| Ingediend | 23 december 2019 |
|---|---|
| Beantwoord | 10 februari 2020 (na 49 dagen) |
| Indieners | Helma Lodders (VVD), Pieter Omtzigt (CDA) |
| Beantwoord door | Pieter Omtzigt (CDA), Raymond Knops (staatssecretaris binnenlandse zaken en koninkrijksrelaties) (CDA), Helma Lodders (VVD) |
| Onderwerpen | belasting financiën |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2019Z26176.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20192020-1682.html |
Ik herinner mij dit antwoord.
Het klopt dat artikel 2:15 van de Awb zo luidt en dat het een kan-bepaling is, waardoor het mogelijk is voor een bestuursorgaan om desgewenst de digitale weg open te stellen voor het ontvangen van berichten. Specifiek voor het fiscale domein is in artikel 3a, eerste lid, van de Algemene wet inzake rijksbelastingen (AWR) bepaald dat in het verkeer tussen belastingplichtigen of inhoudingsplichtigen en de inspecteur of het bestuur van ’s Rijks belastingen een bericht uitsluitend elektronisch verzonden wordt. In het derde lid van dat artikel is een delegatiebepaling opgenomen op grond waarvan bij ministeriële regeling wordt bepaald voor welke berichten zowel de digitale als de papieren weg is opengesteld. De betreffende ministeriële regeling is de Regeling elektronisch berichtenverkeer belastingdienst (Regeling EBV). In de Regeling EBV is geregeld dat voor onder meer aangiftes loonheffingen en vennootschapsbelasting uitsluitend de digitale weg openstaat. Het is op basis van de Regeling EBV daarom niet mogelijk om de aangiftes loonheffingen en vennootschapsbelasting op papier te doen.
Overheidsinstanties, waaronder de Belastingdienst, moeten in overeenstemming met de Algemene verordening gegevensbescherming (AVG) handelen. Informatiesystemen die persoonsgegevens verwerken, behoren aan bepaalde eisen te voldoen ten aanzien van toegangsbeveiliging. Op grond van artikel 5, eerste lid, letter f, van de AVG moeten passende technische beveiligingsmaatregelen worden genomen. In het begrip «passend» ligt besloten dat de beveiliging in overeenstemming is met de stand van de techniek en het niveau van beveiliging correspondeert met de mate van privacygevoeligheid van de persoonsgegevens. De Belastingdienst heeft daarom de eis gesteld dat organisaties voor het doen van de aangiftes loonheffingen en vennootschapsbelasting via het ondernemersportaal per 1 januari 2020 een inlogmiddel dienen te gebruiken dat ingevolge Verordening (EU) nr. 910/2014 (de zogeheten eIDAS-verordening) voldoet aan het beveiligingsniveau «substantieel» en bij de Europese Commissie is genotificeerd. Op dit moment is eHerkenning (niveau 3) het enige inlogmiddel dat hieraan voldoet. Eenmanszaken kunnen met DigiD inloggen.
Dat niet meer met een gebruikersnaam en wachtwoord kan worden ingelogd op het nieuwe ondernemersportaal van de Belastingdienst (MijnBelastingdienst zakelijk (MBDz)), is bekendgemaakt door het versturen van brieven aan de populatie gebruikers die voor het doen van aangifte gebruik maakten van het inmiddels voor de loonheffingen en vennootschapsbelasting afgesloten oude portaal. Voor de aangifte loonheffingen zijn brieven verstuurd op 19 september 2019 en 6 december 2019. Voor de aangifte vennootschapsbelasting zijn de brieven verstuurd op 19 december 2019. Daarnaast zijn brieven gestuurd aan de organisaties die mogelijk geen eHerkenningsmiddel kunnen aanvragen; voor de aangifte loonheffingen is dat gebeurd door middel van brieven van 29 november 2019, voor de aangifte vennootschapsbelasting op 19 december 2019. In diezelfde periode zijn verwijzingen opgenomen op de website van de Belastingdienst, in de berichtgeving op Forum Salaris, Forum Fiscaal Dienstverleners en sociale media.
Dat eHerkenning is vereist voor bepaalde aangiften is bekendgemaakt op de website van de Belastingdienst en de betreffende groepen zijn per brief geïnformeerd. Daarnaast is in juni 2019 door het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties de landelijke mediacampagne voor het stimuleren van naamsbekendheid, aanschaf en gebruik van eHerkenning gestart via diverse kanalen. De campagneboodschap richtte zich op ondernemers, organisaties, medewerkers en intermediairs die nog niet bekend zijn met eHerkenning en nog geen eHerkenningsinlogmiddel hebben. Verder verwijs ik naar het antwoord op vraag 8.
Ja. Met betrekking tot de aangifte loonheffing, die in beginsel voor 1 maart moet worden gedaan, is op 19 september 2019 voor het eerst per brief gecommuniceerd over de beleidsbeslissing. Met betrekking tot de aangifte vennootschapsbelasting, die in beginsel voor 1 juni moet worden gedaan, is op 19 december 2019 voor het eerst per brief gecommuniceerd. Daarnaast is de beleidsbeslissing via de website van de Belastingdienst kenbaar gemaakt, zodat ook mogelijke betrokkenen die geen brief hebben ontvangen op de hoogte zijn gesteld.
Ik ben hiervan op de hoogte.
Ik ben hiervan op de hoogte.
De wettelijke grondslag is artikel 2:15, eerste lid, van de Awb. Op grond van die bepaling is een bestuursorgaan namelijk bevoegd om nadere eisen te stellen aan het gebruik van de elektronische weg. Met betrekking tot de aangifte loonheffingen en vennootschapsbelasting heeft de Belastingdienst van die bevoegdheid gebruik gemaakt door verplicht te stellen dat gebruik wordt gemaakt van authenticatiemiddelen die gelet op de AVG en de eIDAS-verordening voldoen aan het beveiligingsniveau «substantieel» en bij de Europese Commissie zijn genotificeerd. Het beveiligingsniveau «substantieel» correspondeert met eHerkenning niveau 3.
Artikel 3a, tweede lid, AWR geeft de Minister de bevoegdheid om bij ministeriële regeling te bepalen op welke wijze het elektronisch berichtenverkeer tussen inhoudingsplichtigen en belastingplichtigen en de Belastingdienst plaatsvindt. In dit kader wijzen de leden in vraag 7 terecht op de bijlage bij de Regeling EBV. Deze bijlage is nog niet in overeenstemming gebracht met de gestelde nadere eis over verplicht gebruik van inlogmiddelen die gelet op de eIDAS-verordening voldoen aan beveiligingsniveau «substantieel» (niveau 3). Dit zal op korte termijn door middel van een ministeriële regeling met terugwerkende kracht tot 1 januari 2020 rechtgezet worden. Dit laat de wettelijke basis van artikel 2:15, eerste lid, van de Awb om eHerkenning verplicht te mogen stellen overigens onverlet.
De Belastingdienst heeft de eis gesteld dat organisaties voor het doen van de aangiftes loonheffingen en vennootschapsbelasting via MBDz per 1 januari 2020 een inlogmiddel moeten gebruiken dat gelet op de AVG en de eIDAS-Verordening voldoet aan het beveiligingsniveau «substantieel» en bij de Europese Commissie is genotificeerd. Dit komt erop neer dat MBDz alleen toegankelijk is via eHerkenning, een door een andere lidstaat genotificeerd inlogmiddel en DigiD (voor eenmanszaken). Organisaties kunnen ook gebruik maken van een fiscaal dienstverlener of commerciële software voor het doen van aangifte. Voor de beantwoording van de vraag wanneer de bedrijven zijn geïnformeerd, verwijs ik naar de beantwoording van vraag 3.
Ja. Er zijn landen in Europa waar voor de aanschaf en het gebruik van een inlogmiddel betaald moet worden, bijvoorbeeld in Finland, Noorwegen en Zweden. In Europa wordt echter minder dan in Nederland onderscheid gemaakt tussen burger- en bedrijfsmiddelen. De middelen worden zowel door publieke als private partijen beschikbaar gesteld. Zo hebben bijvoorbeeld Italië, Zweden en Denemarken ook private inlogmiddelen.
Op dit moment zijn geen andere landen bekend die een exclusief privaat stelsel hanteren voor inloggen door bedrijven bij de overheid. Dat zal mede komen omdat een aantal landen nog geen inlogmiddelen voor bedrijven bieden. Uit de overleggen met andere landen over de implementatie van de eIDAS-verordening blijkt interesse van andere landen om voor het Nederlandse private model te kiezen.
De aanbevelingen van de Onderzoeksraad voor de Veiligheid zijn gericht aan de Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK). Door het Ministerie van BZK is de Baseline Informatiebeveiliging Overheid (BIO) ontwikkeld en verplicht gesteld voor de overheid. De BIO is volledig gebaseerd op de ISO-norm 27002. De Belastingdienst heeft de inrichting van de informatiebeveiliging gebaseerd op de BIO. Jaarlijks wordt door de secretaris-generaal van het Ministerie van financiën een «in control verklaring» afgegeven aan de Minister van BZK. Naast de interne beveiligingsambtenaar zien de Auditdienst Rijk en de Algemene Rekenkamer toe op de naleving van de BIO.
Er zijn twee onderzoeken door Blauw uitgevoerd naar eHerkenning. Deze zijn als bijlagen aan deze brief toegevoegd3. De onderzoeksopdrachten zijn hierin als hoofdvraag beschreven.
Voor interne bedrijfsvoeringprocessen geldt dat niet. Die processen verlopen in eigen beheer. Voor zover het gaat om processen waarin de overheid niet verschilt van bedrijven, zoals het doen van ziektemeldingen, klopt dit wel.
Nee, de Belastingdienst doet de loonbelasting en aangifte vennootschapsbelasting op een andere wijze.
Overheidsorganisaties hebben een eigen verantwoordelijkheid om hun gegevens adequaat te beveiligen. Gezien het wijzigende dreigingslandschap en steeds betere beveiligingsmogelijkheden is het belangrijk om als dat nodig is veiligere inlogmethoden in te zetten. Door burgers, bedrijven en overheden meer betrouwbare inlogmiddelen te bieden, zijn hun eigen gegevens beter beschermd. De Autoriteit Persoonsgegevens hamert om die reden al langere tijd op het overheidsbreed inzetten van inlogmiddelen met hogere betrouwbaarheid. eHerkenningsmiddelen bieden op dit moment dat hogere niveau. Het is niet efficiënt voor de overheid en evenmin handig voor ondernemers als iedere overheidsorganisaties zijn eigen inlogmiddelen van een substantieel betrouwbaarheidsniveau gaat ontwikkelen.
De Wet Digitale Overheid beoogt gecoördineerd de beweging naar de inzet van veiligere inlogmiddelen overheidsbreed te regelen. De wet dwingt dit af op basis van uniforme normen en uitgangspunten en is zo opgezet dat er stapsgewijze invoering kan plaatsvinden, waardoor rekening wordt gehouden en handvatten worden geboden voor de omgang met praktische aandachtspunten. Daarom is in de Wet Digitale Overheid de mogelijkheid opgenomen om – tijdelijk, bijvoorbeeld in overgangssituaties – te regelen dat de acceptatieplicht voor bepaalde dienstverleners niet geldt indien hier een praktische onmogelijkheid voor bestaat, bijvoorbeeld omdat de techniek nog in ontwikkeling is. De omstandigheid dat een individuele overheidsorganisatie – zoals de Belastingdienst – ook zelf over de bevoegdheden beschikt om eHerkenning in te voeren, doet aan het voorgaande streven naar een gecoördineerde aanpak niets af.
Het Ministerie van Binnenlandse zaken heeft de administratieve lasten in kaart gebracht van het rijksbeleid dat veiliger moet worden ingelogd bij de overheid via de door de Minister van Binnenlandse Zaken en Koninkrijksrelaties aan te wijzen generieke inlogmiddelen. Voor bedrijven is dit eHerkenning. De gevolgen voor het bedrijfsleven zijn beoordeeld en beschreven in de memorie van toelichting van het voorstel voor de Wet digitale overheid en de administratieve lasten zijn getoetst door het Adviescollege toetsing en regeldruk.
Besloten is dat voor de nieuwe aangiftejaren loonheffing en vennootschapsbelasting het portaal van de Belastingdienst in 2020 alleen toegankelijk is via DigiD, eHerkenning of authenticatiemiddelen, die gelet op Europese regelgeving (de eIDAS-verordening) voldoen aan het beveiligingsniveau «substantieel» en bij de Europese Commissie zijn genotificeerd. De Algemene verordening gegevensverwerking verplicht de Belastingdienst immers om via passende maatregelen de veiligheid van gegevens van ondernemers te waarborgen, rekening houdend met de aard van de gegevens en de voortschrijdende stand van de techniek. Naar aanleiding van het rijksbeleid en het feit dat het aantal gegevens en de privacygevoeligheid van de getoonde persoonsgegevens op het portaal van de Belastingdienst toeneemt, is beoordeeld dat het beveiligingsniveau van de inlogmiddelen verhoogd moet worden om te voorkomen dat onbevoegden toegang tot de gegevens krijgen. De effecten zijn niet specifiek in kaart gebracht door middel van een impact assessment.
In verband met de zorgvuldigheid van de beantwoording, waarvoor nadere afstemming met de Minister van BZK noodzakelijk was, is het niet haalbaar gebleken om deze vragen voor 10 januari 2020 te beantwoorden.
De schriftelijke vragen van de leden Omtzigt en Lodders aan de Minister van Financiën en de Minister van Binnenlandse Zaken over het verplichte gebruik van eHerkenning bij de Belastingdienst (2019Z26176, ingezonden 23 december 2019) kunnen met het oog op een zorgvuldige en volledige beantwoording niet binnen de gebruikelijke termijn worden beantwoord. De beantwoording van deze Kamervragen vergt nadere afstemming met de Minister van BZK. Uiteraard is het streven de antwoorden zo spoedig mogelijk aan uw Kamer te sturen.