Belastingdienst schond privacywetgeving; persoonsgegevens belastingbetalers doorgestuurd naar Amerikaans bedrijf
De Belastingdienst heeft met het gebruik van Adobe Analytics de privacywetgeving overtreden. Dat erkent staatssecretaris Eddie van Eerenberg van Financiën in antwoord op Kamervragen van JA21. Via de trackingsoftware werden persoonsgegevens van bezoekers doorgestuurd naar het Amerikaanse bedrijf Adobe, terwijl daarvoor geen geldige wettelijke grondslag bestond. Inmiddels is de software uitgeschakeld en heeft de Belastingdienst een datalek gemeld bij de Autoriteit Persoonsgegevens.
De kwestie kwam aan het rollen na onderzoek van Mick Beer. Daaruit bleek dat Adobe via de website van de Belastingdienst gegevens ontving van burgers die online hun belastingzaken regelden. Volgens de staatssecretaris was het nooit de bedoeling dat daarbij persoonsgegevens zouden worden verwerkt. Toch gebeurde dat wel.
Van Eerenberg schrijft dat het gebruik van Adobe Analytics ‘niet in lijn was met de geldende ePrivacy-regels en de Algemene verordening gegevensbescherming (AVG)’. Daarom is de functionaliteit direct uitgeschakeld.
De staatssecretaris erkent dat vooraf niet is beoordeeld of het verwerken van persoonsgegevens noodzakelijk was of op een wettelijke grondslag kon steunen. ‘Daarom zijn de grondslag en de noodzakelijkheid niet beoordeeld. Als wij nu beoordelen welke gegevens zijn gedeeld, zijn wij van mening dat het niet noodzakelijk is om al deze gegevens te verwerken. De verwerking is dan ook gestopt.’
Volgens Van Eerenberg zal de Belastingdienst bij een eventuele nieuwe inrichting van website-analyses eerst beoordelen of daarvoor een wettelijke grondslag bestaat en of de verwerking noodzakelijk is.
JA21-Kamerlid Daniël van den Berg wilde ook weten waarom bezoekers geen toestemming kregen voor de trackingcookies die Adobe plaatste. Ook op dat punt erkent de staatssecretaris dat de Belastingdienst de regels heeft overtreden. ‘De inrichting voldeed niet aan de geldende ePrivacy-regels. Gelet op het gebruik van trackingcookies met een bewaartermijn van twee jaar en de aard en omvang van de verzamelde gegevens had toestemming gevraagd moeten worden.’
Grote hoeveelheid persoonsgegevens gedeeld
Uit de beantwoording blijkt dat een aanzienlijke hoeveelheid gegevens naar Adobe is verstuurd. Daarbij ging het volgens eerdere bevindingen onder meer om informatie over geopende belastingaanslagen en specifieke vorderingen.
Daarnaast bevestigt de staatssecretaris dat in ieder geval IP-adressen werden doorgestuurd. Hij sluit niet uit dat er nog meer persoonsgegevens zijn gedeeld. ‘Omdat niet duidelijk is wat een gebruiker gedeeld heeft in een vrij tekstveld of zoekmachine. Wel weten we dat het ip-adres in ieder geval meegezonden werd.’
Juist omdat niet volledig duidelijk is welke informatie allemaal is verzonden, heeft de Belastingdienst een datalek gemeld bij de Autoriteit Persoonsgegevens.
