AP legt Belastingdienst recordboete op wegens privacyschendingen

De Belastingdienst krijgt van de Autoriteit Persoonsgegevens (AP) een boete van 3,7 miljoen euro opgelegd wegens de zwarte lijsten die de dienst hanteerden. De toezichthouder stelt dat de Belastingdienst jarenlang via Fraude Signalering Voorziening (FSV) op illegale wijze persoonsgegevens verwerkte.

De FSV was een zwarte lijst waarop de Belastingdienst signalen van fraude bijhield. Een vermelding op de lijst had vaak grote gevolgen voor betrokkenen. Op de lijst stonden echter ook mensen onterecht, zonder dat zij zich schuldig hadden gemaakt aan fraude. Het systeem is sinds februari 2020 niet meer in gebruik. De Autoriteit Persoonsgegevens meldt tijdens haar onderzoek naar FSV een lange lijst met overtredingen van de Algemene verordening gegevensbescherming (AVG) te hebben geconstateerd.

Geen wettelijke grondslag

Zo had de Belastingdienst geen wettelijke grondslag voor het verwerken van persoonsgegevens op de lijst. Zonder deze grondslag is deze verwerking verboden. Persoonsgegevens klopte daarnaast vaak niet, waardoor mensen onterecht als mogelijke fraude werden geregistreerd. Ook was de beveiliging van de lijst niet op orde. De interne privacytoezichthouder van de Belastingdienst werd niet tijdig betrokken bij het opzetten van de lijst.

Het gaat om de hoogste boete die de Autoriteit Persoonsgegevens ooit heeft opgelegd. Dit met het oog op de ernst van de overtredingen, de gevolgen voor grote aantallen mensen en de duur dat de overtredingen voortduurden. AP-voorzitter Aleid Wolfsen: "De Belastingdienst heeft met FSV de rechten van de 270.000 mensen die op die lijst stonden op ongekende wijze geschonden. Ruim 6 jaar lang. Mensen werden vaak onterecht als fraudeur bestempeld, met vreselijke gevolgen. Stond je in FSV, dan kregen sommigen geen betalingsregeling of kwam je niet in aanmerking voor schuldsanering. De Belastingdienst heeft met FSV levens overhoop gehaald."

'Deze discriminatie is onacceptabel'

Uit eigen onderzoek van de Belastingdienst bleek ook dat medewerkers instructies kregen om het risico op fraude mede te baseren op zaken als nationaliteit en uiterlijk. Wolfsen: ‘Had je een Turkse, Marokkaanse of Oost-Europese nationaliteit? Dan werd je zonder goede reden vanwege die nationaliteit nader onderzocht. Deze discriminatie is onacceptabel. Ook noemde de Belastingdienst bijvoorbeeld giften aan moskeeën en hoge medicijnkosten van mensen met Oost-Europees klinkende achternamen bij voorbaat als risicofactor voor fraude.’

Het is niet de eerste keer dat de Belastingdienst de fout is ingegaan. Zo constateerde de toezichthouder in 2018 nog dat de Belastingdienst persoonsgegevens slecht beveiligde. In 2020 werd een verwerkingsverbod opgelegd voor het illegaal gebruik van burgerservicenummers in het btw-identificatienummer van zelfstandigen. In 2021 kreeg de dienst een boete van 2,75 miljoen euro opgelegd wegens een discriminerende en onrechtmatige werkwijze in de Toeslagenaffaire.

Wolfsen: ‘De Belastingdienst is meerdere keren in de fout gegaan. Terwijl juist de Belastingdienst een zeer grote verantwoordelijkheid heeft tegenover de mensen in Nederland. Die zijn immers van de Belastingdienst afhankelijk. Je kunt niet besluiten om je toeslagen maar ergens anders aan te vragen of je belastingaangifte ergens anders te doen. Mensen moeten erop kunnen vertrouwen dat de Belastingdienst zorgvuldig met hun gegevens omgaat. In de zaak-FSV bleek dat dus ook weer niet het geval.’

Boetes voor zes overtredingen

De boete die de Belastingdienst nu opgelegd krijgt is opgedeeld in meerdere boetes voor in totaal zes overtredingen:

• Het ontbreken van een wettelijke grondslag voor de verwerking van persoonsgegevens in FSV: 1 miljoen euro boete.
• Het niet specifiek omschrijven van het doel van FSV: 750.000 euro boete.
• De aanwezigheid van onjuist en niet-geactualiseerde gegevens in FSV: 750.000 euro boete.
• Het te lang bewaren van signalen: 250.000 euro boete.
• Het niet op orde hebben van de beveiliging van FSV: 500.000 euro boete.
• Het na ruim een jaar pas advies vragen aan de interne privacytoezichthouder bij de beoordeling van de risico's van FSV: 450.000 euro boete.

De Belastingdienst kan nog bezwaar maken tegen de boete.