Short Reads

AP: De Belastingdienst verwerkt het BSN in strijd met de wet

AP: De Belastingdienst verwerkt het BSN in strijd met de wet

AP: De Belastingdienst verwerkt het BSN in strijd met de wet

18.07.2018 NL law

1. Introductie

Op 6 juli 2018 publiceerde de Autoriteit Persoonsgegevens ("AP") het onderzoeksrapport Onderzoek naar de verwerking van BSN in btw-IDs door de Belastingdienst. De AP concludeert daarin dat de Belastingdienst Burgerservicenummers ("BSN") verwerkt in strijd met de wet.

2. De problematiek – incorporatie van het BSN in het BTW-ID

Een btw-ID ("btw-ID") dient ter identificatie van belastingplichtigen.[1] Dit btw-ID wordt veelvuldig gedeeld met anderen. Zo moet iedere ondernemer, daaronder ook begrepen zelfstandigen, zijn btw-ID vermelden op zijn factuur.[2] Bovendien moeten zelfstandigen die diensten aanbieden hun btw-ID vermelden op hun website.[3] Het BSN is daarentegen een gegeven dat niet veelvuldig dient te worden gedeeld met anderen; het is slechts bedoeld voor de communicatie tussen de burger en de overheid, en overheidsinstanties onderling.[4] Het BSN – en voornamelijk de verwerking daarvan – heeft tot doel de efficiëntie van de administratie van de overheid te vergroten en de dienstverlening van de overheid aan de burger te verbeteren. Daarnaast kan een individu worden geïdentificeerd op basis van zijn BSN.[5] Met betrekking tot het BSN merkt de AP op dat het delen daarvan risico's met zich brengt met betrekking tot de persoonlijke levenssfeer.[6] Het btw-ID dient dus, althans tot op zekere hoogte, gedeeld te worden; terwijl het BSN, althans tot op zekere hoogte, niet gedeeld dient te worden. Deze tegenstelling beslaat de kern van de AP haar onderzoek naar de verwerking van het BSN door de Belastingdienst.

Op grond van artikel 214 Btw-richtlijn kent Nederland een zelfstandige zijn btw-ID toe. In Nederland is het de Belastingdienst die dit doet. De Belastingdienst incorporeert het BSN van de zelfstandige in het aan hem toe te kennen btw-ID. De uiteindelijke btw-ID van de zelfstandige begint met de landcode "NL" en wordt gevolgd door zijn BSN. Het nummer wordt afgesloten met de toevoeging "B" en een volgnummer, dat varieert van 01 tot 99. Deze praktijk bewerkstelligt dat het – tot op zekere hoogte – vertrouwelijke BSN veelvuldig wordt gedeeld met anderen, met alle privacyrechtelijke risico's van dien, bijvoorbeeld identiteitsfraude.

Opvallend is dat deze praktijk eerder aan de kaak is gesteld in de Tweede Kamer in de vorm van een motie.[7] Die motie werd toentertijd afgewezen.[8] Desondanks heeft de AP in 2017 toch besloten een onderzoek te starten naar het incorporeren van het BSN in het btw-ID door de Belastingdienst.

3. Het juridisch kader

De AP merkt op dat zowel de Wet bescherming persoonsgegevens ("Wbp") als de Algemene Verordening Gegevensbescherming ("AVG") en de daarbij horende Uitvoeringswet Algemene verordening gegevensbescherming ("UAVG") van toepassing zijn, omdat de verwerking van persoonsgegevens, in onder andere de vorm van het incorporeren van het BSN in het btw-ID, door de Belastingdienst een periode beslaat waarin eerst de Wbp van toepassing was en waarin later de AVG en de UAVG van toepassing zijn.

Op grond van artikel 87 AVG kan Nederland voorwaarden stellen aan de verwerking van het BSN, in welk geval de rechten en vrijheden van de betrokken zelfstandige passend gewaarborgd moeten zijn.[9] De Wbp gaf invulling aan die bepaling door te bepalen dat het BSN slechts mag worden verwerkt indien daar een wettelijke grondslag voor is.[10] De UAVG kent een soortgelijke invulling van artikel 87 AVG.[11]

Verder stelt de AP dat de verwerking van het BSN slechts rechtmatig is indien dat noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van een taak van openbaar gezag.[12] Daarnaast moet de verwerking van het BSN rechtmatig, behoorlijk en transparant zijn.[13]

4. De toetsing van de AP

De AP toetst eerst of op sprake is van een wettelijke grondslag op grond waarvan het BSN mag worden verwerkt. Daartoe analyseert zij artikel 10 Wabb. Die bepaling voorziet in een algemene grondslag, op grond waarvan de Nederlandse overheid – en dus ook de Belastingdienst – het BSN kan verwerken in het kader van de uitvoering van haar taak. Uit de Memorie van Toelichting van de Wabb blijkt dat:

"de persoonsnummers de hulpmiddelen vormen waarvoor ze bedoeld zijn, namelijk om het beheer van persoonsgegevens in diverse administraties en registraties te vereenvoudigen. Daarnaast mogen in een sluitend stelsel geen oneigenlijke rollen aan persoonsnummers worden gehecht."[14]

Vervolgens stelt de AP dat de Belastingdienst oneigenlijk gebruik maakt van het BSN, doordat het BSN wordt omgedoopt tot een ander wettelijk voorgeschreven nummer. Bovendien gaat deze verwerking verder dan gebruik als hulpmiddel, aldus de AP. Voorts merkt de AP op dat er geen wettelijke grondslag is op grond waarvan de onderhavige verwerking van het BSN is gerechtvaardigd. De AP concludeert dat de verwerking in strijd is met artikel 46 UAVG.[15]

Ten tweede toets de AP of de onderhavige verwerking van het BSN noodzakelijk is. In dit kader stelt zij dat de verwerking van het BSN door de Belastingdienst niet noodzakelijk is voor diens overheidstaak. De incorporatie van het BSN in het btw-ID is immers niet noodzakelijk; het geschiedt slechts op grond van praktische overwegingen, aldus de AP. Verder merkt de AP op dat geen sprake is van een van de andere gronden genoemd in artikel 6 AVG en dat de verwerking derhalve in strijd is met artikel 6 lid 1 AVG.[16]

Tot slot toetst de AP of de verwerking van het BSN door de Belastingdienst rechtmatig, behoorlijk en transparant is in de zin van artikel 5 lid 1 sub a AVG. In dit kader stelt de AP dat het BSN op een oneigenlijke manier wordt gebruikt, waardoor de zelfstandige gedwongen wordt zijn BSN te openbaren aan derden. De AP concludeert dat een dergelijke verwerking niet rechtmatig en niet behoorlijk is en dat de verwerking derhalve in strijd is met artikel 5 lid 1 sub a AVG.[17]

5. De gevolgen voor de Belastingdienst

Uit het persbericht van de AP van 6 juli 2018 blijkt dat zij de Belastingdienst de mogelijkheid geeft de geconstateerde overtreding zo spoedig mogelijk te beëindigen. De Belastingdienst dient te overtreding voor 1 januari 2019 te beëindigen.[18]

In april 2018 antwoordde de huidig staatssecretaris van Financiën, M. Snel, op Kamervragen dat hij de Tweede Kamer in de zomer van 2018 zal informeren over de mogelijkheden om de vormgeving van het btw-ID te wijzigen.[19] Hij heeft dit gedaan op 13 juli 2018 in een brief aan de voorzitter van de Tweede Kamer.[20] Uit de brief blijkt dat Snel het oordeel van de AP onderschrijft. Verder geeft Snel aan dat er nog geen werkbare oplossing is gevonden voor de huidige, onrechtmatige praktijk en dat de deadline van 1 januari 2019 niet gerealiseerd kan worden. Bovendien stelt Snel in de brief dat hij met de AP in gesprek zal treden over deze deadline. Tot slot merkt Snel op dat hij een commissie in het leven zal roepen, die tot opdracht heeft de beoordeling en formulering van oplossingen voor de huidige, onrechtmatige vormgeving van het btw-ID.

Indien de Belastingdienst de overtreding niet beëindigt in de afgesproken of nader af te spreken termijn, of de AP van mening is dat de overtreding te lang wordt voortgezet, kan de AP alsnog handhaven in de vorm van een last onder bestuursdwang[21], een last onder dwangsom[22] of administratieve geldboeten[23].

6. De lessons learned

Uit dit onderzoek van de AP volgen de volgende lessons learned:

    • Ten eerste benadrukt de AP de restrictie op de verwerking van het BSN; dit mag slechts indien daar een wettelijke grondslag voor is.
    • Ten tweede is slechts eigenlijk gebruik van het BSN toegestaan. In het kader van artikel 10 Wabb is dit het fungeren als hulpmiddel bij het uitwisselen en registreren van gegevens. Het incorporeren van het BSN in het btw-ID is in dit kader dus een oneigenlijk gebruik.

Tot slot illustreert dit onderzoek de handhavingswijze van de AP: de AP geeft in eerste instantie een aanwijzing, waarna de betrokken partij een termijn wordt gegund om aan die aanwijzing te voldoen. Indien de betrokken partij die termijn overschrijdt, kan de AP andere maatregelen nemen. Zij kan bijvoorbeeld een last onder dwangsom opleggen.

 

[1] Artikel 214 Richtlijn 2006/112/EG van de Raad van 28 november 2006 betreffende het gemeenschappelijke stelsel van belasting over de toegevoegde waarde ("Btw-richtlijn").

[2] Artikel 35a Wet op de omzetbelasting 1968 ("Wet OB").

[3] Artikel 6:230c lid 3 Burgerlijk Wetboek ("BW") jo. artikel 6:230b lid 4 BW.

[4] Kamerstukken II, 2005/06, 30312, 3, p. 2, beschikbaar via: https://zoek.officielebekendmakingen.nl/kst-30312-3.html (geraadpleegd op 11 juli 2013).

[5] Een ieder die geregistreerd staat in de basisregistratie personen krijgt een BSN toegekend. Zie artikel 8 Wet algemene bepalingen burgerservicenummer ("Wabb").

[6] Zie ook Kamerstukken II, 2017/18, 34851, 3, p. 128, beschikbaar via: https://zoek.officielebekendmakingen.nl/kst-34851-3.html (geraadpleegd op 11 juli 2018).

[7] Kamerstukken II, 2013/14, 33750-VII, 23, beschikbaar via: https://zoek.officielebekendmakingen.nl/kst-33750-VII-23.html (geraadpleegd op 11 juli 2018).

[8] Kamerstukken II, 2013/14, 31066, 210, p. 3 en 4, beschikbaar via: https://zoek.officielebekendmakingen.nl/kst-31066-210.html (geraadpleegd op 11 juli 2018).

[9] Artikel 8 lid 7 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens ("Privacyrichtlijn") schrijft een gelijke mogelijkheid voor, waarbij opgemerkt dient te worden dat die bepaling geen passende waarborging vereist van de rechten en vrijheden van de betrokken zelfstandige. De Wbp implementeerde deze Richtlijn in de Nederlandse rechtsorde. Meer specifiek: artikel 24 Wbp is de implementatie van artikel 8 lid 7 van de Richtlijn.

[10] Artikel 24 lid 1 Wbp.

[11] Artikel 46 lid 1 UAVG.

[12] Artikel 6 lid 1 sub e AVG. Zie ook artikel 7 sub e Privacyrichtlijn jo. artikel 8 sub e Wbp, waarin een gelijke respectievelijk nagenoeg gelijke noodzakelijkheidstoets is opgenomen.

[13] Artikel 5 lid 1 sub a AVG. Zie ook artikel 5 Privacyrichtlijn jo. artikel 6 Wbp, waarin een nagenoeg gelijke eis wordt gesteld.

[14] Kamerstukken II, 2005/06, 30312, 3, p. 8.

[15] Zie ook artikel 24 Wbp.

[16] Zie ook artikel 7 Privacyrichtlijn en artikel 8 Wbp.

[17] Zie ook artikel Privacyrichtlijn jo. artikel 6 Wbp.

[18] Brief van de staatssecretaris van Financiën van 13 juli 2018, 2018-0000122631, beschikbaar via: https://www.tweedekamer.nl/kamerstukken/brieven_regering/detail?id=2018Z14116&did=2018D39719 (geraadpleegd op 16 juli 2018).

[19] Kamerstukken II, 2017/18, Aanhangels 1841, p. 4, beschikbaar via: https://zoek.officielebekendmakingen.nl/ah-tk-20172018-1841.html (geraadpleegd op 11 juli 2018).

[20] Brief van de staatssecretaris van Financiën van 13 juli 2018, 2018-0000122631.

[21] Artikel 16 UAVG.

[22] Artikel 5:32 Algemene wet bestuursrecht jo. artikel 16 UAVG.

[23] Artikel 83 AVG.

Team

Related news

07.12.2018 BE law
Virtual Currency Regulation Law Review

Articles - The first edition of the Virtual Currency Regulation Law Review is intended to provide a practical, business-focused analysis of recent legal and regulatory changes and developments, and of their effects, and to look forward at expected trends in the area of virtual currencies on a country-by-country basis.

Read more

13.12.2018 BE law
Bushalte zonder vergunning en veranda zonder architect: valt uw project ook onder de nieuwe regels?

Articles - De Vlaamse Regering voert aanpassingen door aan de vrijgestelde handelingen, handelingen van openbaar belang, vergunningsplichtige functiewijzigingen en handelingen vrijgesteld van de medewerking van een architect. Onder meer wat betreft vrijstellingen en medewerking van een architect, wijzigt er toch wel wat.

Read more

07.12.2018 BE law
GDPR-roundtable on practical questions encountered during implementation

Roundtable - After the success of the roundtable sessions we held before the GDPR took effect (in May this year), our TMT team is enthusiastic about the session of 7 December, focusing on the lessons we have learned from working on multiple GDPR-matters in the past year. We will tackle some practical questions that we have encountered and that are not or cannot be readily answered by the new regulation.

Read more

Our website uses cookies: third party analytics cookies to best adapt our website to your needs & cookies to enable social media functionalities. For more information on the use of cookies, please check our Privacy and Cookie Policy. Please note that you can change your cookie opt-ins at any time via your browser settings.

Privacy – en cookieverklaring