De AP uit forse kritiek op zes systemen die inhoudelijk lijken op het oude Risico Analyse Model (RAM), dat in 2018 werd stopgezet vanwege strijd met de AVG. Twee systemen springen eruit: het informatiesjabloon en het Klantbeeld Toezicht Applicatie (KTA). Het eerste zou uiterlijk eind 2027 worden uitgefaseerd, maar de AP dringt aan op versnelling, vooral voor extern gebruik. Bij het KTA zijn de risico’s dusdanig dat de AP een verwerkingsverbod per 1 december 2027 als ‘reële optie’ noemt als de privacyrisico’s onvoldoende worden verminderd.
De Belastingdienst heeft plannen van aanpak ingediend en aanvullende maatregelen getroffen, zoals beperking van opvraagbare gegevens en afbouw van autorisaties. Toch vindt de AP de termijn tot 2028 “lang”, gezien de impact op de grondrechten van burgers, schrijft Heijnen.
Elke vier maanden
De AP verplicht de Belastingdienst voortaan om elke vier maanden een voortgangsrapportage te publiceren. Daarmee wordt het toezicht intensiever en structureler dan in eerdere jaren het geval was. De staatssecretaris schrijft dat deze opvolging noodzakelijk is omdat de systemen qua werking (al gaat het om klantbeelden, niet om risicoselecties) kwetsbaar zijn voor misbruik of oneigenlijke inzage. De Belastingdienst zal bovendien samen met de AP blijven afstemmen over de stappen rond de uitfasering.
Vier andere systemen
Naast KTA en Informatiesjabloon verdwijnen in 2026 ook de systemen GRUFF, SMOB en IHP. De AP ziet bij deze systemen tekortkomingen, maar acht die met mitigerende maatregelen beheersbaar tot de uitfasering. Het Douane-systeem PRISMA krijgt een vervolgopdracht vanwege transparantie-eisen rond profilering en geautomatiseerde besluitvorming (artikel 22 AVG).
Burgers niet benadeeld
Op basis van de versnelde controles door de AP ziet de Belastingdienst “geen aanleiding om aan te nemen dat burgers zijn benadeeld”. Daarom worden belastingplichtigen niet actief geïnformeerd, zoals gevraagd in eerdere moties. De staatssecretaris verwijst naar de volledige toetsing op de grondslag van gegevensverwerking in de betrokken systemen.
Monitor Fiscaal Dienstverleners
Heijnen meldt ook dat de FD-monitor, bedoeld voor toezicht op fiscaal dienstverleners, nog steeds niet voldoet aan de AVG-eisen. Daardoor mag het instrument niet worden gebruikt voor handhaving, maar alleen voor dienstverlenende gesprekken met adviseurs. Volgens de staatssecretaris wordt gewerkt aan procesbeschrijvingen en een verplichte DPIA. Pas in het vierde kwartaal van 2026 kan de FD-monitor mogelijk weer worden ingezet voor toezicht en handhaving. Dit betekent dat de Belastingdienst bijna twee jaar moet werken zonder een volwaardige risicomonitor op de adviesmarkt.
Ook de convenanten en gegevensverstrekking aan andere overheden worden hervormd. Toch erkent Heijnen dat eerdere verbeteracties “niet volledig uitvoerbaar” bleken. Het proces wordt opnieuw ingericht; nieuwe richtlijnen moeten in het eerste kwartaal van 2026 worden geïmplementeerd. Tegelijk wordt gewerkt aan een volledigere administratie van gegevensverstrekkingen, zodat beter inzichtelijk wordt welke gegevens waarom worden gedeeld. Fiscalisten die werken met ketenpartners moeten rekening houden met aangescherpte juridische en beleidsmatige toetsingen.
Algoritmeregister
De Belastingdienst publiceert dit jaar alle hoog-risico-algoritmen in zowel het centrale algoritmeregister van de overheid als het eigen register. Voor toekomstige algoritmen is een nieuw proces ingericht, zodat nieuwe toepassingen automatisch beoordeeld en geregistreerd worden. De staatssecretaris noemt dit een kernonderdeel van de transparantie na het RAM-dossier.
Onderzoeken naar spreadsheets
Tot slot meldt de brief dat het onderzoek naar opgehaalde RAM-spreadsheets – waaronder die op basis van nationaliteit en postcode – is vertraagd door de aanvullende toetsing door de Auditdienst Rijk. De volledige rapportage wordt na het kerstreces verwacht. De staatssecretaris laat weten dat de juridische analyse is afgerond, maar dat extra informatie nodig is voor de onafhankelijke toetsing.
Lees hier de Kamerbrief.
