Ministerie van Financien

DG Belastingdienst
HEDEN

Directie Bestuurlijke en

TER BESLISSING

Politieke Zaken

Aan

de staatssecretaris van Financien

Fiscaliteit en Belastingdienst

Persoonsgegevens

nota

TK Brief USB ontheffing

Datum
23 mei 2023
Notanummer
2023 0000122852

Aanleiding
Naar aanleiding van het NRC artikel van 19 mei jl

Bijiagen
1

stuurt een brief aan de TK

TK Brief

Beslispunten
1

Bent u akkoord met de brief aan de Tweede Kamer

bijiage 1

Indian u

akkoord bent verzoek ik u de brief te ondertekenen
2

Bent u akkoord met het openbaar maken van deze nota

beieidsiijn actieve openbaarmaking nota s
Kernpunten

conform de

r
0

n op 23

Cx^

Toelichting
Communicatie

Uw woordvoerder is betrokken
Politiek bestuurlijke context

Op 25 mei vindt het FSV debat plaats
Informatie die niet openbaar gemaakt kan worden

Niet van toepassing

Pagina 1 van 1

1921367

00001

Ministerie van Financien

PG Belastingdienst
KEDEN

Directie Bestuurlijke en

TER INFORMATIE

Poiitieke Zaken

Aan

de staatssecretaris van Financien

Fiscaliteit en Belastingdienst

Persoonsgegevens

nota

Gebrulk USB binnen de BD
Datum
22 mei 2023
Notanummer
2023 0000122629

Bijiagen

Aanleiding
Op 19 mei heeft het NRC een artikel gepubliceerd over het USB gebruik bijiage
1
Met deze nota wordt u gei nformeerd over het beleid rondom het gebruik van
USB sticks binnen de Belastingdienst sinds 2017 Met de kanttekeningen dat
gegeven de snelheid waarmee deze nota tot stand is gekomen mogelijk het beeld
niet compleet is Daarnaast is er
indien u het wenst om nu de Kamer in te
informeren
ook een concept Kamerbrief bijiage 2 toegevoegd Hier heeft de
Kamer nog niet officieel omgevraagd Er is dan ook de mogelijkheid om eerst de
feiten te onderzoeken en dan de Kamer te informeren

i

1

NRC artikel

2

Concept TK brief

3

TK brief 2017

or^j

Kernpunten
Flet artikel van NRC trekt onder andere een vergelijking met de situatie in
2017

De Tweede Kamer TK

het programma Zembla
van

is naar aanleiding van een

meerdere keren geinformeerd

uitzending van
het gebruik

over

USB sticks bij de Broedkamer en de toenmaiige directie Data

Analytics

D A

Een van de vragen die naar voren komt in het artikel is of de TK in 2017
voldoende is geinformeerd over nieuwe informatie over het aantal USB

ontheffingen
Dit is niet te reconstrueren gegeven het korte tijdpad
—In deze nota wordt het beleid rondom USB ontheffingerrbeschrevenr^^

—

ftcL

Concreet houdt dit beleid in dat standaard alle USB poorten van

Belastingdienst iaptops niet gebruikt kunnen worden tenzij een ontheffing
is verleend aan de betreffende medewerker voor het gebruik van een
USB poort zodat een beveiligde USB aangesloten en gebruikt kan
worden
Met de kanttekeningen dat gegeven de snelheid waarmee deze nota tot

stand is gekomen

mogelijk het beeld niet compleet is Ook de aantallen
omdat steeds USB ontheffingen
worden ingetrokken of verleend bv omdat de medewerker deze
ontheffing niet nodig heeft
Voor de huidige directie Datafundamenten en Analytics DF A geidt dat
er geen USB ontheffingen aanwezig zijn
Dit is overeenkomstig de
Kamerbrief uit 2017 bijiage 3
Bij andere directies van de
Belastingdienst kan wel sprake zijn van USB ontheffingen
USB

ontheffingen kunnen fluctueren

Pagina 1 van 4

1921366

00002

Toelichting
Huidig beleid ten aanzien van overdracht van informatie
Het beleid van de Belastingdienst voor het ontvangen en verzenden van
informatie kent een tweedeling het massaal en periodiek verzenden en
ontvangen van informatie gebeurt via portais^ en zogenaamde system to
system S2S koppeiingen
Portals worden voornameiijk ingezet om massaal informatie uit te
wisselen met bijvoorbeeld woningcorporaties In dat geval worden erdoor
de aanleverende partij of door de Belastingdienst bestanden klaargezet in
een beveiligde web omgeving om door de andere partij gedownload te
kunnen worden
Overdracht van gegevens in data anatyse bij DF A

Bij de directie DF A van de Belastingdienst DF A zijn geen USB
ontheffingen aanwezig Dit is overeenkomstig de Kamerbrief uit 2017
Een tijdelijk USB gebruik is wel mogelijk Hiervoor heeft DF A een
procedure ingericht USB gebruik kan aileen afgegeven worden na
Daarnaast wordt een vier
Persoonsgegevens
goedkeuring van[
voor
Dat
betekent
dat twee
ogen principe toegepast
gebruik
medewerkers aanwezig zijn bij het gebruik van de USB Direct na het
gebruik wordt de USB ontheffing weer ingetrokken Dit is sinds 2017 een
keer voorgekomen Bij DF A wordt maandelijks gecontroleerd dat geen
sprake is van USB ontheffingen
Overdracht van gegevens in toezichtprocessen
In het geval van een individuele uitwisseling van informatie met burgers
en

is het beleid daarvoor dat waar mogelijk gebruik gemaakt

of bedrijven

moet worden van de zogenoemde Belastingdienst File Transfer en als dat
niet mogelijk is

gebruik te maken van e mail^

Er zijn echter situaties

waarin deze vormen van uitwisseling niet kunnen worden toegepast

bijvoorbeeld omdat het apparaat waarop de informatie staat of terecht
moet komen niet aangesloten is op het internet bijvoorbeeld bepaalde
kassasystemen
In dat geval mogen controlemedewerkers en EDP auditspecialisten
werkzaam in het toezichtproces gebruik maken van een USB apparaat
voor het overdragen van de informatie
Data die op de USB stick staat is
automatisch versleuteld met een wachtwoord en is niet zonder dit
wachtwoord leesbaar
Het kan ook voorkomen dat gegevens van de Belastingdienst gedeeld
worden met organisaties wanneer er geen koppeling van systemen

bestaan

Bijvoorbeeld met het Kadaster in dat geval vond de eenmalige
uitwisseling plaats via een USB stick waarbij de data versleuteld was met
een wachtwoord In het kader van de sanctiewetgeving

^

Een portal is een webpagina op het internet die toegang geefttot bepaalde functionaliteit In dit
geval biedt het portal de mogelijkheid aan daarvoor geautoriseerde bedrijven grote hoeveelheden
bestanden aan te laten bieden aan de Belastingdienst
^

Uitgewerkt in de handleiding

Extern mailen en Belastingdienst File Transfer versie 4

September

2018
^

Bron

https

intranet belastingdienst nI controle toe2icht gegevensuitwisseling

usb ontheffing

Pagina 2 van 4

1921366

00002

Overdracht van gegevens in avenge processen
Voor de overige processen is niet vooraf bepaald welke type

functionarissen gebruik mogen maken van een USB ontheffing

Dat valt

onder de verantwoordelijkheid van het lijnmanagement Dat is de plek
waar

het beste de inschatting gemaakt kan worden over noodzaak en de

risico s

In alle gevallen behoort het lijnmanagement periodiek de noodzaak voor
de toegekende ontheffing te beoordelen en deze in te laten trekken als de
noodzaak niet langer daar is

Als extra waarborg dat toegekende ontheffingen niet meegenomen

kunnen worden als de medewerker een andere functie gaat vervullen
de ontheffing voor USB
de Belastingdienst

is

gebruik opgenomen in het autorisatieproces van

Hierdoor wordt gegarandeerd dat de huidige

autorisaties ingetrokken worden

waaronder ook de USB ontheffing

Toezicht en beheersmaatregelen op ontheffing voor gebruik USB sticks
De Belastingdienst is zich bewust van de risico s

Het grootste risico op

het lekken van informatie zit in de toezicht processen

hier werkt men met

Cpersoonsgebonden informatie die onder de fiscale geheimhouding valt
In het algemeen geldt dat gegevens automatisch versleuteld worden
wanneer ze op een USB stick gezet worden
Dat valt door de gebruiker
niet te bei nvloeden

Verlies of diefstai van een USB apparaat dat eerst

Belastingdienst computer aangesloten is geweest is een risico
dat laag wordt ingeschat De nieuwe eigenaar krijgt geen inzage in de
aan een

gegevens en kan hooguit het USB

apparaat initialiseren Daarmee wordt

de totale inhoud inclusief de versleutelsoftware verwijderd
De manager van de medewerker beoordeelt de aanvraag keurt deze al
dan niet goed en dient de aanvraag in Het toezicht vindt langs in twee

lijnen plaats De eerste lijn door of namens de BSO van de directie die
goedkeuring moet verlenen in het geval van een verzoek om de
ontheffing Daarnaast vindt tweedelijns centraal toezicht plaats door de
Deze is geplaatst bij de directie
Persoonsgegevens
IV

D

Bij de directies van de Belastingdienst zal een controle uitgevoerd worden
op de uitgegevens autorisaties om te bezien of die nog alien noodzakelijk
zijn
De Belastingdienst zal daarnaast een extra controle uit gaan voeren in het

tweedelijns toezicht waarbij meer risicogericht gekeken zal worden naar
de naleving van het autorisatieproces
Daarnaast zal onderzoek worden gedaan naar het gebruik van USB
ontheffingen en worden bezien of het noodzakelijk is om het beleid
rondom USB ontheffingen aan te scherpen

Huidig aantal ontheffingen stand 22 mei 2023 uit IMS
Er zijn in totaal 1202 USB ontheffingen waarvan 959 schrijfrechten en 243
leesrechten
Onder leesrechten wordt verstaan het uitsluitend kunnen lezen van de
informatie op de USB stick

Bij schrijfrechten kan informatie op een USB

stick gezet worden en daarmee buiten de Belastingdienst worden

gebracht
Daarbij is ook onderscheid gemaakt tussen ontheffingen om te kunnen
lezen en schrijven van en naar een USB apparaat en ontheffingen

Pagina 3 van 4

1921366

00002

waarmee

alleen de informatie gelezen kan worden die op een USB

apparaat opgeslagen is
De processen van de directie DF A zijn hier niet in opgenomen omdat er
daar zoals hierboven ai is aangegeven geen permanente ontheffingen

voordata anaiyse aanwezig zijn

Uitgesplitst levert dat het volgende beeld op
MKB en GO
189 schrijven 226 lezen

Toezicht
FIOD

442 schrijven

10 lezen

CFD

191 schrijven

1 lezen

IV

106 schrijven

Bedrijfsvoering

2 lezen

31 schrijven

4 lezen

Communicatie
Uw woordvoerder is betrokken

Politiek bestuurlijke context

Op 23 mei vindt het debat ongekend onrecht plaats
Op 25 mei vindt het debat FSV plaats
Fiet lid Omtzigt heeft op Twitter aangegeven dat de TK op grond van
artikel 68 GW actief gemformeerd zou moeten worden over relevante
informatie rondom USB ontheffingen
Informatie die niet openbaar gemaakt kan worden
Niet van toepassing

Pagina 4 van 4

1921366

00002