AVG en privacyorganisatie bij de Belastingdienst

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202531 066Belastingdienst32 761Verwerking en bescherming persoonsgegevensNr. 1508 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 3 juli 2025De Belastingdienst werkt met grote aantallen gegevens van burgers enbedrijven. Deze gegevens heeft de Belastingdienst niet alleen nodig omhet heffen en innen van belastingen en premies mogelijk te maken entoezicht te houden, maar ook om burgers en bedrijven te kunnenondersteunen bij hun fiscale vragen. Het is daarbij noodzakelijk dat deBelastingdienst zich houdt aan geldende regelgeving voor de verwerkingvan persoonsgegevens, zoals de Algemene Verordening Gegevensbe-scherming (AVG).In de stand-van-zakenbrief Belastingdienst van 6 maart jl. (Kamerstuk31 066, nr. 1463) is uw Kamer voor het laatste geïnformeerd over de standvan zaken rondom de AVG. Hierbij heb ik uw Kamer toegezegd om u teinformeren over de privacyorganisatie van de Belastingdienst. In dezebrief zal ik u nader informeren over de stappen die de Belastingdienst zeten heeft gezet in het kader van het versterken van de privacyorganisatie.Ook informeer ik uw Kamer met deze brief over de laatste stand van zakenen ambities op het gebied van de AVG bij de Belastingdienst.LeeswijzerMet deze brief wil ik uw Kamer in detail meenemen in hoe de privacyorga-nisatie is ingericht, welke verbeteringen er zijn doorgevoerd en welketoekomstige ambities de Belastingdienst heeft op dit gebied. Eerst zal ikingaan op de voortgang die de Belastingdienst heeft geboekt en op deherijking van de privacyorganisatie – onder andere met behulp vanadviezen van de Autoriteit Persoonsgegevens (AP). Daarna ga ik in op deambities die de Belastingdienst heeft op het vlak van de AVG en privacyvoor 2025 en verder.Tot nu toe bereikte resultatenSinds 2018 is de AVG van toepassing. De AVG schrijft een zorgvuldigeomgang met persoonsgegevens van burgers voor. Vanwege het grote kst-31066-1508ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15081 aantal gegevens dat door de Belastingdienst wordt verwerkt en vanwegehet deels verouderde ICT-landschap is dit een belangrijke en complexeverplichting. Dit kost tijd, capaciteit en middelen. De afgelopen jaren is ereen versnelling in het proces doorgevoerd om zo snel mogelijk in controlte komen op AVG-gebied. Dit bestaat gedeeltelijk uit een inhaalactie ommet terugwerkende kracht de bestaande privacyrisico’s te mitigeren in hetbestaande proces- en applicatielandschap van de Belastingdienst. Ookbestaat deze versnelling uit het proactief integreren van de AVG in nieuwesystemen en processen door middel van «privacy by design».De privacyorganisatie van de BelastingdienstHet voldoen aan de AVG en het borgen van privacy is een verantwoorde-lijkheid van alle medewerkers van de Belastingdienst. Om hen hier zogoed mogelijk in te ondersteunen heeft de Belastingdienst de afgelopenjaren flink geïnvesteerd in de eigen privacyorganisatie. De privacyorgani-satie van de Belastingdienst is een aanvulling op de kaders van het besluitCIO-stelsel Rijksdienst en het departementale privacybeleid.Op 23 december jl. heeft de AP de conclusies van haar onderzoek naar deprivacyorganisatie van de Belastingdienst gedeeld. Uw Kamer heeft hierop 13 januari jl. een afschrift van ontvangen.1 Hierin gaf de AP aan dat erin de afgelopen jaren positieve ontwikkelingen zichtbaar waren, maar dater ook zorgen waren rondom de beperkte centrale regie, het beleggen vanverantwoordelijkheden en de invulling van taken. Daarom adviseerde deAP om de governance van de privacyorganisatie te herijken en versterken.Op 8 april jl. is de nadere invulling van deze governance door deBelastingdienst vastgesteld. Hierin zijn de taken en verantwoordelijkhedenbeschreven van de verschillende functionarissen in de organisatie, dieallemaal hun eigen rol hebben binnen het vakgebied. Deze governanceverduidelijkt de rapportagelijnen en fungeert als een verbindende laagtussen kaderstellers, uitvoering en fiscaliteit. Dit leidt tot meer grip op debescherming van persoonsgegevens zonder dat heffing-, inning-, entoezichtprocessen onnodig worden beperkt. De centrale regie is nu belegdbij de Chief Privacy Officer. Hiermee wordt een belangrijke randvoor-waarde bereikt voor het meer in control komen op het gebied van de AVG.Uiteraard blijft de Belastingdienst in gesprek met de AP en volgt in hetnajaar nog een gesprek naar aanleiding van hun brief en de door deBelastingdienst gezette stappen.Naast het aanscherpen en versterken van de privacyorganisatie heeft deBelastingdienst ook andere belangrijke resultaten bereikt op het gebiedvan AVG en privacy. De AVG laat zich onderverdelen in de juridische eisenen beginselen, de rechten van betrokkenen en de overige verantwoorde-lijkheden voor de verwerkingsverantwoordelijke. Daarom worden debehaalde resultaten hieronder langs deze lijnen toegelicht.Juridische eisen en beginselenHet voldoen aan de AVG vraagt een continue inspanning van de Belas-tingdienst en zijn medewerkers. Een van de belangrijkste uitgangspuntenis de juridische toetsing op de grondbeginselen van de AVG. Om die goeduit te kunnen voeren is het belangrijk dat er voldoende kennis en expertiseop dat vlak aanwezig is. Daarom heeft de Belastingdienst een vaktech-nische structuur ingericht waardoor er meer specialistische kennis over deAVG aanwezig is op de werkvloer om aan de juridische beginselen van de1Kamerstukken II, 2024/25, 32 761, nr. 311Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15082 AVG te kunnen voldoen. De vaktechnische structuur helpt medewerkersbij juridische vragen op het grensvlak tussen de AVG en de fiscaliteit.In de afgelopen jaren is deze vaktechnische infrastructuur neergezet,waardoor deze bestaat uit ongeveer 70 medewerkers. Daarnaast werkener bij iedere directie een of meer datacoördinatoren die de verschillendemanagementteams adviseren over privacymanagementvraagstukken enmeer helderheid scheppen over het toepassen van bestaande privacy-kaders. Tot slot wordt de Chief Privacy Officer, de hoofdverantwoordelijkebinnen de Belastingdienst voor privacybeleid en -strategie, ondersteunddoor tien medewerkers. Dit alles is vastgelegd in de vastgesteldeprivacygovernance.De rechten van betrokkenenBinnen de Belastingdienst wordt op dit moment het huidige proces en demonitoring van het afhandelen van inzageverzoeken in het kader vanrechten van betrokkenen (hierna: AVG-verzoeken) verder verbeterd endoorontwikkeld. Deze verbeteracties richten zich voornamelijk op hetinrichten van een wijze van het monitoren van de afhandelingstermijnenvan de AVG-verzoeken en het stroomlijnen van de binnenkomst van deAVG-verzoeken.De overige verantwoordelijkhedenDe Belastingdienst heeft verschillende stappen ondernomen om de eigenverantwoordelijkheid beter te borgen. Zo is er inmiddels sprake van«privacy by design» bij de voortbrenging van nieuwe processen ensystemen. De modernisering leidt er zo toe dat privacy steeds meergeïntegreerd raakt in de bedrijfsvoering.Ook heeft de Belastingdienst recent het eigen datalekproces herijktconform het advies hierover van de AP2, door de door de AP genoemdeaanbevelingen puntsgewijs op te pakken. Zo wordt het BSN van demelder niet meer standaard geregistreerd, wordt de FunctionarisGegevensbescherming (FG) van het Ministerie van Financiën intensieverbetrokken bij de afhandeling van datalekken en wordt nog meer ingezetop bewustwording bij medewerkers, specifiek naar aanleiding vandatalekken.Tenslotte is de AVG ook verankerd in de Online Security Awareness Game,de voor medewerkers verplichte cursussen over online veiligheid en deomgang met persoonsgegevens.BedrijfsprocessenIn de afgelopen jaren heeft er een grote actie plaatsgevonden op alle ruim700 bedrijfsprocessen van de Belastingdienst. Daarover bent u voor hetlaatst geïnformeerd in de stand-van-zakenbrief Belastingdienst van6 maart jl.3 De bedrijfsprocessen zijn allereerst in kaart gebracht en daarnain opzet langs de hoofdlijnen van de AVG getoetst. Hierbij is hoofdzakelijkgekeken naar de procesbeschrijvingen en -documentatie, maar nog nietnaar de werking. De Belastingdienst heeft daardoor een helder beeldgekregen over waar binnen de opzet van processen belangrijke aspectenvan de AVG nog onvoldoende worden meegenomen. Hiermee ontstaateen duidelijk beeld van de acties die verder nodig zijn om meer in controlte komen op de AVG. Waar nodig zijn alle hoog risico tekortkomingen2Kamerstukken II, 2024/25, 32 761, nr. 3113Kamerstukken II, 2024/25, 31 066, nr. 1463Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15083 direct in de procesbeschrijvingen gemitigeerd met structurele of tijdelijkemaatregelen.Ambities voor 2025Uit deze toetsingen en de resterende tekortkomingen blijkt dat, om deprivacy-beheersing ook wat betreft werking verder te versterken, de tweebelangrijkste volgende stappen zijn: het actualiseren van het verwerkin-genregister en het uitvoeren van aanvullende Data Protection ImpactAssessments (DPIA’s) op hoog risicoverwerkingen.Daarom worden door de Belastingdienst in 2025 de volgende actiesuitgevoerd:1.Het actualiseren van het verwerkingenregister. Het verwerkingsregis-ter bevat informatie over de verwerkingen van persoonsgegevens. Ditoverzicht draagt bij aan de versterking van de privacybeheersing.Momenteel zijn de verwerkingen per bedrijfsproces uitgevraagd envindt er hierop een kwaliteitscontrole plaats zodat de Belastingdienstuiteindelijk een centraal, uniform overzicht van de verwerkingenontstaat. Wanneer dit overzicht definitief is, zal de Belastingdienst hetactief onderhouden. De AP kijkt mee op het actualiseren van ditverwerkingenregister. Het gevulde en gecontroleerde verwerkingen-register zal ook worden aangeboden aan de AP en FG in het derdekwartaal van 2025.2.Ook wordt er gekeken op welke verwerkingen op grond van de AVGeen DPIA moet worden uitgevoerd en dit nog niet gedaan is. Dit zijnde verwerkingen waarbij er sprake is van een hoog risico voor derechten en vrijheden van de betrokkenen.3.Wanneer deze toetsing is voltooid, wordt indien nodig de DPIAgemaakt, centraal aangeleverd en geregistreerd in het register vanverwerkingen, zodat er een centraal inzicht ontstaat op de risico’svoor de betrokkenen. Deze DPIA’s worden vervolgens actief onder-houden, waarbij er om de paar jaar wordt gekeken of de risico’s vande verwerking gewijzigd zijn.De toekomst van de AVG bij de BelastingdienstWanneer deze acties zijn uitgevoerd is de Belastingdienst beter in controlop de AVG. Dit betekent dat de Belastingdienst meer gestructureerdinzicht heeft op de meest risicovolle verwerkingen en ook op de te treffenmitigerende maatregelen.In control komen op AVG-gebied vergt meer dan alleen de uit te voerenacties in 2025. Wanneer er risico’s voortkomen uit de uitgevoerde DPIA’smoeten deze zo snel mogelijk worden gemitigeerd. Deze acties lopenmogelijk door tot na 2025. Ook vraagt het blijvende aandacht voor de AVGin het bijzonder en privacy in het algemeen. Dit doet de Belastingdienstonder andere door middel van bewustwordingscampagnes en oplei-dingen en het herijken van bestaande beleidskaders en het monitoren vande naleving daarvan.Uiteraard blijf ik uw Kamer regelmatig informeren over de AVG via destand-van-zakenbrieven. Hierin informeer ik uw Kamer ook over deopvolging van de door de AP gegeven adviezen in het kader van hettoezichtarrangement. Als vervolg en verdieping op deze brief bied ik uwKamer graag een technische briefing aan over dit onderwerp.De Staatssecretaris van Financiën,T. van OostenbruggenTweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15084