AUTORITEIT

PERSOONSGEGEVENS

—

I

het risico a

estemd beveiligingsniveau te waarborgen Hettweede lidbepaalt datbij debeoordelingvan

bet passende beveiligingsniveau met name rekening dient te worden gehouden met de

verwerkingsrisico s vooral als gevolg van de vernietiging het verlies de wijziging ofde ongeoorloofile
verstreldcing van of ongeoorloofile toegang tot doorgezonden opgeslagen of anderszins verwerkte
gegevens hetzij per ongeluk hetzij onrechtmatig
^

Uit deze bepaling volgt dat bij het bepalen van passende technische en organisatorische maatregelen

rekening dient te worden gehouden met de risico’s voor de rechten en vrijheden van personen In
overweging yg van de AVG is hierover het volgende opgenomen
“Het qua waarsckijnlijkheid en emst uiteenlopende risico voorde rechten en vrijheden van natuurlijke personen kan
voortvIoeienuitpersoonsgegevensverwerkingdiekanresuItereninemstigelichameIijke tnaterieleofimmateriSeschade
met name

wmrdeverwerkingkanleiden totdkcriminatie identiteitsdiefstalofJraude financieleverliezen reputatieschade
verliesvan vertrouwelijhheid van door het beroepsgeheim beschermdepersoonsgegevens ongeoorloofde

ongedaanmahing van pseudonimisering ofenig under aanzienlijk economisch ofmaatschappelijk nadeel

u
wanneer persoonsgegevens worden verwerktwaaruit ras

ofetnische afkomst politieke opvattingen religie of
levensbeschouwdijke overtuigingen ofvahbondslidmmtschap blijkt en bij de verwerking van genetische gegevens of
gegevens overgezondkeid ofseksuedgedrag ofstrafiecktelijkeveroordelingen en strafbarefeiten ofdaarmeeverband
haudendeveilighddsmaatregelen
■■■

wanneer

persoonsgegevens van huetsbare natuurlijke personen metnamevan kinderen worden verwerkt of

wanneer de

verwerking eengrotehoeveelheid persoonsgegevens betrft en gevolgen heefvoor een groot aantal

betrokkenen

Overweging 76 van de AVG vult hierop het vo Igende aan “Het risico m oet worden bepaald op basis van een

objectieve heoordeling en vastgestdd moet worden ofdeverwerkinggepaardgoat m et een risico ofeen hoog risico
De beveihgingsmaatregelen die in ieder geval als passend mogen wordenbeschouwd voor de

verwerkii^en van persoonsgegevens door de Belastingdienst zij n de maatregelen opgenomen in de
BaselineInformatiebeveiliging Overheid hierna BIO ende voorloperde Baseline Informatiebeveiliging
Rijksdienst hierna BIR ^^5De BIO is netzoalsdeBIRwas eengemeenschappelijk normenkader
gebaseerd op de internationale normen ISO 27001 en 27002 voor de beveiliging van de
informatie systemen en een concretisering van een aantal normen naar concrete maatregelen die door de
^®
Belastingdienst verplicht moet worden nageleefd De Belastingdienst heefl in haar eigen
beveiligingsbeleid gekozen voor toepassing van de toen geldende BIR ”^

™

Aitikel 13 vande Wbp bepaalde dat verantwoordelijke passende technische en organisatorische maatregeien ten uitvoer legde om

persoonsgegevens tebeveiligen tegen verlies of tegen enigevorm van onrechtmatige verwerking Deze maatregelen moesten een

passend beveiligingsniveaugaranderen rekeninghoudend metdestand vande technieken dekosten van detenuitvoerlegginggelet
op de risico s die de verwerking ende aard van te beschermen gegevens met zich meebrengen De maatregelen moesten ermede op
zijn gericht om onnodige verzamelingen verdere verwerking van persoonsgegevens te voorkomen
De BIR betreftde BIR 2012 tot1 januari 2019

en de BIR 2017

™Circulairetoepassen Baseline Informatiebeveiliging Overheid in hetdigitaleverkeermethetRijk Sfcrt 2020 7857
^^Pagina 11 van deel Avan Handboek Beveiliging Be Iastingdienst2017en deel C van het Handboek Beveiliging Belastingdienst 2017
bijlagen30en32 vandocumenten digitaal aangeleverd doorde Belastingdienst aan de APop 21 augustus 2020 dossierstuk78

Vertrouwelijke versie | oktober2021

1702501

51

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

De AP heeft in haar onderzoek aan de hand van een aantal in de BIR BIO opgenomen maatregelen op het

gebied van toegangsbeveiliging en logging beoordeeld ofde door de Belastingdienst genomen technische
“^®
en organisatorisclie beveiligingsmaatregelen rond FSV voldoende waren
Dit staat beschreven in de
paragrafen 4 6 3 en 4 6 4 In de volgende paragraafwordt eerst aan de hand van de risico’s voor de rechten
en
vrijheden van natuurUjke personen het passende beveiligingsniveau van de gegevens in FSV bepaald
4 6 2

Beveiligingsniveau FSV
De AP stelt vast dat er voor de betrokkenen waarover FSV persoonsgegevens bevat sprake was van een

verhoogd risico op schade omdat meerdere van de in overweging 75 van de AVG omschreven situaties van
toepassing waren op de verwerldngen van persoonsgegevens in FSV Zo was er in ieder geval sprake van
verwerking van gegevens van gezondheid en strafrechtelijke gegevens {zie paragraaf4 i waaronder van
minder]arigen zie paragraaf 3 1 5 en betrof het een grote hoeveelheid persoonsgegevens die gevolgen had
voor
eengroot aantal betrokkenen zie paragrafen 3 1 4 3 1 5 enBijlage 2
Aangezien het beveiligingsniveau moet worden a^estemd op dit risico mstte er dus op de Belastingdienst
een

zwaarder dan gemiddelde beveiligingsverplichting ten aanzien van de gegevens in FSV

De BIO onderscheidt drie basisbeveiligingsniveaus BBNi BBN2 en BBN3 De Belastingdienst hanteert
BBN2 “^® Dit beveiligingsniveau is volgens de BIO van toepassing op maximaal departementaal

vertrouwelijke informatie en privacygevoelige informatie met een verhoogd vertrouwelijkheidsniveau Op
basis van het voorgaande acht de AP dit beveiligingsniveau passend voor de gegevens in FSV ^^°
4 6 3

Toegangsbeveiliging

Maatregel 9 4 1 en 9 4 1 2 van de BIO vereisen dat de toegangtot informatie wordt beperkt in
overeenstemming met het beleid voor toegangsbeveiliging en dat gebmikers alleen die informatie met
specifiek belang moeten kunnen inzien en verwerken die ze nodig hebben voor de uitoefening van hun
taak ^3‘ Maatregel 9 4 1 1 vereist daarnaast dat er maatregelen worden genomen die het fysiek en of logisch
isoleren van informatie met specifiek belang waarborgen De BIO maatregelen 9 2 5 9 2 5 2 9 2 5 3
schrijven voor dat eigenaren van bedrijfsmiddelendetoegangs rechten van gebmikers regelmatig tot 1
januari 2019 mimimaal jaarlijks en daarna halfjaarlijks moeten beoordelen en dat opvolging van de
bevindingen moet worden gedocumenteerd ^^^

Zie ECLI NL RBDHA 2021 3090 waarin isgeoordeeld datde APde norm van artikel 32 van de AVG mocht invullen aan de hand van de
toepasselijke NEN normen
™
Paragraaf 1 1 2van deel Bvan Handboek Beveiliging Belastingdienst2017 bijiagell van documenten digitaalaangeleverd doorde
Belastingdienstaan de AP op 21 a jgustus 2020 dossierstuk 78
™
BBNI niveau is te licht omdat ditziet op informatie waarvan kennisname doorongeautoriseerden niettotsdiadevan enige
omvangleidt en beveiligingsniveau BBN3 acht deAPtezwaar voor FSV omdat dit niveau bedoeld is voorbeschermingvan informatie
tegen statelijke actoren zie paragraaf 2 1 hooftlstuir 3 en bijiage 2 van de Bl R 2017
Gelijkaan maatregelen 9 4 1 en 9 4 2 1 van BIR2017 Maatregel 11 6 1 vande BIR2012 bepaalde dat toegangtot informatie en functies
van toepassingssystemen doorgebruikers en ondersteunend personeel behoorden te worden beperkt overeenkomstig het
vastgesteldetoegangsbeleid Hetantwoord op vraagSI van FAQ s Baseline I nformatiebeveiligingOverheid van 26 over de Bl O staat
datde passage informatie met specifiek belang breed moet worden geinterpreteerd en alle informatie omvat die nietvoor iedereen
bedoeld is https bio overheid nl media l517 bio faq v17 pdf
™
Gelijkaan maatregelen 9 2 5 9 2 S 2 9 2 53 in BIR2017 Maatregel 11 2 4 in de Bl R2012 bepaalde dat dedirectiedetoegangs rechten
van gebruikers regelmatig behoorde te beoordelen in een fomieel proces en maatregel 11 2 4 1 vereiste aanvullend dat
toe^ngsrechten van gebruikers periodiek minimaal jaarlijks moesten worden geevalueerd

Vertrouwelijke versie | oktober2021

1702501

52

00032

AUTORITEIT
—

I

PERSOONSGEGEVENS

Beoordeling
Gebmikersalleen toegang benodigd voor uitoefen mg took

Inparagraaf 3 9 is vastgesteld dat indeperiode van4 november 2013 tot mei 2019 de toegangtot FSV was
gestegenvan gdotot mim 5 000 en dat in mei 2019 de Belastingdiensttotdecondusiekwamdat 3 700 van
de mim 5 OOO medewerkers toegang hadden tot FSV terwijl zij dit niet nodigbleken te hebben voor hun
werk Tevens is in deze paragraaf geconstateerd dat de toegang tot FSV eerst alleen in een IMS rol was

geplaatst en dat vanaf eind 2017 de toegangtot FSV werd opgenomen in IMS rollen met een set aan
autorisaties tot applicaties die benodigd zijn voor een juiste uitvoering van die rol FSV werd hierin
besdiouwd als basisautorisatie voor toezichtsmedewerkers

Maatregel 9 4 1 en 9 4 1 2 van de BIO vereisen dat de toegangtot informatie wordt beperkt in
overeenstemming met het beleid voor toegangsbeveiliging en dat gebmikers alleen die informatie met
specifiek b elang mo eten kunnen inzien en verwerken die ze nodig hebben voor de uito efening van hun
taak De Belastingdienst had het b eleid om medewerkers alleen te autoriseren tot het verwerken van
^^3 p e Ap concludeert derhalve dat vanaf eind
2017
gegevens die zij nodig kunnen hebben voor hun werk
tot mei 2019 de toegangsbeveiligingvan FSV niet in overeenstemming was met deze twee maatregel en
Maatregelen isolerenvangegevens
Maatregel 9 4 1 1 vereist dat er maatregelen wo rden genomen die het fysiek en oflo gisch isoleren van
informatie met specifiek belang waarborgen Op basis van de feiten in paragraaf 3 9 en 3 11 concludeert de
AP dat door het gebmik van de exportflinctionaliteit van FSV en de wijze waarop de Belastingdienst na
mei 2019 de toegang tot FSV heeft beperkt de Belastingdienst onvoldoende technische en
organisatorische maatregelen heeft genomen om te waarborgen dat de persoonsgegevens in FSVwaren
geisoleerd De AP licht dit hierna toe
In paragraaf 3 9 is geconstateerd dat de Belastingdienst een ^steem had ingericht om de toegangtot de

persoonsgegevens inFSVtebeperkenmiddels autorisaties In paragraaf 3 II is vastgesteld dat signalen
vanuit FSVkonden worden geexporteerd naar Excel In deze paragraaf is 00k door de AP geconstateerd dat

deze exportfimctionaliteit regelmatig is gebmikt en voor uiteenlopende doeleinden waaronder voor het
buiten FSV aanleggen van een subset van FSV zodat personen die geen toegang hadden tot FSV daarin

konden zoeken Hierdoor werd feitelijk het systeem van autorisaties omzeild De AP heeft in paragraaf 3 11
aanvuUend geconstateerd dat de exportfimctionaliteit nauwelijks technische en organisatorische
restricties kende De inhoud van alle velden kwam bij het exporteren mee en dit kon niet worden beperkt

door de medewerker FSV had technisch gezien geen limiet op het aantal te exporteren signalen de

exportfimctionaliteit was niet voorbehouden tot speciale FSV rollen er waren geen regels vastgesteld over
het gebmik van de exportfunctionaHteit en er was geen sprake van controle achteraf De AP concludeert
dat door het regelmatig gebmik van de mime exportfimctionaliteit van FSV in deze context
persoonsgegevens niet meer fysiek en of logisch geisoleerd waren
De tweede reden waarom de Belastingdienst onvoldoende maatregelen heeft genomen om de

persoonsgegevens in FSV fysiek en of logisch te isoleren is vanwege de wijze waarop de Belastingdienst in
mei 2019 de toegang tot FSV heeft beperkt In paragraaf 3 9 5 is geconstateerd dat de tijdelijke

noodmaatregel namelijk de interne link naar de FSV applicatie te tvijzigen en medewerkers te vertrouwen
dat ze de nieuwe link niet zouden delen nooit is vervangen door de noodzakelijke permanente

Paragraaf3 9 1 van onderhavigrapport

Vertrouwelijke versie | oktober2021

1702501

53

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

beveiligingsmaatregel namelijk het intrekken van autorisaties in IMS ofFSV Feitelijk hadden alle
geautoriseerde medewerkers derhalve nog steeds toegang tot de persoonsgegevens in FSV als ze de
interne link te weten zouden komen Bovendien acht de AP het niet ondenkbaar dat medewerkers de

interne link zouden raden gezien de minimale wijziging in de interne link van ‘fev’ naar ‘fsvz’ De AP
constateert dat hierdoor de persoonsgegevens in FSV onnodig lang zijn blootgesteld aan
beveiligingsrisico’s die simpel konden worden vermeden namelijk door in de FSV applicatie het veld
Inactief aan te vinken achter alle medewerkers wiens autorisatie moest worden ingetrokken

De AP concludeert derhalve dat de Belastingdienst onvoldoende technische en organisatorische

maatregelen heefl getroffen om persoonsgegevens in FSV fysiek en oflogisch te isoleren
Periodieke beoordeling taegangsrechten
Tot slot concludeert de AP op grond van paragraaf3 g 4 dat de Belastingdienst geen bewijzen heeft kunnen

□verleggen om aan te tonen dat gedurende de ingebruikname van FSV de toegangsrechten van gebruikers
regelmatig zijn beoordeeld door de eigenaar van de applicatie zoals is vereist op grond van de BIO
maatregelen9 2 g g 2 5 2 eng 2 5 3
Conclusie
Gezien het voorgaande concludeert de AP dat de Belastingdienst geen passende technische en

organisatorische maatregelen heeft getroffen ten aanzien van de toegangsbeveiliging zoals in dit geval is
vereist ingevolge artikel 32 eerste lid van de AVG gelezen in samenhang met het bepaalde onder 9 4 1

9 4 1 1 en 9 4 1 2 vande BIO ende maatregelen 9 2 5 9 2 5 2 9 2 5 3 vande BIO Daarmee handelde de

Belastingdienst in strijd met artikel 32 eerste lid aanhefvan de AVG en artikel 13 van de Wbp De periode
vande geconstateerde overtredingbetrefl 4 november 2013 tot en met 27 februari 2020
4 64

Logging en controle op de logging
Voor de beoordeling van het beveiligingsaspect logging maakt de AP gebmik van de maatregelen 12 4 1 en
12 4 1 1 van de BIO

Maatregel 12 4 1 schrijft voor dat logbestandenvan gebeurtenissen die
gebruikersactiviteiten uitzonderingeneninformatiebeveiligingsgebeurtenissenregistrerenbehorente
warden gemaakt bewaard en regelmatig te worden beoordeeld ^^ Maatregel 12 4 1 1 vereist dat een
logregel minimaal de volgende informatie moetbevatten de gebeurtenis debenodigde informatie die
nodig is om het incident met hoge mate van zekerheid te herleiden tot een natuurlijk persoon het
gebniikte apparaat het resultaat van de handeling en de datum en het tijdstip van de gebeurtenis ^35
Beoordelinv
Uit de feiten beschreven in de paragraaf 3 10 volgt dat de logging van gebeurtenissen in FSV niet voldeed
aan

de eisen die maatregel 12 4 1 1 stelt aan logbestanden De norm schrijft namelijk voor dat de logregel

het resultaat van de handeling moet bevatten De AP constateert dat hieraan niet is voldaan Zoals in

paragraafg io is geconstateerd volgt uit een logregel namelijk alleen welke use case is aangeroepen of dat
er

op de exporteer knop is gedrukt en kanuit de logregel niet worden afgeleid welke gegevens er door de

gebruiker zijn ingezien gemuteerd ofzijn geexporteerd
™Maatregel 12 4 1 vande BIR2017en 10 10 1 van BIR2012 00k opgenomen in hetHandboek BeveiligingBelastingdienst2017 onder
C S 4 1 bijlage 31 van dossieretuk 7S Daarnaast is in dit Handboek Beveiliging Belastingdienst2017 order C 13 8 1 opgenomen dat in
de logginginfonnatiewordtvastgelegd waarmee reproduceerbaaris wiewaaren wanneer welke handelingen heeft verricht bijlage
32 van dossierstuk78
ss

Maatregel 12 4 1 1 van de BIR2017 10 10 1 onder 2 van Bl R2012

Vertrouwelijke versie | oktober2021

1702501

54

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

In paragraaf 3 10 is tevens geconstateerd dat de aanwezige logging niet regelmatig werd beoordeeld De

logbestanden werden alleen in geval van een incident bekeken omdat de logging ingericht was ten
behoeve van incident en problem management
Conclusie
Gezien het voorgaande concludeert de AP dat er met betrekking tot FSV geen sprake was van passende

technische en organisatorische maatregelen ten aanzien van de logging en de controle van de logging zoals
in dit geval was vereist ingevolge artikel 32 eerste Hd van de AVG gelezen in samenhang met het bepaalde

onder 12 4 I en 12 4 I I van de BIO Daarmee handelde de Belastingdienst in strijd met artikel 32 eerste lid

aanhefvan de AVG en artikel 13 van de Wbp De periode van de geconstateerde overtreding betrefi 4
november 2013 tot en met 27 februari 2020

47

Rechtmatigheid van het verwerken van signalen van mogelijke fraude en
informatieverzoeken in FSV

47 1

Juridisch kader
Artikel 5 eerste lid aanbef en onder a van de AVG bepaalt onder andere dat persoonsgegevens moeten

wordenverwerkt op eenwijze die ten aanzien van de betrokkene rechtmatig is ^’®
Artikel 6 eerste Hd van de AVG bepaalt dat de verwerking alleen rechtmatig is indien en voor zover aan
ten minste een van de in die

bepaling vermelde voorwaarden grondslagen is voldaan De voor de

Belastingdienst eventueel inaanmerkingkomende grondslagen zijn
c

de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de

verwerkingsverantwoordelijke rust hierna wetteHjke verplichting 7
e de
verwerking is noodzakelijk voor de vervuUing vaneentaakvanalgemeenbelang ofvaneentaakin
het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is
opgedragen hierna publieketaak ^^^
Artikel 6 derde lid van de AVG bepaalt dat de rechtsgronden voor de in het eerste lid onder c en e

bedoelde verwerkingen moeten zijn vastgesteld bij Unierecht of lidstatelijk recht dat op de

verwerkingsverantwoordelijke van toepassing is Het doel van de verwerking meet in het Unierecht of
lidstatelijk recht zijn vastgesteld ofis voor wat betreft rechtsgrond e noodzakelijk voor de vervullingvan
een taak van
algemeenbelang of voor de uitoefening van het openbaar gezag dat aan de
verwerkingsverantwoordelijke is verleend
Overweging45 vande AVG luidt “Dezeverordaiin^schrijfi niet voor dat voor elkeajzonderlijke verwerking

specifieke wetgevingvereist is Erkan worden volstaan met wetgeving die ah basisfungeert voor verscheiden e
verwerkingen op grand van een wettelijke verplichting die op deverwerkingsverantwoordelijke rust ofvoor verwerking die

™

en

Artikel 6 van de Wbp bepaalde dat persoonsgegevens moesten worden verwerkt in overeenstemming met de weten op behooriijke

zorgvuldigewijze
Artikel 8 aanbef en onder e van de Wbp bepaalde dat persoonsgegevens mochten worden verwerkt indien de gegevensverwerking

noodzakelijk was om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen was
Artikel 8 aanbef en onder e van deWbp bepaalde dat persoonsgegevens mochten worden verwerkt indien de gegevensverwerking
noodzakelijkwas voor degoede vervullingvan een publiekrechtelijke taak door het desbetreffende bestuursorgaandan wel het
bestuursorgaan waaraan de gegevens worden verstrekt

™

Vertrouwelijke versie | oktober2021

1702501

55

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

noodzakdijk is voor de vervulling van ten taak van algemeen belangdan wel voor een took in het kadervan de ukoefen ing
openbaar gezag

van het

Overweging 41 van de AVG benoemt de vereisten wraaraan de wetgeving op basis waarvan de

verwerkingen kunnen pkatsvinden moet voldoeti Wanneer in deze verordening naar een rechtsgrond ofeen
wetgevingsmaatregel wordtverwezen vereistdit niet noodzakelijkermjsdat een door een parlementvastgestdde
veetgevingshandeling nodig is onverminderddevereisten overeenkomstig degrondwettelijke orde van de lidstaat in
kwestie Deze rechtsgrond ofwetgevingsmaatregel moet evenwel duidelijk en nauwkeurig zijn en de toepassing daarvan
moetvoorspelbaarzifnvoordegenen opwiedezevan toepassing is zoahvereistdoorderecktspraakvanhetHofvan
Justitievan deEuropese Unie MofvanJustitie en het Europees Hofvoor deRechten van deMens
Uit voorgaande overweging volgt dat verscheidene verwerkingen gebaseerd mogen worden op een

wettelijke bepaling waarbij geldt dat deze bepaling naar behorenbekendgemaakt dient te zijn en waaruit
de burger met voldoende precisie kan opmaken welke op zijn priveleven betrekking hebbende gegevens
met het oogop de vervulling van eenbepaalde overheidstaak kunnen worden verzameld en vastgelegd en
onder welke voorwaarden die gegevens met dat doel kunnen worden bewerkt bewaard en gebruikt
Vereist is dus een voldoende precieze wettelijke grondslag 239
De twee genoemde grondslagen c

en e

vereisen beiden dat de verwerking noodzakelijk is Dit houdt in

dat moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit Het

proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de bij de verwerking van de
persoonsgegevens betrokken personen beperkt blijft tot wat voor het behalen van het doel strikt
noodzakelijk is Op grond van het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens
worden verwerkt in redelijkheid niet op een andere voor de bij de verwerking van persoonsgegevens
betrokken persoon minder nadelige wijze kunnen worden verwezenHjl t “’
4 7 2

Beoordeling
De Belastingdienst stelt zich op het standpunt dat het verwerken van persoonsgegevens in interne en

signalen in FSV rechtmatig heeft plaatsgevonden op de grondslagen c wettelijke verplichting
^^
De AP constateert dat de grondslagen a b d en f in ieder geval niet in
publieke taak
aanmerking komen als grondslag
externe
en

of e

Wettehike verplichting
De AP heeft allereerst onderzocht ofde Belastingdienst zich voor wat betreft de verwerkingen van

persoonsgegevens inFSVtenbehoeve vantoezichtkonberoepenop grondslag c
ter

onderbouwing

van

grondslag

c

De Belastingdienst heeft

geen specifieke wettelijke bepalingenuit bijvoorbeeld de AWR en of de

Awir benoemd waaruit de wettelijke verplichting tot het verwerken van interne en externe signalen van

mogelijke fraude door burgers en ondernemers zou volgen De AP heeft in de belastingwetgeving en in
toeslagenwetgevingzelfook geen dergelijke verplichting aangetroffen Voor wat betreft
informatieverzoeken geldt dat het verwerken van informatieverzoeken weliswaar voortkwam uit
wettelijke verplichtingen die op de Belastingdienst rustten maar dit gold niet voor het vastleggen van deze
^

Zie paglra 23 van boetebes lult Enschede van deAP van 11 maart2021 z2020 0730S en pagina 40 van hetrapport De veniverkingvan
denationaliteitvanaanvragers van kinderopvangtoeslag van deAP van 16juli 2020 z201S 22445
™
Zie 00k r o 11 in de uitspraak van de ABRvS van 30 juni 2021 Ea l NL RVS 2021 1420
™
MKB memo voorbereidingbezoek AP FSV MKB 29 juni 2020 pdf Particulieren 20200629 FSV ParticuMeren rechtsgronden pdf en
Toeslagen 20200629 Rechtsgronden Ven verken Fnaudesignalen pdf ontvangen op3 juli 2020 bijlagen 1 2en3 van documenten
digitaal aangeleverd door de Belastingdienst aan deAP op 3 juli 2020 dossierstuk36

Vertrouwelijke versie | oktober2021

1702501

56

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

informatieverzoeken als contra informatie in FSV

“

“

De AP concludeert daarom dat grondslag c niet in

aanmerking komt voor de verwerkingen van persoonsgegevens in FSV
Publieketaak
De AP heeft daarnaast onderzocht of de Belastingdienst zich voor wat betreft bet verwerken van

persoonsgegevens inPSVkonberoepenop grondslag e

De APbeoordeelt in datkader allereerst op welke

publieke taak de Belastingdienst zich hiervoor kon beroepen en welke wettelijke regeling daaraan ten
grondslag lag Op grond van de AWR is de inspecteurbelast met de heflSng en invordering van
rijksbelastingen en andere bij ofkrachtens de wet opgedragen taken Ten behoeve van deze taken bevat de
AWR een stelsel aan bevoegdheden van de inspecteur en verplichtingen voor personen bedrijven en
overheden om de noodzakeUjke in rmatie aan te leveren zodat de inspecteur de aanslagen correct kan
vaststellen Zo is er in artikel 47 eerste lid van de AWR een mime informatieplicht opgenomen voor
belastingplichtigen en beschikt de inspecteur daarnaast over mime bevoegdheden om bij bedrijven en
overheden die beschikken over infcrmatie over de belastingplichtige in kwestie informatie te vorderen ^^
Na onderzoek van de belastingplicht heeft de inspecteur de bevoegdheid bij onjuiste aanslag ofbedragde
aanslag ambtshalve te verminderen een naheffing op te leggen en aanvullend een bestuurlijke boete op te
leggen Uit dit stelsel volgt dat de inspecteur ook belast is met het toezicht op de naleving van de
belastingwetgeving
^

Op grond van artikel g eerste lid van de Wet zorgtoeslag artikel la tweede lid van de Wet op de
huurto eslag artikel 1 3 eerste lid van de Wet Kinderopvang en artikel 5

eerste lid

van

de Wet op het

kindgebonden budget is Belastingdienst Toeslagen een organisatieonderdeel van de Belastingdienst
belast met het toekennen uitbetalen en temgvorderen van zorgtoeslag huurtoeslag kinderopvangtoeslag
en het
kindgebondenbudget Ingevolge artikel 43 Awir gelezen in samenhang met artikel 1 van het
Besluit aanwijzing toezichthouders Awir is Belastingdienst Toeslagen tevens belast met het toezicht op de
naleving van het bepaalde bij ofkrachtens de toeslagenwetgeving
^

^

Uit het voorgaande volgt dat toezicht op de naleving van de belasting

en

de toeslagenwetgeving publieke

taken zijn van de Belastingdienst Gelet op de in paragraaf4 2 beschreven positie van de Belastingdienst
kunnen deze taken voor de toepassing van de AVG worden toegerekend aan de minister van Financien
Met de wettelijke basis voor een publieke taak is niet steeds ook de grondslag voor de gegevensverwerking
gegeven Uit het juridisch kader volgt dat verscheidene verwerkingen gebaseerd mogen zijn op een

wettelijke bepaling zolang deze voldoende predes en naar behoren bekend is gemaakt zodat de burger kan
opmaken welke op zijn priveleven betrekking hebbende gegevens met het oog op de vervulHng van de
overheidstaak kunnen worden verwerkt Toegepast op onderhavige situati e betekent dit dat allereerst de
vraag moet worden beantwoord of de verwerkingen van persoonsgegevens in FSV zij n gebaseerd op
voldoende precieze wetgeving De AP constateert in het navolgende dat dit niet het geval is er is geen
sprake van voldoende duidelijk en nauwkeurige wetgeving voor de grote inbreuk op de persoonhjke
levenssfeer die de verwerking van persoonsgegevens in FSV meebrengt
Zoals hiervoor toegelicht bevatten de AWR de Awir en titel 5 2 van de Awb verscheidene bevoegdheden
op basis waarvan de Belastingdienst informatie en contra informatie kan verzamelen om zo de juiste

Paragraaf3 2 3 van onderhavigrapport
™

Artikelen 53 en 55 AWR Bijvoorbeeld bij werkgevers batiken verhuurders gemeenteti etc

“Artikelen 65 en 20 AWRen de artikelen de artikelen 67a 67b 67c 67ca 67cc 67d 67een 67f AWR
“

Zie ook artikel 11 tuveede I id van de Awir

Vertrouwelijke versie | oktober2021

1702501

57

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

belastingaanslag op te leggen c q de juiste toeslag toe te keimen Hierbij is van belang dat de
belastingplichtige c q de aanvrager van de toeslag weet wat de feiten zijn en Belastingdienst daar achter
moet zien te komen Dat de Belastingdienst in de uitvoering van haar taak signalen van mogelijke
ontduikingvanbelasting of mogelijke fraude mettoeslagenbetrekt endaarmee registreert en
onderzoekt is
op zichzelfgenomen op grond van bet stelsel vanbevoegdheden in de AWR de Awir en
titel 5 2 van de Awb voor belastingplichtigen en toeslaggerechtigden voldoende voorzienbaar Tevens
geldt dat bij ofkrachtens de Wet politiegegevens en de Wet justitiele en strafvorderUjke gegevens de
politie FIOD en het OM mogelijkheden hebben om relevante informatie over {vermoedens van fraude te
delen met de Belastingdienst ^ Voor wat betreft fraudemeldingen afkomstig vanbepaalde andere
Qverheden geldt bovendien dat verscheidene wetten verplichtingen bevatten op basis waarvan deze
overbeden vermoedens van fraude bij de Belastingdienst moeten melden ^
^

^^

Voorts geldt dat medeoverbeden in concrete individuele gevallen informatieverzoekenbij de

Belastingdienst kunnen doen op basis van specifieke wetgeving en de Belastingdienst verplicht is de
^^® Dat de
gegevens te verstrekken
Belastingdienst informatie over deze informatieverzoeken in de
individuele dossiers vanbelastingpUcbtigen registreert is op zicbzelfbezien voorzienbaar endus
voldoende duidelijk nauwkeurig en de toepassing voorspelbaar voor degenen op wie ze van toepassing
zijn
De AP constateert ecbter dat bet stelsel van AWR de Awir titel g 2 van de Awb en de materiele
^
wetgeving^ de Belastingdienst webswaar de bevoegdheid geeft om in concrete gevallen

persoonsgegevenste verzamelen voortoezichtdoeleinden zoals bet opvragen vanpersoonsgegevens over

debelastingplicbtige c q aanvrager van een toeslag bij bem ofbaarzelfenbij derden en bet ontvangen en
over de
belastingplichtige
c q aanvrager van de toeslag Maar dat de wetgeving onvoldoende precies is om als grondslag te dienen
voor een aparte structureless
omvangrijke^si
segment overstijgende^s^ verzameling van
veelsoortige ”S3 te gedetailleerde^s bijzondere en strafrecbtelijke persoonsgegevens in FSV welke werd
^^
onbekend was voor betrokkenen^^e maar
gebruikt in het kader van verscheidene werkzaamheden
voor betrokkenenwel
en
aan controle met financiele
stigmatisering
onderwerping
consequenties een
S
of
als
hogere aanslag geen toeslag
mogelijke gevolgenhad
verder verwerken van concrete signalen waaronder ook informatieverzoeken

i

De AP concludeert op grond van het voorgaande dat er geen sprake is van een voldoende duideHjk en

nauwkeurig wettelijk voorschrift dat kan dienen als grondslag voor de verwerking van persoonsgegevens
in FSV door de Belastingdienst zoals die plaatsvond in de periode van 4 november 2013 tot en met 27

febmari 2020

™

Artikelen 18 19 en 20 Wet politiegegevens en artikel 39f Wet justitiele en strafvorderUjke gegevens
E g artikel 66 Participatiewet artikel 61 Wetstmctuuruitvoeringsorganisatie werk en inkomen

™

Pa ragraaf 3 2 3 van onderhavig rapport

™Wet inkomsterbelasting2001 WetKinderopvarg Wetzotgtoeslag Wetop het kindgebonden budget Wetopde huurtoeslag
““

FSVisbijna zeven jaar gebruikt en bevat fraudesignalen uitde jaren 2000 2020 zie paragraaf 3 1 4 van onderhavig rapport

™

FSV bevat persoonsgegevens over een greet aantal personen waaronder minderjarigen enslachtoffersvan fraude zie pa ragraaf 3 1 4

onderhavig rapport
Paragraaf3 1 3 van onderhavig rapport
Paragraaf3 2 van onderhavig rapport
Paragrafen 3 3 1 en 3 3 5 van onderhavig rapport
™
Paragraaf3 1 3 van onderhavig rapport
™
Paragraaf3 Svan onderhavig rapport
Paragraaf3 7 van onderhavig rapport
en 3 2 4 van
““

Vertrouwelijke versie | oktober2021

1702501

58

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

Daarnaast concludeert de AP dat in onderhavige situatie ook niet is voldaan aan het

noodzakelijkheidsvereiste omdat niet is voldaan aan de beginselen van proportionaliteit en subsidiariteit
Er is niet voldaan aan het proportionaliteitsbeginsel omdat de inbreuk op de belangen van naar schatting
meer

dan 240 000 uni eke betrokkenen^^s ^^iens person nsgegevens waaronder gegevens over hun

gezondheid nationaliteit en strafrechtelijke gegevens in FSV zijn verwerkt onevenredig was in verhouding
tot het met de verwerking te dienen doel waarbij geldt dat de doeleinden van FSV niet welbepaald en
daarmee onduidelijk waren ^’® De inbreuk is onevenredig door de vormgeving en de uitvoering van FSV
Hierbij wijstde AP inde eerste plaats op dehiervoor genoemde omschrijving vanFSV en de mogeUjke
gevolgen voor betrokkenen waardoor FSV een grote inbreuk vormde op de persoonlijke levenssfeer van
deze betrokkenen Voorts is van belang dat het gebruik van FSV verder dan de voorafgeformuleerde
doeleinden^® en dat de toegang tot de persoonsgegevens in FSV ruimer was dan noodzakelijk waardoor
^®’
veel meer personen toegang hadden tot de gegevens dan nodig was
Daarnaast werden er verschillende
®^
criteria gehanteerd voor opname in FS’V
en is de reden voor
opname in FSV vaak niet meer te
achterhalen ®^ waardoor mensen ten onrechte of om onduidelijke redenen in FSV konden zijn opgenomen
Signalen werden veel te langbewaard watbijdraagt aande mate van de inbreuk ^®^ Voorts zijn
betrokkenen ten onrechte als ‘fraudeur aangemerkt’®® en waren voor veel burgers de verwerkingen in FSV
niet bekend waardoor zij hun rechten niet kondenuitoefenen

266

Aan het subsidiariteitsbeginsel is ook niet voldaan omdat het nagestreefde doel op een andere minder

vergaande wijzekanwordengediend namelijk zonderFSV ofmet vormgeving van een andere meer
beperkte applicatie Duidelijke aanwijzingen hiervoor zijn dat de Belastingdienst zelfde effectiviteit van
het registreren van interne signalen in FSV in twijfel heeft getrokken’®^ en dat de toegevoegde waarde van
het verwerken van externe signalen voor het t oezicht niet goed vast te stellen is 268
De AP concludeert op grond van het voorgaande dat grondslag e niet in aanmerking komt als grondslag
voor

de verwerkingen van persoonsgegevens in FSV zoals die plaatsvond in de periode van 4 november

2013 tot en met 27 februari 2020 Primair omdat geen sprake was van een voldoende precieze wettelijke

grondslag die als rechtsgrond kon dienen voor de verwerking van persoonsgegevens in FSV door de
Belastingdienst en secundair omdat de verwerkingen in FSV niet noodzakelijk waren voor de vervulling
van de
publieke taak van de Belastingdienst
Condusie
Gezien het voorgaande concludeert de AP dat de Belastingdienst de persoonsgegevens in FSV zonder
grondslag heeft verwerkt Daarmee handelde de Belastingdienst in strijd met artikel 6 eerste lid van de
AVG en artikel 8 Wbp De periode van de geconstateerde overtredingbetreft 4 november 2013 tot en met

27 februari 2020

Paragraaf 3 1 5 van onderhavig rapport
Pa ragraaf 43 2 van onderhavig rapport
Pa ragraaf 3 1 2 en 4 3 2 van onderhavig rapport
Paragraaf3 1 2 en 4 6 3 van onderhavig rapport
Pa ragraaf 3 2 2 van onderhavig rapport
Paragraaf3 3 1 van onderhavig rapport
Pa ragraaf 4 5 van onderhavig rapport
Pa ragraaf 4 4 van onderhavig rapport
Pa ragraaf 3 8 van onderhavig rapport
Paragraaf 3 4 2 van onderhavig rapport
Paragraaf33 2 van onderhavig rapport

Vertrouwelijke versie | oktober2021

1702501

59

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

48

Het betrekken van de FG bij de gegevensbeschermingseffectbeoordeling

4 8 1

Juridisch kader
Artikel 38 eerste lid van de AVG bepaalt dat verwerldngsverantwoordelijken ervoor moeten zorgen dat de
FG naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de

bescherming van persoonsgegevens Artikel 35 tweede lid van de AVG vereist dat de
verwerkingsverantwoordelijke bij het uitvoeren van een gegevensbeschermingsefFectbeoardeling het
advies van de FG inwint

De gezamenlijke Europese gegevensbeschermingstoezichthouders hebben richtlijnen

uitgebracht over de

positie en de taken van de FG welke in 2 018 is bekrachtigd door de European Data Protection Board
{EDPB Over het naar behoren en tijdig betrekken van de FG bij gegevensbeschermingseffect

beoordelingen is het volgende gesteld

“Watbetreftgegevensbeschermingseffectbeoordelingen wordt in de algemeneverordeninggegevensbesckerming
explkiet vermdd dat defimctionarisvoor gegevensbescherming daarbij vroeg moet warden betrohken en
gespecificeerd datde verwerkingsverantwoordelijkebij de uitvoering van dergelijke ^ectbeoordelingen aan de
”269
Junctionarisvoorgegevensbescherming advies moetvragen
4 8 2

Beoordeling
In paragraaf 3 12 is geconstateerd dat de gegevensbeschermingseffectbeoordeling van FSV is uitgevoerd in

de periode van 6 november 2018 tot en met 21 januari 2019 De conclusie was dat gegevensverwerkingen
in FSV niet voldeden aan de AVG endat de risico’s voor de betrokkenen die voorkwamen in FSV zodanig
waren

dat FSV diende te wordenuitgefaseerd en worden vervangen voor een nieuwe applicatie

Op 26

november 2019 is de GEB van FSV door het managementteam van de directie MKB vastgesteld en is de

opdracht gegeven tot het vervangen van FSV voor een nieuwe applicatie
In paragraaf 3 12 is tevens geconstateerd dat de FG op 26 februari 2020

aanleiding van persvragen
is gevraagd te adviseren over de GEB De AP stelt derhalve vast dat op het moment dat de FG gevraagd is te
adviseren over de GEB de beoordeling al een meer dan een jaar geleden was uitgevoerd en dat ook al was
besloten tot uitvoering van de hoofdmaatregel in de GEB namelijk de bouw van een nieuwe applicatie
naar

Conclusie
Gezien het voorgaande concludeert de AP dat de Belastingdienst de FG niet naar behoren en tijdig heeft

betrokken bij de uitvoering van de gegevensbeschermingseffectbeoordeling van FSV Daarmee handelde
de Belastingdienst in strijd met artikel 38 eerste lid van de AVG jo artikel 35 tweede lid van de AVG

2S9

Pagina 16 en 17 van WP 243 rev 01 Richtlijnen voor functionarissen voor gegevensbesoherming laatstelijk herzien en goedgekeurd

op SapriI 2017

Vertrouwelijke versie | oktober2021

1702501

60

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

5

Eindconclusie
Inde periode van4 november 2013 tot en met 27 februari 2020 zijn er door de Belastingdienst signalen van
vermeende en vastgestelde fraude en informatieverzoeken inFSV over in ieder geval 244 273 personen

geregistreerd gewijzigd geraadpleegd gebruikt gecombineerd en buiten FSV verspreid De
Belastingdienst heefthiermee persoonsgegevens waarondergegevens overgezondheid nationaliteit en
strafrecbtelijke persoonsgegevens verwerkt in de zin van artikel 4 aanhefenonderi 2 enig vande AVG
artikel 10 van de AVG en artikel 1 aanbef en onder a en b van de Wbp en artikel 16 Wbp
De AP constateert dat de minister van Finanden verwerkingsverantwoordeUjke is in de zin van artikel 4

aanbef en onder 7 van de AVG en artikel 1 aanbef en onder d van de Wbp voor de verwerkingen van
persoonsgegevens inFSV

De AP constateert na onderzoek dat de minister van Finanden als vertverkingsverantwoordelijke voor de
verwerkingen van de Belastingdienst van 4 november 2013 tot en met 27 febmari 2020 door bet
verwerken van persoonsgegevens in FSV in strijd beeft gebandeld met de beginselen van rechtmatigheid
doelspecificatie juistbeid en opslagbeperking De AP bcbt deze overtredingen hiernatoe

Persoonsgegevens dienen te worden verwerkt in overeenstemming met bet beginsel van rechtmatigheid
als bedoeld in artikel 5 eerste lid aanbef en onder a vande AVG en artikel 6 vande Wbp Ditbetekent dat

grondslag moet zijn voor de verwerkingen van persoonsgegevens als vermeld in artikel 6 eerste Ud
van de AVG en artikel 8 Wbp De AP condudeert dat er voor de verwerkingen van persoonsgegevens in
FSV geen grondslag was De Belastingdienst kon namelijk geen beroep doen op grondslag c omdat er
geenverplichtinglagom signalen van mogelijke fraude en informatieverzoeken als contra informatie te
verwerken Daarnaast slaagt bet beroep van de Belastingdienst op grondslag e niet Primair omdat er
geen sprake was van een voldoende predeze wettelijke grondslag die kondienen als rechtsgrond voor de
verwerking van persoonsgegevens in FSV door de Belastingdienst en secundair omdat de verwerkingen in
FSV niet noodzakelijk waren voor de vervulling van de publieke taak van de Belastingdienst om toezicht te
houden op de naleving van bet bepaalde bij of krachtens de belasting en toeslagenwetgeving
er een

Persoonsgegevens dienen te warden verwerkt in overeenstemming met bet beginsel van doelspecificatie

neergelegd in artikel 5 eerste lid aanbef en onder b van de AVG en artikel 7 van de Wbp Dit betekent dat
persoonsgegevens alleen voor welbepaaldeenrdtdmldcelijkomschrevendoeleindenmogen worden
verzameld De AP condudeert na onderzoek dat de voorafgeformuleerde doeleinden van bet verzamelen
van
persoonsgegevens inFSV niet welbepaald waren
Persoonsgegevens dienen te worden verwerkt in overeenstemming met bet beginsel van juistbeid
opgenomen in artikel 5 eerste lid aanbef en onder d van de AVG en artikel 11 tweede lid van de Wbp Dit

betekent dat persoonsgegevens juist moeten zijn en zo nodig moeten worden geactualiseerd De AP
constateert na onderzoek dat er onjuiste en niet

geactualiseerde persoonsgegevens in FSV staan en de

Belastingdienst niet de redebjke maatregelen beeft genomen om deze persoonsgegevens te rectiflceren of
te wissen

Persoonsgegevens dienen te worden verwerkt in overeenstemming met bet beginsel van opslagbeperking

neergelegd in artikel 5 eerste lid aanbef en onder e van de AVG en artikel 10 eerste lid van de Wbp Dit

Vertrouwelijke versie | oktober2021

1702501

61

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

houdt in dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk Uit bet onderzoek
van

de AP volgt dat de perso onsgegevens in FSV langer werden bewaard dan de op de person nsgegevens in

FSV van toepassing zijnde bewaartermijn waardoor persoonsgegevens wel langer werden bewaard dan

noodzakelijk
Naast het overtreden van de vier hiervoorbenoemde beginselen concludeert de AP na onderzoek dat de

Belastingdienst onvoldoende passende technische en organisatorische maatregelen heeft genomen ten
aanzien van de toegangsbeveiliging logging en controle op de logging om een passend beveiligingsniveau
voor de
persoonsgegevens in FSVte waarborgen Hierdoor handelde de minister van Financien als
verwerkingsverantwoordelijke voor de verwerkingenvande Belastingdienst van 4 november 2013 tot en
met 27 februari 2020 in strijd met artikel 32 eerst lid aanhefvan de AVG en artikel 13 van de Wbp
Tot slot heeft de AP na onderzoek geconcludeerd dat de Belastingdienst de FG niet naar behoren en tijdig

heed betrokken bij de uitvoering van de gegevensbeschermingseffectbeoordeling van FSV Door deze

overtreding heeft de minister van Financien als verwerkingsverantwoordelijke voor de verwerldngen van
de Belastingdienst in strijd gehandeld met artikel 38 eerste lid van de AVG jo artikel 35 tweede lid van
deAVG

Dit rapport is opgemaakt te Den Haag op

mr

datum

drs G N J A Bukkems

Directeur Klantcontact enControlerend Onderzoek i
X

Vertrouwelijke versie | oktober2021

1702501

62

00032

AUTORITEIT
—

I

PERSOONSGEGEVENS

Bijiagel Rollen in FSV
Naam rol

Globale beschrijvingvan de functionaliteit gekoppeld aan deze rol

Balie medewerker

Alleen zien of een BSN wel of niet voorkomt in FSV

Medewerker

Zoeken alle signalen raadplegen Dagboek PIT signalen en raadplegen

raadplegen
aangiftefraude

signalen aangiftefiaude ind de bijlagen en bet aantekeningenveld en
deze laatste kunnen exporteren naar Word

Medewerker

De rechten van Medewerker raadplegen aangiftefraude’ plus raadplegen

raadplegen

van

informatieverzoeken tips klilaneldingen en project overig incl de

bijlagen en het aantekeningenveld en signalen aangiftefraude kunnen
exporteren naar Word
Medewerker

De rechten van Medewerker raadplegen plus alle signalen en aantaUen

raadplegen BI

signalen kunnen exporteren naar Excel
Invoeren en muteren signalen aangiftefraude bijlagen
toevoegen verwijderen en exporteren van aangiftefraude signalen naar

Behandelaar

aangiftefraude

Worden Excel

Special BC A

VoorzoverdeAP keeft kunnen vaststeUen werd deze rol niet gebruikt

Behandelaar

De rechten van Behandelaar aangiftefraude’ plus invoeren en muteren van

informatieverzoeker^ tip klikmeldingen en project overig bijlagen
toevoegen verwijderen importeren van aangiftefraude signalen en

projecten en exporteren van signalen naar Word en Excel
Senior behandelaar

D e rechten van Behandelaar plus het kunnen verwijderen van signalen

Beheerder

Beheren van afrolmenu s

e

g competente eenheid enmedewerkers

tS5
Vertrouwelijke versie | oktober2021

1702501

63

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

Bijlage2 De viertabellen metsignalen in FSV
’

Hierna volgt per registratiescherm in FSV de veldnamen met daarbij hoe vaak het veld is gevuld ^^ Het

^mbool betekent dat het een verplicht veld was V betekent dat er sprake was van een afrolmenu in
plaats van vrij in te vullen en V betekent dat het veld een box was die kon worden aangevinkt Als de naam
van het veld italic is dan betekent dit dat er
specifiek op de inhoud van dit veld gezocht kon worden in FSV
Databasetabel

gevuld

gevuld

Aai^ftefraudeSignaal^^^
I

I 100

Datum opname

100

Acktemaam

100

Datum afdoening

88

Voorletters

[j6 7
j 36 7

Correctiebedrag

8 2

Fiscaal nadeel

32 7

Bsn

Voorvoegsels
Soort fraude

99 9

Belastingbedrag

21 5

Boete

Postcode

20 4

Boetebedrag

Plaats

I 21 8

Land

2 9

V

j

Adres

Rol

V

I 94 5

Besmet adres

V

I

MuMel

Belastingjaar

0 4

I

0 2

V

0 0

V

6 0

Fraude

V

46 9

1V

0

87

5 62

100

Gefisnummer

z

V

I 100

Beconnummer

z

8 82

Fiscaal dienstverlener Bsn

z

1 82

V

2 9

Tijdvak

V_

2 8

Rekeningnummer IBAN

■

V

Fiscaal dienstverlenernaam

8 ii

_

76

Bron

0 7

V

Subnummer

Negatieve norm OB

31

i

Strafrecktelijke besckikking
Aangemeld bij FIOD
ID Fraude

I 02

Besmet postcode en nr

_

V

Boetepercentage

0 2

ir^

_

InkoudsplichtigeLHnr
J InhoudspdicktigeLHnaam

0 13

z

^

2 5

1

z

28

4

100

Opgevoerddoor

IP adres

49 9

Beoordeelddoor

V

85 00

MAC adres

0 0

Behandeld door

V

90 64

V

97 67

V

V

100

Ondertekenaar Bsn

I 6 02

Competente eenheid

Ondertekenaar Naam

I 4 69

Partner Bsn

12

98 1

Partner naam

4 66

Aantekening

Databasetabel

1

67

LRK

z

0 60

Invordering
Projectcode landelijk

V

94 12

^

73 12

gevuld

gevuld

TipsKlikMe]dingSignaal“’“
Bsn

100

I Datum opname

Ll

100

™lngevuld betekent niet NULL leeg 0 of een puntje
^
Develden Datum Event Opmerkin^ Gebruikersnaam Prioriteiten Rappel zijn achterwege gelaten
™
Het veld Bestede minuten is achterw ege gelaten

Vertrouwelijke versie | oktober2021

1702501

64

00032

AUTORITEIT

PERSOONSGEGEVENS

—

I

Achtemaam

Voorletters
_

Voorvoegsels

99 32

Datum afdoening

76 55

Correctiebedrag

2 06

Fiscaal nadeel

1 92

83

12

75 91

Middd

V

50 83

Belastingbedrag

Belastingjaar

V

45 12

Boete

Melder Bron Tipgever

V

84 76

Boetebedrag

Onbekende

V

1 44

Boetepercentage

V

0 24

Competente eenhdd

V

92 53

Strafiecktelijke beschikking

V

0 02

Projectcode landelijk
Regiomal project
Veldtoetsing
Aantekening

V

36 73

I Wijze

V

77 07

V

8 27

Reden

V

32 83

V

0 50

Opgevoerd door

97 92

Beoordeeld door

V

76 65

Behandeld door

V

77 93

1 91

V

0 16
0 14

belastingplichtige

Databasetabel

van

afiloen

V

_

100 00

gevuld

gevuld

ProjectOverigSignaal^^i
Bsn

1QQ

Datum opname

100

Achtemaam

94 93

Datum afdoening

92 94

Voorletters

22 13

Correctiebedrag

1

Voorvoegsels

2 39

Fiscaal nadeel

1 68

65

Middd

V

92 96

Belastingbedrag

I

Belastingjaar

V

25 58

Boete

II 97

Competente eenhdd

V

99 93

Boetebedrag

Projectcode landelijk

V

97 13

Regionacd project

V

2

Boetepercentage
Strafiechtelijke beschikking

87

Entiteit nummer

1 3 07

Opgevoerd door

Entiteit naam

2 94

Beoordeeld door

Aanslag nummer
Veldtoetsing

0 66

Behandeld door

0 08

Koppeling aanrechtspersoon

V

64

0 33

V

0 42

V

0 00

V

100 00

1

95 88
V
^

94 19
0 30

naam

Aantekening

■u

Koppeling aan rechtspersoon

99 74

0

39

entiteitnummer

Databasetabel

gevuld

gevuld

I

InformatieVerzoekSignaal^^
Bsn

100

Datum opname

Achtemaam

100

Datum afdoening

Voorletters

81 14

Opgevoerd door

Voorvoegsels

12

96

Beoordeeld door

V

31 01

19 89

Behandeld door

V

88 03

Middd

™

Hetveld Bestede minuten isachterwegegelaten

™

Met veld Bestede minuten is achterwege gelaten

Vertrouwelijke versie | oktober2021

1702501

V

100

87 15
V

100

65

00032

AUTORITEIT
—

I

PERSOONSGEGEVENS

Belmtingimr
Opvragende instanti^
Aantekening

Vertrouwelijke versie | oktober2021

1702501

23 67

V
v

j Competente eenheid

V

91 82

ioo
_

85 16

66

00032

AUTORITEIT

PERSOONSGEGEVENS

Over de Autoriteit Persoonsgegevens

ledereen heeft recht op een zorgvuldige omgang met zijn persoonsgegevens De Autoriteit Persoonsgegevens houdt toezicht op de
ralevingvan dewettelijke regels voorbeschemningvan persoonsgegevensen adviseert overnieuweregelgeving

1702501

00032