Recordboete voor de Belastingdienst

Onlangs heeft de Autoriteit Persoonsgegevens (AP) de hoogste boete ooit opgelegd aan de Belastingdienst voor een schending van de Algemene Verordening Gegevensbescherming (AVG). In totaal dient de Belastingdienst een bedrag van € 3.700.000 te betalen vanwege een zestal overtredingen. Aangezien in een eerdere blog al is ingegaan op deze zaak, zal slechts kort worden stilgestaan bij de feiten van de zaak. De boete die in de onderhavige zaak is gegeven dient niet verward te worden met de boete van € 2.750.000 die de Belastingdienst een paar maanden daarvoor heeft gekregen voor haar rol in de Toeslagenaffaire.

In dit blog zal ik dus allereerst de achtergrond van de boete beschrijven. Vervolgens zal ik per overtreding kort uitleggen waar de Belastingdienst de mist in ging en ingaan op het feit waarom de boete wel degelijk betekenis heeft, ondanks dat deze door én aan de Staat betaald wordt.

Achtergrond

De Toeslagenaffaire heeft in Nederland veel los gemaakt. Zoals in de vorige blog over dit onderwerp besproken heeft de Belastingdienst, deels via algoritmes, op problematische wijze beslissingen genomen die verregaande gevolgen hadden voor de betrokkenen. Nadat dit aan het licht is gekomen zijn er meerdere onderzoeken gestart om de werkwijze te evalueren. Nadat een commissie van de Tweede Kamer tot de conclusie was gekomen dat het kabinet gefaald had bij de aanpak van de affaire, is het kabinet Rutte-III gevallen.

Aan de basis van de Toeslagenaffaire lag een door de Belastingdienst gebruikte “zwarte lijst”, waarop zij de gegevens van mogelijke fraudeurs bijhield. Indien je als burger eenmaal op deze lijst stond, dan was het vrijwel onmogelijk om hier weer vanaf te komen. Dit had ook te maken met het feit dat veel burgers niet eens wisten dat zij op deze lijst geregistreerd stonden. Vanwege deze gang van zaken heeft de AP op 29 oktober 2021 bekendgemaakt dat de zwarte lijst van de Belastingdienst op meerdere punten in overtreding was met de AVG. Vervolgens volgde een boetebesluit op 7 april jongstleden, waarin is besloten dat de Belastingdienst een boete dient te betalen van € 3.750.000 aan de Staat.

Een zestal overtredingen

De AP heeft dus al eerder geconcludeerd dat de AVG geschonden is. In het boetebesluit legt zij uiteindelijk voor zes overtredingen een boete op, welke elk individueel goed zijn voor een boetebedrag tussen de € 250.000 en de € 1.000.000. Hierna zullen de verschillende overtredingen kort uiteen worden gezet.

De eerste overtreding wordt bestraft met een boete van €1.000.000. De Belastingdienst had namelijk geen wettelijke grondslag om de zwarte lijst in gebruik te nemen. Er was geen wet die dit toestond en ook de vier andere mogelijke grondslagen uit artikel 6 van de AVG waren niet van toepassing.

De tweede overtreding zag op het feit dat de Belastingdienst de persoonsgegevens niet heeft verwerkt in overeenstemming met het doelbindingsbeginsel. De Belastingdienst sloeg de gegevens vaak op zonder dat precies duidelijk was waarom dit gebeurde. De doeleinden van de zwarte lijst waren volgens de AP “niet welbepaald en daarmee onduidelijk”. Dit kwam bijvoorbeeld naar voren in door de minister vrijgegeven documenten. Hierin wordt beschreven hoe ambtenaren onderling de lijst delen, met daarbij het uitdrukkelijke verzoek om zoveel mogelijk gegevens in de lijst te laten staan.

Een andere overtreding betrof het feit dat er ook persoonsgegevens door de Belastingdienst werden verwerkt die niet (meer) juist waren. Volgens de AVG moet degene die persoonsgegevens verwerkt er tot op zekere hoogte voor zorgen dat de persoonsgegevens kloppen. Hieronder valt ook bijvoorbeeld het actualiseren van persoonsgegevens.

De vierde overtreding betrof het feit dat de Belastingdienst te weinig passende beveiligingsmaatregelen had getroffen om de persoonsgegevens te beschermen. Zo werd er bijvoorbeeld niet gecontroleerd wie de gegevens raadpleegde. Mede gelet op het feit dat het in deze bestanden ging om zeer gevoelige persoonsgegevens was het aan de Belastingdienst om hier hogere beveiligingseisen aan te stellen.

Als vijfde achtte de AP het in strijd met de AVG dat de Functionaris Gegevensbescherming (FG) pas op een te laat moment is betrokken bij de zwarte lijst. Juist omdat het hier ging om een grootschalige verwerking van persoonsgegevens had het op de weg van de Belastingdienst gelegen om de FG (veel) eerder in te schakelen en de FG om advies te vragen over de rechtmatigheid van de verwerkingen van de persoonsgegevens.

Tot slot krijgt de Belastingdienst een boete van € 250.000 voor het feit dat de gegevens te lang werden bewaard. Tijdens de controle van de AP werden er gegevens van ruim 20 jaar oud teruggevonden die al (lang) verwijderd hadden moeten zijn. Pas in 2020 werden er voor het eerst gegevens verwijderd, terwijl de eerste persoonsgegevens al uit 2000 stamde.

Broekzak vestzak

Aangezien de Belastingdienst een overheidsorgaan is, zal het boetebedrag uit de staatskas komen. Vervolgens gaat het bedrag weer terug te staatskas in, omdat de boetes die de AP oplegt ten goede komen aan de Staat. Volgens een woordvoerder van de AP is het dan ook “in essentie is het dus gewoon de overheid die een boete betaalt aan zichzelf”. Wel is het aannemelijk dat de boete tot op zekere hoogte veranderingen teweeg kan brengen bij de Belastingdienst. Zo staat nu vast dat de verwerkingen van de Belastingdienst, naast ethisch twijfelachtig, ook juridisch gezien niet door de beugel kon.

Ondanks dat de boete dus niet direct de betrokkenen compenseert, zal de vaststelling van de onrechtmatigheid voor de betrokkenen enerzijds kunnen zorgen voor erkenning van het bij hen aangedane leed. Anderzijds zal het de gerechtelijke procedure die een betrokkene kan aanspannen vergemakkelijken, omdat de onrechtmatigheid van de verwerkingen immers al vaststaat. Ook het (openbare deel van het) onderzoek kan de argumenten van de gedupeerde(n) ondersteunen. Verder is het ook aannemelijk dat de AP de Belastingdienst beter in de gaten zal houden en prioriteit zal geven aan eventuele meldingen waarin een onrechtmatige verwerking van persoonsgegevens vermeld wordt.