de uitkomsten hiervan aan de Kamer te rapporteren en betrokken burgersconform de AVG te informeren indien hun gegevens onrechtmatig zijnverwerkt in de afgelopen zes jaar. Tot slot wordt verzocht om de betrokkenalgoritmes vast te leggen in het algoritmeregister.Voor deze motie is gekeken naar de gegevenssystemen die vergelijkbaarzijn gebleken met het RAM bij de Belastingdienst, de Dienst Toeslagen ende Douane en die daarnaast ten tijde van de motie nog in gebruik waren.Dit zijn de systemen die in de voorgaande paragrafen 1.1 tot en met 1.3worden genoemd. Op basis van deze conclusie van KPMG heeft de APdeze systemen onderworpen aan een versnelde gegevensbeschermings-controle. De uitkomsten van deze controle heeft de Belastingdienst enDouane op 9 juli 2025 ontvangen en zij zijn op 10 juli 2025 gedeeld met uwKamer.Naar aanleiding van de bevindingen tijdens deze controle heeft de AP deBelastingdienst en Douane verzocht om voor twee hoog-risico systemen(Informatiesjabloon en KTA) met een plan van aanpak voor uitfasering tekomen en om voor de overige vier systemen de bevonden tekortko-mingen op te lossen, zoals in de voorgaande paragrafen is beschreven.Een groot deel van de aanbevelingen van de AP is inmiddels uitgewerkten opgepakt, waaronder de toets op de grondslag van de verwerkingenvan persoonsgegevens in de betreffende systemen. De bevindingen vande AP en de toets op de grondslag van de verwerkingen van persoonsge-gevens geven nu geen aanleiding om aan te nemen dat burgers zijnbenadeeld, waardoor burgers overeenkomstig de motie, niet geïnfor-meerd hoeven te worden.Op het vastleggen van betrokken algoritmes in het algoritmeregister ga ikin paragraaf 4 in. Conform de toezegging worden alle hoog-risicoalgoritmes voor het einde van dit jaar vastgelegd in het algoritmeregister.Gegeven het vorenstaande, beschouw ik deze motie waar het mijnportefeuille betreft, als afgedaan. Over het UWV-onderdeel van deze motiewordt u door de bewindspersoon van Sociale Zaken en Werkgelegenheidgeïnformeerd met de «Stand van de uitvoering SZW», zoals eerderaangekondigd in het schriftelijk overleg dat op 26 mei werd vastgesteld.2. Monitor Fiscaal Dienstverleners Voor het handhaven en het bijbehorende toezichtsproces op FiscaalDienstverleners gebruikt de Belastingdienst de FD-monitor. In hetSchriftelijk Overleg over het RAM-rapport dat op 26 mei jl. is vastgesteld,heeft mijn ambtsvoorganger u gemeld dat de FD-monitor nog nietvolledig aantoonbaar voldoet aan de wettelijke vereisten. Omdat nog nietaan die eisen wordt voldaan, is de beheersmaatregel genomen om deFD-monitor tot nader order niet te gebruiken voor de aanpak (handhavingen toezicht) van niet-compliante Fiscaal Dienstverleners. Dit omdat dieactiviteit kan leiden tot rechtsgevolgen voor burgers en bedrijven. DeFD-monitor wordt nog steeds gebruikt voor dienstverlenende activiteiten,zijnde gesprekken door accountmanagers en relatiebeheerders metFD-kantoren.Mijn ambtsvoorganger heeft u gemeld een update te geven over hetgebruik van de FD-monitor. Er wordt op dit moment gewerkt aan eenviertal procesbeschrijvingen van werkprocessen die gerelateerd zijn aande FD-monitor. Hierna kan er, door de medewerkers die werkzaam zijn inde AVG-vaktechnische lijn, een DPIA over het toezicht op de FD’ersTweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15215 worden opgesteld, zodat mogelijk in het vierde kwartaal van 2026 deFD-monitor weer volledig ingezet kan worden in de handhaving.3. Uitvoering verbeteracties convenanten over gegevens-verstrekking In de Kamerbrief van 6 maart 2025 over het Risico Analyse Model (RAM)is toegezegd dat de Belastingdienst verbeteringen doorvoert op hetgebied van convenanten en gegevensverstrekking. In het schriftelijkoverleg dat op 26 mei jl. is vastgesteld, is aangegeven dat hierop wordtteruggekomen.Steeds meer convenanten worden gepubliceerd op de website van deBelastingdienst6. De Belastingdienst heeft vastgesteld dat de verbeter-acties, die aangekondigd waren in de brief van 6 maart 2025, binnen debestaande inrichting niet (volledig) uitvoerbaar waren. Hierdoor dient hetproces anders te worden ingericht, om zo tot een robuuste en uitvoerbarewerkwijze te komen.Eén van de verbeteracties is gericht op het beheer van het convenanten-proces. De Belastingdienst is voornemens om de verbeteringen in heteerste kwartaal van 2026 door te voeren en zo het convenantenproces inlijn te brengen met nieuwe richtlijnen en ontwikkelingen. De nieuweopgestelde convenanten worden getoetst aan juridische en beleidsmatigekaders. Binnen deze convenanten worden onder andere afsprakengemaakt over het leveren en ontvangen van (persoons)gegevens,alsmede het toezicht hier op.Daarnaast wordt er gewerkt aan een plan voor een verbeterslag op decomplete administratie omtrent gegevensverstrekkingen. Samen met deconvenanten vormt dit een complete verantwoording over de gegevens-verstrekkingen. In de volgende Stand van zakenbrief Belastingdienst zal iku informeren over de dan reeds afgeronde acties en de nog te zettenstappen.4. Algoritmeregister In 2025 zal de Belastingdienst van alle algoritmen met een hoge impact,die voldoen aan de publicatiecriteria, beschrijvingen publiceren in hetalgoritmeregister van zowel de Nederlandse overheid, als van deBelastingdienst zelf. Hiermee wordt voldaan aan de toezegging omalgoritmen met een hoge impact voor het einde van 2025 te registreren.Voor alle nieuw te ontwikkelen c.q. in te zetten algoritmen – die beant-woorden aan de publicatiecriteria – is een proces ingericht, teneinde dezealgoritmen beschreven te krijgen en de beschrijvingen te publiceren in hetalgoritmeregister.5. Tot slot Met deze brief wordt duidelijk dat de wijze waarop RAM in het verledenwerd gebruikt raakt aan meerdere onderwerpen die op dit moment veelaandacht hebben binnen de Belastingdienst, zoals waar het gaat omgegevensbescherming, de wijze van gebruik en beoordeling vanICT-systemen, besluitvorming en archivering. Ter verbetering van dezeaspecten zijn reeds acties genomen en werkt de Belastingdienst continuaan nog te zetten stappen. Daarover bent u geïnformeerd met de brief van6 maart 2025 en wordt u met regelmaat op de hoogte gebracht, zoals met6https://www.belastingdienst.nl/wps/wcm/connect/bldcontentnl/belastingdienst/intermediairs/toezicht/convenanten/convenantenTweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15216 afzonderlijke brieven over de AVG en de privacy organisatie bij deBelastingdienst.Met mijn brief die u na het kerstreces ontvangt, informeer ik u over deresterende toezeggingen en moties aangaande RAM.De Staatssecretaris van Financiën,E.H.J. HeijnenTweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15217