Rapportage DF&A
Naar aanleiding van KPMGonderzoek oud EH&I producten
29 juni 2021

Aanleiding rapportage
›

Aanleiding

KMPG door DF&A gecontinueerd. Ook heeft dit onderzoek zelf geholpen om aandacht te krijgen voor een aantal
zaken die voorheen onderbelicht waren. Een aantal observaties/aanbevelingen van KPMG in het

Najaar 2020 heeft de Corporate Dienst Datafundamenten en Analytics (DF&A) aan KPMG opdracht gegeven

Onderzoeksrapport is reeds opgevolgd door DF&A. Met name door het project “DF&A geborgd” zijn acties

onderzoek te doen. Dit onderzoek richtte zich op de producten die vanuit de voormalige afdeling EHI (Expertise en

uitgevoerd rondom dataretentie en bewaartermijnen. Met als resultaat dat op 31-12-2020 de producten uit het

Handhaving Intelligence) in 2018 bij DF&A zijn ondergebracht, en die op peildatum 1 september 2020

Onderzoeksrapport die op het exploitatieoverzicht van DF&A staan, voldoen aan de bewaartermijnen. Waar dit het

operationeel waren. Het onderzoek heeft zich gefocust op de naleving van de AVG, Archiefwet en interne

geval is, wordt dit in deze rapportage aangegeven.

kwaliteits- en gedragsregels.
Door het MT van DF&A is achteraf geconcludeerd dat door de keuze om de scope te beperken tot DF&A geen
›

Scope

volledig, en op een drietal punten onjuist, beeld is ontstaan van de onderzochte producten. Hierdoor is geen
volledig beeld ontstaan van de naleving van de AVG, archiefwet en de interne kwaliteits- en gedragsregels van de

De scope van het onderzoek van KPMG is afgebakend tot de Corporate Dienst Datafundamenten en Analytics zelf.

producten van de voormalige afdeling EHI. DF&A maakt namelijk producten en adviezen voor, in opdracht van, en

Dat betekent dat KPMG interviews met betrokken binnen DF&A heeft gehouden en dat het documentatieonderzoek

in samenspraak met, andere onderdelen van de Belastingdienst.

gericht was op de binnen DF&A beschikbare documentatie.
Vandaar dat er voor gekozen is om de constateringen van het KPMG-onderzoek met de verantwoordelijke
›

Reactie MT DF&A

gegevensverwerkers van de producten te delen. Samen is gekeken of de constateringen en risico's herkend
worden en welke beheersmaatregelen er genomen dienen te worden. Waar constateringen vanuit het KPMG

Het Management Team (MT) van DF&A is blij met de analyse van KMPG. Dit geeft een compleet overzicht van de

rapport worden weerlegd, is dit schriftelijke onderbouwd.

huidige producten bij DF&A van oud-EHI. Door benoemen van de risico’s en aandachtspunten geeft het een
richting het vervolg waarin de risico’s worden getoetst bij de verwerkingsverantwoordelijken en eventuele

Deze rapportage is het resultaat van deze toets.

beheersmaatregelen worden genomen. De producten of diensten die aangemerkt worden met een hoog risico zijn
tijdelijk stil gelegd tot de maatregen zijn gemitigeerd. Daarnaast heeft het MT twee noties bij dit onderzoek.
Het onderzoek betreft een momentopname van najaar 2020. DF&A is voortdurend bezig om de kwaliteit van haar
producten en diensten te borgen en te verbeteren. Dat is uiteraard ook na de interviews en documentstudie door

2

Context KPMG rapport
›

Doel

AVG. De maatregelen voor het zorgvuldig en veilig verwerken van de gegevens zijn goed op orde of behoeven slechts
minimale tot geen verbetering.

Het doel van het KPMG onderzoek is om te onderzoeken of de producten van oud-EH&I, die over zijn gegaan naar DF&A,

Midden risico: er is door KPMG niet geconstateerd dat de gegevensverwerking inbreuk maakt op de basisprincipes van de

voldoen aan de Algemene Verordening Gegevensbescherming (AVG), de Archiefwet en Quality Assurance (QA) kaders,

AVG. De maatregelen voor het zorgvuldig en veilig verwerken van gegevens behoeven op bepaalde punten verbetering.

inclusief de door DF&A intern gehanteerde Gouden Regels en overige van toepassing zijnde wet- en regelgeving. Tijdens

Hoog risico: de Belastingdienst heeft niet of onvoldoende met documentatie kunnen aantonen dat het betreffende product

het onderzoek zijn de producten ingedeeld in drie verschillende categorieën.

toereikend voldoet aan de basisprincipes van de AVG. De maatregelen voor het zorgvuldig en veilig verwerken van de
gegevens behoeven op korte termijn verbetering.

Categorie 1: Er worden geen persoonsgegevens verwerkt en de overige vereisten vanuit wet- en regelgeving, alsmede de
door de Belastingdienst gestelde kaders zijn niet van toepassing, ofwel het EH&I-product of -dienst wordt uitgezet, of niet

Het KPMG-rapport is na vaststelling in het MT van DF&A gedeeld en besproken met de betrokkenen dienstonderdelen en

meer gebruikt per 1 september 2020.

kaderstellende directies. De gesprekken met de inhoudelijk betrokken directies hebben tot doel gehad om:

Categorie 2: Er worden persoonsgegevens verwerkt en/of de overige vereisten vanuit wet- en regelgeving, alsmede de
door de Belastingdienst gestelde kaders zijn van toepassing, maar de persoonsgegevens zijn dusdanig basaal en triviaal

a. Per product een gegevensverantwoordelijke aan te wijzen.

(aldus NAW-gegevens, zakelijke contactgegevens) dat deze verwerking geen verhoogd risico oplevert.

b. Per adviesdienst een opdrachtgever te benoemen.

Categorie 3: Er worden (veel) persoonsgegevens verwerkt en/of er is sprake van de verwerking van (veel) gevoelige of

c. Per product of adviesdienst is besproken of het risico wordt herkent, er aanvullende informatie is om het geschetst beeld

bijzondere persoonsgegevens of waarbij sprake is van een hoog risico verwerkingsactiviteit, zoals profilering.

aan te vullen. En wat er nodig is om de benoemde risico’s te mitigeren.

›

Risico’s

Een grote onduidelijkheid rond dit onderzoek is onderstaan door het feit dat een aantal producten die benoemd zijn in het
KPMG-rapport feitelijk geen producten zijn maar adviesdiensten. En dat er hier geen sprake is van gegevensverwerkingen.

Bij de producten en diensten die vallen in categorie 1 worden er geen persoonsgegevens verwerkt en daarmee zijn de

Daarmee zijn deze producten langs een meetlat gelegd die niet past bij adviesdiensten. Per product zal toegelicht worden

vereisten niet van toepassing. Voor de producten of diensten die in categorieën 2 en 3 vallen is er een omschrijving

wat de aanvullende bevindingen zijn op dit vlak.

opgenomen, welke betrokkene en persoonsgegevens betrokken zijn en welke risico’s er zijn geïdentificeerd. Ook is
aangegeven wat de indicatie van het risiconiveau (hoog, midden en laag) gegeven.

Hieronder treft u een uiteenzetting van de 18 producten en diensten, risico’s, aanvullende bevindingen en mitigerende
maatregelen die vallen onder categorieën 2 en 3.

Laag risico: er is door KPMG niet geconstateerd dat de gegevensverwerking inbreuk maakt op de basisprincipes van de

3

Producten en diensten overzicht oud EH&I

4

Risico aanduiding
KPMG rapport

Geen product Hoog

Dit is geen product, er is geen sprake van gegevensverwerking en

De advieswerkzaamheden worden door DF&A in Q3 geformaliseerd

geen sprake van opdrachtgeverschap door FIOD. Dit is

en opgenomen in de productcatalogus. Het streven is om in Q4 de

geconstateerd door experts van DF&A en FIOD en bevestigd door

advieswerkzaamheden te implementeren en daarmee te laten

MT DF&A en FIOD.

voldoen aan de privacy- en kwaliteitseisen. (Gereed 1 januari 2022)

uitgewisseld. Dit zijn advieswerkzaamheden. Er worden hierbij geen
persoonsgegevens gedeeld.
Geen product Hoog

n.v.t

Dit is geen product, er is geen sprake van gegevensverwerking en

De advieswerkzaamheden worden door DF&A in Q3 geformaliseerd

geen sprake van opdrachtgeverschap door FIOD. Dit is

en opgenomen in de productcatalogus. Het streven is om in Q4 de

geconstateerd door experts van DF&A en FIOD en bevestigd door

advieswerkzaamheden te implementeren en daarmee te laten

MT DF&A en FIOD.

voldoen aan de privacy- en kwaliteitseisen. (Gereed 1 januari 2022)

Wel is geconstateerd dat tussen DF&A en FIOD kennis en ervaring
uitgewisseld. Dit zijn advieswerkzaamheden. Er worden hierbij geen
persoonsgegevens gedeeld.
MKB

Dit is geen product. Signalen die verkregen worden, worden binnen Proportionaliteit: De GEB risicovolle netwerken valt onder
de Belastingdienst doorgespeeld naar de competente kantoren.

verantwoordelijkheid van MKB. Deze is in bewerking en aangepast op

Dit zijn advieswerkzaamheden.

basis van de bevinding van KPMG. In de GEB is de rol van DF&A nu

risicovolle netwerken

Veelplegers team/ Team aanpak

n.v.t

Wel is geconstateerd dat tussen DF&A en FIOD kennis en ervaring

Geen product Hoog

3

Verwerkingsverantwoordelijke Aanvullende bevinding i.o.m. verwerkingsverantwoordelijke Mitigerende maatregelen

fraude

2

FIOD Centraalpunt Btw-

1

FIOD Berlijn- Trailer

ProductNr. Product* kenmerk

* Niet alles wat in deze kolom genoemd wordt is daadwerkelijk een product. Daarnaast dekt de
naamgeving in een aantal gevallen niet de lading.

opgenomen. De privacy officer van DF&A heeft hulp aangeboden om
deze rol van DF&A in de GEB de komende tijd verder aan te
scherpen. (Een gereeddatum kan hiervoor nu niet worden gegeven.)
De advieswerkzaamheden worden door DF&A in Q3 geformaliseerd
en opgenomen in de productcatalogus. Het streven is om in Q4 de
advieswerkzaamheden te implementeren en daarmee te laten
voldoen aan de privacy- en kwaliteitseisen. (Gereed 1 januari 2022)

5

ProductNr. Product* kenmerk

Risico aanduiding VerwerkingsKPMG rapport
verantwoordelijke Aanvullende bevinding i.o.m. verwerkingsverantwoordelijke

4

n.v.t.

DAS- tool

Geen product Midden

Mitigerende maatregelen

Dit is geen product maar een tool. Deze tool geleidt gegevens vanuit de BD- Uiterlijk Q2 zal er een verwerkingsverantwoordelijke zijn. Zodra er een
omgeving naar standalone pc's. De informatie uit deze tool wordt gebruikt

verwerkingsverantwoordelijke is kan dit dienstonderdeel de mitigerende

door MKB en GO ter controle. De tool vervult een belangrijke taak in het

maatregelen nemen.

gehele loonheffing proces. Het is niet mogelijk om dit product uit te
schakelen zonder dat er een alternatief voor handen is. Momenteel is MT
MKB aan het uitzoeken (in overleg met GO en Particulieren) wie gaat

6

DFEX-159

Midden

De bevindingen van KPMG worden herkend door GO.

FIOD - AMLC

De query- codes zijn inmiddels afgeschermd. Alle codes zijn naar een
eigen, afgezonderd werkgebied verhuisd. Zo is de toegang voor
medewerkers beperkt. (Gereed)
Onder verantwoordelijkheid van de directie Grote Ondernemingen wordt
er momenteel een GEB opgesteld. (De verwachting is dat de GEB in Q4
wordt afgerond.)

Geen product Midden

n.v.t.

Dit betreft geen analysetool is

In Q3 2021 vindt door DF&A de doorontwikkeling van de tooling plaats
die gaat voldoen aan de standaarden en richtlijnen van DF&A. Dat houdt

Ad risico 1, 2, 4, 5: bevinding wordt herkend

in dat er een visualisatietool ontwikkelt gaat worden die dezelfde

Ad risico 3: bevinding wordt niet herkend, het is juist een mitigerende

inzichten biedt vanuit een analytics benadering. Bij de ontwikkeling

maatregel dat indien Vips worden ‘gehit’, de Data- en Privacy Officer (DPO) worden de bevindingen van het KPMG onderzoek gemitigeerd. Tot die
op de hoogte wordt gesteld.

tijd worden de geïdentificeerde risico’s geaccepteerd. (Gereed 1 oktober
2022)

Geen product Midden

7

GO

personen

Gruff Netwerkanalysetool

5

Zeer vermogende

optreden als verwerkingsverantwoordelijke.

n.v.t.

Dit is geen product, er is geen sprake van gegevensverwerking en geen

De advieswerkzaamheden worden door DF&A in Q3 geformaliseerd en

sprake van opdrachtgeverschap door FIOD. Dit is geconstateerd door

opgenomen in de productcatalogus. Het streven is om in Q4 de

experts van DF&A en FIOD en bevestigd door MT DF&A en FIOD.

advieswerkzaamheden te implementeren en daarmee te laten voldoen
aan de privacy- en kwaliteitseisen. (Gereed 1 januari 2022)

Wel is geconstateerd dat tussen DF&A en FIOD kennis en ervaring
uitgewisseld. Dit zijn advieswerkzaamheden. Er worden hierbij geen
persoonsgegevens gedeeld.

6

Product
Nr. Product* kenmerk

8

VerwerkingsAanvullende bevinding i.o.m.
verantwoordelijke
verwerkingsverantwoordelijke

Mitigerende maatregelen

Midden

MKB

De convenant ziet er op toe hoe de signalen van- en naar

Momenteel wordt er o.a. door MKB gewerkt aan een tijdelijke oplossing ten

Track Justis over en weer in een goed proces verloopt die in

behoeve van de rechtmatige grondslag. Waarna gewerkt wordt aan definitieve

de convenant is beschreven.

oplossing met de gewenste architectuur.

Signaalanalyse Postbus

DFEX- 157

Risico aanduiding
KPMG rapport

Bovendien komen de mails wel versleuteld binnen, alleen twee 2. Er loopt onder verantwoordelijkheid van MKB al geruime tijd een GEB op het
medewerkers kunnen zien wat de signalen zijn, omdat zij bij

signaalproces MKB, GO en P. DF&A is in de concept GEB aangemerkt als interne

de encryptie software kunnen.

verstrekker.
3. De verschillende signalenstromen die allen in de postbus terechtkomen,
zullen allen afzonderlijk worden beschreven inclusief doelbinding, eigenaar en
proces.

branche
constructies

11

Schoonmaak

10

Schijn-

9

FIOD Bijzondere Taken

Geen

Midden

n.v.t.

product

Dit is geen product, er is geen sprake van gegevensverwerking De advieswerkzaamheden worden door DF&A in Q3 geformaliseerd en
en geen sprake van opdrachtgeverschap door FIOD. Dit is

opgenomen in de productcatalogus. Het streven is om in Q4 de

geconstateerd door experts van DF&A en FIOD en bevestigd

advieswerkzaamheden te implementeren en daarmee te laten voldoen aan de

door MT DF&A en FIOD.

privacy- en kwaliteitseisen. (Gereed 1 januari 2022)

Wel is geconstateerd dat tussen DF&A en FIOD kennis en
ervaring uitgewisseld. Dit zijn advieswerkzaamheden. Er
worden hierbij geen persoonsgegevens gedeeld.

DFEX- 171

Laag

MKB

Geen risico’s geconstateerd door KPMG.

DFEX- 170

Laag

MKB

Geen risico’s geconstateerd door KPMG.

7

15

16

Uitzendbranche
OB

telefoonverzuim

Mitigerende maatregelen

DFEX- 163

Laag

MKB

Geen risico’s geconstateerd door KPMG.

DFEX- 213

Laag

MKB

DFEX- 213

MKB

DFEX-155

Laag

MKB

DFEX-150-

Laag

MKB

152

Dit product is inmiddels omgebouwd naar het product

Na de ombouw voldoet het nieuwe product aan de standaarden en

Verzuimaanpak (DFEX213)

richtlijnen en daarmee aan de bewaartermijnen. Dit is inmiddels het geval.

Dit product is inmiddels omgebouwd naar het product

Na de ombouw voldoet het nieuwe product aan de standaarden en

Verzuimaanpak (DFEX213)

richtlijnen en daarmee aan de bewaartermijnen. Dit is inmiddels het geval.

Het product voldoet inmiddels aan de gestelde bewaartermijnen. (Gereed)

SIDN

MKB is voornemens om op te treden als

Product voldoet uiterlijk Q3 2021 aan de bewaartermijnen.

verwerkingsverantwoordelijke. MKB zorgt er voor dat er in
Q2/Q3 formeel uitspraak wordt gedaan door het MT van MKB.

DFEX-153
17

Laag

Veelverzuim

OB tweeverzuim /

Risico aanduiding VerwerkingsAanvullende bevinding i.o.m.
KPMG rapport
verantwoordelijke verwerkingsverantwoordelijke

normen

14

OB Bijzondere

13

Branche-

12

Product
Product* kenmerk

informatie

Nr.

Laag

?

Alle gebruikers zijn benaderd met de benaderd wie

Uiterlijk juli 2021 is een verwerkingsverantwoordelijke aangewezen. Zo

verwerkingsverantwoordelijke is. Hieruit is gebleken dat het

niet, zal het product worden uit gefaseerd.

product nu geen verwerkingsverantwoordelijke heeft.

8

18

Marktplaatsverzoek

Nr. Product*

Product
kenmerk

Risico aanduiding
KPMG rapport

Verwerkingsverantwoordelijke

Aanvullende bevinding i.o.m.
verwerkingsverantwoordelijke

Mitigerende maatregelen

DFEX-151

Laag

n.v.t

Alle gebruikers zijn benaderd wie

Vanwege de uitfasering zijn de risico’s niet langer aanwezig.

verwerkingsverantwoordelijke is. Hieruit is gebleken
dat het product geen verwerkingsverantwoordelijke
heeft en om die reden uit gefaseerd zal worden met
ingang van 1 juli 2021.

9