Medewerkers van de Belastingdienst selecteerden Chinese en Turkse ondernemers voor een fiscale controle, omdat „werd aangenomen” dat zij vaker een onjuiste aangifte doen of illegale immigranten in dienst hebben. Als bijdrage aan „het Italiaanse-maffia-analyseteam” selecteerden ze Nederlandse Italianen en koppelden hun namen aan politiesystemen. De medewerkers vroegen informatie op over de tweede nationaliteit van belastingbetalers „ter beeldvorming over een persoon”. Er werd ook „regelmatig” op postcode geselecteerd, om zo groepen belastingplichtigen in bepaalde buurten in zicht te krijgen.
De Belastingdienst deed dit vanaf 1998 met het zelfgebouwde computersysteem RAM (‘Risico Analyse Model’). In dat systeem was álle informatie binnen de Belastingdienst over miljoenen burgers bij elkaar gebracht, aangevuld met informatie van bijvoorbeeld Kadaster, de Kamer van Koophandel en de Dienst Wegverkeer. Met behulp van RAM konden medewerkers twintig jaar lang bijna onbeperkt grasduinen, informatie combineren en selecteren, op zoek naar burgers van wie ze vonden dat die extra aandacht van de belastinginspecteur verdienden.
Met RAM had een toezichtmedewerker een krachtig instrument om allerlei gegevens geautomatiseerd te combineren en selectieve dwarsdoorsnedes te maken
Het systeem was cruciaal voor het toezicht op belastingbetalers, maar werd nauwelijks beveiligd en het gebruik werd niet gecontroleerd. Wie welke gegevens uit het systeem haalde en wat daarmee gebeurde, werd niet bijgehouden. Al deze risico’s waren jarenlang bekend binnen de Belastingdienst, maar werden geaccepteerd. Het gebruik van RAM werd jarenlang niet gemeld bij de Autoriteit Persoonsgegevens, hoewel dit wel verplicht was.
Nadat NRC in 2023 het gebruik van RAM had onthuld en de slordige omgang van de Belastingdienst met privacygevoelige gegevens, kregen consultants van KPMG opdracht het gebruik van RAM te onderzoeken.
De resultaten daarvan, en meer dan vijftienhonderd pagina’s aan interne documenten die het ministerie van Financiën tegelijkertijd vrijgaf, laten zien hoe grootschalig én slordig de Belastingdienst RAM gebruikte. Ook achterhaalde KPMG opvallende nieuwe details. Zo blijkt dat elementen van het RAM-systeem nog tot 2021 werden gebruikt, hoewel het systeem in 2018 formeel was uitgezet. Twee externe medewerkers, van ict-bedrijf CapGemini, konden jarenlang bij alle RAM-gegevens – en dus alle gegevens van belastingplichtigen inzien.
KPMG vond in een oude RAM-uitdraai op een netwerkschijf van de Belastingdienst recent nog een kopie van FSV, de beruchte ‘zwarte lijst’ die een belangrijke rol speelde bij het onterecht stopzetten van toeslagen in het Toeslagenschandaal, en die volgens de Belastingdienst was uitgezet en niet meer toegankelijk was voor medewerkers.
Het kabinet-Rutte III viel in 2021 over het Toeslagenschandaal, waarin de Belastingdienst burgers ernstig benadeeld had door slordige en discriminerende omgang met hun gegevens. Pieter Omtzigt, inmiddels partijleider van NSC, maakte naam met zijn niet aflatende kritiek op de behandeling van toeslagenouders door de Belastingdienst.
In andere omstandigheden zou RAM een nieuwe politieke en maatschappelijke nachtmerrie voor de Belastingdienst kunnen opleveren. Want uit haar rapport van driehonderd pagina’s blijkt dat KPMG vermoedelijk alleen het topje van de ijsberg heeft omschreven en dat het gebruik van RAM voor veel meer burgers nadelige gevolgen gehad kan hebben, doordat ze ten onrechte als potentiële fraudeur werden gezien. Maar de politieke aandacht voor het onderwerp is verzwakt.
Hoeveel burgers onterecht door RAM zijn geraakt is niet achterhalen. Hoewel het systeem twintig jaar intensief werd gebruikt, zijn er door het slordige gebruik van RAM nauwelijks schriftelijke sporen van de gevolgen gevonden door KPMG.
RAM combineerde ongebreidelde toegang tot honderden gegevens met een bijna totaal gebrek aan controle
Ongebreidelde toegang
RAM combineerde ongebreidelde toegang tot honderden gegevens van individuele belastingbetalers met een bijna totaal gebrek aan controle op het gebruik van het systeem. Dat leidde volgens KPMG tot een „hoog risico op verlies of onrechtmatige inzage of gebruik” van gegevens, zonder kans dat dit ontdekt kon worden. Het waren risico’s die binnen de dienst jarenlang bekend waren. In 2017 concludeerde de Belastingdienst zelf: „Het proces is niet veilig ingericht. Van begin tot eind is een hoop handwerk waarbij veel mensen aan bod komen. Al deze mensen hebben toegang tot data waar zij geen toegang toe zouden moeten hebben.”
En dat waren niet zomaar data. De Belastingdienst bezit van alle overheidsdiensten misschien wel de meeste en gevoeligste data, van alle Nederlanders. RAM bevatte bijvoorbeeld alle gegevens over inkomens, vermogens en schuld, hoeveel auto’s, beleggingen en vastgoed iemand heeft, gegevens van de (fiscale) partner, zoals de begindatum van de relatie, welke nationaliteit de partner heeft, wanneer die geëmigreerd is, en nog eens honderden andere gegevens.
Juist om die reden was RAM binnen de dienst een uiterst populair instrument dat intensief werd gebruikt. „Met RAM had een toezichtmedewerker een krachtig instrument om allerlei gegevens geautomatiseerd te combineren en selectieve dwarsdoorsnedes te maken”, schrijft KPMG. Het idee was dat hiermee de beperkte toezichtscapaciteit van de dienst gericht kon worden ingezet. De druk om belastingontduiking en fiscale fraude op te sporen was in deze jaren hoog. Een alternatief voor RAM bestond in de ogen van de dienst niet, zo vertelden medewerkers KPMG.
RAM, bevatte enorme hoeveelheden data, maar de kwaliteit daarvan was niet zeker, schrijft KPMG. Informatie in RAM kon soms een jaar oud zijn, en inspecteurs werkten frequent met oude uitdraaien van RAM. Sommige gegevens werden helemaal niet meer ververst, maar blijven wel in RAM staan. Formele processen om de juistheid van gegevens in RAM te controleren waren er niet, correcties werden individueel doorgevoerd. Allemaal gewoonten die het risico vergrootten dat burgers op grond van onjuiste of verouderde informatie werden geselecteerd voor verscherpt toezicht.
KPMG vond drie generieke gebruikersaccounts die niet herleidbaar zijn tot een individuele medewerker
Op het hoogtepunt in 2017 hadden tweehonderd medewerkers „autorisatie” om alle gegevens in RAM te bekijken. Maar in de praktijk hadden veel meer medewerkers toegang tot de data. Om te beginnen vond KPMG drie generieke gebruikersaccounts die „niet herleidbaar zijn tot een individuele medewerker”. De onderzoekers kwamen er niet achter „wie over de inloggegevens van deze gebruikersaccounts beschikten”.
Ook konden geautoriseerde gebruikers gegevens uit RAM halen voor medewerkers zonder toegang en die „in onbeveiligd Excel-formaat op een USB-stick plaatsen of per e-mail sturen” naar collega’s. Dat gebeurde op grote schaal, in 2017 waren er bijvoorbeeld 21.394 van zulke RAM-extracties. Beperkingen op het aanvragen van informatie heeft KPMG niet gevonden. De onbeveiligde bestanden konden door de ontvanger bewerkt en gedeeld worden, zonder technische restricties. Toen het gebruik van RAM na interne kritiek in 2017 werd ingeperkt, ontstonden er volgens een intern rapport „informele circuits” zodat medewerkers toch bij RAM data konden komen.
De bergen informatie die zo werden verspreid, zwerven nog steeds rond, zo blijkt uit het KPMG-onderzoek. Hoewel RAM formeel al zeven jaar uit staat, en de Belastingdienst de interne schijven had proberen op te schonen van achterblijvende RAM-informatie, vond KPMG na een digitale zoekactie op de netwerkschijven nog 1.170 onbeveiligde Excelbestanden met RAM-extracties (Het waren in totaal 2.662 bestanden, maar die waren deels dubbel). Daarin stonden opgeteld ruim 21 miljoen regels aan gegevens. Daarbij zat ook informatie die al jaren als uiterst gevoelig geldt, en dus niet onbeveiligd op netwerkschijven zou moeten – strafrechtelijke informatie over burgers, informatie over nationaliteit én gegevens uit de ‘zwarte lijst’ FSV.
En er is zeker meer, zo blijkt uit gesprekken die KPMG met medewerkers voerde: „Wij hebben in interviews vernomen dat ook op lokale schijven en USB-sticks van medewerkers nu nog bestanden met RAM-selecties zouden zijn opgeslagen”.
Waar deze uiterst privacygevoelige informatie uiteindelijk terechtkwam, en wat daarmee gebeurde, is niet te achterhalen, schrijft KPMG. „Het is bij de meeste van deze documenten niet te herleiden wie deze analyses uitvoerde, hoe deze analyses werden uitgevoerd, hoe RAM daarvoor werd gebruikt, welke RAM-gegevens en extracties zijn gebruikt, of deze analyses tot een toezichtproject behoorden, welke burgers/bedrijven zijn geselecteerd en of sprake is geweest van opvolgings- en handhavingsacties op basis van deze selecties van RAM-gegevens.”
Informatieverzoeken van buiten
Volgens KPMG staat ook vast dat de Belastingdienst haar data vaak deelde met externe partijen. Gegevens uit RAM werden geleverd aan samenwerkingsverbanden met verschillende overheidsorganisaties, zoals het UWV, DUO, SVB, het Openbaar Ministerie, de politie, De Nederlandsche Bank, de ministeries van Justitie en Veiligheid, Binnenlandse Zaken en Sociale Zaken, gemeenten, de Koninklijke Marechaussee en de IND.
Daarbij lag de nadruk op het ondersteunen van opsporing en vervolging door andere overheidsdiensten van vermeende wetsovertredingen. Zo leverde de Belastingdienst onder meer data aan projecten voor de aanpak van vastgoedfraude, hennepteelt, witwassen, coffeeshops en growshops, mensensmokkel, schijnconstructies, adresfraude, „alle soorten fraude vanuit IND”, het „van straat halen van criminelen”, projecten om gemeenten te helpen „de blinde vlekken te vinden in hun bestand van controle-objecten voor toezicht en handhaving”.
Soms ging het om uiterst specifieke informatieverzoeken. Zo vond KPMG een gegevenslevering aan een regionaal samenwerkingsverband tegen georganiseerde criminaliteit die ging over „een specifieke familie, naar aanleiding van een melding”. KPMG schrijft ook niet uit te kunnen sluiten dat andere diensten direct toegang tot het systeem hadden.
Onderbuikgevoel
De informatie die KPMG vond, geeft de indruk dat belastinginspecteurs hun onderbuik volgden bij besluiten om burgers aan extra onderzoek te onderwerpen. Dat gebeurde niet alleen door Chinese of Turkse ondernemers te selecteren, omdat ze vaker illegalen in dienst zouden hebben. „Nationaliteitsgegevens werden [als selectiemiddel] gebruikt als signalen aanwezig waren dat bepaalde nationaliteiten fraudeerden”, vertelden verschillende belastingdienstmedewerkers aan KPMG.
Ook als gegevens over (tweede) nationaliteit niet expliciet als selectiemiddel werden gebruikt, werden ze toch meegeleverd aan inspecteurs. Zo zaten ze bij een derde van de onbeveiligde excelbestanden die KPMG op netwerkschijven van de Belastingdienst vond.
Andere flarden informatie die KPMG vond, geven eveneens de indruk dat het gevoel van de belastinginspecteur en willekeur een rol speelden. Zo waren er projecten over de Beverwijkse bazaar, viskramen, woonwagenkampen, prostituees, ‘Belgische pensionado’s’, faillissementen van Amsterdamse taxibedrijven en de vermeend gebrekkige belastingmoraal van gescheiden ondernemers.
Ook werden belastingplichtigen die in het verleden een straf of bestuursrechtelijke boete hadden gekregen, aangewezen voor extra toezicht. Want, zeiden inspecteurs tegen KPMG: „‘Het bewezen feit’ dat eerder ‘iets mis’ is geweest, [geeft] een verhoogde kans dat wellicht ‘weer iets mis’ is.” Overigens was deze strafrechtelijke informatie sinds 2016 niet meer in RAM bijgewerkt. Zo konden mensen die waren veroordeeld maar in hoger beroep waren vrijgesproken, via RAM toch „op basis van onjuiste gegevens geselecteerd worden voor onderzoek”, concludeert KPMG.
De effecten van RAM op burgers is volgens KPMG niet te achterhalen, omdat feitelijk gebruik van het systeem niet (systematisch) is vastgelegd
Onbevredigend
Wat nu? Donderdag debatteert de Tweede Kamer met staatssecretaris Tjebbe van Oostenbruggen (Belastingdienst, NSC). Die heeft naar aanleiding van het KPMG-onderzoek al gemeld dat „de Belastingdienst RAM niet had moeten en mogen gebruiken”, en dat hij dat „betreurt”.
Het kabinet laat aanvullend onderzoek doen naar de vraag of er met het gebruik van RAM grondrechten van individuele burgers zijn geschonden. De uitkomsten hiervan worden in juni verwacht.
Maar op de cruciale vraag wat de effecten van het RAM-gebruik voor burgers waren, zal volgens het KPMG-rapport geen bevredigend antwoord komen. „Omdat het feitelijke gebruik niet (systematisch) is vastgelegd,” schrijft KPMG, is het „niet mogelijk” dat te achterhalen.
De enige manier om daarachter te komen is volgens KPMG om bij “elk boekenonderzoek, elke correctie op een aangifte of toeslag of elke (verzuim/vergrijp)boete, gedurende de 20-jarige gebruiksperiode van RAM [te onderzoeken] of, en hoe, RAM-gegevens zijn gebruikt en welke mogelijke nadelige effecten zich hierdoor hebben voorgedaan.” Een onuitvoerbare opdracht, denkt het consultancybureau.
