De Belastingdienst doet nog te weinig om de privacy van burgers en ondernemers te beschermen. Dat concludeert de Autoriteit Persoonsgegevens (AP), de toezichthouder voor privacy. Die controleerde de fiscus op twaalf onderdelen. Op tien daarvan voldoet de dienst niet aan de eisen, stelt de waakhond.

De Belastingdienst neemt bijvoorbeeld niet genoeg maatregelen om persoonsgegevens goed te beveiligen. Zo zijn er nog niet voldoende systemen om bij te houden wie welke gegevens bekijkt (logging). Bij sommige systemen hebben te veel medewerkers onnodig toegang tot persoonsgegevens.

Algoritmes mogen niet zelfstandig besluiten nemen, er moet altijd een mens bij betrokken zijn, maar de Belastingdienst kan niet aantonen dat er "sprake is van betekenisvolle menselijke tussenkomst". Verder doet de fiscus te weinig om discriminatie bij "geautomatiseerde selectiecriteria" te voorkomen.

De Autoriteit Persoonsgegevens wil ook dat de Belastingdienst stopt met het verwerken van burgerservicenummers in betalingskenmerken en vorderingsnummers. Wie het burgerservicenummer van iemand weet, zou dan kunnen achterhalen of iemand een belastingschuld heeft. Het is de bedoeling dat de burgerservicenummers vanaf eind dit jaar niet meer in de betalingskenmerken staan.

De Belastingdienst heeft in de afgelopen jaren meerdere boetes van de privacytoezichthouder gekregen. De fiscus voert nu wel verbeteringen door, maar die gaan langzaam, aldus de Autoriteit Persoonsgegevens. Die dringt aan op extra investeringen. "Volgens de AP moet de bescherming van persoonsgegevens zwaarder meewegen."

De Belastingdienst zegt dat de conclusies "niet tot tevredenheid" stemmen. Daarom kijkt de fiscus welke verbeteringen sneller kunnen worden doorgevoerd. "De realiteit is ook dat het nog enkele jaren zal duren voordat de gegevensbescherming overal op orde is", aldus een woordvoerder.