Gedupeerde ouders van de toeslagenaffaire voor het Belastingkantoor in Rotterdam.

Wat gebeurt er met de gegevens die overheden, bedrijven en instellingen over ons opslaan? Wat als ze gehackt of gegijzeld worden? Hoe veilig zijn onze systemen, en onze data? Lees meer

De analoge en digitale wereld lopen steeds meer in elkaar over, internet en technologie knopen alles aan elkaar: beleid, sociale structuren, economie, surveillance, opsporing, transparantie en zeggenschap.

Ondertussen worden we overspoeld door ransomware, digitale desinformatie en diefstal van intellectueel eigendom. Conflicten worden tegenwoordig ook uitgevochten in cyberspace. Hoe kwetsbaar zijn we precies, en hoe kunnen we ons beter wapenen?

We laten overal digitale sporen achter, vaak zonder dat te weten of er iets tegen te kunnen doen. Al die aan ons onttrokken data worden bewaard en verwerkt, ook door de overheid. Dat gebeurt niet altijd netjes. Zo veegde  het Europees Hof voor de Rechten van de Mens in een vernietigend vonnis het Nederlandse anti-fraudesysteem Syri van tafel. Hoe riskant het is om op dataverzamelingen van burgers algoritmes los te laten – datamodellen die vrij autonoom beslissingen nemen – bewijst de Toeslagenaffaire. Die laat ook zien wat het effect is van ‘verkeerde’ registraties die zich als onkruid door overheidssystemen lijken voort te planten, zonder dat iemand ze nog kan stoppen of wijzigen.

En zijn al die gegevens van burgers en klanten wel veilig? Wie kan erbij, wie mag erbij, wat als ze gehackt of gegijzeld worden? Hoe kwetsbaar maakt onze afhankelijkheid van data ons?

50 artikelen

Gedupeerde ouders van de toeslagenaffaire voor het Belastingkantoor in Rotterdam. © Peter Hilz / ANP

De Belastingdienst zette honderdduizenden Nederlanders zonder hun medeweten op een zwarte lijst. Wie erop stond, werd als fraudeur gezien – met grote financiële gevolgen. Maar wil je weten of je op de lijst staat en waarom, dan kom je bedrogen uit. De Belastingdienst doet er alles aan om inzage in zijn zwarte lijsten te voorkomen. Daarmee handelt de dienst volgens experts onrechtmatig.

0:00
Dit stuk in 1 minuut
  • Gisteren legde de Autoriteit Persoonsgegevens de Belastingdienst een boete op van 3,7 miljoen euro. De Belastingdienst kreeg die boete vanwege de jarenlange illegale verwerking van persoonsgegevens in de Fraude Signalering Voorziening (FSV), een zwarte lijst waarop de Belastingdienst signalen van fraude bijhield. 
  • In totaal staan er  zo’n 270 duizend mensen in de FSV.De Belastingdienst zegt circa 200 duizend van hen te hebben geïnformeerd dat zij op die zwarte lijst staan.
  • Wie op deze lijst staat, krijgt automatisch een ‘vinkje’. Dat vinkje volgt je door alle systemen van de overheid heen en heeft grote consequenties: je krijgt geen uitstel van betaling, geen lening, geen krediet, geen schuldhulpverlening. Je bent immers ‘fraudeur’.
  • Drie erkende gedupeerden poogden, in samenwerking met advocatenkantoor SOLV en Follow the Money, inzage te krijgen in de gegevens die de Belastingdienst over hen heeft. Ze willen weten of ze op deze (of een andere) zwarte lijst staan en waarom. De eerste brieven daarover verstuurden we in juli 2021 naar de Belastingdienst. Bijna een jaar later zijn we nog geen steek verder.
  • De Belastingdienst zegt veel gegevens niet te kunnen vinden of de oorsprong ervan niet te kunnen traceren. Ook beroept de Belastingdienst zich geregeld op een verschoningsgrond, en stelt dat zij gegevens in het belang van het onderzoek niet kan delen – ook niet met de direct betrokkenen, zelfs ook niet als zij ‘erkend gedupeerd’ zijn.
  • Experts spreken van een strategie die erop is gericht zo min mogelijk over de werking van de FSV los te laten. Volgens hen is die opstelling van de Belastingdienst in strijd met de wet.
Lees verder

Privacy-advocaat Lora Mourcous kijkt nog eens goed naar haar beeldscherm. Het is eind maart 2022. Negen maanden geleden vroeg Mourcous de Belastingdienst namens drie gedupeerden van de toeslagenaffaire om inzage in de gegevens die de dienst over hen heeft. Ze willen vooral weten of ze voorkomen op de beruchte ‘zwarte lijsten’ van potentiële ‘fraudeurs’.

Hoewel de wettelijke termijnen al lang en breed zijn verstreken, blijft een sluitend antwoord achterwege. Daarom vroeg Mourcous de Belastingdienst een paar dagen geleden nog maar eens om opheldering. Waar blijft de gevraagde informatie? Hoe kan het dat dit zo lang duurt?

Hoopvol klikt ze op de mail van de Belastingdienst. Maar ook vandaag krijgt ze geen uitsluitsel: ‘Ik kan het helaas niet mooier maken dan het is,’ schrijft de ambtenaar van dienst. Mourcous is verbouwereerd door het gebrek aan urgentie.

De reactie is kenmerkend voor de houding van de dienst jegens de gedupeerden van de toeslagenaffaire. Uit onderzoek van Follow the Money blijkt dat de Belastingdienst allerlei middelen inzet om hen geen duidelijkheid te verschaffen. En daarbij handelt de dienst volgens experts onrechtmatig.

Geen vangnet voor gedupeerden

Een jaar geleden maakte Follow the Money kennis met Derya Selvi, een erkend gedupeerde van de toeslagenaffaire.

Selvi raakte door het schandaal haar man, huis en baan kwijt. Bij welke overheidsinstantie ze ook aanklopt, ze wordt nergens geholpen. Ook schuldhulpverlening krijgt ze niet. Ze heeft volgens de Belastingdienst immers fraude gepleegd en dat ‘vinkje’ volgt haar door alle systemen van de overheid heen. Het sociale vangnet sluit haar uit: ze heeft haar financiële problemen immers aan zichzelf te danken.

In een poging zich van het stempel te verlossen probeert ze, samen met een aantal andere gedupeerden, een nieuw burgerservicenummer (BSN) te krijgen. Toenmalig staatssecretaris Alexandra van Huffelen krijgt daar Kamervragen over. Zij ziet daar geen heil in en antwoordt dat het niet aannemelijk is dat een nieuw BSN ‘schoon schip’ betekent voor de gedupeerden. Zelfs dat zorgt er immers niet voor dat ‘alle vinkjes’ goed komen te staan, noch dat het ‘administratieve verleden van burgers wordt geschoond’.

De overheid heeft geen idee waar onjuiste informatie over burgers in haar eigen netwerken terechtkomt en hoe onrechtmatige fraudevinkjes zijn te herstellen

De staatssecretaris belooft met toenmalig staatssecretaris van Binnenlandse Zaken Raymond Knops te kijken naar de mogelijkheid van een nieuw BSN, maar wil eerst goed laten onderzoeken ‘in welke overheidsregistraties de gedupeerde ouders met onjuiste informatie staan geregistreerd’ en vervolgens ‘hoe deze zo snel mogelijk kan worden verwijderd’. 

Van Huffelen zegt daarmee impliciet dat de overheid geen idee heeft waar onjuiste informatie over burgers in haar eigen netwerken terechtkomt en hoe onrechtmatige fraudevinkjes zijn te herstellen.

Zwarte lijsten 

Met een aantal gedupeerden, onder wie Selvi, besluit Follow the Money uit te zoeken of zij een vinkje achter hun naam hebben, en zo ja, waarom. Met het Amsterdamse advocatenkantoor SOLV, waar Mourcous werkt, verzochten wij een groot aantal overheidsinstanties om inzage in hun persoonsgegevens. 

We begonnen bij de Belastingdienst. In juli 2021 vroegen we de dienst op basis van de Algemene Verordening Gegevensbescherming (AVG) om inzage in die gegevens en dan met name die van de beruchte Fraude Signalering Voorziening (FSV) en vergelijkbare ‘zwarte lijsten’.

De FSV was oorspronkelijk bedoeld als risico-inventarisatielijst. Maar wie erop terechtkwam werd in de praktijk als fraudeur bestempeld en behandeld. De drempel was ontstellend laag. Een tip van een boze buurman of een wraakzuchtige ex over je nieuwe auto kon voldoende zijn. De FSV is niet alleen gebruikt bij toeslagen, maar ook bij de beoordeling van inkomsten-, omzet- en vennootschapsbelasting en loonheffing. Uiteindelijk kwamen zo meer dan 270.000 belastingplichtigen op deze zwarte lijst terecht.

Mensen op de lijst kwamen onder ‘intensief’ of ‘verscherpt’ toezicht van de Belastingdienst te staan

Sinds RTL Nieuws en Trouw begin 2020 voor het eerst over de FSV berichtten, zijn er onderzoeken naar de lijst uitgevoerd door de Belastingdienst zelf, door de Autoriteit Persoonsgegevens (AP), en door accountantskantoren KPMG en PWC. Hun unanieme conclusie is dat deze lijst in strijd is met de AVG, en dus onrechtmatig is. Op 12 april 2022 legde de AP de Belastingdienst een recordboete op van 3,7 miljoen euro voor de ‘jarenlange illegale verwerking van persoonsgegevens’ in de FSV.

Maar nog altijd is niet duidelijk wat de precieze gevolgen zijn voor de mensen die op de lijst staan. Wel zeker is dat het grote financiële consequenties kon hebben. Volgens PWC werden toeslagen in veel gevallen ‘zonder het plegen van onderzoek direct stopgezet’, zelfs wanneer die rechtmatig waren toegekend.

Mensen op de lijst kwamen onder ‘intensief’ of ‘verscherpt’ toezicht van de Belastingdienst te staan. Dit leidde er in veel gevallen toe dat verzoeken om een persoonlijke betalingsregeling of schuldsanering automatisch werden afgewezen. Gedupeerden moesten de vermeend te veel ontvangen toeslagen en andere belastingschulden bovendien snel terugbetalen, ongeacht of ze dat konden, en zelfs wanneer hun onschuld was bewezen.

Belastingdienst weigert duizenden mensen inzage 

Het is dus van groot belang om te weten of je gegevens voorkomen in de FSV (of andere zwarte lijsten), en waarom. De Belastingdienst doet er echter alles aan om dat te voorkomen. 

Neem Ellen Haarsma. Ze hoorde van de Belastingdienst dat ze op de FSV-lijst stond. Ze vroeg de dienst waarom, maar haar vraag werd afgewezen. Op basis van een ‘individuele afweging’ kwam de Belastingdienst tot de conclusie ‘dat geen inzage kan worden verleend in de persoonsgegevens die van u in FSV werden verwerkt’.

De dienst volstaat met een verwijzing naar artikel 23 van de AVG. Daarin staan tien uitzonderingen op basis waarvan een inzageverzoek kan worden geweigerd. Bijvoorbeeld als dat noodzakelijk is voor de vervolging van strafbare feiten, het houden van toezicht of de bescherming van de rechten en vrijheden van anderen. De dienst specificeert echter niet welke uitzonderingsgrond op Haarsma van toepassing is, noch waarom.

De staatssecretaris erkent dat ‘de oorsprong van veel registraties niet meer te achterhalen’ is

En dat is geen incident. In antwoord op Kamervragen van de SP meldde staatssecretaris van Financiën Marnix van Rij (CDA) op 18 februari 2022 dat slechts 611 van de 1033 mensen die de Belastingdienst vroegen waarom zij in de FSV voorkwamen, antwoord kregen. In de overige ruim 400 gevallen wilde (of kon) de Belastingdienst geen antwoord geven. 

De dienst kan, zo erkent de staatssecretaris, ‘de oorsprong van veel registraties namelijk niet meer achterhalen’. Hij voegt daaraan toe dat de Belastingdienst ‘in specifieke gevallen’ een verzoek om inzage afwijst met een beroep op dat eerdergenoemde artikel 23 AVG. De Belastingdienst hoeft volgens de staatssecretaris in die gevallen niet te vertellen op welke uitzonderingsgrond uit dat artikel dat gebeurt. Mensen die geen genoegen met die uitleg nemen, moeten in bezwaar of beroep.

Juridisch onhoudbaar 

Van de 200 duizend mensen die volgens de Belastingdienst zijn geïnformeerd dat zij op de zwarte lijst staan, weten er dus maar 611 waarom dat zo is.

‘Hier gaat iets helemaal mis,’ zegt René Mahieu tegen Follow the Money. Hij doet aan de Vrije Universiteit Brussel promotieonderzoek naar het recht van burgers in Europa op inzage in hun persoonsgegevens. Hij wijst erop dat dit recht alleen onder strikte voorwaarden mag worden beperkt, en daaraan lijkt niet te zijn voldaan. De Belastingdienst beroept zich volgens Mahieu in feite op twee uitzonderingsgronden: een verondersteld opsporingsbelang en de bescherming van de veiligheid van derden die hebben getipt of geklikt.

‘Als er een opsporingsbelang is, is het logisch dat men daar niets over wil zeggen, maar dat zou betekenen dat er tegen al deze gedupeerden nog strafrechtelijke onderzoeken lopen en dat er een opsporingsbelang is om dat geheim te houden. Het is echter zeer de vraag of dat belang – als het er al is – in de context van de toeslagenaffaire opweegt tegen het belang van gedupeerden bij duidelijkheid. Helemaal omdat vaststaat dat de FSV onrechtmatig is.’

René Mahieu, Vrije Universiteit Brussel

Het recht op inzage mag alleen worden ingeperkt als dat noodzakelijk is en dat moet je per geval motiveren

De Belastingdienst kan zich volgens Mahieu ook niet zo maar beroepen op de bescherming van de belangen van derden, zoals de tippende buurman of de boze ex. Hij constateert dat de staatssecretaris als uitgangspunt lijkt te nemen dat gedupeerden die door tips of geklik in de FSV zijn gekomen, standaard geen inzage krijgen.

‘Dat is juridisch niet houdbaar. Het recht op inzage mag alleen worden ingeperkt als dat noodzakelijk is en dat moet je per geval motiveren. Maar zelfs als de Belastingdienst daarin zou slagen, is het zeer de vraag of het belang van een tipgever of een medewerker van de dienst opweegt dat van een gedupeerde.’ 

‘Daarbij kan de Belastingdienst ervoor kiezen om informatie over tipgevers te anonimiseren,’ vervolgt hij. ‘Dan wordt tenminste nog gedeeltelijk aan het belang van gedupeerden tegemoet gekomen. De dienst maakt zich er makkelijk vanaf.’

Privacy-advocaat Douwe Linders van SOLV is het met die analyse eens. De suggestie van Van Rij dat gedupeerden dan maar in bezwaar of beroep moeten gaan, wijst hij van de hand. ‘Voor gedupeerden is niet duidelijk waartegen ze bezwaar moeten maken. Je kunt betogen dat dit in strijd is met het recht op een eerlijk proces. Eigenlijk verwacht ik dat rechters gedupeerden snel gelijk zullen geven als dit soort zaken voor de rechter komt.’

‘Belangrijker is dat veel gedupeerden financieel en emotioneel niet in staat zijn om bezwaar te maken of in beroep te gaan. Het lijkt mij sterk dat de staatssecretaris dat niet weet. Dat categorisch afwijzen van inzageverzoeken lijkt gewoon een eerste verdedigingslinie: er vallen dan veel klagers af.’

Cruciaal onderdeel blijft onbesproken 

De verzoeken die Follow the Money en SOLV indienden hadden iets meer succes, zij het marginaal. En we moesten er lang op wachten.

Op 2 juli 2021 vroegen we de Belastingdienst om inzage in – onder meer – de gegevens die in de FSV en vergelijkbare lijsten werden verwerkt. We deden navraag over drie gedupeerden: Derya Selvi, Eefke Postma en Janet Ramesar. Ruim zes maanden later, eind december 2021, vielen de beslissingen op de mat. Conclusie: Postma stond niet in de FSV, Selvi en Ramesar wel, maar van die laatste twee kon de Belastingdienst niet uitleggen waarom.

De beslissingen waren bovendien ‘deelbeslissingen’. Dat wil zeggen dat de Belastingdienst zegt alleen te hebben beslist ten aanzien van de verwerking van de persoonsgegevens ‘bij de belastingdienst als heffer en inner van rijksbelastingen’. De beslissing betreft niet de verwerking van hun persoonsgegevens door de afdeling Toeslagen – waar het de gedupeerden van de toeslagenaffaire nu juist om was te doen.

‘Het recht van de gedupeerden op inzage wordt totaal niet serieus genomen’

De ambtenaar van dienst beloofde plechtig alsnog ‘zo snel mogelijk’ op dit cruciale onderdeel te zullen beslissen. Maar dik drie maanden en meerdere e-mails, brieven en telefoontjes later, is dat nog altijd niet gebeurd. De behandelaar van de verzoeken is niet bereikbaar, en andere medewerkers van de dienst kunnen ons niets vertellen.

Kortom: ruim negen maanden na de verzending van de oorspronkelijke verzoeken aan de Belastingdienst hebben Selvi, Postma en Ramesar nog steeds geen volledig antwoord op de vraag of hun gegevens in de FSV zijn opgenomen en waarom. Op de vraag of zij naast de FSV ook op alternatieve zwarte lijsten voorkomen is zelfs helemaal niet gereageerd.

‘De Belastingdienst heeft in eerste instantie één maand de tijd om inzageverzoeken te beantwoorden,’ zegt advocaat Mourcous. ‘Die termijn kan onder voorwaarden met maximaal twee maanden worden verlengd. Ze schieten hier dus volledig uit de bocht en reageren niet op herinneringen. Het recht van de gedupeerden op inzage wordt totaal niet serieus genomen.’

Belastingdienst parkeert inzage in andere zwarte lijsten 

Ook wanneer de Belastingdienst de vraag naar ‘andere zwarte lijsten’ wel in behandeling neemt, hoef je als gedupeerde (voorlopig) niet op antwoord te rekenen. 

Batya Brown is al bijna negen jaar in gevecht met de Belastingdienst. De opvang waar haar kinderen naartoe gingen, bleek te veel toeslag voor haar te hebben ontvangen. De opvang stortte het te veel ontvangen bedrag echter niet volledig terug. En toen de opvang over de kop ging, moest Brown de duizenden euro's die resteerden zelf terugbetalen.

Brown vroeg de Belastingdienst ook of haar gegevens voorkwamen in de FSV of op andere zwarte lijsten. Begin dit jaar ontving ze bericht dat haar gegevens niet in de FSV voorkwamen. Haar verzoek om inzage in vergelijkbare systemen werd afgewezen.

René Mahieu, Vrije Universiteit Brussel

Als je het inzagerecht zo lang wilt blokkeren, is er een specifieke wettelijke basis nodig, maar die ontbreekt. Dit is onrechtmatig

De Belastingdienst verwijst daarbij naar het concept plan van aanpak dat de voormalig staatssecretarissen Van Huffelen en Vijlbrief op 13 oktober 2020 naar de Tweede Kamer stuurden. Daarin kondigen ze aan dat de Belastingdienst alle applicaties en processen die de dienst gebruikte zou toetsen aan onder meer de AVG. Dat zou, gezien de omvang van dat onderzoek, volgens hen ‘meer tijd vergen’. Verwijzend naar dat conceptplan schrijft de Belastingdienst aan Brown dat dit onderzoek ‘ten minste drie jaar’ zal duren. Haar inzageverzoek wordt afgewezen tot dit onderzoek is afgerond.

De termijn van drie jaar wordt echter niet genoemd in het conceptplan van oktober 2020 en bovendien zijn we alweer ruim anderhalf jaar verder. Mahieu kan er dan ook kort over zijn: ‘Als je het inzagerecht zo lang wilt blokkeren is er een specifieke wettelijke basis nodig, maar die ontbreekt. Dit is onrechtmatig.’

Advocaat Lora Mourcous: ‘Op zich is het begrijpelijk dat de Belastingdienst eerst alles goed wil uitzoeken en in de tussentijd niet geconfronteerd wil worden met duizenden inzageverzoeken waarop zij mogelijk verkeerd of onvolledig antwoord geeft. Maar in dit geval hebben ze die situatie helemaal aan zichzelf te danken. Burgers mogen daar niet de dupe van worden. Een rechter zal daar ook zo naar kijken.’

SOLV-advocaat Linders wijst erop dat in december 2021 al is vastgesteld dat er in ieder geval 132 lijsten zijn gebruikt voor de verwerking van risico- of fraudesignalen. ‘Geef dan op zijn minst aan of mensen daarop staan. Geef mensen de informatie die je al wel kunt delen.’

‘Wat als er nog ergens een vinkje staat en ik geen Verklaring omtrent gedrag krijg – raak ik dan mijn baan weer kwijt?’

Onzekerheid duurt voort 

Het kan dus nog jaren duren tot de Belastingdienst opheldert of de genoemde gedupeerden in een van de ruim honderd andere ‘risico-inventarisatielijsten’ van de Belastingdienst staan, en zo ja: waarom.

Al die tijd verkeren ze in onzekerheid, beaamt Selvi: ‘Dat ik nog steeds niet weet waar en hoe ik geregistreerd sta, maakt me angstig. Ik heb net een nieuwe baan als ambtenaar van de burgerlijke stand. Wat als er nog ergens een vinkje staat en ik geen Verklaring omtrent gedrag krijg: raak ik dan mijn baan weer kwijt? Zo kan ik dit hoofdstuk nooit afsluiten.’

De Belastingdienst kan die situatie niet laten voortbestaan. ‘Die moet de instanties die informatie uit de FSV hebben verkregen, zelf informeren dat die informatie onrechtmatig is,’ zegt Mahieu. ‘En ze moeten betrokkenen daarvan op de hoogte stellen. Burgers hebben er volgens het Europese Hof van Justitie recht op en belang bij om het dataspoor te kunnen volgen. Alleen zo kan de werking van dit onrechtmatige systeem blootgelegd en hersteld worden.’ 

De Belastingdienst, die vrijdag  8 april om een reactie is gevraagd, meldde gisteren pas na Pasen te kunnen reageren.