Afgelopen jaar is de AP een onderzoek gestart naar etnisch profileren binnen de Belastingdienst.(1) Op 17 juli 2020 heeft de privacytoezichthouder haar onderzoeksrapport gepubliceerd, waarin zij concludeert dat de verwerking van gegevens over etnische achtergrond en/of (tweede) nationaliteit bij behandeling van kinderopvangtoeslagaanvragen door de Belastingdienst in strijd was met de AVG.(2) De publicatie ging vooraf aan een reeks nieuwe onthullingen over ‘etnisch profileren’ door de Belastingdienst. De Belastingdienst werd namelijk opnieuw in verlegenheid gebracht, omdat ook bij controle van voorlopige belastingaanvragen gegevens over nationaliteit werden verwerkt. Het ziet ernaar uit dat deze kwestie binnen de Belastingdienst voorlopig nog wel voortduurt. Waar ging het precies mis en wat staat er mogelijk nog te wachten?
Het eerste punt zag op de onrechtmatige verwerking van gegevens over een tweede nationaliteit. Sinds 2014 ontvangt de fiscus namelijk enkel nog gegevens over de eerste nationaliteit van burgers, voor zover noodzakelijk voor de vervulling van haar publieke taak. Deze gegevens worden door de Belastingdienst verwerkt in het organisatie-brede informatiesysteem Beheer van Relaties (BVR), wat binnen de Belastingdienst weer de basis van de eigen administratie van de verschillende afdelingen vormt. Ondanks het feit dat gegevens niet meer verstrekt worden sinds 2014, bevat het BVR deze nog altijd wel gegevens over de tweede nationaliteit, die door de Belastingdienst worden gebruikt. Dit is in strijd met de Algemene verordening gegevensbescherming (AVG), nu deze verwerking niet (meer) noodzakelijk was voor de publiek taakuitvoering strijdig is met bijvoorbeeld het beginsel van dataminimalisatie.
Ten tweede was sprake van een onrechtmatige verwerking. Voor de beoordeling van toeslagaanvragen voor kinderopvang maakt de Belastingdienst gebruik van een risico-classificatiemodel, zijnde een algoritme dat op basis van verschillende criteria automatisch aanvragen selecteert met een (hoog) risico op onjuistheid. Geselecteerde aanvragen worden vervolgens handmatig door een medewerker beoordeeld.
Dit is een vorm van profileren nu sprake is van een geautomatiseerde verwerking van persoonsgegevens die de aanvrager kunnen classificeren als zijnde risicovol aan de hand van persoonlijke aspecten. Een van die aspecten is het hebben van een andere nationaliteit dan de Nederlandse. Dit heeft dus tot gevolg dat personen met een niet-Nederlandse nationaliteit een grotere kans op een handmatige controle hebben. Dit onderscheid is niet redelijk en objectief gerechtvaardigd, omdat de nationaliteit van een aanvrager niet in alle gevallen iets zegt over diens recht op toeslag. Daarmee is de verwerking disproportioneel gelet op de beoogde risicobeheersing en dus onrechtmatig.
Tot slot overwoog de Autoriteit Persoonsgegevens (AP) dat sprake was van discriminerend en onbehoorlijk handelen. Hoewel nationaliteit op zichzelf geen bijzonder persoonsgegevens is, kan soms een koppeling worden gemaakt tussen iemands nationaliteit en iemands ras en/of etnische afkomst. De AP overwoog in dit kader dat nationaliteit als bijzonder persoonsgegeven moet worden beschouwd, wanneer deze verwerkt wordt met het doel om onderscheid te maken naar ras of etnische afkomst.(3) De AP meent dat dit bij de Belastingdienst niet het geval was. Volgens de AP wordt echter wél een onderscheid gemaakt tussen aanvragers met de Nederlandse nationaliteit ten opzichte van diegenen met een andere nationaliteit, wat door de fiscus niet objectief kan worden gerechtvaardigd. Dit komt omdat er betere, althans, meer objectieve criteria voorhanden zijn die aan het risico-classificatiesysteem ten grondslag kunnen worden gelegd. Het onderscheid wat door de Belastingdienst op basis van nationaliteit wordt gemaakt is daarom onbehoorlijk en discriminerend.
De conclusies van de AP verrassen niet, maar benadrukken wel een aantal elementen die van belang zijn in de praktijk. Vooropgesteld: de gegevensbeschermingsbeginselen blijven leidend bij een verwerking. Allereerst wordt namelijk bevestigd dat de rechtmatigheid van een verwerking (ook) wordt bepaald door de noodzaak daarvan. Of het nu gaat om opslag van gegevens of analyse van gegevens, de noodzaak van de verwerking moet evident zijn voordat deze rechtmatig is. Ten tweede moet de verwerking proportioneel en doeltreffend zijn, voor het verwerkingsdoel. Tot slot dient men bij (geautomatiseerde) besluitvorming, in het bijzonder wanneer de uitkomst de betrokkene in aanmerkelijke mate kan raken, ervoor te waken dat de persoonlijke aspecten die daarin worden betrokken, niet in een ongerechtvaardigd onderscheid resulteren.
Gelet op de recente ontwikkelingen, ziet het ernaar uit dat de Belastingdienst voorlopig nog niet af zal zijn van de AP. Mogelijk volgt een sanctie of een vervolgonderzoek naar aanleiding van nieuwe feiten. Tegelijkertijd is het goed denkbaar dat ook gedupeerden zich zullen beraden, en wellicht verenigen, nu de AP heeft vastgesteld dat de Belastingdienst jegens hen onbehoorlijk en discriminerend heeft gehandeld. Aangezien het aantal schadevergoedingsclaims wegens inbreuken met de AVG langzaamaan toeneemt, en ook de collectieve (schadevergoedings)actie aan terrein wint, lijkt het eerder de vraag wanneer dan óf de eerste claim zich in dit verband bij de Belastingdienst aandient.
(1) Autoriteit Persoonsgegevens start onderzoek naar etnisch profileren door de Belastingdienst
(2) Werkwijze Belastingdienst in strijd met de wet en discriminerend
(3) Dient ‘nationaliteit’ te worden aangemerkt als regulier persoonsgegeven of bijzonder persoonsgegeven? – kwalificatie persoonsgegevens afhankelijk van relevante feiten en omstandigheden
Meer artikelen van Loyens & Loeff
