Media21 sep '16 08:28Aangepast op 21 sep '16 08:44

'Belastingdienst had datalek moeten melden'

Auteur: Thijs Baas

De Belastingdienst heeft slachtoffers van een datalek niet persoonlijk geïnformeerd. En dat had de dienst volgens de nieuwe wet wel moeten doen, zeggen verschillende ICT-juristen.

In april stuurde de Belastingdienst meerdere cd-roms met uitstelgegevens naar verkeerde belastingconsultenten. Op de cd-roms stonden onversleutelde persoonlijke gegevens van particulieren, waaronder het BSN en informatie van de Kamer van Koophandel. Nadat het datalek op 16 mei 2016 bij de Autoriteit Persoonsgegevens werd gemeld, besloot de Belastingdienst om de slachtoffers niet persoonlijk te informeren.

En dat had wel gemoeten, zegt ook Gerrit-Jan Zwenne, hoogleraar Recht en de Informatiemaatschappij aan de Universiteit Leiden. Sterker: door dat niet te doen heeft de Belastingdienst volgens hem de wet overtreden. 'Er geldt gewoon een meldplicht, ook richting de belastingplichtige. De Autoriteit Persoonsgegevens moet het eerst onderzoeken en daar kan dan een boete uit voortkomen. Maar die kans is misschien niet zo heel groot.'

Omvang lek

Overigens werden wel alle Nederlandse belastingconsulenten aangeschreven, wat volgens Zwenne alleen maar aantoont dat er bij de Belastingdienst geen enkel zicht is op de omvang van het lek. Hoewel de schade moeilijk aan te tonen zal zijn, kan het raadzaam zijn om individueel schadevergoeding te vragen. 'Het zijn uw gegevens en u mag erop vertrouwen dat de Belastingdienst daar zorgvuldig mee omgaat. En daar hoort ook bij dat u in geval van een datalek wordt geínformeerd.'

In de afweging bij het constateren van de situatie is het risico op ongunstige gevolgen voor mensen wier gegevens op die cd-roms stonden ingeschat als klein, gezien de veilige 'ontvangende' doelgroep van de belastingconsulenten, meldt de Belastingdienst desgevraagd. En dat is volgens Zwenne op zijn minst lichtzinnig. 'Het gaat om meer dan tienduizend belastingconsulenten en het zijn gegevens die als ze in verkeerde handen vallen de stap naar identiteitsfraude een stuk verkleinen. Dus je moet daar niet zo lichtzinnig in zijn.

Gerelateerde artikelen