Kamervraag 2020Z04221

De ‘Fraude Signalering Voorziening’ (FSV) en de Algemene Verordening Gegevensbescherming (AVG)

Ingediend 4 maart 2020
Beantwoord 10 juli 2020 (na 128 dagen)
Indiener Pieter Omtzigt (CDA)
Beantwoord door Wopke Hoekstra (minister financiën) (CDA), Hans Vijlbrief (staatssecretaris financiën) (D66), Alexandra van Huffelen (staatssecretaris financiën) (D66)
Onderwerpen burgerlijk recht recht staatsrecht
Bron vraag https://zoek.officielebekendmakingen.nl/kv-tk-2020Z04221.html
Bron antwoord https://zoek.officielebekendmakingen.nl/ah-tk-20192020-3489.html
  • Vraag 1
    Wanneer bent u op de hoogte gesteld van het bestaan van de Fraude Signalering Voorziening (FSV) en van de gegevensbeschermingseffectbeoordeling FSV?

    Wij zijn naar aanleiding van persvragen van RTL Nieuws en Trouw (van 10 februari) op 18 februari 2020 op de hoogte gesteld van het feit dat er binnen de Belastingdienst een applicatie met de naam Fraude Signalering Voorziening (FSV) is en dat er een GEB was uitgevoerd.

  • Vraag 2
    Bent u bekend met het feit dat artikel 35, lid 2, van de AVG stelt: «Wanneer een functionaris voor gegevensbescherming is aangewezen, wint de verwerkingsverantwoordelijke bij het uitvoeren van een gegevensbeschermingseffectbeoordeling diens advies in.»?

    Ja.

  • Vraag 3
    Wanneer is de functionaris voor gegevensbescherming (van het Ministerie van Financiën en de Belastingdienst) ingelicht over het uitvoeren van deze gegevensbeschermingseffectbeoordeling?

    De functionaris voor gegevensbescherming van het Ministerie van Financiën (FG) is op 20 februari 2020 door de privacyofficer van de Belastingdienst mondeling geïnformeerd over de GEB.

  • Vraag 4
    Wanneer heeft de functionaris voor gegevensbescherming de gegevensbeschermingseffectbeoordeling (welke versie dan ook) ontvangen?

    Op 20 februari 2020 is de GEB ter informatie aan de FG gestuurd. Op 26 februari 2020 is de GEB nogmaals aan de FG gestuurd en is hem formeel om advies gevraagd over de GEB, versie 1.2 van november 2019. Na ontvangst van het advies van de FG is door de Belastingdienst besloten om FSV uit te schakelen.

  • Vraag 5
    Bent u op de hoogte van artikel 36 van de AVG dat stelt: «Wanneer uit een gegevensbeschermingseffectbeoordeling krachtens artikel 35 blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om het risico te beperken, raadpleegt de verwerkingsverantwoordelijke voorafgaand aan de verwerking de toezichthoudende autoriteit.»?

    Ja.

  • Vraag 6
    Heeft u kennisgenomen van de conclusie: «In zijn algemeenheid kan worden geconcludeerd dat de huidige opzet van FSV geen goede aansluiting (meer) heeft op de verwerkingsbeginselen van art. 5 AVG. Ten aanzien van elk van de 10 in dit artikel genoemde beginselen zijn een of meer bevindingen gedaan en afgeleid daarvan zijn er privacy risico's gesignaleerd.»? En deelt u de mening dat er een hoog risico is?

    De conclusie is getrokken op basis van een GEB op de applicatie, waarbij de verwerkingen zelf zijdelings geraakt zijn. De conclusie was voor de Belastingdienst voldoende om de applicatie FSV uit te schakelen. De Belastingdienst heeft besloten de betrokken processen opnieuw te ontwerpen, inclusief de bijbehorende informatievoorziening.

  • Vraag 7
    Heeft de functionaris voor gegevensbescherming of iemand anders bij de Belastingdienst de Autoriteit Persoonsgegevens (AP) op de hoogte gesteld van de redelijk schokkende uitkomsten van deze gegevensbeschermingseffectbeoordeling? Zo ja, wie heeft dat gedaan? Zo nee, waarom niet?

    De Autoriteit Persoonsgegevens is op 2 maart 2020 door de Belastingdienst geïnformeerd.

  • Vraag 8
    Heeft de Belastingdienst de AP ooit op de hoogte gesteld van de uitkomst van een gegevensbeschermingseffectbeoordeling, omdat er risico’s zijn? Zo ja, bij welke gegevensbeschermingseffectbeoordeling is dat gebeurd?

    De AP moet om advies worden gevraagd als er sprake is van een verwerking met een hoog risico voor de privacy van de burger dat niet met passende maatregelen is weg te nemen. De Belastingdienst heeft op 2 maart 2020 de AP geïnformeerd over FSV omdat er een applicatie in gebruik was waarbij de mitigerende maatregelen onvoldoende geïmplementeerd waren. Inmiddels heeft de AP aangegeven dat er een onderzoek is gestart. Wij zullen u informeren over de uitkomsten van dit onderzoek.

  • Vraag 9
    Indien de Belastingdienst de AP niet op de hoogte gesteld heeft, wilt u dat dan per ommegaande doen en de Kamer op de hoogte houden van elke brief en elke besluit dat de AP neemt?

    De AP is geïnformeerd op 2 maart 2020. De AP heeft inmiddels een onderzoek gestart naar de verwerking van persoonsgegevens in en om de applicatie FSV. Ik zal uw Kamer op de hoogte houden van brieven en besluiten van de AP in deze kwestie.

  • Vraag 10
    Indien de AP niet op de hoogte gesteld is van deze gegevensbeschermingseffectbeoordeling over FSV, wat heeft de Belastingdienst dan geleerd van eerdere affaires waarin de AP pas op de hoogte gesteld is van grote problemen met privacy na publiciteit en Kamervragen, zoals bij de affaire rondom de broedkamer en bij het bijhouden van de dubbele nationaliteit?

    Zoals ook in de brief bij deze beantwoording aangegeven:. de problematiek rond FSV en projectcode 1043 en de gebeurtenissen rond de kinderopvangtoeslag, laten zien dat de opzet, inrichting en werking bij risicoselectie en vervolgens het onderzoek naar de geselecteerde signalen binnen de Belastingdienst onvoldoende zijn. Er wordt niet voldaan aan wettelijke vereisten, waaronder de Algemene verordening gegevensbescherming (AVG) en de beginselen van behoorlijk bestuur, noodzakelijke waarborgen en menselijke maat die hiervoor noodzakelijk zijn. Deze conclusie is hard en vraagt om een grootschalige verbeteraanpak waarbij zowel het zowel noodzakelijk is om direct maatregelen te treffen als verder onderzoek te doen. Burgers en bedrijven moeten erop kunnen vertrouwen dat de behandeling door de Belastingdienst op een rechtvaardige manier gebeurt.

  • Vraag 11
    Deelt u de mening dat de AP ondertussen niet serieus genomen wordt door de Belastingdienst als toezichthouder?

    Nee, dit beeld deel ik niet. De Belastingdienst hecht veel waarde aan het oordeel van de AP.

  • Vraag 12
    Hoe zou u het vinden als een belastingplichtige zich opstelt ten opzichte van de Belastingdienst, zoals de Belastingdienst zich nu opstelt ten opzichte van de AP?

    De Belastingdienst neemt de AP en burgers serieus. Ook de Belastingdienst moet zich aan de wet houden. We hebben helaas geconstateerd dat dat hier niet is gebeurd.

  • Vraag 13
    Hoeveel personen (rechtspersonen, natuurlijke personen) stonden op 1/1/2019 (voor het opschonen) geregistreerd in FSV?

    Het is niet bekend hoeveel personen op 1 januari 2019 in FSV geregistreerd stonden. Ik kan u alleen de aantallen geven voor en na de schoning van 27 februari 2020.
    Vóór schoning aantal unieke BSN
    244.273
    85.350
    6
    329.629
    Na schoning aantal unieke BSN
    133.508
    52.542
    5
    186.055
    Onbekend: identificatienummer is een niet uitgegeven nummer.

  • Vraag 14
    Op welke wijze kunnen mensen inzage krijgen in hun registratie in FSV? Bent u bereid mensen hierover actief te informeren?

    Het inzagerecht van de AVG is een belangrijk recht voor de burger. Op deze manier kan een burger controleren of de persoonsgegevens die worden verwerkt juist zijn. In de brief bij deze set antwoorden gaan wij uitgebreid in op de wijze waarop de inzageverzoeken behandeld worden.

  • Vraag 15
    Hoe gaat u ervoor zorgen dat de Belastingdienst fraudesignalen wel op een nette manier bijhoudt?

    We hebben besloten om FSV niet meer te gebruiken. We gaan de processen voor het verwerken van signalen opnieuw ontwerpen, conform de vereisten uit de AVG en andere relevante wet- en regelgeving inclusief de bijbehorende applicatie(s).

  • Vraag 16
    Zijn de gegevens van de FSV, die kennelijk nu niet meer gebruikt wordt, in andere systemen overgenomen? Zo ja, in welke systemen en wordt in die systemen de AVG dan wel nageleefd?

    Nee, de gegevens van FSV zijn niet overgenomen in andere systemen van de Belastingdienst en er is ook geen automatische koppeling die gegevens aan FSV levert of ontvangt uit FSV. Niet uit te sluiten is dat individuele medewerkers handmatig informatie uit FSV in andere systemen hebben gezet. Dit is niet te achterhalen.

  • Vraag 17
    Heeft u de Auditdienst Rijk en de Adviescommissie uitvoering toeslagen op de hoogte gesteld van het bestaan van FSV en de gegevensbeschermingseffectbeoordeling? Zo nee, waarom niet en wilt u dat per ommegaande doen?

    Naar aanleiding van vragen van de Adviescommissie uitvoering toeslagen en van de ADR is zowel aan de Adviescommissie als aan de ADR op verschillende momenten een aantal documenten verstrekt. In enkele daarvan komt FSV aan de orde. In deze documenten is onder meer te lezen dat FSV een applicatie is waarin signalen worden geregistreerd en worden voorbeelden van signalen gegeven. De GEB van FSV is begin maart jl. aan zowel AUT als de ADR gezonden. Eerder heb ik uw Kamer, in mijn antwoorden van 27 februari jl. (Kenmerk 2020D08166) meegedeeld in welke bronbestanden de ADR precies onderzoek doet. Het feit dat de FSV daarin niet genoemd wordt betekent dus niet dat AUT en ADR niet op de hoogte waren van FSV.

  • Vraag 18
    Kunt u deze vragen een voor een en binnen twee weken beantwoorden? En kunt u nog voor het algemeen overleg over de Belastingdienst van 4 maart 2020 aan de Kamer meedelen of en wanneer de AP geïnformeerd is of geïnformeerd wordt over deze gegevensbeschermingseffectbeoordeling?

    Zoals aangegeven in onze brief van 19 maart 20201 hangen de schriftelijke vragen over FSV nauw samen met de in het Algemeen Overleg van 4 maart toegezegde brief over de FSV. Om die reden hebben we deze schriftelijke vragen gecombineerd met deze brief. Zoals eerder aangegeven heeft de Belastingdienst de AP op 2 maart 2020 geïnformeerd.

  • Mededeling - 19 maart 2020

    In het Algemeen Overleg Belastingdienst van 4 maart jl. hebben wij uw Kamer toegezegd om uiterlijk voor 24 april 2020 een brief te sturen over de Fraude Signalering Voorziening (FSV). Daarnaast heeft uw Kamer een aantal schriftelijke vragen gesteld over de FSV. Dit zijn de vragen van het lid Leijten (SP) over de Fraude Signalering Voorziening (FSV), de vragen van het lid Omtzigt (CDA) over de «Fraude Signalering Voorziening» (FSV) en de Algemene Verordening Gegevensbescherming (AVG) en de vragen van het lid Azarkan (DENK) over het bestaan van een geheime zwarte lijst van vermeende fraudeurs die veel mensen gedupeerd heeft.1 De beantwoording van deze schriftelijke vragen hangt nauw samen met de toegezegde brief over de FSV. Zoals wij in het Algemeen Overleg Belastingdienst hebben aangegeven willen wij een en ander goed uitzoeken om een zo compleet mogelijk beeld te kunnen geven en alle vragen zo goed als mogelijk te kunnen beantwoorden. Wij zullen de antwoorden op deze schriftelijke vragen daarom gelijktijdig met de toegezegde brief, dus uiterlijk voor 24 april 2020, aan uw Kamer doen toekomen. Daarmee zullen wij deze vragen niet binnen de gebruikelijke termijn beantwoorden.


Kamervraag document nummer: kv-tk-2020Z04221
Volledige titel: De ‘Fraude Signalering Voorziening’ (FSV) en de Algemene Verordening Gegevensbescherming (AVG)
Kamerantwoord document nummer: ah-tk-20192020-3489
Volledige titel: Antwoord op vragen van het lid Omtzigt over de «Fraude Signalering Voorziening» (FSV) en de Algemene Verordening Gegevensbescherming