De Belastingdienst heeft één van de grootste gegevensverzamelingen binnen de overheid. Toch bleek onlangs dat de Belastingdienst pas over een jaar volledig klaar denkt te zijn voor de Algemene verordening gegevensbescherming (AVG) die inmiddels van kracht is. Het is nog niet duidelijk of de toezichthouder Autoriteit Persoonsgegevens (AP) op deze vertraging anders gaat reageren dan dat de AVG voor iedereen geldt.
In antwoord op kamervragen heeft staatssecretaris Snel van Financiën aangegeven dat er bij de Belastingdienst ‘een aantal tekortkomingen in de naleving’ van de AVG (tools) zijn geconstateerd. Een van de handelwijzen binnen de Belastingdienst die nog niet AVG-proof is, is het vastleggen van informatie over betalingen aan een derde die niet in dienstbetrekking is en de werkzaamheden niet als ondernemer (tool) heeft verricht. Opgave van dit soort werkzaamheden (bijvoorbeeld van freelancers) gebeurt via een IB47-formulier. De verwerking van burgerservicenummers (BSN) op dit formulier zou niet volledig stroken met de regels uit de AVG. Ook de toegang tot de gegevens voor medewerkers van de Belastingdienst moet verbeterd worden. Daarom worden ze versneld aangepast of vervangen. De Belastingdienst heeft een achterstand bij het schonen van gegevensbestanden (waarin onder meer persoonsgegevens). Deze achterstand wordt volgens het antwoord van de staatssecretaris versneld weggewerkt.
Al eerder deed de AP onderzoek naar de vraag of de Belastingdienst een wettelijke grondslag heeft voor het verwerken van het BSN in BTW-identificatienummers van zzp'ers. Volgens de Wet op de omzetbelasting hebben zzp'ers de verplichting om hun BTW-nummer aan (potentiële) klanten bekend te maken, bijvoorbeeld op hun website en op facturen. Door het publiceren hiervan, komt een bijzonder persoonsgegeven op straat te liggen. De uitkomst van dit onderzoek dat in juni 2017 startte, is nog niet bekend.
De staatssecretaris ziet naleving van de AVG niet als een statisch gegeven, maar als een voortdurend proces. In zijn antwoord op de kamervragen wijst Snel op de ruimte die de AVG-wetgeving op sommige punten biedt. De Belastingdienst heeft overigens al wel een aantal maatregelen genomen om de tekortkomingen weg te nemen. De Belastingdienst heeft op 25 mei een vernieuwde privacypagina op de website gepubliceerd, waarop een overzicht te vinden is van verwerkingen van persoonsgegevens en informatie over het doen van een verzoek op grond van de AVG, bijvoorbeeld een verzoek om inzage, correctie of het wissen van persoonsgegevens. Ook is er een register van de verwerkingsactiviteiten, gebaseerd op een inventarisatie van alle bekende verwerkingen door de Belastingdienst en is er een beheerproces ingericht voor dit register.