De oplegging van deze boete lag in de lijn der verwachting gelet op de ernst van de situatie en impact van de toeslagenaffaire op de samenleving. Daarnaast verrast het niet dat de AP een recordboete oplegt, gelet op de ernst van de situatie.

Feiten

De AP onderzocht de verwerkingen van de (dubbele) nationaliteit van aanvragers van kinderopvangtoeslag door de Belastingdienst en publiceerde hierover het onderzoeksrapport d.d. 16 juli 2020, “Belastingdienst/Toeslagen, De verwerking van de nationaliteit van aanvragers van kinderopvangtoeslag”.

Uit het Onderzoeksrapport blijkt dat de AP ten aanzien van 3 verwerkingen constateert dat deze onrechtmatig zijn. Ten eerste sloeg de Belastingdienst de dubbele nationaliteit van aanvragers op in het zogenoemde "Toeslagen Verstrekking Systeem" (TVS), zonder dat deze gegevens nodig waren voor de uitvoering van haar taak. Ten tweede gebruikte de Belastingdienst de nationaliteit van aanvragers als een indicator in een risico-classificatiemodel (een systeem dat automatisch risicovolle aanvragen selecteert waarop personele capaciteit wordt ingezet). Ten derde gebruikte de Belastingdienst de nationaliteit van aanvragers in het kader van de opsporing van fraude.  

De AP concludeert niet alleen dat de verwerkingen onrechtmatig zijn, maar ten aanzien van twee verwerkingen concludeert de AP ook dat deze discriminerend en onbehoorlijk zijn.

Juridisch kader

De AP legt de boete op vanwege een overtreding van zowel de AVG als de Wbp. De Wbp is ingetrokken toen de AVG toepasselijk werd. In dit boetebesluit past de AP de Wbp nog toe, omdat een deel van de overtreding plaatsvond vóórdat de AVG toepasselijk werd. Op de voor de onderhavige situatie relevante punten, verschillende AVG en de Wbp niet zo erg van elkaar.

Nationaliteit valt onder de definitie van persoonsgegevens zoals bedoeld in artikel 4, aanhef, en onder 1 AVG en artikel 1, aanhef en onder a, Wbp. Het gaat immers om informatie van een voor de Belastingdienst identificeerbare natuurlijke persoon. Op grond van artikel 5, lid 1 onder a AVG, mogen persoonsgegevens alleen worden verwerkt op een manier die rechtmatig, behoorlijk en transparant is. Daarnaast kan de verwerking van persoonsgegevens alleen rechtmatig geschieden, als een van de gronden uit artikel 6 AVG dit rechtvaardigt. Bijzondere persoonsgegevens - zoals persoonsgegevens over ras, gezondheid en religie - worden door de AVG (en voorheen door de Wbp) extra beschermd.  Die persoonsgegevens mogen in beginsel niet worden verwerkt, maar artikel 9 AVG kent een aantal uitzonderingen op dat verbod.

Signaleringen

Het lag uiteraard in de lijn der verwachting dat de AP een (hoge) boete zou opleggen aan de Belastingdienst. Niet in de laatste plaats omdat de AP in haar jaarverslag 2020 al aankondigde dat de 'digitale overheid' één van haar focusgebieden is en blijft. Het is niet de eerste keer dat een overheidsinstantie op de vingers wordt getikt met betrekking tot de verwerking van persoonsgegevens in het kader van fraudebestrijding. Onder meer droeg de AP de GGD in november 2021 op om persoonsgegevens beter te beschermen en legde de AP in mei 2021 een boete op aan het UWV. Ook de rechtbank Den Haag oordeelde in februari 2020 dat een overheidsorgaan zijn verwerking van persoonsgegevens moest aanpassen: het gebruik van het SyRi-fraudebestrijdingssysteem werd in strijd met artikel 8 EVRM geoordeeld (Rb. Den Haag 5 februari 2020, ECLI:NL:RBDHA:2020:865). Interessant om hierbij op te merken is dat de civiele rechter in voornoemde uitspraak niet (expliciet) inging op artikel 6, eerste lid, en onder e AVG ondanks dat strijdigheid met dit artikel wel werd gesteld door de eisende partij. Nu kiest de AP ervoor om een op bepaalde punten vergelijkbaar fraudebestrijdingssysteem wel in strijd met artikel 6, eerste lid, onder e AVG te achten.

Uit het Onderzoeksrapport volgde dat de AP eerder ook had onderzocht of met de verwerking van nationaliteit sprake was van een verwerking van bijzondere persoonsgegevens, meer specifiek gegevens over raciale of etnische afkomst. Indien dergelijke persoonsgegevens zouden worden verwerkt zonder juridische basis zou sprake zijn van een overtreding van artikel 9 AVG (evenals voorheen artikel 16 Wbp), die volgens de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (Staatscourant 14 maart 2019, nr. 14586) (de Boetebeleidsregels) tot een hogere boete zou hebben geleid dan de boete voor de overtreding die uiteindelijk is vastgesteld.

Ten aanzien van de kwalificatie van nationaliteit als bijzonder persoonsgegeven merkte de AP in het Onderzoeksrapport allereerst op dat uit Nederlandse rechtspraak volgt dat voor deze kwalificatie belang toekomt aan overige verwerkte persoonsgegevens. Wanneer nationaliteit in combinatie met overige persoonsgegevens zou worden verwerkt, zoals geboorteland of geboorteplaats, zou dit kunnen leiden tot de kwalificatie van nationaliteit als bijzonder persoonsgegeven. Daarnaast overwoog de AP dat de context van de verwerking er in bepaalde gevallen toe kan leiden dat nationaliteit op zichzelf kwalificeert als bijzonder persoonsgegeven. Daarvan zou sprake zijn als de verwerking van nationaliteit het doel heeft om onderscheid te maken naar ras of etnische afkomst, of indien redelijkerwijs kan worden voorzien dat de verwerking tot het maken van een dergelijk onderscheid leidt.

Volgens de website van de AP vormt dit ook in bepaalde andere situaties de maatstaf om vast te stellen of persoonsgegevens kwalificeren als bijzondere persoonsgegevens. Reeds in het Onderzoeksrapport kwam de AP tot de conclusie dat nationaliteit zoals deze door de Belastingdienst werd verwerkt niet kwalificeert als bijzonder persoonsgegeven, omdat geen indirect verband tussen nationaliteit en ras en etnische afkomst kon worden vastgesteld. In het boetebesluit wordt hier verder dan ook niet op ingegaan.

Hoogte van de boete

De AP legt een boete op van in totaal EUR 2,75 mio, die bestaat uit: EUR 750.000 voor het onrechtmatig opslaan van de tweede nationaliteit, EUR 1 mio voor het gebruiken van de nationaliteit als indicator voor het risico-classificatiemodel en EUR 1 mio voor het gebruiken van de nationaliteit bij het opsporen van georganiseerde fraude). Bij het bepalen van de hoogte van de boete, past de AP de Boetebeleidsregels toe. Vanwege de ernst van de genoemde overtredingen verhoogt de AP de in de boetebeleidsregels genoemde basisboetebedragen aanzienlijk conform het systeem uit de genoemde boetebeleidsregels.

Naar aanleiding van het onderzoek van de AP was de Belastingdienst al aan de slag gegaan met het beëindigen van de overtreding. In de zomer van 2020 had de Belastingdienst de (dubbele) nationaliteiten uit haar systemen verwijderd en daarmee ook de overtreding beëindigd. Dat de overtreding door de Belastingdienst beëindigd was voordat de AP de boete oplegde, leidt echter niet tot boetematiging. De AP vindt de overtredingen dermate ernstig dat voor een matiging in het geheel geen plaats lijkt te zijn.

Afsluitend

Door of namens de Minister is nog niet gereageerd op de opgelegde boete. Hoewel uit de reactie naar aanleiding van het Onderzoeksrapport en de zienswijze die de Minister indiende naar aanleiding van de vooraankondiging van deze boete wel volgt dat de Minister erkent dat de genoemde overtredingen door de Belastingdienst zijn begaan, is niet uitgesloten dat de Minister nog wel in bezwaar gaat tegen deze boete vanwege bijvoorbeeld de hoogte daarvan. Of de Minister dit gaat doen, is nog niet bekendgemaakt.

Met dank aan David van de Velde voor zijn hulp bij het schrijven van deze blog.