De Belastingdienst sloeg jarenlang allerlei signalen van fraude op in de zogeheten Fraude Signalering Voorziening (FSV). Die signalen waren gekoppeld aan personen en bedrijven. In totaal stonden er gegevens van 250.000 burgers en 85.000 rechtspersonen in het systeem dat de Belastingdienst van 2013 tot 2020 gebruikte.

De AP oordeelt dat er geen wettelijke grondslag is voor het verwerken van persoonsgegevens. Dat betekent dat het kernprincipe van de Algemene verordening gegevensbescherming (AVG) is overtreden. Als er geen wettelijke basis is voor het verwerken van persoonsgegevens mag een organisatie die niet verwerken. Dat is in strijd met de privacywet.

Het baart Aleid Wolfsen, voorzitter van de AP, zorgen dat de bescherming van persoonsgegevens bij een instantie als de Belastingdienst veel te wensen overlaat, zegt hij vrijdag in een toelichting op zijn rapport. Overheidsinstanties zijn een belangrijk onderdeel van de rechtsstaat, juist daar moet de verwerking van persoonsgegevens goed geregeld zijn, vindt Wolfsen.

Vergaarbak

De FSV is het best te vergelijken met een soort „grote vergaarbak”, zegt Wolfsen. In het systeem registreerde de Belastingdienst het burgerservicenummer (BSN) van een persoon, gekoppeld aan een aantal velden met informatie over het fraudesignaal. Het was in de applicatie ook mogelijk om aan het signaal een email of document als bijlage toe te voegen.

Geregistreerde signalen van fraude en van vermoedens van fraude waren zowel afkomstig van de Belastingdienst zelf als van buiten de organisatie. Tips van burgers en bedrijven stonden in het systeem, net als meldingen van de politie, van gemeenten en Meld Misdaad Anoniem-meldingen.

Voor burgers kan het grote gevolgen hebben als ze in de FSV staan geregistreerd. Als iemand in het systeem staat en daarmee het stempel potentiële fraudeur krijgt, is de kans groot dat diegene onder verscherpt toezicht vanuit de Belastingdienst komt te staan. Het wachten op een aangevraagde toeslag kan daardoor lang duren.

Ook is registratie in het fraudesysteem voor de Belastingdienst reden geweest om mensen een persoonlijke betalingsregeling te weigeren als de financiële situatie nijpend was. In de praktijk kwam het voor dat die maatregel onterecht werd genomen.

De AP schrijft in haar rapport dat de zwarte lijst onjuiste gegevens bevat. In sommige gevallen kreeg een persoon het stempel fraudeur zonder dat dit volgde uit gedegen onderzoek. Als na onderzoek bleek dat er geen sprake was van fraude, wiste de Belastingdienst het onterechte fraudesignaal niet uit het systeem. Daardoor blijft een vermoeden van fraude altijd in het systeem staan.

Ook het doel van de zwarte lijst was vanaf begin af aan niet duidelijk, constateert de privacywaakhond. Vooraf is nergens opgeschreven wat de Belastingdienst met het systeem wilde. Daardoor sloegen medewerkers soms gedetailleerde informatie van burgers op in het systeem, zoals iemands medische gegevens, nationaliteit en strafrechtelijke informatie. Ook dat mag niet van de wet.

Het bestaan van de FSV is al ruim anderhalf jaar bekend. In februari 2020 maakten Trouw en RTL Nieuws voor het eerst melding van het systeem. In reactie daarop haalde de Belastingdienst de applicatie uit de lucht.