Belastingdienst moet verder onderzoek doen om aan AVG te kunnen voldoen

De Nederlandse Belastingdienst moet verder onderzoek doen voordat alle risico's op het schenden van de Algemene Verordening Gegevensbescherming in beeld zijn. Het Ministerie van Financiën weet nog niet wanneer dit proces voltooid is.

Demissionaire staatssecretaris Van Oostenbruggen schrijft in een brief aan de Tweede Kamer dat het verwerkingsregister eerst geactualiseerd moet worden, zo merkt Security.nl op. Dit register bevat informatie over welke persoonsgegevens door de Belastingdienst verwerkt worden. In het derde kwartaal van 2025 moet dit proces zijn voltooid. De database moet bijgehouden worden door het overheidsorgaan en de Autoriteit Persoonsgegevens kijkt met dit proces mee. Dat doet de onafhankelijke toezichthouder al sinds halverwege 2024.

Als de Belastingdienst een overzicht heeft van welke persoonsgegevens per bedrijfsactiviteit verwerkt worden, gaat de dienst op grond van de AVG kijken welke verwerkingen nader onderzocht moeten worden. Dit heet een Data Protection Impact Assessment: een analyse of er bij de specifieke dataverwerking een 'hoog risico voor de rechten en vrijheden van de betrokkenen' gemoeid is.

Afhankelijk van de conclusies die hieruit volgen moet de Belastingdienst verdere stappen ondernemen, zo erkent Van Oostenbruggen. Als uit DPIA's blijkt dat processen een hoog risico veroorzaken, moet de instantie er nog voor zorgen dat dit niet in strijd is met de AVG. Dit proces duurt mogelijk tot na 2025.

De Nederlandse Belastingdienst werd de afgelopen jaren meermaals betrapt op het schenden van de AVG, waaronder met de beruchte toeslagenaffaire. Daarvoor kreeg de instantie een boete van 2,75 miljoen euro. Daarna kreeg de fiscus nog een boete voor het illegaal verwerken van persoonsgegevens. De Belastingdienst is sindsdien bezig om te voldoen aan de AVG, onder meer met de toetsing van bijna achthonderd bedrijfsprocessen van het overheidsorgaan.

Reacties (84)

[Aardworm]

Hot topic, maar ik wil wat kwijt hierover. Het blijft toch bizar hoe de overheid keer op keer faalt om haar eigen regels na te leven, terwijl burgers en bedrijven genadeloos worden afgestraft bij het minste of geringste. Het lijkt erop dat de Belastingdienst vooral goed is in het organiseren van onderzoeken, commissies en rapporten, maar niet in het daadwerkelijk oplossen van structurele problemen.

Je vraagt je af hoeveel overbetaalde ambtenaren, dure consultants en freelancers hier alweer mee bezig zijn, zonder dat iemand zich lijkt af te vragen waarom het überhaupt zo lang moet duren om basale privacyregels op orde te krijgen. In het bedrijfsleven zou je hier allang de tent voor sluiten, maar bij de overheid schuiven ze de deadlines rustig jaren vooruit.

En ondertussen? Gaan ze gewoon door. Je zou je er kapot voor moeten schamen.

[J_van_Ekris]

Je vraagt je af hoeveel overbetaalde ambtenaren, dure consultants en freelancers hier alweer mee bezig zijn, zonder dat iemand zich lijkt af te vragen waarom het überhaupt zo lang moet duren om basale privacyregels op orde te krijgen. In het bedrijfsleven zou je hier allang de tent voor sluiten, maar bij de overheid schuiven ze de deadlines rustig jaren vooruit.

Ik weet niet of het zo makkelijk is. Ik ben zelf DPO geweest bij een grote dataverwerker (niet de belastingdienst) en ik kan je verklappen, het is in dit soort omgevingen niet zo makkelijk. Het bedrijfsleven is overzichtelijk, je hebt immers maar enkele grondslagen tot verwerking, waarbij vaak de betrokkene de data direct heeft verstrekt voor uitvoering van werk. Discussie gaat vaak over of de doelbinding nog wel aanwezig is (heeft de betrokkene zijn gegevens voor die toepassing wel verstrekt???).

De belastingdienst kan en mag alleen als grondslag "wettelijke verplichting" hanteren (want overheid). De betrokkene verstrekt in praktijk zijn informatie niet vrijwillig aan de belastingdienst, en zelfs opt-out bij de Belastingdienst kan niet. Dat schept extra verplichtingen ten aanzien van bescherming van de rechten van de betrokkene. Belastingwetgeving is ook nogal dynamisch en complex, dus voor elk stukje informatie wat verzameld wordt, moet bepaald worden wat de juridische wetstekst is die de belastingdienst de wettelijke plicht geeft die data te verzamelen, of die wetgeving nog steeds geldig is, in welke situaties dat is, etc.. En veel van die wetgeving stamt nog uit de tijd van voor de computer, is onderwerp geweest van rechtszaken, etc.. Het is niet zo dat je dat even oplepelt, dat is veel uitzoekwerk.

Die juridische basis creert volgens mij vrij fundamentele vragen in een organisatie waar ook de fraudedetectie belegd is en er behoefte is aan dwarsverbanden tussen bijvoorbeeld rijtuigenbelasting en inkomstenbelasting. Maar staat de AVG dat soort dwarsverbanden toe? Het levert vaak zicht op interessante fraudegevallen van mensen met een dikke auto en geen enkel belastbaar inkomen. De betrokkene zal overduidelijk wel geen voorstander van die fraudedetectie zijn, maar wat zegt de wet en al die wettelijke uitspraken nu echt? Heeft de belastingdienst de plicht of het recht om zo'n dwarsverband in eigen huis te trekken? Houdt het onder de AVG stand voor de rechter? Laat staan met andere externe databronnen. Dat is volgens mij je fundamentele probleem. Alle informatie die vergaard wordt, zeker voor fraudebestrijding, moet nu juridisch getoetst worden waar dat in de wet verankerd is. Dat is een mega-klus...

[Reactie gewijzigd door J_van_Ekris op 4 juli 2025 15:40]

[Kevinp]

Ik snap lastig heel goed. Maar:

- de overheid maakt de wet op basis van de gdpr

- de overheid kan al vroegtijdig de belastingdienst informeren wat er aan zit te komen.

- de belastingdienst kan vroeger dan andere bedrijven beginnen

- de wet is niet in één klap ingevoerd daar ging jaren overheen.

En nog werkt het niet goed. Er is geen excuus want de overheid had ook wetten kunnen aanpassen op de belastingdienst zodat ze misschien meer mochten.

Om nog maar te zwijgen over de bagger overheid die niet gewoon een stabiel beleid kan voeren. Iets wat gewoon goed zou zijn. Maar we gaan van links naar rechts.

[Het.Draakje]

De overheid maakt geen regels. En voert geen beleid. Dat zijn ambtenaren. De regels worden gemaakt door de politiek (1e, 2e kamer en regering). De politiek is uitermate bekwaam in het, na maanden (jarenlang) gesteggel, opleveren van de definitieve wettekst kort voor de invoeringsdatum. Heb aardig wat overuren gemaakt omdat de nieuwe (belasting)regels per 1 januari in zouden moeten gaan en de definitieve regels pas in Sept. / Oktober beschikbaar waren.

Politiek, in het algemeen, heeft geen flauw benul van (belasting)regels. Die Die vergaderen heel rustig tot Mei / Juni over het percentage van een loonsverhoging voor (bijv.) leerkrachten, ingaande per 1 juli. Hoe dat dan verder geïmplementeerd moet worden, dat moet de ambtenarij (en werkgevers) maar zelf uitzoeken. Uiteraard zijn er wel klachten als het salaris op 1 juli niet verhoogd is.

Je past je administratie (en procedures) niet aan aan de hand van wat er in een concept wetsvoorstel staat. Want in 99 / 100 gevallen wijkt de definitieve versie, dankzij het gesteggel, toch af. De ene partij wil het salaris niet verhogen, de andere met 10 procent en uiteindelijk wordt het zoiets als 5 1/32 % erbij. Maar niet voor het vakantiegeld.

Dat zwalkend beleid komt door de democratie. De ene keer is de VVD aan de macht, met hun eigen idee wat (voor hun achterban) een goed beleid zou moeten zijn en de andere keer is het de PVDA of Partij Wilders.

[Kevinp]

Leuk, maar voor deze wedgeving is er ook geen GDPR waar het aan moet voldoen. Dus daar kon de belastingdienst prima mee aan de slag.

Met in acht neming dat het mogelijk strenger wordt.

[Het.Draakje]

Met inachtneming dat het mogelijk strenger wordt. Of niet zo streng.

Voldoet je procedure nu wel of niet aan de zachtere, de voorgestelde of de (uiteindelijk) aangescherpte regels?

(Ja het mag, op basis van de voorgestelde regels maar niet op basis van de uiteindelijke regels).

(Nee het mag niet, maar aangezien de definitieve regels versoepelt zijn, mag het nu wel).

Je beoordeelt en past je procedures en systemen pas aan nadat de definitieve wetgeving bekend is, niet eerder.

[ALRD]

Om het plaatje af te maken: Het gebeurt vaak dat er dan in de Kamer dan weer een amendement wordt aangenomen waardoor er voor een heel specifieke subgroep die goed heeft gelobbied weer een "maatwerkoplossing" uitgevoerd moet worden vanaf 1 januari, terwijl het niet in systeem past, de uitvoerder nooit naar de uitvoerbaarheid heeft gekeken, en de definitie in de wet door jurisprudentie onbedoeld een veel bredere uitleg heeft dan beoogd. Die situatie is dan tijdelijk, het wordt in een reparatiewet weer beter afgebakend, maar gaat tijd overheen omdat de coalitie valt en het kabinet demissionair is. Intussen heeft de rechter zich uitgesproken dat de uitvoering strijdig is met een of ander verdrag, waardoor de uitvoering voor een heel andere groep erbij moet worden betrokken omdat die ongelijk behandeld wordt. Die andere groep moet dan weer uit een systeem van een andere uitvoerder komen, maar daar ontbreekt de grondslag voor gegevensuitwisseling. Dus moet er nog een reparatiewet komen om de grondslag te regelen. In de tussentijd moet de verantwoordelijkheid minister dus kiezen tussen zich niet houden aan de uitspraak van de rechter, of de wet toch uitvoeren zonder grondslag voor gegevensuitwisseling.

[rbr320]

Er is geen excuus want de overheid had ook wetten kunnen aanpassen op de belastingdienst zodat ze misschien meer mochten.

Nee zo werkt dat dus niet in een democratische rechtstaat als Nederland. Zoals @Het.Draakje al uitlegt maakt "de overheid" de regels niet, dat doet de politiek. Maar zelfs als het ambtenarenapparaat de regering zo ver krijgt dat ze wetten aannemen waarmee ze meer mogen, zijn er in onze rechtstaat onafhankelijke instanties die deze wetten controleren, zoals de Raad van State. Als nieuw aangenomen wetten in strijd zijn met de grondwet of bredere regelgeving zoals de AVG dan haalt de Raad van State er een streep doorheen en gaat het hele feest niet door.

[Kevinp]

Tja ik zou dat laatste nog even opzoeken. Er is geen grondwet toets dat zou de eerste kamer moeten doen. Maar ja dat doen ze niet.

[rbr320]

Van Wikipedia: Raad van State (Nederland) (emphasis mine)

De taken van de Raad van State zijn vastgelegd in artikel 73 - 75 van de Nederlandse Grondwet en in de Wet op de Raad van State. Zijn functie is tweeledig:

• Uitbrengen van adviezen aan de Tweede Kamer der Staten Generaal en Nederlandse regering over voorgestelde wetten en algemene maatregelen van bestuur (AMvB). De RvS kijkt hierbij vooral naar kwaliteit en uitvoerbaarheid van wetten en of de voorstellen wel in overeenstemming zijn met de grondwet, andere wetten en verdragen.
  • [...]
• Rechtspreken over kwesties waarin burgers, asielzoekers en particuliere organisaties het niet eens zijn met beslissingen van de overheid, zoals verleende vergunningen. De Raad is de hoogste instantie die een uitspraak kan doen over een geschil tussen burger en overheid.

[Reactie gewijzigd door rbr320 op 7 juli 2025 00:18]

[Kevinp]

Advies uitbrengen. Maar dat advies kan genegeerd worden.


Daarnaast het stukje erboven "uitvoerbaarheid" van de wet ;-).

[Reactie gewijzigd door Kevinp op 7 juli 2025 11:42]

[jaapzb]

RvS doet alleen advies, eerste kamer kan daadwerkelijk wetten tegenhouden maar is in de praktijk grotendeels een verlengstuk van de tweede kamer (omdat daar natuurlijk allemaal dezelfde partijen in zitten).

[pyro-tukker]

Ik probeer even je antwoord te begrijpen. Zeg je eigenlijk dat als een belastinginspecteur een onderzoek start bij een ondernemer dat hij/zij dan bepaalde informatie mag opvragen o.b.v. enkele wetsartikelen. Echter, deze informatie mag je dan niet gebruiken voor laten we zeggen toeslagen?

En een stap verder. Stel je maak gebruik van externe bronnen (social media bijvoorbeeld) dan moet je dus per ‘event’ (een belastingcontrole of een vraag over aangevraagde toeslagen) een nieuwe privacy indicatie maken?

Oftewel: je hebt duizenden scenario’s waar je een DPIA voor opstelt? Begrijp ik dat goed?

[J_van_Ekris]

Ik probeer even je antwoord te begrijpen. Zeg je eigenlijk dat als een belastinginspecteur een onderzoek start bij een ondernemer dat hij/zij dan bepaalde informatie mag opvragen o.b.v. enkele wetsartikelen. Echter, deze informatie mag je dan niet gebruiken voor laten we zeggen toeslagen?

Dat dus. De AVG heeft geen "eens gegeven altijd gegeven" clausule voor data. Dus tenzij er een wet is die dat op een of andere manier regelt, kun je als belastingdienst serieus natgaan.

Er is een paar jaar geleden bij telecomproviders al tot boetes gekomen omdat men telefoongesprekken die plaats vonden logde voor de facturering, maar vervolgens diezelfde informatie onversleuteld gebruikte om nieuwe belbundels samen te stellen. Dit is in praktijk dezelfde reden waarom Domino's wel je telefoonnummer en email mag hebben voor status updates van je bestelling, maar niet voor het spammen van klanten (en er dus een vinkje staat in het formulier).

Dus als informatie binnen een organisatie aanwezig is betekent dit niet dat je het ook maar vrijelijk maar mag gebruiken voor alle andere doeleinden. Je moet dan gaan kijken of dat in het verlengde ligt van het initiele doel waar het ooit voor ingezameld is, of de combinatie van informatie niet tot een onevenredige inbreuk op de privacy oplevert, wat de wet er van zegt, etc..

En een stap verder. Stel je maak gebruik van externe bronnen (social media bijvoorbeeld) dan moet je dus per ‘event’ (een belastingcontrole of een vraag over aangevraagde toeslagen) een nieuwe privacy indicatie maken?

Als je als belastingdienst grootschalig de sociale media van alle burgers gaat analyseren moet je op zijn minst een DPIA maken, en je afvragen of je die informatie als belastingdienst wel mag hebben (welk wetsartikel zegt dat je het mag/moet gebruiken?). Zeker als het over de privacy van miljoenen Nederlanders gaat ligt het al snel gevoelig bij een AP.

Oftewel: je hebt duizenden scenario’s waar je een DPIA voor opstelt? Begrijp ik dat goed?

Yep, daar komt het volgens mij wel op neer.

[Reactie gewijzigd door J_van_Ekris op 4 juli 2025 16:37]

[CivLord]

Oftewel: je hebt duizenden scenario’s waar je een DPIA voor opstelt? Begrijp ik dat goed?

Klopt helemaal!

En wanneer er iets verandert in zo'n scenario kan je opnieuw beginnen.

[O085105116N]

De wil is er niet. Ik kreeg van de week bericht van de “belastingdienst” bsgw. Of ik even wat fotos wilde maken van mn interieur, met name toilet en badkamer. En als ik dat niet zou doen dan zijn de kosten die gemaakt worden voor mij. Dit gaan om het inschatten van de woz waarde. “Allemaal volgens avg”. Tuurlijk joh.

[fenrirs]

Die wordt door de gemeente bepaald. Interieur hoort daar in eerste instantie niet bij, maar kán wel.

Hier zijn de regels waar men aan moet voldoen. Tl;dr je mag weigeren om foto’s aan te leveren, een woordelijke beschrijving zou moeten voldoen voor de waarde bepaling.

(Je kent ze wel in makelaarsland: “Authentieke keuken met doorstroom geiser, losstaande koelkast en electrische kookplaten” of “moderne keuken met riant kookeiland,wijnkoeler en alle mogelijjke inbouw apparatuur van bekend duits merk”)

[supersnathan94]

Dat allemaal leuk en aardig, maar het duurt vervolgens al wel weer TIEN JAAR om een nummertje te wisselen.

in plaats van het probleem te fiksen, heb ik nu 2 BTW nummers.

Hoezo “leuker kunnen we het niet maken, makkelijker wel”?


Ga de historie hier alsjeblieft even na. Ieder jaar wordt er geroeptoetert, “nee over 2 jaar zijn we er klaar voor hoor”

[CivLord]

Ga de historie hier alsjeblieft even na. Ieder jaar wordt er geroeptoetert, “nee over 2 jaar zijn we er klaar voor hoor”

Klopt.

Maar in die twee verzint de politiek weer 100 nieuwe regels die ook nog ingevoerd moeten worden én wordt tussen neus en lippen even een bezuiniging van 20% doorgevoerd. En jij bent verbaasd dat die voorspelling van 2 jaar niet gehaald wordt?

[supersnathan94]

Wetende dat dag soort zaken ieder jaar dus gebeuren, ja. Want dat had je na 20 jaar hetzelfde beleid toch ook zelf wel over na kunnen denken?


Dit is niet nieuw.

En het geldt ook nog eens voor ons allemaal. Ik moet ook mijn zaakjes aanpassen aan de nieuwe regels. Net als alle andere bedrijven, maar als wij dat te laat doen dan zijn de rapen gaar en de poppen aan t dansen. Beetje apart niet?

[CivLord]

Maar voor bedrijven die met grote wijzigingen te maken krijgen geldt wel vaak weer overgangsbeleid, handhavingsmoratoria etc. om hun zaken op orde te krijgen.

Even klagen bij het juiste 2e kamerlid die een paar ander kamerleden meekrijgt in een motie en er is zo weer een jaar uitstel van handhaving.

[SJCE]

En het oude nummer is nog steeds niet vervangen, dus houdt de belastingdienst zich nog steeds niet aan de wet

[supersnathan94]

Klopt. Ik snap dat echt niet. Ik heb notabene pas zo'n ding gekregen nadat de hele handel omgezet moest worden. (zonnepanelen in 2020 pas). Dus hoe ik nog een oud nummer heb gekregen is mij echt een mysterie.

[WouterL]

Je bedoelt: wettelijke verplichting en of taak van algemeen belang. Die eerste wordt erg vaak verward met die tweede en andersom.

[Neoldian]

Hoe kom je erbij dat de BD alleen wettelijke verplichting mag hanteren als grondslag? De AVG kent er 6, waarvan de BD (en vele andere rijksonderdelen) alleen de grondslag 'toestemming' niet mogen gebruiken, domweg omdat die toestemming ondubbelzinnig en vrij van iedere vorm van dwang gegeven moet zijn. En aangezien er maar 1 BD is en je wettelijk verplicht bent om bv je aangifte te doen, is er dus sprake van een zekere dwang en kan dit als grondslag niet benut worden. De rest kan prima, maar moet wel passen. Dat in de praktijk 'wettelijke verplichting' en 'algemeen belang' de meest relevante en toepasbare zijn, is dan wel weer zo.

Zo is het tegengaan en opsporen van fraude 1 van de taken van de BD. Er is dus niks mis met het gebruik van beschikbare data om dwarsverbanden te leggen e.d.

Behalve de grondslag, zijn er meer zaken die goed geregeld moeten zijn: wie kan er bij de data, is data beveiligd, hoe lang wordt data bewaard, etc. Ik denk eerder dat daar vele problemen zitten, gezien de verouderde systemen bij de BD. Dat was bij het FSV verhaal ook het grootste probleem, Niet dat fraudesignalen verzameld werden (want dat is gewoon het werk van de BD), maar dat schijnbaar iedereen daar bij kon en op basis van signalen rechten werden ontnomen/geschonden. En vooral dat laatste kan natuurlijk niet. Je bent pas een fraudeur als de rechtbank zo heeft bepaald en dan pas mag er aan bepaalde rechten getornd worden, zoals het recht op een betalingsregeling.

[J_van_Ekris]

Hoe kom je erbij dat de BD alleen wettelijke verplichting mag hanteren als grondslag? De AVG kent er 6, waarvan de BD (en vele andere rijksonderdelen) alleen de grondslag 'toestemming' niet mogen gebruiken, domweg omdat die toestemming ondubbelzinnig en vrij van iedere vorm van dwang gegeven moet zijn.

En het volgende stukje wetstekst uit de AVG dan:

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

Waarmee gerechtvaardigd belang ook van tafel gaat.

Je houdt dus alleen "uitvoering van een overeenkomst", "wettelijke verplichting verwerkingsverantwoordelijke", "Vitaal belang betrokkene" en "Noodzaak tot vervulling van algemeen belang" over.

Je sluit als burger geen overeenkomsten met de BD, dus die valt af. En de BD staat niet bekend als reddende engel die mijn vitale belangen als burger beschermd: dat is haar taak niet.

Blijven over "wettelijke verplichting verwerkingsverantwoordelijke" en "Noodzaak tot vervulling van algemeen belang". Hier zegt Artikel 6 lid 3 dat AVG iets specifieks over:

3.
a)
De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.

Dus men kan zich zeker niet "zomaar" op 5 van die rechtsgronden beroepen.

[pizzaislekker]

Je hebt een mooie bijdrage geschreven. Maar de grondslag voor de Belastingdienst is eigenlijk steeds ‘taak van algemeen belang’. En dat moet vervolgens voortvloeien uit een wet. Bij de Belastingdienst is die taak van algemeen belang het ‘heffen en innen’ van Belastingen.

De grondslag wettelijke verplichting speelt bijvoorbeeld bij het verstrekken van ‘op de zaak betrekking hebbende stukken’ in het kader van een bezwaarprocedure.

[HollowGamer]

Over de toeslagenaffaire: daarin las ik recent een verhaal van een vrouw, die 'gevlucht' was naar een ander land. Ik vond het nogal een vreemd verhaal, en als je verder induikt in meer van die verhalen, dan komen bij sommige toch naar voren dat er terecht onderzoek is geweest naar hun persoon. Ik geloof zelf ook niet dat iedereen daar onschuldig in was, maar er waren zeker onschuldige ook bij (geen idee of dat het grotendeel was, maar wilde ook die kant even belichten).

Het probleem is alleen de wijze waarop. Ik vind dat ze best mogen onderzoeken, maar het lijkt willekeur. Het blijft gek dat een Starbucks geen belastingen hoeft te betalen over hun koffie, maar de gemiddelde persoon krijgt inderdaad wat je zegt, heel veel problemen en juridisch getrouwtrek (als ze al een advocaat krijgen tegenwoordig).

M.a.w. we moeten niet te ver doorslaan dat bepaalde groepen of mensen niet meer onderzocht zouden mogen worden, want daar gebeurt wel degelijk veel fraude mee. Aan de andere kant moet het mogelijk zijn om een fatsoenlijke procedure en toetsing te doen, en daar ontbreekt het dus in. Ga maar vechten tegen de overheid, vrijwel onmogelijk. Een Shell, Starbucks, etc. krijgen dat wel voor elkaar, maar een gemiddelde inwoner echt niet.

[Reactie gewijzigd door HollowGamer op 4 juli 2025 15:13]

[Heroic_Nonsense]

Natuurlijk, er zullen heus mensen in de toeslagenaffaire onderzocht zijn die iets op hun kerfstok hebben, maar het probleem van die hele affaire is nu juist dat men met grof geschut op bepaalde kenmerken (profiling) ging zoeken, en net zo lang gingen zoeken tot ze, naar hun mening, iets vonden. Het gevolg is dat een grote groep mensen ontzettend veel leed is aangedaan. Ineens had men een torenhoge schuld die preferent inbaar was, met beslaglegging op inkomen als gevolg. Mensen raakten hierdoor hun baan kwijt, hun huis kwijt en in een niet verwaarloosbaar aantal gevallen werden er zelfs kinderen uit huis geplaatst...

En dat allemaal omdat iemand bij de Belastingdienst een shortcut had bedacht om de KPI's te halen.

Die shortcut was het inrichten van een proces dat grove schendingen van de AVG inhield. Gegevens die niet verzameld en al helemaal niet aan elkaar geknoopt mogen worden, werden wel verzameld en aan elkaar geknoopt (en ook nog eens verkeerd geïnterpreteerd met die desastreuze gevolgen), en vervolgens werden die mensen om de oren geslagen met foutjes in hun adminsitratie (!) die als fraude werden geclassificeerd.

Bijvoorbeeld:

- Het hebben van een dubbele nationaliteit werd ten onrechte gekoppeld aan de status van toeslagontvanger, terwijl dat gegeven helemaal niet noodzakelijk is voor het al dan niet toewijzen van een toeslag
- Ouders met zo'n dubbele nationaliteit werden ook nog eens automatisch als risicovoller geclassificeerd.
- De Belastingdienst gebruikte een geheime interne lijst (het Fraudesignaleringssysteem (FSV)), zonder dat de mensen op die lijst hierover in kennis werden gesteld. Het doel van de verwerking kon de Belastingdienst niet onderbouwen (het is niet zo zwart/wit als de naam van het systeem zou doen vermoeden namelijk), en het recht dat iemand volgens de AVG heeft op inzage en bezwaar werd niet gehonoreerd.
- De AP noemde het vastleggen en gebruik van dubbele nationaliteit en FSV “onrechtmatig, discriminerend en ondoorzichtig” en legde een boete van 3,7mln op aan de Belastingdienst.

Dus ja: er zijn heus mensen gepakt die inderdaad fraudeerden, maar je zou bijna kunnen stellen dat dat bijvangst was. Het gros van "fraudeurs" bleek namelijk helemaal niet gefraudeerd te hebben (zie ook de excuses die gemaakt zijn en de schadevergoedingen die uitgekeerd zijn), maar waren vergeten een formulier in te vullen, of hebben en wijziging niet op tijd doorgegeven. Normaal zou dat een boete en een navordering opleveren, maar in dit proces werd volledige terugvordering van alle uitgekeerde toeslagen gevorderd, zonder tussenkomst van een rechter.

Die groep maakt dat de Belastingdienst maar heel snel dat handje van hun eigen schouder mag halen, want een schouderklopje voor die paar gepakte fraudeurs is bijzonder ongepast.

[Reactie gewijzigd door Heroic_Nonsense op 4 juli 2025 16:20]

[sir_knudde]

Volgens mij is de Belastingdienst een uitvoeringsorgaan!

De keuze en richtlijnen om te profileren waren vziw volgens de conclusies van een parlementair onderzoek toch echt genomen door opeenvolgende kabinetten Rutte en goedgekeurd in de eerste en tweede kamer.

[Heroic_Nonsense]

De boete is uitgeschreven door AP aan de Belastingdienst. Dat is de partij die de regels heeft overtreden en de schade heeft veroorzaakt.

Dat daar een politieke beslissing achter zit, is duidelijk. De Belastingdienst is immers een uitvoeringsorgaan, zoals je stelt, en voert de beslissingen van de overheid uit.

De commissie stelde echter dat de wetgeving door Kamer en kabinet weliswaar te hard (letterlijk: "spijkerhard") was ingericht, zonder ruimte voor individuele gevallen, maar concludeerde daarnaast dat die wetgeving tijdens de uitvoering door de Belastingdienst nog strikter geïnterpreteerd werd.

Volgens artikel 1 van de Algemene wet bestuursrecht (Awb) en het legaliteitsbeginsel moet een uitvoeringsorgaan in beginsel doen wat de wetgever bepaalt. Maar artikel 3:4 Awb geeft zo'n orgaan wel de ruimte voor vrije interpretatie, het toepassen van maatwerk en het bewaken van de evenredigheid van zo'n opdracht.

Een uitvoeringsorgaan heeft dus een zekere mate van autonomie, en kan dus verantwoordelijke worden gehouden voor haar eigen optreden. Men mag zich tot op zekere hoogte "verschuilen" achter het feit dat men moet doen wat kamer en kabinet opdragen, maar "we were just following orders" gaat in de overtredingen van de AVG dus niet op door 3:4 Awb.

Daarnaast oordeelde de POK dat Kamer en kabinet maatregelen hadden getroffen die nadrukkelijk ruimte boden voor meer soepelheid, maar dat de Belastingdienst dit niet toepaste en veel harder optrad dan nodig. Dus ook zonder 3:4 Awb had de Belastingdienst al meer speelruimte.

[Reactie gewijzigd door Heroic_Nonsense op 5 juli 2025 10:37]

[pyro-tukker]

Dat het met de toeslagen affaire zo is afgelopen is natuurlijk erg treurig. Zeker de dingen die benoemd zoals een foutje in je administratie en direct alles moeten terugbetalen, dat slaat nergens op.

Wel wil ik de nuance plaatsen bij wat je zegt over de geheime interne lijst. Ik weet niet of het ook is vastgelegd in wetgeving als het gaat om toeslagen, maar in NL (en volgens mij ook Europa) is het gebruikelijk dat bij indicaties van fraude/oplichting/ criminaliteit je juist niks met de klant / ‘gebruiker’ mag delen qua informatie en dat je het moet melden. Dit overruled vaak ook privacy wetgeving. Dus indien de belastingdienst een vermoeden heeft van fraude o.b.v gegevens en en een ‘lijst’ dan kan het zelfs zijn dat je de mogelijke fraude moet laten gebeuren en dat je dan een melding moet maken bij relevante autoriteiten.

Ik weet niet of dat hier ook zo is. Maar o.a. verzekeraars en banken hebben wetgeving waar dit soort dingen (niks met de klant communiceren) expliciet instaat en waar ze op ‘afgestraft’ worden door toezichthouders.

[Heroic_Nonsense]

Nee, dat is hier niet zo.

Zowel AP als de parlementaire onderzoeken die zijn uitgevoerd, concluderen dat FSV (waar je het nu over hebt) geen juridische onderbouwing had.

Om zo'n register mogelijk te maken, moet er sprake zijn van een wetgeving waarop de Belastingdienst (in dit geval) zich kan beroepen. Die wetgeving is er niet, dus kon de Belastingdienst dat niet als grondslag aanvoeren. Daarmee is het register in strijd met de AVG.

[Skit3000]

Normaal zou dat een boete en een navordering opleveren, maar in dit proces werd volledige terugvordering van alle uitgekeerde toeslagen gevorderd, zonder tussenkomst van een rechter.

Dit is natuurlijk te danken aan de Tweede Kamer die met deze eis kwam (vanwege de "Bulgarenfraude").

Eenzelfde iets is aan het ontstaan met strafbaar stellen van (hulp aan) illegaliteit. Als deze wet door de Eerste Kamer wordt aangenomen, kun je letterlijk vervolgd worden voor het geven van een fles water aan een dakloze op straat (die illegaal in Nederland blijkt te wonen). Als dat de bedoeling is oké, maar diezelfde overheid die deze regel in heeft gesteld is dan straks ook in overtreding wanneer het een illegaal in Nederland verblijvend persoon oppakt en eten, drinken, of onderdak (in een uitzetcentra) geeft. Toevallig is deze regeling bedacht door dezelfde persoon (Wilders) als het lik op stuk beleid als antwoord op de Bulgarenfraude.

Om het verder niet politiek te maken; we hebben met z'n allen deze Tweede Kamer (en die van destijds) gekozen en zij hebben namens ons allemaal gehandeld.

[Heroic_Nonsense]

Dat klopt helemaal.

Maar het is schrijnend om te zien deze eis van de Tweede Kamer rücksichtslos door de Belastingdienst werd ingewilligd, en nog eens flink steviger werd ingezet dan gevraagd door de Tweede Kamer, zonder dat men nadenkt over de gevolgen van die actie.

De eigenlijke wetgeving was namelijk veel minder strikt dat hoe de Belastingdienst uiteindelijk is opgetreden.

En dat terwijl andere beslissingen eenvoudigweg worden beantwoord met "kan niet" en "kunnen onze systemen niet".

Maar goed - dit begint offtopic te raken.

[wiseger]

Het probleem is dat je de problematiek van de toeslag affaire niet begrijpt. Helaas heb ik iemand van dichtbij meegemaakt die slachtoffer werd. Ik zal je het verhaal vertellen, wellicht snap je er dan wat meer van.

Veel alleenstaande moeders in de bijstand zaten in Nederland werkeloos thuis. De politiek wilde ze aan de slag hebben maar met het salaris van de banen die ze konden vervullen was het niet mogelijk om de kinderopvang te betalen.

Na veel soebatten over dit onderwerp besloot de politiek om de kinderopvang te gaan betalen voor mensen met kinderen in de bijstand die weer aan het werk gingen. De politiek koos ervoor om de uitbetaling en controle op de kinderopvang toeslag door de belastingdienst te laten doen, rechtstreeks aan de ouders.

Het werd een groot succes. Moeders in de bijstand gingen massaal aan het werk en vroegen de toeslag aan. Daar begonnen de problemen, de fiscus kon het werk niet aan, het beoordelen van de aanvragen duurde maanden. Maar ondertussen ontvingen de bijstand moeders die aan het werk gegaan waren wel facturen van de kinderopvang. Die ze niet konden betalen want de toeslag was nog niet binnen. Grote problemen ontstonden, die bereikte de politiek en het kabinet werd onder druk gezet het meteen op te lossen.

De oplossing kwam al snel, de belastingdienst ging blind uitbetalen en achteraf de aanvragen controleren. Zo zou iedereen op tijd de toeslag ontvangen om de kinderopvang te betalen.

Maar nu komt het, we leven in de EU. Dus ook buitenlanders uit andere EU landen kwamen in aanmerking voor de toeslag. En die begonnen massaal de toeslag aan te vragen. Die prompt zonder controle uitbetaald werd. Maanden later bleek echter dat veel van die aanvragers helemaal niet werkten of zelfs helemaal geen kinderen hadden. De kranten stonden vol van wat de 'Bulgaren fraude' werd genoemd.

Wederom moest het kabinet snel met een oplossing komen, de fraude moest aangepakt worden. Bij de belastingdienst kwamen ze al snel met een oplossing, een signalering lijst voor mensen met een verhoogd fraude risico. Die zouden ze dan eerder controleren. En dan gaat het mis, het belangrijkste criterium van de signalering lijst blijkt afkomst te zijn. Niet in Nederland geboren betekent dat je op de lijst gezet wordt.

De lijst is enorm groot. De belastingdienst komt er al snel achter dat ze er eigenlijk niks mee opschieten. Totdat iemand een idee krijgt, we markeren gewoon iedereen op de lijst als fraudeur, degene die niet frauderen zullen wel bezwaar maken en dan behandelen we gewoon de bezwaarschriften. Dat scheelt een hoop werk.

En dan, je verwacht het niet, wordt de belastingdienst overstelpt met bezwaar schriften. Waar ze helemaal de capaciteit niet voor hebben om ze af te handelen. Dus wijzen ze de meeste bezwaarschriften praktisch ongelezen af en beginnen een snoeiharde incasso bij de 'fraudeurs'.

En zo is de toeslag affaire geboren.

Wat ik zelf van dichtbij heb meegemaakt is dus een vrouw met kinderen die ineens fraudeur genoemd werd. Zonder dat er ooit aangegeven is wat ze fout gedaan zou hebben. Bezwaar schrift werd zonder inhoudelijk motivatie afgewezen. De toeslag werd gestopt, ze moest stoppen met haar baan om de kinderen weer zelf op te vangen een kreeg te maken met een snoeiharde incasso waardoor ze zonder inkomen kwam te zitten. In de schulden belandde, de ene na de andere deurwaarder aan de deur kreeg en zelfs dreigde haar huis uitgezet te worden.

Jaren later komt de toeslag affaire pas aan het licht. Ook zij wordt aangemerkt als slachtoffer. Ze vraagt haar dossier op bij de belastingdienst maar ontvangt die nimmer. Jarenlang blijft ze erom vragen, tot de dag van vandaag. Maar de belastingdienst betaald liever de dwangsommen dan met de billen bloot te moeten. Uiteindelijk beland de zaak bij de raad voor de rechten van de mens. Daar komt aan het licht dat de belastingdienst niet kan verklaren waarom ze ooit als fraudeur bestempelt is, de inspecteur zegt het niet te weten en dat het ook niet te achterhalen is waarom dat gebeurt is.

Dat is de toeslag affaire. Iemand bestempelen als fraudeur omdat die niet in Nederland geboren is. Dat is wat er gebeurt is.

[sircampalot]

"Totdat iemand een idee krijgt, we markeren gewoon iedereen op de lijst als fraudeur..
..Dus wijzen ze de meeste bezwaarschriften praktisch ongelezen af en beginnen een snoeiharde incasso.."

Kijk, daar ging het dus fout, intern bij de dienst zelf.
Bovendien werd er weinig tot geen informatie verstrekt vanuit de dienst over de beslissingen.

De fout begon elders*0: media zette politici voor schut*1, politici gingen in paniek druk zetten op de dienst*2, en de dienst liet zich verleiden tot korte klappen*3.

*0) slechte regelgeving, waarschijnlijk gevoed door punt 2.
*1) zoals het hoort, doen ze tegenwoordig veel te weinig tot niet
*2) slecht leiderschap: je kan het populisme noemen.
*3) wederom slecht leiderschap, mogelijk zijn de leiders bij de dienst op hun plek gekomen adhv punt 2.

[Reactie gewijzigd door sircampalot op 4 juli 2025 23:06]

[gwijsman]

Schokkend, dank voor dit verhaal. Het zal je maar gebeuren…

[PhilipsFan]

Het probleem bij de toeslagenaffaire was, dat de menselijke maat zoek was. Slachtoffers van deze affaire hadden vaak wel gefraudeerd (ook onwetend, doordat ze een formulier niet goed hadden ingevuld), maar niet voor heel grote bedragen.

Maar omdat onze wetgevers niet nadenken bij de wetten die ze maken, kon het dus voorkomen dat bij een kleine fraude of vergissing bij 1 toeslag, meteen alle toeslagen voor dat jaar konden worden teruggevorderd. Iedereen begrijpt dat zoiets volkomen onmenselijk en onnodig is, maar de politici die de wet geschreven hebben, hadden daar voor het gemak even niet bij nagedacht.

En omdat het lettelijk in de wet stond, kon een rechter er ook niet zoveel meer aan doen. Een rechter moet in beginsel de wet toepassen, slechts bij twijfel of een wet volledig van toepassing is mag hij redelijk en billijk zijn. Dat was hier niet het geval. In de wet stond letterlijk dat alles teruggevorderd mocht worden, dus dan moet een rechter daarin mee. Het gevolg was, dat mensen een ton aan toeslagen moesten terugbetalen omdat ze voor een tientje gefraudeerd hadden. De wet was hier totaal onredelijk.

Overigens heb ik wel een mening over zo'n overheid. Die moet zich schamen. Als je formulieren zo moeilijk maakt dat een gemiddelde inwoner niet weet hoe je ze moet invullen, dan zijn je formulieren te moeilijk en zit je als overheid fout.

[Digimann]

Het probleem bij de toeslagenaffaire was, dat de menselijke maat zoek was. Slachtoffers van deze affaire hadden vaak wel gefraudeerd (ook onwetend, doordat ze een formulier niet goed hadden ingevuld), maar niet voor heel grote bedragen.

Bij definitie is per ongeluk een formulier niet goed invullen geen fraude. Fraude is een activiteit die je uitvoert en niet per ongeluk kan doen. Om fraude te doen zit er een stuk verwijtbaarheid in(je wist dat je iets wel / niet moet doen en je hebt het niet / wel gedaan).
Overigens zijn de Belastingdienst maar ook de UWV daar best streng mee. Ik heb recht op een wajong. En paar jaar geleden had ik geen werk meer, en werd (automatisch) mijn UWV aangevuld met mijn wajong - heb ik niets voor hoeven doen. Vervolgens kreeg ik nieuw werk. En kreeg ik paar weken later een boete dat ik mijn wajong niet had opgezegd. Dus ik bellen en ik heb het er nooit doorheen gekregen dat ik niets voor de wajong heb gedaan en dat ik dus niet kon weten dat ik hem wel stop moest zetten.

[HollowGamer]

Ik ben het helemaal met je eens. De menselijke kant en ook controle (4 ogen), was totaal niet aanwezig.

Je kreeg bij een markering in het systeem, meteen teruggave van alles. Lukte dat niet? Dan werd dat nog erger. Je stond al op het systeem bekend als een bewezen fraudeur. Er zitten dus wel mensen tussen die wel degelijk wisten wat ze deden of dachten te profiteren. Maar zoals gezegd, of je nu schuldig of onschuldig was, het is vrijwel onmogelijk (ook buiten BD) nog een rechtszaak te beginnen tegen de overheid.

Mijn punt gaat ook dat je echt wel controles moet kunnen uitvoeren. Maar dan moet je dat ook doen bij bedrijven en random. Kennelijk zijn daar de middelen niet voor, en is dit stukken eenvoudiger. De mening dat groepen niet meer gecontolleerd mogen worden (buitenlandse studenten bijvoorbeeld) vind ik niet goed, we moeten dan of het systeem veranderen of controles beter maken.

[aaahaaap]

terwijl burgers en bedrijven genadeloos worden afgestraft bij het minste of geringste

Dat geldt eigenlijk alleen voor de gewone burgers, toch? De (grote) bedrijven doen ook maar wat ze willen, soms komt er veel te laat nog een kleine financiele reprimande die in het niet valt ten opzichte van de winst die gemaakt is en daar wordt dan alsnog oneindig tegen geprocedeerd.

[kiang]

Ook niet: al die videodeurbellen die gewone burgers ophangen zijn edit: bijna* allemaal illegaal, maar het wordt gewoon toegestaan omdat de AP niet kan handhaven.

* Edit: sure, niet allemaal, enkel die die de openbare weg of portiek filmen. In Nederland, een land waar drie kwart van de woningen een rijtjeshuis of een meergezinswoning is, wil dat dus zeggen dat de overgrote meerderheid van die camera's illegaal ingezet wordt.

[Reactie gewijzigd door kiang op 4 juli 2025 16:32]

[SacreBleu]

De camera's zijn niet illegaal. Hoe ze (vaak?) in gebruik worden genomen, wel. Veel van deze deurbellen nemen de openbare weg op. Dat mag niet zomaar. Maar, er zijn ook mensen waarbij alleen het eigen terrein wordt opgenomen, dat is toegestaan. Het probleem zit 'm ook meer in het 'opnemen'.
Als de camera alleen wordt ingezet om te 'streamen' wanneer er wordt aangebeld, bijvoorbeeld. Dan zou er niets aan de hand zijn.

Ook kan er een belang zijn in een gebied waarbij kans op overvallen/inbraak hoog zijn.
In die gevallen krijg je het misschien voor elkaar om te bewijzen dat jouw belangen om je eigendom te bewaken zwaarder weegt dan de privacy van voorbijgangers.

[Tintel]

De grap met die deurbellen is wel: ook onbeperkt opslaan of langer dan termijn Y mag niet. Maar dat gaat vaak als vanzelf, omdat opslagruimte natuurlijk niet gratis is.

En de openbare weg opnemen is ook wel weer toegestaan als het niet kan worden vermeden (want je voordeur grenst misschien wel direct aan de openbare weg).

Het is vooral niet de bedoeling als de politie ze gaat inzetten als een soort van 'extra ogen die altijd meekijken'. Dat hele vastleggen is sowieso een moeilijk gegeven. De overheid is er goed in omdat die de kosten goed kan betalen. Met AI kan zelfs de enorme stortvloed aan data nog worden verwerkt.
En het lijkt altijd voor een 'goed doel' (dus bijv. bestrijding criminaliteit). Maar dat is ook niet altijd het geval en als dat niet zo is, dan hoort de burger dit vermoedelijk ook niet.

[Seditiar]

Die zijn alleen illegaal als je de openbare weg ermee filmt toch? Dat geldt ook voor reguliere camera's, dacht ik. Dan nog is minstens 95% illegaal bezig natuurlijk.

[Reactie gewijzigd door Seditiar op 4 juli 2025 16:13]

[lenwar]

https://blog.iusmentis.com/2019/12/18/voor-de-laatste-keer-de-openbare-weg-filmen-met-je-securitycamera-mag-als-dat-nodig-is/

je mag de openbare weg filmen als het een geldig beoogd doel heeft. Het heeft te maken met redelijkheid, enz.

[SJCE]

Tesla's op de openbare weg parkeren ook...

[kiang]

terwijl burgers en bedrijven genadeloos worden afgestraft bij het minste of geringste.

...Heb je de afgelopen jaren daadwerkelijk elk artikel over hoe de AVG met de veoten getreden wordt door alle grote bedrijven, en hoe de AP systematisch geen geld krijgt van de rechtse kabinetten om de wetten te handhaven?

Ik ben het er helemaal mee eens dat de overheid de eigen regels moet naleven, maar om nu met droge ogen te beweren dat bedrijven "genadeloos" worden afgestraft is simpelweg lachwekkend.

[Yzord]

Hou toch op zeg. Regels zijn regels toch? AVG ingestart in 2017 en nog moeten ze onderzoek doen om te voldoen.

[kiang]

"Regels zijn regels toch?"
Eens. Heb je niet gelezen wat ik schreef? Waar ik aanstoot aan neemt is de fabel dat bedrijven streng worden aangepakt onder de avg. Dat is absoluut niet het geval.

[Neurosis]

AVG is een implementatie van de GDPR uit de EU, dus dat verplichte framework komt van een andere wetgever. En je leest dat ook de overheid aan dat recht gehouden wordt d.m.v sancties en journalistiek.

Terwijl er heel veel webshops zijn die met een druk op de knop een privacy beleid denken te hebben, die niet eens adequaat is voor de vorm van gegevensverwerking die ze daadwerkelijk doen: maar daar wordt niet op gehandhaafd omdat er echt wel grotere vissen in de zee zwemmen.

Je hebt als consument het recht dat je gegevens bij een bedrijf veilig zijn en de reden van verwerking is vaak heel duidelijk. Maar je gegevens worden ook verwerkt als je gedagvaard wordt voor bij de rechtbank, een strafdossier hebt of belastingsplichtig bent. Het initiatief om dat te handhaven ligt bij de overheid en op dat moment zou er al illegale verwerking plaats zou kunnen vinden. Dat is gelijk ook het flauwe eraan. Waar heeft iemand in de reclassering recht op als de politie ongevraagd zijn gegevens opvraagt?

En hoeveel bevoegdheid mag de belastingsdienst hebben, als deze bij het inzien van een aangifte het vermoeden op fraude krijgt? Als het gerechtvaardigd is, zeurt niemand over privacy en als het niet zo is, dan is men weer qua privacy te ver gegaan.

[adje123]

Het meest treurige is ons dat wij(burgers) prive personen zijn and de overheid een publiek apparaat.

Toch weet de overheid alles over ons, als wij iets aan moeten leveren dan moet het snel en gratis maar als wij de overheid willen controleren dan moet er betaald worden en duurt het lang.

[Weltschmerz]

Hot topic, maar ik wil wat kwijt hierover. Het blijft toch bizar hoe de overheid keer op keer faalt om haar eigen regels na te leven, terwijl burgers en bedrijven genadeloos worden afgestraft bij het minste of geringste. Het lijkt erop dat de Belastingdienst vooral goed is in het organiseren van onderzoeken, commissies en rapporten, maar niet in het daadwerkelijk oplossen van structurele problemen.

Je vraagt je af hoeveel overbetaalde ambtenaren, dure consultants en freelancers hier alweer mee bezig zijn, zonder dat iemand zich lijkt af te vragen waarom het überhaupt zo lang moet duren om basale privacyregels op orde te krijgen. In het bedrijfsleven zou je hier allang de tent voor sluiten, maar bij de overheid schuiven ze de deadlines rustig jaren vooruit.

En ondertussen? Gaan ze gewoon door. Je zou je er kapot voor moeten schamen.

Even kleine kanttekening, want bij bedrijven zie je zo vaak dat er boetes gegeven die niet eens een fractie zijn van hun omzet/winst, en dat ze gewoon lekker door kunnen gaan.

Verder geen opmerkingen over je stuk, het is fijn dat onder je reactie meer uitgelegd wordt en een goede discussie ontstaat.

[Fourtrain]

In het bedrijfsleven zou je hier allang de tent voor sluiten, maar bij de overheid schuiven ze de deadlines rustig jaren vooruit.

En ondertussen? Gaan ze gewoon door. Je zou je er kapot voor moeten schamen.

Nou ja ze kunnen de deuren van de belastingdienst natuurlijk niet sluiten want zonder geld is het afgelopen met Nederland als land.

Een van de problemen waar de belastingdienst b.v. tegen aan loopt is dat BSNs in zon beetje elk systeem gebruikt worden voor van alles en nog wat, in serienummers, IDs, kenmerken, etc, dit was vroeger heel handig maar tegenwoordig verboden. Dit ombouwen is een gigantisch technisch probleem omdat ze geen downtime mogen hebben en dus manieren moeten vinden om een systeem om te kunnen bouwen zonder dat 12 gekoppelde systemen omvallen omdat deze nog niet over zijn. Dat gaan ze de komende jaren niet voor elkaar krijgen.

[SPee]

Waarom zouden ze geen downtime mogen hebben?

De belastingdienst is vooral een administratief kantoor, die van ma-vr van 9:00-17:00 werkt. En tijdens de vakantieperiode een stuk minder capaciteit heeft. Je kunt in zo'n periode best een systeem vervangen met downtime. Zeker als het nieuwe systeem een versnelling van hef werk biedt.

[Xessive]

Helaas maakt de overheid wel vaker gebruik van verkeerde methodes. Zie het Aerius rekenmodel. Is al jaren bekend dat dit model niet klopt maar toch worden er verregaande beslissingen genomen aan de hand van dit rekenmodel.

Wie is hier nu gek?

[CivLord]

Hot topic, maar ik wil wat kwijt hierover. Het blijft toch bizar hoe de overheid keer op keer faalt om haar eigen regels na te leven, terwijl burgers en bedrijven genadeloos worden afgestraft bij het minste of geringste. Het lijkt erop dat de Belastingdienst vooral goed is in het organiseren van onderzoeken, commissies en rapporten, maar niet in het daadwerkelijk oplossen van structurele problemen.

Hoe zeg je dat je de ballen verstand hebt van de AVG en grote organisaties zonder te zeggen dat je de ballen verstand hebt van de AVG en grote organisaties.

Hoewel de privacyregels op zich 'basaal' mogen lijken is de AVG verre van dat.
Volgens de AVG moet voor elke verwerking van een persoonsgegeven gedocumenteerd worden waarom het gebeurt, hoe het gebeurt, volgens welke grondslag het gebeurt en hoe de betrouwbaarheid, vertrouwelijkheid etc. allemaal gewaarborgd is en blijft. En verwerken is elke handeling die je met een gegeven uitvoert: invoeren, opslaan, delen, gebruiken in een berekening/ algoritme, uitvoeren en zelfs wissen.

Voor een basale ledenadministratie van een voetbalclub kan dit al een hele massa papierwerk opleveren wanneer je het echt 100% volgens de regels wilt doen. En vertaal dat nu naar een organisatie die met honderden systemen werkt die onderling gegevens met elkaar uitwisselen voor verschillende doeleinden, gegevens aangeleverd krijgt van honderdduizenden bedrijven en instanties voor verschillende doeleinden, gegevens moet delen met honderden instanties en belastingaanslagen moet maken voor miljoenen burgers en bedrijven. Dat gaat om een onnoemelijke berg bewerkingen van een onnoemelijke berg gegevens. En voor elke bewerking moet een DPIA gemaakt worden!
Sommige zaken kan je samenvatten, zo kunnen voor alle banken samen één DPIA gemaakt worden voor het doorgeven van hun gegevens aan de Belastingdienst, net zoals je dat voor alle bedrijven kan doen die hun loongegevens doorgeven. Maar voor het uitsplitsen van die gegevens en het verwerken in verschillende systemen voor verschillende doeleinden ontkom je er niet aan om daar allemaal afzonderlijke DPIA's voor te maken.
En wanner je alle afzonderlijke bewerkingen gehad hebt ben je nog lang niet klaar. Want wanneer bij het maken van een DPIA blijkt dat een bewerking niet helemaal aan de AVG voldoet en de bewerking daarop aangepast moet worden, kan het zomaar zijn dat daarvoor bewerkingen in het traject vóór of ná die bewerking ook aangepast moeten worden. Dat betekent dat je voor die bewerkingen ook weer nieuwe DPIA's moet maken (en die aanpassingen kunnen weer leiden tot aanpassingen van andere bewerkingen in het proces, etc. etc. etc.). En wanneer je na -tig iteraties denk alles gedekt te hebben bedenkt de politiek iets nieuws, waardoor er bepaalde verwerkingen veranderen of toegevoegd worden.
Zelfs wanneer de politiek iets doet waardoor er enkel iets verandert aan het einde van een proces, zoals het apart belasten van het rendement van aandelen in Box 3, i.p.v. over de totale waarde van alle bezittingen een fictief rendement nemen om te belasten betekent dit dat het doel waarvoor deze gegevens door de bank worden aangeleverd is verandert. Dit betekent dat in de hele keten van systemen en bewerkingen van de waarde van een aandelenportefeuille tissen aanleveren door de bank en verwerken in de aangifte inkomstenbelasting voor elke bewerking de DPIA's moeten worden aangepast (met alle mogelijke gevolgen voor DPIA's van ander verwerkingen eerder en later in het proces).

Voldoen aan de AVG is voor de Belastingdienst dus niet één slag die een keer geslagen moet worden, maar een continu proces van wijzigingen bijhouden (van fiscale wet- en regelgeving, maar ook van wijzigingen die ontstaan door het ingebruiknemen van andere software, samenvoegen van processen en reorganisaties). Dat betekent per definitie dat ook al is de basis op orde (wat ze verwachten dat rond het einde van het jaar het geval zal zijn) er altijd achter de feiten aangelopen zal blijven worden.
Het helpt niet dat fiscale wetgeving in veel gevallen pas twee maanden vóór invoering definitief wordt, net als dat het niet helpt dat er een schreeuwend tekort is aan deskundigen die een DPIA kunnen schrijven en goedkeuren.
Voor organisaties als de Belastingdienst (en andere grote overheidsinstellingen, maar ook grote commerciële bedrijven als banken en verzekerraars) is het volstrekt onmogelijk om op enig moment 100% aan de AVG te voldoen. Ze kunnen hooguit hun best doen om in een continu wijzigende situatie daar zo dicht mogelijk bij in de buurt te komen. En ondanks de perceptie bij de buitenwereld doet de Belastingdienst bijna bovenmenselijke inspanningen om zo dicht mogelijk bij die 100% te komen. Ook al weten ze dat die 100% voor altijd buiten hun bereik zal blijven.
De AP weet dat, maar weet ook dat het goedkoop scoren is om een onpopulaire instelling als de Belastingdienst aan te vallen. Dus zetten ze veel capaciteit op het maken van rapporten waarin het niet voldoen aan de AVG door de Belastingdienst breed wordt uitgemeten (waarin het niet 100% op orde hebben van de documentatie gelijk wordt gesteld aan privacyschending waarmee misbruik van privacygevoelige gegevens wordt gesuggereerd). Hiermee willen ze hun onafhankelijkheid van de overheid aantonen (want die vallen ze aan), terwijl ze meteen zeggen dat ze te weinig budget hebben om de zaken goed aan te kunnen pakken (hiermee suggererend dat ze door de overheid worden bestraft voor het aanvallen van diezelfde overheid), terwijl bedrijven die persoonsgegevens verkopen en op andere manieren misbruiken geen strobreed in de weg wordt gelegd.

De Belastingdienst is bij het handhaven van de belastingregels verre van genadeloos. Enkel wanneer dat in de wet of door de politiek is voorgeschreven of wanneer regels bewust worden overtreden.
In de toeslagenaffaire (Toeslagen worden overigens niet door de Belastingdienst uitgevoerd, maar door de Dienst Toeslagen, dat net als de Douane een zusterorganisatie van de Belastingdienst is) stonden er in de wet keiharde consequenties voor kleine fouten en toen bleek dat die fouten tot zeer zware consequenties leidde bij een veel grotere groep dan de 500 gezinnen die ze bij de behandeling van de Toeslagenwetten in de 2e kamer acceptabel vonden werd het een politiek probleem, waar de Belastingdienst een dankbare kop van Jut voor was. (Ja, je leest het goed! Bij de behandeling van de Toeslagenwetten in de 2e kamer werd erkend dat de zware anti-fraude bepalingen onschuldige toeslagenontvangers ten onrechte in de problemen zou kunnen brengen. Maar een meerderheid van de 2e kamer, waaronder Omzigt, vond het volledig ruïneren van naar schatting 500 gezinnen niet opwegen tegen de mogelijke extra fraude die plaats zou vinden wanneer de anti-fraudebepalingen afgezwakt zouden worden.)
De laatste schatting is dat i.p.v. 500 ongeveer 5.000 gezinnen getroffen zijn door de harde regels (het volledig terug hebben moeten betalen van de toeslagen buiten hun schuld om) en dat voor ongeveer 60.000 tot 70.000 gezinnen het gedeeltelijk weigeren of terugvorderen van toeslagen vanwege onjuiste of onvolledige aanvragen wordt teruggedraaid (waarbij de behandelaars niet al te veel mogen kijken of het al dan niet terecht was).
Wanneer er in normale gevallen tijdens een controle blijkt dat er iets fout gegaan is, dan moet dat uiteraard wel gecorrigeerd worden (het zou niet eerlijk zijn t.o.v. burgers en bedrijven die het wel goed doen wanneer fouten bij anderen niet gecorrigeerd zouden worden). Maar zolang het er niet duidelijk bovenop ligt dat het bewust fout gegaan is (of het erg onwaarschijnlijk is dat het onbewust fout gegaan is) blijft een boete vaak achterwege (tenzij die door de wet is verplicht) en zijn er zeer ruime betalingsafspraken te maken.

[litebyte]

Geen idee of het waar is, maar een familielid (die bij de belastingdienst werkt) heeft wel eens aangegeven dat de belastingdienst inzage heeft in de meeste prive gegevens van alle overheidsdiensten van Nederland, zelfs meer dus dan bijv. justitie/BiZ of politie.

[neusje80]

Dat klopt wel, gezinslid hier bij de Douane (belastingdienst) en die hebben veel bevoegdheden en inzicht in zaken

[wildhagen]

De douane valt al enkele jaren niet meer onder de Belastingdienst, maar is tegenwoordig een zelfstandig orgaan, direct vallende onder het ministerie van Financiën. Zie Wikipedia: Douane (Nederland)

Dat dit soort organisaties veel gegevens hebben lijkt me vrij begrijpelijk, als je hun takenpakket ziet hebben ze veel van die info ook wel nodig.

Daar moet dan uiteraard wél buitengewoon secuur mee omgegaan worden, en helaas gaat het daar dus (te) vaak fout. Denk aan Toeslagenaffaire, of AVG problematiek etc.

[Renoir]

Denk dat het wel klopt alleen heb je daar als bd-medewerker niet per se zomaar toegang toe. Denk dat politie en andere opsporingsdiensten wel tot meer toegang kunnen krijgen maar dan niet zomaar voor grote delen van de bevolking.


Maar ja ga maar na, autobezit, huisbezit, inkomen, vermogen, divident, hoe het met je bedrijf gaat, grootboekcontroles, fiscale relaties, erfenissen, bezwaarprocedures, betalingsproblemen etc. En dan is toeslagen tegenwoordig losgekoppeld, daar is ook nog wel wat informatie beschikbaar.

[Tintel]

Ik had ook z'n bron; die wist ook te vertellen dat we in Nederland sowieso een bijzonder systeem hebben omdat de burger verplicht is om alles aan te leveren. Ze hoeven er eigenlijk niet eens om te vragen.
Daarnaast worden met grote partijen vaak afspraken gemaakt, ook als ze boel vermoedelijk bewust bedonderen, puur omdat dit nog wel iets oplevert en het verder onderzoek heel moeilijk is (en natuurlijk weer tijd en geld kost). BIjv. ze verbranden gewoon de complete administratie [=ongelukje] en dan moeten er schattingen worden gemaakt. Die natuurlijk voordeliger zullen zijn voor het bedrijf.
Zo zie je de schrijnende tegenstelling: de burgers en kleine bedrijven betalen altijd de volle mep en hebben het meeste last indien iemand bewust of bewust een fout maakt. Terwijl de grote partijen - die juist het grootste deel van de belastingpot zouden moeten vullen! - met veel meer wegkomen.

[HaterFrame]

Klopt, lees artikel 47 AWR maar. Schattingen pakken overigens vrijwel altijd duurder uit weet ik uit ervaring, daar gaat overigens wel eerst een informatiebeschikking aan vooraf. Je hebt dan nog een gestelde termijn om de gegevens alsnog te leveren, doe je dit niet dan keren ze de bewijslast om. Jij mag nu gaan bewijzen dat de schatting niet klopt. Jij geeft aan dat dat heel erg moeilijk is, ik durf te stellen van niet. Het wordt een relatief simpel rekensommetje van je omzetcijfers van voorgaande jaren, banktegoeden en een leuk percentage daar bovenop. Aangezien het bedrijf aangeeft geen administratie te hebben ga je dat ook echt wel betalen, je kunt immers niets bewijzen toch? De reden dat ze hoog inzetten is als pressie middel om alsnog de administratie in te zien.

[CivLord]

Ze zullen in eerste instantie hoog inzetten om zo alsnog de administratie in handen te krijgen. (Een kopie die toevallig gemaakt is vlak voordat de originele administratie in vlammen op is gegaan. )

Maar ze kunnen voor de uiteindelijke aanslag niet té hoog gaan zitten. Ze moeten bij een eventueel beroep voor de rechter wel aannemelijk kunnen maken dat hun schatting aannemelijk is. De rechter staat achter het principe dat iedereen zijn deel aan belasting moet betalen en zal meestal voor een geloofwaardige redelijke schatting kiezen boven een vaag verhaal met gaten en onwaarschijnlijke gebeurtenissen. Maar zodra die rechter het idee heeft dat de Belastingdienst er maar een (te hoge) slag naar slaat, wordt dat onmiddellijk afgestraft.

Wanneer je zeker weet dat je gelijk hebt, en je dat ook aannemelijk kan maken, kan het nooit kwaad om naar de rechter te stappen. De rechter zal alle feiten nog eens bekijken en in geval van twijfel vaker de kant van de belastingplichtige kiezen. (Die rechter houdt er zelf ook niet van om te veel belasting te betalen en zal ook bepaalde fiscale mogelijkheden benutten om dat te beperken.)

[pyro-tukker]

Ik ben benieuwd hoe je als Belastingdienst ooit je DPIA”s kunt naleven. In mijn ervaring kan je niet alles technisch regelen en zit er een groot gedragscomponent in. Daarnaast ga je teveel technisch afdekken dan ga je chaos krijgen, omdat je efficiency vaak omlaag gaat (best belangrijk, want de belastingdienst moet zich aan veel deadlines houden zie belastingrecht).

Ik heb zelf ook een tijdje te maken gehad met een DPIA op een bepaald proces. Het knopje export (en Excel openen op je desktop) was blijkbaar al een overtreding van de DPIA. Laat ik het zo zeggen, ik denk dat er heel weinig mensen binnen dat proces wisten dat ‘download’ al verboden is. Ik denk dat het bij een belastingdienst niet anders zou zijn. Mensen zijn daar ook gewoon mensen en geen compliance nerds die het leuk vinden om belastingaangiftes te controleren.

Eerlijk, ik ben geen groot voorstander van hoe alles bij de belastingdienst gaat en hoeveel geld en gezeur het kost voor de maatschappij. Tegelijkertijd, begin ik wel steeds meer empathie voor ze te krijgen. Ze zitten namelijk ook gewoon vast in oude wetgeving wat niet meer op de huidige tijd aansluit. Ze zitten vast in privacy wetgeving wat zo streng is dat elke grote organisatie er hoofdpijn van heeft. En dan hebben ze ook nog een een toeslagen affaire wat een enorme last is op de organisatie.

Ik zou het heel erg fijn vinden als er eens een bezem door de belastingdienst gaat. Maar ik denk dat we dan ook eerst randvoorwaarden creeeren dat de belastingdienst een basis heeft om een degelijke organisatie op te bouwen.

[Tintel]

Maar het hele probleem zou veel minder groot zijn als de belastingstelsel niet zo'n enorme chaos aan regels was....
Met minder regels is zijn ook veel minder gegevens nodig van de betrokkenen denk ik.

Dat is echter zo'n grote omslag dat ze er niet aan durven te beginnen vermoed ik.

Nu is het ook (zoals zo vaak) een manier om weer geld te verdienen aan het feit dat alles zo omslachtig is. Zodra er veel geld in omgaat, stappen er figuren in die 'helpen' en tijdens het proces flink wat verdienen. Maar diezelfde personen willen dat natuurlijk ook niet veranderen - want dat verdwijnt hun inkomen.

[PCG2020]

Alles oplossen kost heel veel geld en daar wil de politiek niet aan, hoewel daaruit wel de ophef en de eisen aan de overheidsinstanties voortkomen.

Want ja, de politiek doet een hoop loze beloftes aan de kiezers: 'Alles wordt beter en goedkoper! De zon gaat weer schijnen in Nederland!' Niemand durft meer te zeggen dat goede oplossingen veel geld kosten en dat het lang kan duren. De waan van de dag regeert.

[Cio]

Precies dit, de computers zijn een model van de werkelijkheid. In dit geval de juridische werkelijkheid, die ook alweer een model is om bezit en transacties te beschrijven.

En politici snappen blijkbaar niet dat computers geen toverkunst zijn? Dat mogelijke keuzes niet uit de lucht komen vallen waar jij ze graag ziet? Dus die schrijven logica waar je geen implementatie aan kan geven op het tempo dat de logica wijzigt.

Maar of privacywetgeving daarbij nu het probleem is? Ik betwijfel het. Het legt vooral bloot wat een totale bende je krijgt als ambtenaren aan een politiek leiband lopen, hoewel de externen ook niet onschuldig zijn in hun enthousiasme om onmogelijke opdrachten te accepteren.

Vergelijk dat met BuZa, waar medewerkers de straat op gaan om de onwerkbare absurditeit van het politieke standpunt te benadrukken.

[HaterFrame]

Exact!

[uiltje]

De belasting en toeslagen zijn zo complex dat je echt geen saboteur hoeft te zijn om aan het werk te blijven. Ik denk niet dat er veel consultants bezig zijn om te saboteren simpelweg omdat het niet nodig is. Buiten het feit dat veel mensen geluk uit hun werk halen en niet alleen maar bezig zijn met hun salaris, ik verbaas me altijd hoe vaak daar aan voorbij gegaan wordt.

[Tintel]

Oh, ik beweer niet dat die mensen saboteurs zijn. Ik beweer dat we in een situatie zitten waarbij de urgentie om te 'refactoren' als vanzelf wordt belemmerd. Het is dus geen persoonlijke aanval. Uiteindelijk vermoed ik dat de meeste mensen juist willen helpen.

[J_van_Ekris]

Ik zou het heel erg fijn vinden als er eens een bezem door de belastingdienst gaat. Maar ik denk dat we dan ook eerst randvoorwaarden creeeren dat de belastingdienst een basis heeft om een degelijke organisatie op te bouwen.

Ik heb de indruk, op basis van alle negatieve publiciteit de afgelopen jaren, dat technisch het een grote legacy-omgeving is waar men blij is dat het functioneert, maar men eigenlijk geen flauw idee meer heeft hoe het werkt en waar alles vandaan komt.

Platbranden, uithuilen en overnieuw beginnen is een strategie, maar inderdaad: creeer maar eens de rust om zoiets te doen. UWV is ook al decennia bezig uit datzelfde noeras te komen.

[HaterFrame]

Het probleem voor de belastingdienst is 3 ledig vermoed ik. Het moet meerjarig blijven werken, het is idd oud en niet te upgraden maar de grootste is dat men is overgeleverd aan de grillen van de politiek. Toeslagen is ze in de breedste zin door de strot geramd terwijl er vanaf de eerste minuut al luide geluiden waren dat ze het nooit goed konden uitvoeren.

[CivLord]

Je vergeet dat er jarenlang flink bezuinigd is op (overheidsorganisaties als) de Belastingdienst, waardoor veel systemen slechts met veel kunst en vliegwerk draaiende zijn gehouden. Daardoor is veel technological debt ontstaan die nauwelijks is weg te werken wanneer je én in bedrijf moet blijven én aan de door jou al genoemde grillen van de politiek moet blijven voldoen.

[Orangelights23]

Wat een flater slaat de overheid hier. Het is bijna 10 jaar geleden dat dr AVG van kracht ging en sinds mei 2018 officieel verplicht. Goed voorbeeld doet volgen, maar helaas heeft de overheid andere prioriteiten klaarblijkelijk.

[rh1014399]

En wat betreft de eisen uit de AVG: die liggen grotendeels in het verlengde van de Wbp (Wet bescherming persoonsgegevens), die sinds 2001 van kracht was in Nederland — en gebaseerd op de Europese richtlijn uit 1995. De AVG heeft dit aangescherpt en geharmoniseerd binnen de EU, en voegde vooral expliciete handhavingsmaatregelen toe, zoals boetes en een sterkere toezichthouder.

Kortom: de (spel)regels zijn al bijna 30 jaar bekend… en toch blijft het voor veel organisaties een moeizaam en schijnbaar uitzichtloos traject om écht compliant te worden.

[J_van_Ekris]

En wat betreft de eisen uit de AVG: die liggen grotendeels in het verlengde van de Wbp (Wet bescherming persoonsgegevens), die sinds 2001 van kracht was in Nederland — en gebaseerd op de Europese richtlijn uit 1995. De AVG heeft dit aangescherpt en geharmoniseerd binnen de EU, en voegde vooral expliciete handhavingsmaatregelen toe, zoals boetes en een sterkere toezichthouder.

De AVG is inderdaad beleidsneutraal doorgevoerd: dus wat onder de Wbp kon kan onder de AVG ook, en wat onder Wbp niet kon, is ook onder de AVG verboden.

Kortom: de (spel)regels zijn al bijna 30 jaar bekend… en toch blijft het voor veel organisaties een moeizaam en schijnbaar uitzichtloos traject om écht compliant te worden.

Ik heb onder beide wetgevingen gewerkt, en een groot verschil tussen Wbp en AVG is het proces er omheen: de noodzaak om aan te tonen wat je grondslagen zijn en waarop die rusten, etc.. Dat is echt anders geworden met de AVG: die adminstratieve last is groter geworden. Zeg niet dat het slecht is, maar het is wel een serieuze klus die erbij gekomen is.

[CivLord]

En wat gebeurt er met die administratieve last bij een organisatie met honderden processen die continu veranderen? Is er een reële verwachting dat het maken van BPIA's voor alle verwerkingen van persoonsgegevens in al die continu veranderende processen ooit klaar is? M.a.w. zou er ooit een moment kunen komen waarop de Belastingdienst 100% AVG compliant is?

[Snow_King]

Geen populaire mening denk ik, maar moeten we niet concluderen dat GDPR voor overheden gewoon niet werkt? Voor veel bedrijven is het al bijna niet te doen.

Een belastingdienst heeft voor zijn functioneren zo veel gegevens nodig dat het de vraag maar is of het wel logisch is dat deze wet op hen van toepassing is.

[sk1nny666]

juist daarom is het belangrijk.

een proces zou het minimaal aan gegevens op moeten vragen.
maar vaak is het zo dat je gewoon alle informatie krijgt (voor bv. een bsn)
en ja dat werkt lekker makkelijk.

maar het is natuurlijk veel veiliger om alleen de gegevens op te halen die je echt nodig bent.
denk aan naam en geboortedatum. als ik niet meer gegevens nodig ben voor mijn proces zou ik er ook geen toegang toe moeten hebben.

en daarom is de AVG juist belangrijk voor iets als de Belastingdienst.

[Picaroon]

Waarom een -1? Ik vind dit juist een zeer interessante stelling die uitnodigt tot verdere discussie.

[CivLord]

Dat is een correcte mening.

Voor de AVG moet voor elke verwerking van een persoonsgegeven in een DPIA beschreven worden dat, waarom en hoe die verwerking AVG-proof is. In een grote organisatie als de Belastingdienst (maar ook andere overheidsorganisaties en commerciële banken en verzekeraars) met honderden systemen en honderden processen die door wijzigingen van wet- en regelgeving en vervanging van systemen/ software continu veranderen kan je nooit een situatie bereiken waarop je voor elke verwerking een actuele DPIA hebt.

[bussie66]

Vast en zeker ook nog wel ergens weer een Excelletje op het netwerk met mensen daarin vermeld die extra gecontroleerd moeten worden ed....