De Autoriteit Persoonsgegevens publiceerde vorige week haar besluit tot het opleggen van een verwerkingsverbod aan de minister van Financiën voor het verwerken van Burgerservicenummers (BSN’s) in btw-identificatienummers door de Belastingdienst.
Auteurs: Anke Holtland, Jacobine van Beijeren
De Belastingdienst is belast met het verstrekken van btw-identificatienummers aan ondernemingen. Deze btw-identificatienummers stelt de Belastingdienst voor eenmanszaken vast door het BSN van de betrokken natuurlijke persoon aan te vullen met ‘NL’ (voor het BSN) en ‘B’ (achter het BSN). Als gevolg daarvan is het BSN gemakkelijk af te leiden uit het btw-identificatienummer.
Het btw-identificatienummer wordt in het zakelijk verkeer veel gebruikt. In sommige gevallen is het gebruik daarvan zelfs verplicht. Het is voor eenmanszaken bijvoorbeeld verplicht om het btw-identificatienummer te vermelden op hun website als zij online diensten aanbieden. Daarnaast is het verplicht om btw-identificatienummers kenbaar te maken aan (potentiele) afnemers op facturen die de eenmanszaak uitstuurt. Het btw-identificatienummer wordt door meer dan 1,1 miljoen eenmanszaken gebruikt.
De AP startte in 2017 een onderzoek naar deze handelwijze van de Belastingdienst en bracht hierover op 26 juni 2018 een rapport uit. Daarin stond onder meer dat een wettelijke grondslag voor het gebruik van BSN’s door de Belastingdienst ontbreekt. Het BSN mag alleen worden verwerkt als dat bij wet is voorgeschreven.
De Belastingdienst mag (als overheidsorgaan) BSN’s gebruiken (op grond van artikel 10 van de Wet algemene bepalingen Burgerservicenummer (Wabb)) voor zover dit noodzakelijk is voor het uitvoeren van haar taak. Het gebruik van BSN’s om btw-identificatienummers vast te stellen is echter niet ‘noodzakelijk’ en daarom niet toegestaan.
Op het moment dat de AP dit onderzoek startte (in 2017) was de Wet bescherming persoonsgegevens (Wbp) nog van toepassing. De intrekking van de Wbp en de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) (en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG)) leiden er niet toe dat dit onderzoek niet meer relevant is, omdat het gebruik van de btw-identificatienummers een voortdurende verwerking betreft en de regels voor de verwerking van BSN’s gelijk zijn gebleven onder de AVG en UAVG.
De Belastingdienst heeft de problemen die de AP in haar rapport signaleert erkend. De Belastingdienst stelt dat de implementatie van een andere nummersystematiek minstens vijf jaar zal kosten, omdat het IT-landschap bij de Belastingdienst in algemene zin moet worden aangepast. Dit proces kan sneller verlopen als hieraan politieke prioriteit wordt gegeven en als hiervoor meer budget beschikbaar wordt gesteld. Uit het besluit van de AP volgt niet waarom het aanpassen van het gebruik van BSN’s niet kan worden losgekoppeld van het aanpassen van het IT-landschap van de Belastingdienst.
De AP heeft diverse handhavingsmogelijkheden waaronder het nemen van corrigerende maatregelen. De AP heeft er in dit geval voor gekozen om gebruik te maken van haar bevoegdheid om een verwerkingsverbod op te leggen op grond van artikel 58 lid 2 sub f AVG. Het opgelegde verwerkingsverbod strekt ertoe dat de Belastingdienst voor 1 januari 2020 moet zorgen dat zij geen BSN’s meer gebruikt in de btw-identificatienummers van eenmanszaken. Indien de Belastingdienst dit na 1 januari 2020 nog wel doet, kan de AP een bestuurlijke boete opleggen voor het niet naleven van het verwerkingsverbod en/of voor het overtreden van de AVG en de UAVG met deze verwerking.
De AP geeft de Belastingdienst dus iets langer dan één jaar om te stoppen met het gebruik van BSN’s. Dit is aanzienlijk korter dan de termijn van vijf jaar die de Belastingdienst stelt nodig te hebben om dit gebruik te beëindigen. De AP motiveert deze termijn door te stellen dat de Belastingdienst dit gebruik sneller zou kunnen beëindigen als hiervoor meer budget zou worden vrijgemaakt, hetgeen een kwestie van politieke prioriteit is.
In dit kader is van belang dat het gebruik van BSN’s gevoelig zijn voor identiteitsfraude. Daarnaast betreft het een groot aantal betrokkenen. Het is daarom begrijpelijk dat de AP met deze maatregel wat meer druk uitoefent op de Belastingdienst.
Het opleggen van een verwerkingsverbod is niet de enige handhavingsmaatregel die de AP kan opleggen. De AP kan bijvoorbeeld ook een last onder dwangsom opleggen. Het effect van het opleggen van een verwerkingsverbod en daarna een eventuele boete als de Belastingdienst zich niet aan het verwerkingsverbod houdt, heeft een vergelijkbaar effect als het opleggen van een last onder dwangsom. Uit het besluit volgt niet waarom de AP voor deze route heeft gekozen in plaats van het opleggen van een last onder dwangsom.
Dit artikel is ook te vinden in het dossier AVG.
