Volgens de Autoriteit Persoonsgegevens heeft de Belastingdienst jarenlang de privacywetgeving van de AVG geschonden. De Belastingdienst heeft persoonsgegevens verwerkt in de zwarte lijst Fraude Signalering Voorziening op een manier die 'absoluut niet is toegestaan'.
Op die lijst zouden ruim een kwart miljoen mensen hebben gestaan waarvan de Belastingdienst vermoedde dat ze fraude hadden gepleegd. Aangezien er geen wettelijke grondslag was voor de lijst en de verdachte personen dus op papier nog onschuldig waren, was het conform de AVG verboden om persoonsgegevens te verwerken. Dat zegt de AP op basis van eigen onderzoek.
Ook zou de Belastingdienst de genoteerde fraudesignalen 'veel te lang' in de FSV hebben bewaard en was het doel van de lijst vooraf niet specifiek omschreven. Daarnaast zouden sommige gegevens in bepaalde gevallen onjuist en niet actueel zijn, zegt de AP. Volgens de voorzitter van de Autoriteit Persoonsgegevens, Aleid Wolfsen, zijn onschuldige mensen hierdoor gedupeerd. ''Ruim een kwart miljoen mensen stonden, vaak onterecht, veel te lang op de fraudelijst zonder dat ze dit wisten.'' Volgens Wolfsen konden mensen zich zo niet verweren en ontstond er een gat in de rechtsbescherming.
De Autoriteit Persoonsgegevens zegt dat de Belastingdienst naast de eerdere schendingen nog een tweetal andere overtredingen heeft begaan. Zo heeft de Belastingdienst 'veel te laat' de FG van het ministerie van Financiën op de hoogte gebracht over de zwarte lijst en betrokken bij de beoordeling van de privacyaspecten in de vorm van de Data protection impact assessment. Ten tweede was de lijst niet goed genoeg beveiligd. Er hadden te veel medewerkers toegang tot de inhoud van de FSV, het was te gemakkelijk om signalen uit de lijst naar Excel te exporteren en bewerkingen van persoonsgegevens in de FSV door medewerkers werden niet gelogd. De FG is een afkorting voor de Functionaris gegevensbescherming, een interne privacytoezichthouder die binnen een organisatie toezicht houdt op de toepassing en naleving van de Algemene verordening gegevensbescherming.
De AP zegt binnenkort te gaan bepalen of ze de Belastingdienst door deze overtredingen een sanctie gaan opleggen. Eerst krijgt de minister van Financiën nog de kans om te reageren op de resultaten van dit onderzoek.
De zwarte lijst werd van eind 2018 tot begin 2020 gebruikt. Meldingen van fraude die op de lijst werden vermeld, kwamen volgens de AP onder andere van Meld Misdaad Anoniem, burgers, bedrijven en overheidsinstanties. De mensen op de lijst kregen het stempel 'potentiële fraudeur', waardoor de Belastingdienst ze extra in de gaten hield.