De Belastingdienst krijgt een boete vanwege zijn rol in het toeslagenschandaal. Het is de hoogste boete die de Autoriteit Persoonsgegevens ooit heeft opgelegd, maar tegelijkertijd voelt dat niet als een straf. Het gaat namelijk om ons eigen belastinggeld en onze eigen overheid. Hoe werkt het als de overheid een AVG-boete krijgt?
Om maar meteen een ding duidelijk te hebben: de boete gaat naar de Nederlandse schatkist en niet naar de Autoriteit Persoonsgegevens zelf. De AP is al jaren flink onderbezet en wil eigenlijk een verdubbeling van het aantal werknemers. Het budget voor de Autoriteit Persoonsgegevens lag het afgelopen jaar op 26.274.528 euro. Dat is vergeleken met andere Europese toezichthouders vrij hoog, maar nog steeds niet genoeg om de groeiende stroom klachten en meldingen af te handelen. De boete die de AP op dinsdag aan de fiscus gaf, zou maar liefst tien procent van het jaarbudget zijn, maar de waakhond mag het geld niet in eigen zak steken.
Dat is in Nederland afgesproken in de Uitvoeringswet Algemene Verordening Gegevensbescherming of UAVG, de Nederlandse implementatie van de Europese GDPR. De GDPR laat het aan toezichthouders en de regeringen van de lidstaten om te bepalen wat er met het boetebedrag gebeurt. In sommige Europese landen mogen instanties boetes dus wel innen en op de eigen balans zetten. In Nederland gebeurt dat niet, zegt woordvoerder Caspar Itz van de Autoriteit Persoonsgegevens. "Het is hetzelfde als een bekeuring; die gaat ook niet naar de agent in kwestie", zegt hij.
De AP wil daarmee een perverse prikkel voorkomen, heeft voorzitter Aleid Wolfsen meerdere keren benadrukt. Als het geld niet naar de schatkist gaat en dus naar de AP, zou de toezichthouder ervoor kunnen kiezen vaker boetes uit te delen, of die hoger te maken dan eigenlijk zou moeten. Daar kun je wel iets tegenover zetten, zegt internetjurist Arnoud Engelfriet van ICTrecht: "Als een boete naar het budget gaat, treedt de AP juist wat vaker op dan het nu doet."
Broekzak-vestzak
In Nederland komen de boetes terecht in de algemene middelen, de pot geld waar de overheid geen specifiek doel voor heeft. Dat gebeurt zowel bij boetes die aan bedrijven worden opgelegd als boetes voor overheidsorganisaties. Over het algemeen worden AVG-boetes aan bedrijven uitgedeeld; in Nederland hebben tot nu toe slechts twee overheden of overheidsinstanties een boete gehad. Naast de Belastingdienst was dat de gemeente Enschede voor wifi-tracking in de binnenstad.
Dat voelt misschien wat wrang. Een toezichthouder geeft een overheidsorgaan een boete die vervolgens weer naar dezelfde overheid gaat. Allemaal belastinggeld, is dat niet een beetje broekzak-vestzak? De AP benadrukt zelf van niet. "De overheid is niet één organisatie", zegt Itz. "Iedere afdeling heeft een eigen budget en een sanctie wordt opgelegd aan die specifieke organisatie. De boete gaat dan ook af van het budget van die organisatie."
Zo'n afdeling kan een jaar later niet bij de Rijksoverheid aankloppen met de vraag om meer budget om het gat op te vullen, zegt Engelfriet. "Zo'n boete doet echt pijn, want die komt uit het budget van die organisatie. Je kunt niet zeggen: geef maar meer geld want ik heb vorig jaar die boete gehad. De organisatie moet het probleem oplossen en heeft daar ook minder budget voor beschikbaar."
Je kunt je afvragen hoe groot het probleem is voor een organisatie die een jaarbudget heeft van bijna drie miljard euro. Die 2,75 miljoen euro zijn op de jaarrekening van de Belastingdienst niet meer dan een afronding. Caspar Itz van de AP denkt niet dat dat veel verschil maakt. "Het is niet de hoogte van het bedrag die veel uitmaakt voor een instelling. Het zijn ook niet de euro's die maken dat de Belastingdienst nu maatregelen moet treffen." Het gaat dan eerder om het signaal dat een boete afgeeft. Dat signaal is dat er ernstige overtredingen zijn begaan. Ook de hoogte van de boete speelt dan mee; in het geval van de Belastingdienst besloot de AP tot de uitzonderlijke stap om de boete flink te verhogen. Voor twee van de drie overtredingen stond een maximale boete van 750.000 euro, maar vanwege de ernst van de overtredingen verhoogde de waakhond dat naar een miljoen euro. Ook dat is een signaal.
Verantwoordelijkheid
De boete komt nu voor rekening van de demissionair minister van Financiën. Die is immers verantwoordelijk voor de Belastingdienst. Het lijkt er, zeker gezien de huidige politieke omstandigheden, niet op dat hij naar aanleiding van het schandaal zal opstappen. Maar dat betekent volgens Engelfriet niet dat een boete geen pijn doet. "Mensen onthouden dit. Bovendien raakt dit ook ambtenaren die voor deze privacyschending hebben gezorgd. Een secretaris-generaal heeft met zo'n boete wel degelijk een probleem, bijvoorbeeld bij toekomstige sollicitaties waarin je zoiets moet uitleggen." Ook andere ambtenaren passen hun gedrag mogelijk aan na een boete, ook al zijn ze niet aansprakelijk.
Andere sancties
Boetes zijn niet de enige sanctie die de AP op kan leggen
Boetes zijn slechts een instrument dat de AP op basis van de AVG kan hanteren om iets af te dwingen of een overheid te straffen. Engelfriet somt op: "De AP kan een organisatie bevelen om een proces te stoppen, data te vernietigen en zeggen dat het bij een volgende overtreding een hogere boete geeft." De AVG kent daarin ook geen rangorde, zegt hij. Een boete is niet de hoogste en strengste straf die je kunt opleggen. Engelfriet: "Voor Google is een boete van een miljard euro niet zo erg, maar als je daarentegen zegt dat ze alle data van alle Europese gebruikers moeten verwijderen, schrikken ze daar wel van. Als ik een klein bedrijf heb, is dat misschien andersom. Dan verwijder ik klantdata en kan ik door, maar door een boete kan ik failliet gaan."
Caspar Itz van de AP merkt ook op dat de boete zeker niet de enige straf is voor de Belastingdienst. "Er zijn ook veel andere maatregelen genomen." Dat is ook te lezen in het boetebesluit en op de website van de AP: "Naar aanleiding van het onderzoek van de AP is de Belastingdienst gestart met het opschonen van de interne systemen. In de zomer van 2020 waren de dubbele nationaliteiten van Nederlanders hier volledig uit verwijderd." Bij de meeste onderzoeken van de toezichthouder gaat het om en-en: naast de boete wordt ook geëist dat het bedrijf stopt met de overtreding. Kijk maar naar het voorbeeld van het bedrijf dat een boete van 725.000 euro kreeg omdat het vingerafdrukken van werknemers verzamelde. Het bedrijf stopte daarmee toen de AP een onderzoek begon, maar kreeg daarnaast óók nog een boete.
In het geval van de Belastingdienst gebeurde dat ook. "Weken geleden stuurden we al een strenge brief naar de Belastingdienst waarin we hen verplichtten de verwerking stop te zetten. Dat klinkt misschien zacht, maar dat is het niet. Een brief van de Autoriteit Persoonsgegevens betekent dat je geen vrijwillige keuze hebt ergens mee te stoppen; dan is het een verplichting."
Schadevergoeding
En hoe zit het dan met die gedupeerden? Tienduizenden ouders zijn door de privacyschending getroffen, maar aan die boete hebben ze niks. Om te beginnen kan de Autoriteit Persoonsgegevens onder de privacywet geen schadevergoeding toekennen. Het boetebesluit is onderdeel van een bestuursrechtelijk traject en dat biedt geen basis voor individuele getroffenen om een schadevergoeding te vorderen. Om die toch te krijgen, moet een slachtoffer naar de burgerrechter en daar aantonen dat hij schade heeft geleden door een privacyschending. Het boetebesluit kan daarbij helpen. Daarin kunnen details staan die het voor een advocaat gemakkelijker maken om te bepleiten dat tussen de privacyschending en de schade een causaal verband zit.
Conclusie
Een boete voor een overheidsorgaan dat de privacywet overtreedt, draait dus niet alleen maar om geld. Het is een signaal van een ernstige privacyschending. "Een boete repareert nooit de schade die eruit is voortgekomen, maar het is erg belangrijk om alle mogelijke stappen te zetten die er beschikbaar zijn", zegt Itz. En hoewel het boetebedrag misschien niet hoog lijkt in het grotere plaatje, kan een organisatie er wel degelijk last van hebben. De belastingbetaler heeft er ook niet direct last van: "Het is niet zo dat je als burger meer belasting moet gaan betalen om dit op te vangen", zegt Engelfriet.