Gevoelige privégegevens niet veilig bij Belastingdienst

De beveiliging van persoonsgegevens is bij de Belastingdienst ondermaats. Dat meldt Trouw op basis van een brief van directeur-generaal Jaap Uijlenbroek. Medewerkers kunnen zonder controle privégegevens opvragen. De vertrouwelijke en vaak gevoelige informatie van belastingbetalers wel goed beveiligen is volgens de dienst ‘technisch onmogelijk’.

Omdat de Belastingdienst niet bijhoudt wie welke gegevens opvraagt en waarom, weet de dienst ook niet wat er vervolgens met die gegevens gebeurt. Zo kan de fiscus ook niet garanderen dat die gevoelige informatie niet naar buiten komt. Uit een onderzoek van de Autoriteit Persoonsgegevens is gebleken dat de Belastingdienst de wet overtreedt door de toegang tot gegevens niet te beperken.

Die beperking is er nu niet, zegt Uijlenbroek, omdat de Belastingdienst daar de technische mogelijkheden niet voor heeft. Hoogleraar computerbeveiliging Bart Jacobs van de Radboud Universiteit laat aan Trouw weten verbaasd te zijn over die uitspraak. ‘Dit gaat om systemen waarin alle data van de Belastingdienst zijn opgeslagen. Als ergens goede beveiliging aanwezig moet zijn, is het hier. Ik kan me niet indenken dat dat technisch onmogelijk zou zijn.’

In februari 2017 onthulde het BNNVARA-onderzoeksprogramma ZEMBLA al dat de Belastingdienst ‘willens en wetens’ de privacywet overtrad. Toen bleek dat de financiële en persoonlijke gegevens van 11 miljoen belastingbetalers en 2 miljoen bedrijven in de periode van 2013 tot 2016 niet voldoende werden beveiligd en dat diefstal en verlies van die gegevens niet kon worden voorkomen. Een rapport daarover uit 2015 werd door de Belastingdienst genegeerd. Hoogleraar Jacobs concludeerde destijds ook al: ‘Wat daar gebeurt is onwettig’.

Tweede Kamerlid Pieter Omtzigt (CDA) noemt het gebrek aan beveiliging ‘heel ernstig’ en zegt een debat aan te vragen: ‘Een jaar geleden werden al verbeteringen beloofd die nog steeds niet plaatsvinden. De Belastingdienst heeft een van de meest privacy¬gevoelige datasets van Nederland. In de omgang daarmee lijken ze privacy totaal niet serieus te nemen.’