In april kwam bij de Belastingdienst plots een ‘kluis’ met 64 miljoen documenten boven water. Die bevatte onder meer informatie die gebruikt had kunnen worden in het parlementaire onderzoek naar de toeslagenaffaire. De datakluis bleek in 2019 te zijn opgezet om achterstanden in de informatiehuishouding weg te werken en te voldoen aan privacy- en archiefwetgeving.
Het was al dan niet opzettelijk een haastklus waarbij veel bestanden zonder structuur of ordening op een afgeschermde schijf werden gezet. Doorzoeken van de informatie was dus bijna niet te doen, zo wist de Belastingdienst al meteen. De kluis is bij eerdere informatieverzoeken over de toeslagenaffaire en de fraudeaanpak niet meegenomen.
BDO-rapport
BDO werd ingeschakeld om te onderzoeken hoe het kon dat de datakluis uit zicht werd gehouden en is deze maand met een rapport gekomen. De conclusie is in elk geval dat de 64 miljoen bestanden ten onrechte achter zijn gehouden. Bovendien is het niet zo dat de kluis toevallig was ontdekt, zoals Financiën-staatssecretarissen Eerenberg en Palmen eerder verklaarden.
BDO maakte aan de hand van 29 interviews met betrokkenen een reconstructie. De Belastingdienst kampte met aanzienlijke achterstanden in het opschonen, archiveren en vernietigen van gegevens en dat schuurde met privacywet AVG. “Deze situatie hield verband met de omvang en versnippering van ongestructureerde data, met name op netwerkschijven (Q-schijf), in combinatie met het ontbreken van eenduidige processen voor gegevensbeheer. De inrichting van de datakluis werd geplaatst in de context van de implementatie van de AVG en de daarmee samenhangende verplichtingen rond gegevensbescherming, alsmede de verplichtingen voortvloeiend uit de Archiefwet.”
Data opzij zetten voor latere archivering
Met de datakluis wilde de fiscus volgens BDO de toegang tot verouderde en mogelijk niet (meer) rechtmatig verwerkte gegevens beperken en voorkomen dat gegevens onterecht zouden worden vernietigd voordat beoordeling op archiefwaardigheid had plaatsgevonden. De data is in een kluis ‘gedumpt’ met het idee dat er later nog wel een meer zorgvuldige archivering of vernietiging zou plaatsvinden.
Geen inhoudelijke beoordeling
De vulling van de datakluis vond plaats door geautomatiseerde verplaatsing van bestanden vanuit samenwerkingsgebieden (de Q-schijf). De selectie van bestanden was gebaseerd op generieke criteria, zoals mutatiedatum of ouderdom, en niet op inhoudelijke beoordeling per bestand of dossier, concludeert BDO. Niemand wist welke bestanden er precies in de kluis zaten. “Wel beschikt de datakluis over uitgebreide loggingfunctionaliteit waarin de herkomst van bestanden en terugplaatsverzoeken zijn gelogd.”
Plannen vaak niet uitgevoerd
Nadat de kluis was gevuld, is er maar beperkt geschoond en gearchiveerd. “Hoewel van directies werd verwacht dat zij plannen van aanpak zouden opstellen voor het beoordelen en opschonen van hun data, blijkt dat deze plannen niet in alle gevallen zijn opgesteld of uitgevoerd.” Struikelblok daarbij was dat die directies eigenlijk niet eens wisten wat er in de kluis zat, laat staan van welke afdeling gegevens afkomstig waren. “Dit werd bemoeilijkt door de wijze waarop data uit verschillende samenwerkingsgebieden was samengevoegd, organisatorische wijzigingen, waaronder de ontvlechting van de Belastingdienst, Douane en Toeslagen en het ontbreken van consistente toewijzing van datasets aan specifieke directies.”
Niet betrokken bij informatieverzoeken
De datakluis behoorde na de inrichting in 2019 niet meer tot de informatiehuishouding van Financiën. “De datakluis werd niet structureel betrokken bij processen voor archivering, ordening of reguliere informatieverstrekking, en werd in de praktijk voornamelijk benaderd in specifieke gevallen en op verzoek.”
Bij de uitvoering van informatieverzoeken in het kader van de Parlementaire Enquêtecommissie Fraudebeleid en Dienstverlening (PEFD) is de kluis niet in beeld gekomen. De informatieverzoeken werden uitgevoerd met een vooraf opgestelde zoekstrategie. “Uit de beschikbare informatie blijkt dat de datakluis als afzonderlijke opslagomgeving geen expliciet onderdeel uitmaakte van deze zoekstrategieën. Dit had onder meer te maken met de wijze waarop de datakluis technisch was ingericht en de afwezigheid van functionaliteit om de gehele omgeving integraal te doorzoeken.”
Vragen niet beantwoord
Maar bij de fiscus is wél meerdere keren gevraagd of de datakluis werd betrokken bij de uitvoering van de PEFD-uitvraag, aldus BDO. “Uit de beschikbare stukken blijkt dat deze vragen in de relevante documenten worden vastgelegd, waarbij in sommige gevallen wordt aangegeven dat deze vragen nader zouden worden besproken of uitgezet binnen de organisatie. In de beschikbare documentatie is niet aangetroffen dat deze vragen zijn beantwoord, noch dat zij hebben geleid tot een structurele aanpassing van de gehanteerde zoekstrategie.”
De zoekstrategie bij de PFED was gericht op het zoeken naar specifieke bestandstypen. De documenten in de datakluis waren niet zichtbaar in een mappenstructuur, maar alleen benaderbaar via html-verwijzingsbestanden. “Uit interviews volgt dat deze html-bestanden niet zijn betrokken in de zoekslagen.”
Geen vervolgacties
Toen Financiën in 2020 aangifte deed tegen de Belastingdienst vanwege misdrijven in de toeslagenaffaire, is een veiligstelactie uitgevoerd. Daarbij zijn onder meer de persoonlijke mailboxen, persoonlijke netwerkschijven (N-schijven) en samenwerkingsgebieden (Q-schijven) waartoe de betrokken medewerkers toegang hadden, verzameld en opgeslagen. “Na afronding van het veiligstelproces zijn geen vervolgacties op de verzamelde gegevens vastgesteld. De informatie is opgeslagen in een afgeschermde omgeving.” Maar die informatie is niet betrokken in latere onderzoeken.
Discriminerende criteria
Met het achterhouden van informatie zijn de Grondwet en de Wet op de parlementaire enquête overtreden. De staatssecretarissen vinden dat er geen aanwijzingen zijn dat de datakluis met opzet buiten beschouwing is gebleven bij herhaalde informatieverzoeken. “Maar in de datakluis blijken nu zelfs de onbewerkte, historische brondata te zitten van de discriminerende selectiecriteria die de Belastingdienst gebruikte. Deze data werden zonder wettelijke basis, dus illegaal, gedeeld met andere overheidsinstanties en particuliere organisaties, zoals banken”, concludeert dagblad Trouw. De kluis bevat onderlinge communicatie over Caf-zaken (Combiteam Aanpak Facilitators). In deze zaken werden groepen ouders collectief als fraudeur aangepakt, zonder individuele toetsing. Zij kregen het label fraudeur opgeplakt puur op basis van hun nationaliteit, geloof of postcode.
Vorige week is een externe commissie ingesteld die de betrokken documenten mag inzien en beoordelen.
