De Belastingdienst heeft de bescherming van jouw persoonsgegevens nog altijd niet op orde. Dat concludeert de Autoriteit Persoonsgegevens (AP) in een rapport dat op 11 november naar buiten kwam. De toezichthouder keek naar twaalf onderdelen en zag op tien daarvan dat de dienst niet aan de eisen voldoet, meldt Accountant.nl. De Belastingdienst erkent dat de uitkomst “niet tot tevredenheid” stemt.
Dat klinkt als iets tussen twee overheidsinstanties. Toch gaat het over gegevens die over vrijwel elke Nederlander worden bijgehouden, van je inkomen tot je toeslagen. Hieronder wat de AP precies vond, wat dat in de praktijk betekent en wat je zelf kunt doen.
Wat de AP vond
De tekortkomingen gaan vooral over wie bij je gegevens kan en of dat te controleren valt.
- Logging. Er zijn nog niet genoeg systemen die bijhouden wie welke gegevens bekijkt. Zonder zo’n logboek is achteraf moeilijk vast te stellen of een medewerker in jouw dossier heeft gekeken zonder reden.
- Toegang. Bij sommige systemen hebben te veel medewerkers onnodig toegang tot persoonsgegevens.
- Menselijke tussenkomst. Algoritmes mogen niet zelfstandig besluiten nemen. Volgens de AP kan de Belastingdienst niet aantonen dat er betekenisvolle menselijke tussenkomst is.
- Discriminatie. De fiscus doet volgens de toezichthouder te weinig om discriminatie bij geautomatiseerde selectiecriteria te voorkomen.
- BSN in betalingskenmerken. De AP wil dat de dienst stopt met het verwerken van burgerservicenummers in betalingskenmerken en vorderingsnummers.
De Belastingdienst wijst vaak op verouderde IT. Volgens de AP gaan verbeteringen wel door, maar langzaam, en moet gegevensbescherming zwaarder meewegen naast de wensen van kabinet en Kamer. Een woordvoerder zei dat het nog enkele jaren duurt voordat het overal op orde is. De AP houdt het verscherpte toezicht, dat in 2024 begon, vast tot medio 2029. Het volgende rapport verschijnt in januari 2028.
Wat dit voor jou betekent
Het rapport zegt niet dat er gegevens zijn gelekt of misbruikt. Het gaat over risico’s en over controle. Twee punten raken je het meest direct.
Het eerste is de combinatie van ruime toegang en weinig logging. Als veel mensen bij gegevens kunnen en niet goed wordt vastgelegd wie wat bekijkt, is misbruik door een insider lastig te ontdekken. Dat is precies waarom de AP die twee punten samen noemt.
Het tweede is het burgerservicenummer in betalingskenmerken. Daar oordeelde de AP in juni al over. Het BSN is een vrijwel uniek nummer waarmee gegevens uit verschillende bestanden makkelijk te koppelen zijn, schreef Accountancy Vanmorgen toen. Omdat een betalingskenmerk ook zichtbaar is voor je bank, een curator of een familielid dat voor je betaalt, komt je BSN op meer plekken terecht dan nodig. Nieuwe betalingskenmerken mogen uiterlijk eind 2026 geen BSN meer bevatten. Bij vorderingsnummers verwacht de Belastingdienst pas uiterlijk in 2032 klaar te zijn.
Dat maakt het nuttig om je BSN zelf zuinig te behandelen. Oplichters vragen er graag naar, zoals bij de nepmail over een teruggaaf van 420,48 euro die in oktober rondging. Wie betaalt voor een ander, of een betalingsoverzicht doorstuurt, deelt nu nog vaak ongemerkt dat nummer mee.
Wat je zelf kunt opvragen
Je hebt op grond van de AVG het recht om te weten welke gegevens de Belastingdienst over je heeft. Hoe dat werkt staat op de privacypagina van de Belastingdienst.
- Eerst zelf kijken. Veel gegevens zie je al in Mijn Belastingdienst of MijnToeslagen. Daar kun je ook veel zelf wijzigen.
- Inzageverzoek. Wil je meer weten, stuur dan een brief naar Belastingdienst, Postbus 2508, 6401 DA Heerlen, met je naam, adres, postcode, woonplaats en een telefoonnummer waarop je overdag bereikbaar bent. De dienst beslist doorgaans binnen een maand. Die termijn kan met twee maanden worden verlengd, en soms krijg je geen inzage als andere belangen zwaarder wegen.
- Correctie of bezwaar. Klopt iets niet, of wil je dat bepaalde gegevens niet worden gebruikt, dan stuur je een brief naar hetzelfde adres en zeg je om welke gegevens het gaat.
- Klacht. Vragen of klachten over je gegevens kun je kwijt bij de functionaris voor gegevensbescherming van het ministerie van Financiën, of bij de Autoriteit Persoonsgegevens zelf.
Een inzageverzoek laat zien welke gegevens er zijn, niet wie ze heeft bekeken. Juist dat laatste kan de Belastingdienst volgens de AP nog niet overal bijhouden. Wie wil weten waar hij aan toe is, moet dus vooral letten op wat er in het rapport van januari 2028 staat over logging en toegang.
