Beleidsreactie op rapport van de Autoriteit Persoonsgegevens over het Risico Analyse Model (RAM)

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202531 066BelastingdienstNr. 1509 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 10 juli 2025Met mijn brief van 6 maart 2025 (Kamerstuk 31 066, nr. 1465) informeerdeik u over de uitkomsten van het externe onderzoek van KPMG naar hetRisico Analyse Model (RAM). Een database bij de Belastingdienst waarin(fiscale) gegevens van burgers en bedrijven waren opgenomen. In dezestukken heb ik gemeld dat de Autoriteit Persoonsgegevens (AP) onderzoekdoet naar RAM en naar zes vergelijkbare systemen. Met haar brief van9 juli 2025 heeft de AP haar onderzoek aan mij gestuurd en hierbij bied ikdat aan u aan.Het onderzoek van de AP sluit aan bij het onderzoek dat de Belasting-dienst zelf heeft laten uitvoeren door KPMG. Ik heb dit onderzoek en mijnbevindingen op 6 maart 2025 aan uw Kamer gezonden. In het commissie-debat van 7 maart 2025 en de aansluitende schriftelijke vragenronde zijndeze stukken besproken. Ik heb vastgesteld dat het gebruik van RAM nietvoldeed aan de destijds geldende (wettelijke) eisen op het gebied vanprivacywetgeving, beveiligingsvoorschriften en de Archiefwet. DeBelastingdienst had RAM niet moeten en mogen gebruiken. Met hetonderzoek dat de AP nu heeft gedaan, zie ik dat dit beeld bevestigd wordt.De AP stelt dat er met het gebruik van RAM sprake is van discriminerendeverwerkingen, zolang er geen objectieve rechtvaardigheidsgrond voor eendergelijke selectie, zoals op nationaliteit, bekend is. Dat is ernstig en hadniet mogen gebeuren. Tegelijkertijd is het voorbarig om hier op ditmoment conclusies aan te verbinden, voordat de Belastingdienst hetonderzoek naar de spreadsheets waarin is geselecteerd op nationaliteit ofpostcode heeft afgerond. Hierbij benadruk ik dat een discriminatoireverwerking niet betekent dat een belastingplichtige hier gevolgen vanheeft ondervonden. Dit is een gevoelig onderwerp met maatschappelijkeimpact dat goed onderzocht en vervolgens gewogen dient te worden. Ikwil eerst een zo goed mogelijk beeld krijgen van de effecten voor eenbelastingplichtige, voordat ik hierover een oordeel geef. kst-31066-1509ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15091 Op basis van haar onderzoek meent de AP dat een sanctie niet zoumisstaan. De toezichthouder legt desalniettemin geen sanctie op omdatde overtredingen inmiddels langer dan 7 jaar geleden begaan zijn. Daarbijneemt de AP in overweging dat ik erken dat er fouten bij de Belasting-dienst zijn gemaakt en dat de Belastingdienst maatregelen treft en heeftgetroffen om soortgelijke fouten in de toekomst te voorkomen.Het is belangrijk dat een dergelijke situatie zich niet opnieuw voordoet enkan voordoen bij de Belastingdienst. Daarom zijn meteen na de conclusiesvan het KPMG-onderzoek eerste maatregelen genomen en worden er– ook na het onderzoek van de AP – verdere stappen gezet. Ik ga hieronderin deze brief zowel in op de vier hoofdconclusies die de AP trekt en demaatregelen die de Belastingdienst neemt om te voorkomen datdergelijke conclusies nogmaals getrokken kunnen worden. Daarna ga ikanaloog aan het rapport van de AP in op de vijf vergelijkbare systemen bijde Belastingdienst en het systeem bij de Douane.Conclusies AP over RAMDe AP komt op basis van het KPMG-onderzoek tot de volgendehoofdconclusies:1. Met RAM zijn op onrechtmatige wijze persoonsgegevens verwerkt,waaronder bijzondere en strafrechtelijke persoonsgegevens.Zoals hierboven geschetst herken ik deze conclusie, hiervoor heb ik ook almaatregelen genomen. Zo worden medewerkers van de Belastingdienstondersteund en getraind om meer kennis over privacyrecht te krijgen entoe te passen door (verplichte) cursussen. Om alle medewerkers voorts zogoed mogelijk te ondersteunen heeft de Belastingdienst de afgelopenjaren flink geïnvesteerd in de eigen privacyorganisatie. Zo is eenvaktechnische structuur met privacyjuristen ingericht en zijn datacoördi-natoren aangesteld die het privacymanagement voor hun rekeningnemen. Onlangs is de herijkte privacygovernance door de Belastingdienstvastgesteld. Daarnaast is het register van verwerkingen geactualiseerd enwordt per bedrijfsproces beoordeeld of een dPIA nodig is. Meer stappenen achtergronden op dit onderwerp vindt u in de AVG-brief die u op 3 julijl. heeft ontvangen (Kamerstuk 31 066, nr. 1508).2. Er is onderscheid gemaakt tussen personen, waaronder op nationaliteit,en hiervoor zijn tot op heden geen objectieve rechtvaardigheidsgrondenbekend. Met RAM zijn, gelet hierop, discriminerende verwerkingenuitgevoerd.De AP stelt dat er met het gebruik van RAM sprake is van discriminerendeverwerkingen, zolang er geen objectieve rechtvaardigheidsgrond voor eendergelijke selectie bekend is. Dat is ernstig en had niet mogen gebeuren.Zoals eerder aangegeven, doet de Belastingdienst momenteel onderzoeknaar de aangetroffen spreadsheets waarin is geselecteerd op nationaliteitof postcode. Daarbij wordt ook nagegaan of er een reden voor eendergelijke selectie bestond. Ik benadruk daarbij dat een discriminatoireverwerking niet betekent dat een belastingplichtige hier gevolgen vanheeft ondervonden. Dit is een gevoelig onderwerp met maatschappelijkeimpact dat goed onderzocht en vervolgens gewogen dient te worden. Ikwil hier eerst een zo goed mogelijk beeld krijgen van de effecten voor eenbelastingplichtige en de uitkomst van het onderzoek afwachten, voordat ikhierover een oordeel geef. De AP noemt het onderzoek van de Belasting-dienst ook in zijn reactie en ik informeerde uw Kamer hier meermaalsover.Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15092 De Belastingdienst gaat bij de veertien aangetroffen spreadsheets met eenselectie op nationaliteit – waarin nadrukkelijk meer in is opgenomen danalleen nationaliteit – na of aangiften van belastingplichtigen voor deinkomstenbelasting zijn geselecteerd op voor het (fiscale) toezichtrelevante en objectief gerechtvaardigde gronden. Om dit te onderzoekengebruikt de Belastingdienst de werkwijze die ontleend is aan de werkwijzeom de Wet compensatie wegens selectie aan de poort uit te voeren. In lijnmet het arrest van de Hoge Raad kunnen de gevolgen van een selectieworden teruggedraaid als belastingplichtigen discriminatoir zijnbehandeld in een selectie.Daarnaast verricht de Belastingdienst een juridische analyse waarbij hetnagaat of de volgens KPMG aangetroffen spreadsheets met een selectieop postcode (eventueel in combinatie met huisnummer) mogelijk hebbengeleid tot een schending van grondrechten. Volgt uit deze analyse datmogelijk sprake is van een schending van een grondrecht, dan wordt bijde betrokken spreadsheets vervolgens dezelfde werkwijze toegepast alsbij de spreadsheets met een selectie op nationaliteit. Is dit niet het geval,dan wordt de betreffende spreadsheets niet verder onderzocht. Pasdaarna kan worden vastgesteld of er sprake is van discriminerendeverwerkingen. Indien er (voor bepaalde spreadsheets) geen sprake is vaneen dergelijke rechtvaardiging, dan wordt dezelfde werkwijze toegepastals spreadsheets met een selectie op nationaliteit.De Auditdienst Rijk bekijkt, conform motie Ergin (Kamerstuk 31 066,nr. 1467), als onafhankelijke partij deze beide analyses naar spreadsheetswaarbij is geselecteerd op nationaliteit en afhankelijk van de juridischeanalyse op postcode (eventueel in combinatie met huisnummer). De APvolgt deze analyse en wordt van de uitkomsten op de hoogte gehouden.Eerder meldde ik u dat ik in september 2025 verwacht uw Kamer over deuitkomst van deze analyse, de mogelijkheden en de eventuele noodzaaktot herstel te informeren. Er is meer tijd nodig om dit gedegen af teronden, ik verwacht u in oktober 2025 te informeren. In deze brief wordt uook geïnformeerd over de opvolging van de motie Van Vroonhoven enInge van Dijk (Kamerstuk 31 066, nr. 1469).Waar het de huidige applicaties van de Belastingdienst betreft, is naaraanleiding van de bevindingen rondom de Fraudesignaleringsvoorzieninghet programma Herstellen, Verbeteren, Borgen uitgevoerd. In ditprogramma heeft de Belastingdienst alle centraal beheerde applicatiesvoor alle processen van de Belastingdienst doorzocht op het gebruik vannationaliteit, fiscaalstrafrechtelijke en medische gegevens en beoordeeldof er een rechtsgrond voor bestaat.Om onrechtmatigheid in toekomstige applicaties te voorkomen is hetInformatievoorziening (IV) voortbrengingsproces ingericht. Het IVvoortbrengingsproces is zodanig georganiseerd dat (technologische)oplossingen pas kunnen worden ontwikkeld als voldaan is aan allestartvoorwaarden. Voorbeelden hiervan zijn de «privacy vereisten» (zoalshet uitvoeren van een dPIA), eisen vanuit integrale beveiliging en eisenten aanzien van het gegevenstyperingsbeleid en de kwaliteitseisen aangegevens.3. Er zijn geen passende technische en organisatorische maatregelengetroffen voor de beveiliging van persoonsgegevens in RAM. Gegevensuit RAM konden vrij worden geëxporteerd en extracties waren nietbeveiligd.Deze conclusie herken ik eveneens. De informatiebeveiliging ten tijde vanRAM was niet op orde, zoals ik ook schreef in mijn brief van 6 maart 2025.Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15093 Met als uitgangspunt «need to know» en dataminimalisatie probeert deBelastingdienst tegenwoordig om toegang tot informatie te beperken.Hierbij bieden preventieve maatregelen als bewustwording en autorisatie-beheer en detectieve maatregelen als logging en monitoring onder-steuning. Overigens zijn niet alle (vaak verouderde) systemen ingerichtvanuit dit principe. Totdat de systemen zoals deze verderop wordengenoemd, allemaal vernieuwd zijn, worden mitigerende maatregelengetroffen voor de systemen met verouderde ontwerpprincipes. Deinspanning van het uitfaseren of ombouwen van dit soort systemen moetworden afgewogen tegen de restrisico’s na het implementeren van demitigerende maatregelen en afgezet tegen alle andere prioriteiten uit hetMeerjarenportfolio (MJP) van de Belastingdienst. De moderniserings-opgave zorgt ervoor dat dit soort type systemen vervangen worden doorsystemen die in het ontwerp moeten voldoen aan dit principe.4. De Belastingdienst heeft zich onttrokken aan het toezicht door geenmeldingen te doen van de verwerking van de betreffende persoonsge-gevens bij de FG en het College bescherming persoonsgegevens. Dit waswettelijk gezien wel vereist. Toezichthoudende instanties konden hierdoorniet acteren, daar waar nodig.Ik begrijp dat de AP tot deze conclusie komt en ik erken dat we dat destijdsniet goed hebben gedaan. De destijds (1998 tot mei 2018) geldendeverplichting om te melden bij het College bescherming persoonsgegevens(nu de Autoriteit Persoonsgegevens) is met ingang van de AlgemeneVerordening Gegevensbescherming komen te vervallen. In plaats daarvangeldt de verplichting om een register van verwerkingen bij te houden. Hetregister van verwerkingen van de Belastingdienst wordt geactualiseerd enbevat informatie over de verwerkingen van persoonsgegevens. Ditoverzicht draagt bij aan de versterking van de privacybeheersing. DeBelastingdienst onderhoudt dit register actief en deelt het met deFunctionaris Gegevensbescherming (FG) en de AP, waardoor beidetoezichthouders in de gelegenheid worden gesteld daar waar nodig teacteren.Vergelijkbare systemenKPMG benoemt in hoofdstuk 6 van haar rapport zes systemen die nu ingebruik zijn en die qua functionaliteit vergelijkbaar zijn met het uitgezettesysteem RAM. Het gaat om vijf systemen van de Belastingdienst en éénsysteem van de Douane. De AP heeft deze systemen onderworpen aaneen versnelde gegevensbeschermingscontrole.De AP stelt vast dat medewerkers met geen van de zes systemen zelfrisicoselecties kunnen maken, hetgeen het grootste pijnpunt bij RAM was.Voor twee systemen van de Belastingdienst, Informatiesjabloon enKlantbeeld Toezicht Applicatie (KTA), concludeert de AP evenwel dat dezehoog-risico systemen op de kortst mogelijke termijn buiten gebruikmoeten worden gesteld. De AP weegt hierbij dat de risico’s voor debescherming van persoonsgegevens onevenredig zijn en niet involdoende mate kunnen worden opgelost met het treffen van mitigerendemaatregelen. Daarbij heeft de AP overwogen dat het per direct stil zettenvan deze systemen te ingrijpende gevolgen heeft voor de uitvoering vande publieke taak van de Belastingdienst.Deze constatering neem ik uiterst serieus. Ik heb de Belastingdienstopgedragen om mitigerende maatregelen te nemen. Op basis van debevindingen rond KTA en Infosjabloon zijn op dit moment reeds 4.000autorisaties van medewerkers ingetrokken. Daarnaast worden nog 5.000autorisaties ingetrokken. Hierbij is gekeken naar welke medewerkers vanTweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15094 de systemen gebruik moeten blijven maken voor de directe publieke taakvan de dienst zoals het houden van toezicht op de belastinginning en hetgeven van dienstverlening, zoals een burger of bedrijf helpen met zijnvragen aan de BelastingTelefoon. De Belastingdienst werkt op dit momentmet urgentie een plan uit op welke termijn, met welke consequenties enop welke wijze de Belastingdienst deze systemen uit kan faseren enoverlegt dit plan met de AP voor uiterlijk 15 oktober 2025, conform hetverzoek van de AP.Ik zie dat de AP in haar advies rekening houdt met het dilemma dat sprakeis van een afweging van belangen. Waarbij de bescherming van persoons-gegevens concurreert met goede dienstverlening aan burgers, het houdenvan toezicht en in samenhang gezien moet worden met de (on)mogelijk-heden om snel wijzigingen in ICT door te voeren. Dat dilemma zal een rolblijven spelen in de afwegingen die gemaakt moeten worden ten aanzienvan het zo snel mogelijk uitfaseren van KTA en Infosjabloon en daar zal ikde AP in betrekken.Voorts stelt de AP over Informatiesjabloon en KTA dat hierin bijzonderepersoonsgegevens worden verwerkt, omdat met de combinatie vangeslacht en partner het persoonsgegeven seksueel leven kan wordenherleid. De AP leidt dit standpunt af uit het feit dat gegevens over departner van een belastingplichtige worden getoond. Ik kan mij niet vindenin dit standpunt van de AP en ben van mening dat de AP hier een te ruimedefinitie hanteert omdat de jurisprudentie hierover nog in ontwikkeling is.Het enkele feit dat mensen van hetzelfde geslacht op één adres staaningeschreven, zegt niets over de seksuele voorkeur. Daarnaast is hetgegeven of sprake is van een partner een relevant fiscaal gegeven.Voor de belastingheffing is het van belang om te weten of iemand eenpartner heeft. De Belastingdienst moet namelijk kunnen vaststellen of ersprake is van een partner in fiscale zin. Daarvoor is het nodig dat deBelastingdienst beschikt over de gegevens om dit te kunnen vaststellen,dus gegevens over de partner en huisgenoten van de belastingplichtige.De belastingwetgeving kent verschillende definities van partner. Hierbij isde seksuele geaardheid volstrekt irrelevant. Fiscaal kan partnerschapbestaan tussen gehuwden en geregistreerde partners, maar het kan ookeen constructie zijn tussen een ouder met een kind dat ouder is dan 27jaar. Dit komt voor wanneer een kind zorgtaken heeft voor de ouder. Eenandere vorm van partner in fiscale zin komt voor als twee belastingplich-tigen samen het economisch eigendom van een huis delen. Eenvoorbeeld dat in deze tijden van woningnood steeds vaker voorkomt, isdat twee vrienden, of een broer en zus, samen een huis kopen dat voorbeiden geldt als hoofdverblijf. Deze twee vrienden of de broer en zusworden dan aangemerkt als partner in fiscale zin omdat zij samen eeneconomisch eigendom van een huis hebben.Alhoewel de ontwikkeling van het begrip «bijzonder persoonsgegeven» injurisprudentie nog zeker niet is uitgekristalliseerd, onderschrijf ik hetadvies van de AP om in de toekomst risico’s zoveel mogelijk te mitigeren,door het onderdeel te maken van privacy-by-design.Voor wat betreft de overige drie systemen van de Belastingdienst,concludeert de AP dat deze een midden (het systeem Gruff) en laag risicokennen (SMOB en IHP). De AP geeft voor deze midden-/laag-risicosystemen een aantal te treffen mitigerende maatregelen. Het zesdesysteem (PRISMA) is in gebruik bij de Douane en heeft ook de waarderinglaag risico meegekregen. Ook hiervoor zijn in het rapport van de APmitigerende maatregelen genoemd, die zij omschrijven als opdrachtenaan de Belastingdienst.Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15095 Ik ga nu in op de conclusies die de AP per systeem trekt en hoe deBelastingdienst daarmee omgaat.InformatiesjabloonDe AP beoordeelt Informatiesjabloon als een systeem met een hoog risicovoor de bescherming van persoonsgegevens. De AP verzoekt deBelastingdienst om uiterlijk 15 oktober 2025 met een plan voor uitfaseringte komen en de datum van uitfasering samen met de AP te bepalen. DeAP geeft de Belastingdienst de opdracht het PIA-traject versneld af teronden, daarbij de FG te betrekken, de uit het PIA-traject voortvloeiendemitigerende maatregelen te treffen en de AP daarover te informeren.Daarnaast moeten zo spoedig mogelijk een aantal mitigerende maatre-gelen worden getroffen.Er wordt met urgentie gewerkt aan een plan van aanpak voor hetuitfaseren van Informatiesjabloon en dat plan zal voor 15 oktober 2025gereed zijn. Er is al een traject opgestart om Informatiesjabloon tevervangen. Dit traject zal worden versneld. Onderdeel daarvan is hettevens versneld afronden van de DPIA, die via de Chief Privacy Officer(CPO) aan de FG zal worden voorgelegd. Voor een aantal bevindingen zijnal stappen ondernomen, waaronder de opmerking over de opname vaneen vermogensvergelijking in Infosjabloon. Hiervoor is namelijk devermogensvergelijking uit Infosjabloon verwijderd. Voor de overigetussentijds te treffen mitigerende maatregelen, zoals aanpassen van deaanvraagprocedure en het verwijderen van het gegeven kenteken. Er iseen projectteam opgesteld dat op zeer korte termijn de mitigerendemaatregelen nader zal uitwerken en invoeren. Over de uitvoering van dezemitigerende maatregelen en de versnelling van de vervanging rapporteertde Belastingdienst eveneens voor 15 oktober 2025 aan de AP.Klantbeeld Toezicht Applicatie (KTA)De AP beoordeelt KTA als een systeem met een hoog risico voor debescherming van persoonsgegevens. De AP verzoekt de Belastingdienstom uiterlijk 15 oktober 2025 met een plan voor uitfasering te komen en dedatum van uitfasering samen met de AP te bepalen. In de tussentijd geeftde AP de Belastingdienst een aantal opdrachten, zoals het inrichten vanactieve monitoring van de logging. Daarnaast het uitvoeren van naderonderzoek of medewerkers van Belastingdienst/Toeslagen, Douane en deFIOD via KTA persoonsgegevens, die zijn verzameld door de Belasting-dienst, mogen verwerken en indien nodig maatregelen te treffen.Ik deel de zorg van de AP en deel de analyse dat KTA zo spoedig mogelijkmoet worden uitgefaseerd. De Belastingdienst is inmiddels gestart methet opstellen van een plan van aanpak, dat op 15 oktober 2025 gereed zalzijn.De Belastingdienst is reeds begonnen met het treffen van mitigerendemaatregelen. Zoals gezegd zijn op dit moment 4.000 autorisaties reedsingetrokken. Door onder andere op basis van logging te monitoren opwerkelijk gebruik zullen nog eens 5.000 autorisaties worden ingetrokken,waardoor het totaal aantal autorisaties gereduceerd is van 22.000 naar13.000. Hierdoor hebben alleen nog gebruikers toegang tot de klant-beelden van KTA die dit nodig hebben voor hun primaire taak. Ik vind hetessentieel dat in de tussenliggende periode alleen medewerkers toeganghebben tot dit systeem die de primaire (toezichts)taken voor de Belasting-dienst vervullen en tegelijkertijd de dienstverlening aan burgers enbedrijven hier geen hinder van ondervindt. Voorts wordt onderzocht hoede overige genoemde mitigerende maatregelen, zoals verwijderen vanverouderde gegevens op korte termijn kunnen worden doorgevoerd.Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15096 Hierover wordt ook voor 15 oktober 2025 aan de AP gerapporteerd doorde Belastingdienst.GruffDe AP beoordeelt Gruff als een systeem met een midden risico voor debescherming van persoonsgegevens. De AP geeft de Belastingdienst deopdracht om conform planning per september 2026 te stoppen met Gruffen in de tussentijd een aantal mitigerende maatregelen te treffen.De Belastingdienst draagt er zorg voor dat Gruff conform planning perseptember 2026 stopt en dat in de tussentijd mitigerende maatregelenworden getroffen. De Belastingdienst rapporteert hierover aan de AP vooruiterlijk 15 oktober 2025. De Belastingdienst zal in overleg treden met deAP om uit te leggen waarom Gruff de hoogte van loon/uitkering/inkomsten uit andere dienstbetrekkingen toont. De Belastingdienst ziet ditnamelijk als fiscale data en als een essentieel onderdeel van de analyseszolang Gruff nog in gebruik is. Daarnaast wordt onderzocht of het wissenvan Gruff visualisaties in lijn is met de archiefwet.Invorderings Hulp Programma (IHP)De AP beoordeelt IHP als een systeem met een laag risico voor debescherming van persoonsgegevens. De AP geeft de Belastingdienstopdracht om geen nieuwe functionaliteitseisen meer te accepteren en hetontmantelingsplan conform planning uit te voeren. In de tussentijd wordtonderzocht of het verwerken van invorderingsschulden door de Belasting-dienst voor Toeslagen voldoende is uitgewerkt in juridische afspraken enworden waar nodig maatregelen getroffen.Inforay Selectie Module OB (SMOB)De bevindingen inzake SMOB, zoals deze ook beschreven zijn door de AP,worden gedeeld door de Belastingdienst. Het beëindigen van het gebruikvan het verouderde systeem SMOB staat gepland voor eind 2025. Defunctionaliteit van SMOB is op termijn voorzien in de pakketoplossingvoor de keten omzetbelasting. Vanwege de geplande beëindiging vanSMOB op korte termijn is het niet wenselijk om in een verouderd systeemwijzigingen, zoals het ontoegankelijk maken van functionaliteiten, door tevoeren.Profiel-gebaseerd Risico Management (PRISMA)De AP beoordeelt PRISMA als een systeem met een laag risico voor debescherming van persoonsgegevens. De AP geeft de Douane de opdrachtom na te gaan of wordt voldaan aan de transparantievereisten bijprofilering en geautomatiseerde besluitvorming en aan de vereisten uitartikel 22 AVG. De Douane moet inventariseren welk deel van de bedrijvenin PRISMA eenmanszaken en zzp’ers betreft. Ook moet aan de hand vande uitkomst hiervan bepaald worden of alsnog een DPIA nodig is.Afhankelijk van de uitkomsten moet de Douane mitigerende maatregelentreffen.De Douane neemt deze opdracht ter harte en is na ontvangst van deopdracht gestart met een traject om hier invulling aan te geven. DeDouane zal de bevindingen van de AP uit dit onderzoek naar PRISMAbetrekken bij de uitvoering van de motie- Van Vroonhoven c.s.Tweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15097 Tot slotZoals ik in deze brief en eerder aan uw Kamer heb aangegeven had RAMnooit op deze manier gebruikt moeten en mogen worden. Het verledenkan ik niet veranderen, ik wil me dus richten op wat we in het hedenmoeten doen om te zorgen dat in de toekomst deze problematiek nietmeer voorkomt. Zoals ik u in deze brief heb geschetst, neemt de Belas-tingdienst maatregelen om herhaling te voorkomen, wordt naderonderzocht of er grondrechten geschonden zijn en treffen we mitigerendemaatregelen rond bestaande systemen. Ik zal u de komende tijd blijveninformeren over de voortgang van de maatregelen en het contact met deAP. Mijn volgende brief, met daarin ook de analyse van de selecties naarnationaliteit en postcode, verwacht ik in oktober te sturen.De Staatssecretaris van Financiën,T. van OostenbruggenTweede Kamer, vergaderjaar 2024–2025, 31 066, nr. 15098