Doordat de computersystemen bij de Belastingdienst geen logbestanden bijhouden, is het lastiger om een integriteitsonderzoek naar een medewerker in te stellen. De procedures voor logische toegangsbeveiliging zijn dit jaar echter aangescherpt. Zo zorgt de fiscus ervoor dat ambtenaren toegang hebben tot informatie van burgers en bedrijven die relevant is voor hun taakuitvoering.
Dat schrijft staatssecretaris van Fiscaliteit en Belastingdienst Marnix van Rij in een brief aan de Tweede Kamer.
Fiscus doet niet aan logging
Hij reageert daarmee op schriftelijke vragen van de VVD over het traceren van mogelijke corruptie bij de Belastingdienst. Begin oktober schreef NRC dat het voor de fiscus moeilijk is om te achterhalen welke informatie ambtenaren opvragen. Dat komt omdat de instantie geen loggegevens bijhoudt. Dat betekent dat medewerkers, in theorie, privacygevoelige gegevens van burgers en vertrouwelijke bedrijfsinformatie kunnen raadplegen en doorverkopen aan criminelen.
Naar aanleiding van de berichtgeving in NRC stelden Folkert Idsinga en Ingrid Michon-Derkzen (beiden VVD) kritische vragen aan staatssecretaris Van Rij en minister van Justitie en Veiligheid Dilan Yeşilgöz-Zegerius. De VVD’ers vroegen aan de bewindslieden onder meer hoe de Belastingdienst medewerkers controleert, en of er gevallen van corruptie bekend zijn.
Belastingdienst werkt met honderden, niet gekoppelde systemen
Staatssecretaris Van Rij heeft, mede namens minister Yeşilgöz-Zegerius, de vragen van de VVD-fractie beantwoord. Hij erkent ruiterlijk dat het klopt dat de computersystemen van de Belastingdienst niet registreren welke informatie ambtenaren opvragen. De systemen zijn volgens de staatssecretaris niet opgezet om dit soort informatie vast te leggen.
Loggegevens ontbreken voornamelijk omdat de Belastingdienst met zo’n 900 verschillende systemen werkt. Deze zijn niet aan elkaar gekoppeld. Daarnaast benadrukt de staatssecretaris dat het om oude systemen gaat waarbij het logging van het raadplegen van informatie niet is meegenomen in het ontwerp van de infrastructuur.
Dat is volgens Van Rij in beginsel geen probleem. “Organisatorisch is vanuit het autorisatiebeheer en functiescheiding geborgd dat als een medewerker geautoriseerd is voor een bepaald proces, de medewerker daarmee toegang krijgt tot de gegevens die nodig zijn voor het uitvoeren van die werkzaamheden”, zo schrijft hij.
Dit doet de fiscus om integriteitsschendingen tegen te gaan
Op de vraag of een integriteitsonderzoek naar een ambtenaar wordt bemoeilijkt doordat er geen loggegevens aanwezig zijn, erkent Van Rij dat dit inderdaad het geval is. Als er vermoedens bestaan dat een medewerker zich schuldig maakt aan corruptie, wordt daar melding van gedaan bij het Bureau Inlichtingen en Veiligheid (BIV) van de Fiscale Inlichtingen- en Opsporingsdienst (FIOD). Vorig jaar werden er in totaal elf onderzoeken uitgevoerd naar mogelijke integriteitsschendingen bij de Belastingdienst. In zeven gevallen bleek daar inderdaad sprake van te zijn.
De fiscus doet er alles aan om het probleem op te lossen. Bij nieuwe systemen wordt rekening gehouden met de need-to-know en privacy by design principes. “Dit betekent dat de systemen alleen inzicht moeten geven in de informatie die nodig is voor de uitoefening van een taak”, aldus de staatssecretaris. Bij oude systemen zijn de procedures voor logische toegangscontrole op aanraden van de Audit Dienst Rijk (ADR) aangescherpt.
Staatssecretaris Van Rij bevestigt dat ongeveer 10.000 van de 25.000 ambtenaren bij de Belastingdienst toegang hebben tot gegevens van burgers en bedrijven. Afhankelijk van hun functie en rol krijgt een medewerker enkel toegang tot de informatiesystemen die noodzakelijk zijn om zijn taak te kunnen uitvoeren. De bewindsman benadrukt met klem dat de fiscus niet over één grote databank beschikt “waar alle informatie over alle burgers en alle bedrijven terug te vinden is”.
