De Nederlandse douane voldeed in 2021 'in belangrijke mate' niet aan de Wet politiegegevens. De douane voldeed op veel punten niet aan de juiste normen voor het beschermen van persoonsgegevens van Nederlandse burgers. Zo werden gegevens te lang bewaard, slecht beschermd en onterecht verzameld.
Dat schrijft staatssecretaris Aukje de Vries van Toeslagen en Douane in een brief aan de Tweede Kamer. Die brief gaat gepaard met een privacyrapportage die de Auditdienst Rijk heeft opgesteld. De audit werd uitgevoerd omdat dat sinds 2019 een verplichting is vanuit de Wet politiegegevens. Die wet schrijft onder andere voor waar, wanneer en hoe de politie met persoonsgegevens om mag en moet gaan. Onlangs bleek nog dat twee derde van de instanties die daartoe verplicht zijn zo'n audit nog niet hebben ingeleverd.
In een eerder rapport van voor 2021 concludeerde de Auditdienst Rijk al dat de Nederlandse douane in 'het merendeel van de maatregelen' rondom gegevensbescherming 'niet of slechts deels zijn ingericht en geborgd in de organisatie'. In 2021 zijn daar volgens de auditdienst 'nauwelijks vorderingen in gemaakt'. In de tweede helft van het jaar heeft de douane wel enkele verbetertrajecten opgestart om gegevensbescherming beter te regelen, maar die hebben pas in de loop van 2022 effect gehad. Een recenter rapport is nog niet uit; de douane had het rapport over 2021 uiterlijk op 31 december 2022 moeten inleveren.
De Auditdienst beschrijft 32 verschillende punten waarop de douane werd gecontroleerd. Daarbij keek de dienst naar hoe het proces op papier was ingeregeld, maar ook naar de realiteit. In slechts vier gevallen voldeed de praktijk van gegevensbescherming aan de normen uit de Wpg. In acht gevallen voldeed de douane helemaal niet aan de norm, in dertien gevallen gebeurde dat slechts deels. Een deel van de activiteiten kon bovendien om uiteenlopende redenen niet worden gecontroleerd.
De douane had bijvoorbeeld geen systeem om te bepalen welke persoonsgegevens wel en niet werden verzameld. Omdat iedere douanebeambte zijn eigen afweging maakt over die gegevensverzameling, voldoet de instantie in het geheel niet aan de noodzakelijkheid- en rechtmatigheidsbeginselen. Ook werd slecht beschreven welke maatregelen de douane nam om persoonsgegevens te beschermen, voldeed het autorisatiebeleid niet aan de Wpg en zijn er in het algemeen geen richtlijnen voor het verwerken van gegevens volgens de Wpg.
De staatssecretaris noemt de situatie 'ernstig'. "De verwerking van gevoelige persoonsgegevens vraagt grote zorgvuldigheid." Volgens De Vries werkt de douane momenteel aan een verbeteringstraject. Daarin beschrijft de instantie wat het doet om gegevens in de toekomst beter te beschermen. Dat rapport wordt begin april naar de Tweede Kamer gestuurd.