De Belastingdienst krijgt voorlopig geen boete of sanctie opgelegd voor fouten bij de verwerking van persoonsgegevens waarbij aantoonbaar sprake was van discriminatie. Reden is dat privacytoezichthouder AP (Autoriteit Persoonsgegevens) niet voldoende mankracht heeft om binnen een eerder door henzelf gestelde deadline (najaar 2020) een sanctie bekend te maken.
‘Die planning was zeer optimistisch’, meldt AP-woordvoerder Caspar Itz na vragen van Computable over de overschreden termijn. Hij legt uit dat AP ‘zoals bekend’ kampt met onderbezetting en dat daardoor het doel niet is gehaald.
Op 17 juli 2020 publiceerde AP een onderzoeksrapport. Daarin staat dat de werkwijze van de Belastingdienst tussen januari 2014 en mei 2018 op bepaalde onderdelen discriminerend en in strijd met de wet was.
Het gaat om de verwerking van data door de Afdeling Toeslagen. Die afdeling kwam onlangs volop in het nieuws rondom de toeslagenaffaire waarin duizenden mensen onterecht als fraudeur zijn aangewezen en zwaar in de problemen kwamen. Die affaire speelde bovendien een belangrijke rol in de val van het kabinet.
Volgens het rapport had de (dubbele) nationaliteit van aanvragers van kinderopvangtoeslag niet zo verwerkt mogen worden als jarenlang gebeurde. Volgens AP had de Belastingdienst de gegevens over dubbele nationaliteit al in januari 2014 moeten wissen. ‘Maar in mei 2018 stonden in totaal nog 1,4 miljoen mensen met een dubbele nationaliteit geregistreerd in systemen van de Belastingdienst.’
Voorlopig geen sanctie
Hoewel AP de genoemde dataverwerking van de Belastingdienst als ‘onrechtmatig’, ‘discriminerend’ en daarmee ‘onbehoorlijk’ betitelt en het gaat om zware overtredingen van de de privacywet, ofwel AVG (Algemene Verordening Gegevensbescherming), blijven sancties voorlopig uit.
De AP-woordvoerder schetst dat er meer tijd nodig is om tot een juist geformuleerde sanctie te komen en dat het daarvoor aan mankracht ontbreekt. ‘Er wordt nu een handhavingsbesluit voorbereid, dat kan een sanctie of een boete zijn.’ De Belastingdienst kan daar nog bezwaar tegen aantekenen. En vervolgens kan AP daar weer tegen in beroep gaan.’
AP verwacht niet dat dit zal gebeuren omdat staatssecretaris Van Huffelen (Financiën) in een schrijven de gemaakte fouten erkende en beterschap beloofde.
De AP-woordvoerder kan geen indicatie geven hoelang het nog duurt voordat AP een handhavingsbesluit heeft geformuleerd.
Belastingbetaler
De woordvoerder legt uit: ‘Stel de Directie Toeslagen van de Belastingdienst moet een boete betalen. Dan betaalt de overheid in principe een boete aan de overheid.’ Hij voegt meteen toe dat het in de jonge historie van AP nog niet is voorgekomen dat er aan een ander deel van de overheid een boete is opgelegd. Wel is er in het verleden bij het UWV en de politie een last onder dwangsom opgelegd. Waarbij gedreigd is met een boete als overtredingen niet binnen een bepaalde periode verholpen zouden zijn.
De AP-woordvoerder: ‘In het geval van een boete gaat het weliswaar om de overheid die de overheid een boete betaalt, maar dat bedrag wordt wel degelijk gemist op de balans.’ Het heeft dus wel degelijk gevolgen voor het onderdeel dat de boete krijgt opgelegd. Ook al gaat het in deze situatie om de belastingbetaler die opdraait voor fouten bij de Belastingdienst.
Onderbezetting AP
Eind 2020 erkende AP-voorzitter Aleid Wolfsen dat de privacytoezichthouder niet aan haar wettelijke taken kan voldoen door te weinig mankracht en budget.
Om de wettelijke taken uit te kunnen voeren, moet AP tussen 2021 en 2025 groeien van 184 fte naar 470 fte en ruim 66 miljoen euro in 2025, schreef KPMG in de ‘Meerjarenbegroting 2021-2025’ die AP naar buiten bracht.
Uit dat rapport kwam naar voren dat bij gemelde overtredingen vrijwel nooit boetes worden opgelegd, meldingen van datalekken zelden leiden tot een onderzoek en de ‘autoriteit’ hopeloos achter de feiten aan loopt bij het toezicht op nieuwe ontwikkelingen. De privacy-toezichthouder erkent dat het niet aan de wettelijke taak voldoet. (Lees hier het artikel: AP: wij falen als privacy-toezichthouder.)
Gevolgen achterstanden AP
- 1.850 klachten van burgers liggen op de plank.
- Slechts 0,04% van de 27.800 (2019) klachten/gemelde overtredingen leidt tot een sanctie (bijvoorbeeld boete).
- Met tips van burgers kan AP bijna niets doen.
- Datalekken (2019: 27.000) krijgen te weinig opvolging: maar 0,3% leidt tot onderzoek.
- Goedkeuring van binding corporate rules (BCR), waarmee bedrijven data met landen buiten de EU mogen delen, duurt inmiddels vijf jaar.
- (Internationale) onderzoeken duren lang of kan de AP niet afmaken. Of überhaupt niet starten.
- Voorlichtende activiteiten aan burgers en bedrijven liggen vrijwel stil.
- AP doet nauwelijks verplichte onderzoeken naar grootschalige Europese informatiesystemen (politie en justitie).
- Toezicht op algoritmes die persoonsgegevens verwerken komt niet van de grond.
- AP heeft onvoldoende capaciteit om boetes op te leggen.
- AP kan onvoldoende deelnemen aan het maatschappelijk debat over relevante onderwerpen als ai en de rol van grote techbedrijven.
Bron: Factsheet Meerjarenbegroting en groeiplan AP van KPMG.
Amazing. The Belastingdienst can do what they like, accountable to no-one, above the law. Discrimination, wrong accuse thousands of parents, cause the fall of a cabinet. But still no-one is prosecuted for that.
They need a review of their way of working by a parliamentary rerview.
Kunnen we dit toevoegen aan de lijst van schandalen betreffende de belastingdienst?
Als je als klein bedrijf zoiets doet krijg je gleijk een boete waar je U tegen zegt, maar nu, terwijl het echt wel duidelijk is wat er gebeurde, heeft men ‘geen tijd’ (want daar komt het op neer) om te onderzoeken.
Ik wil niemand beschuldigen of aanwijzen, maar het is wel iemand van het, nu demissionaire, kabinet (door die belasting affaire) die geen extra budget gaf in de periode dat er om meerdere redenen (toeslagen/discriminatie) onderzoek werd gedaan naar het werk van de balastingdienst.
Denk daar even over na.
Met zo’n stuwmeer aan zaken worden grote zaken te laat en onvolledig opgepakt, en worden kleine zaken wellicht nooit meer opgepakt. Zonder voldoende budget voor de Autoriteit Persoonsgegevens zijn de checks and balances niet mogelijk. Het is echt van belang dat er heel bewust omgegaan wordt met de keuze voor niet te delen privé data, gecontroleerd gedeelde privé data en open data. Nu is de AVG een wassen neus.
Wellicht kan Nederland daarvoor een boete krijgen van de EU, die we beter meteen aan de AP hadden kunnen besteden. Het beboeten van een (lagere) overheid of overheidsorganisaties is overigens wel zinvol. Eindverantwoordelijken moeten dit namelijk verantwoorden.
Nu zoveel overheden, bedrijven en instellingen de digitale achterdeur openlaten of zelfs de AVG negeren, is er juist extra capaciteit bij de AP nodig. Wat bijvoorbeeld U-diagnostics heeft gedaan, mag niet zo maar in een bureaulade verdwijnen. Zie https://nos.nl/nieuwsuur/artikel/2365411-volledige-reacties-u-diagnostics-en-gedupeerde-bedrijven.html
Het draait allemaal om geld
Bedrijven willen geen geld uitgeven aan security en bescherming persoonsgegevens (denk ook aan voorlichting aan de gebruikers), en de overheid wil geen geld uitgeven aan de controle hierop.
Als het dan uiteindelijk eens fout gaat, denk aan bijvoorbeeld U-diagnostics waar userIDs en passwoorden per WhatsApp (of all apps) verstuurd worden, websites die zo lek zijn als een mandje, verloren USB sticks met gegevens van rechtzaken, gevaccineerden en verslaafden, noem maar op, krijgen ongetwijfeld de mensen die ‘schuldig’ zijn binnen het bedrijf een schop/standje, en daarmee is het gebeurd.
AP heeft geen mensen/tijd/geld, en de minister vindt het allemaal wel goed zo.
Je zou haast gaan denken dat er bestuurlijke opzet achter zit dat de privacytoezichthouder niet aan haar wettelijke taken kan voldoen door te weinig mankracht en budget.