De Belastingdienst heeft met het gebruik van de Risico Analyse Model (RAM) database de privacywetgeving geschonden en had het systeem niet moeten en mogen gebruiken, zo laat staatssecretaris Van Oostenbruggen van Financiën aan de Tweede Kamer weten. Via de RAM-database, waar de fiscus 20 jaar mee werkte, werd op grote schaal persoonlijke informatie van burgers verzameld, onder andere verkregen door middel van online scraping. De database werd bij de invoering van de AVG in mei 2018 uitgeschakeld, maar de verzamelde data bleef tot begin 2021 beschikbaar.

"Uiteindelijk zijn de data van 69 interne en externe bronsystemen in RAM opgenomen, waarmee RAM uitgebreide gegevens van vrijwel alle belastingmiddelen en alle belastingplichtige bedrijven en particulieren bevatte. Zo omvatte RAM-tabellen gegevens over aangiften, toeslagen, vastgoed, bedrijven en autobezit, maar ook eerste en tweede nationaliteit en fiscaal strafrechtelijke gegevens", zo stelt de staatssecretaris.

In RAM waren ook totalen opgenomen of die werden berekend van bijvoorbeeld aantallen per belastingplichtige, per kantoor, per land of per fiscaal dienstverlener. Dit betrof bijvoorbeeld het aantal keer dat een nationaliteit voorkwam, het aantal registraties van fiscaal strafrechtelijke gegevens of het aantal registraties in de Fraude Signaleringsvoorziening (FSV). FSV was de zwarte lijst van de fiscus waarop signalen van vermeende of bewezen fraude werden bijgehouden. Met deze lijst overtrad de Belastingdienst de AVG en kreeg het een boete van 3,7 miljoen euro van de Autoriteit Persoonsgegevens.

Het kabinet liet onderzoek doen naar de RAM-database en het gebruik ervan door de Belastingdienst. "Op basis van het onderzoek van KPMG concludeer ik dat het gebruik van RAM niet voldeed aan de destijds geldende (wettelijke) eisen op het gebied van privacywetgeving, beveiligingsvoorschriften en de Archiefwet. Ik stel vast dat de Belastingdienst RAM niet had moeten en mogen gebruiken en ik betreur dat", aldus Van Oostenbruggen.

Het onderzoek toonde aan dat er een beperkt aantal beveiligingsmaatregelen was getroffen om te kunnen voldoen aan de wettelijke en interne kaders voor informatiebeveiliging. Vanaf 2012 voldeed de RAM-dabase niet aan 17 van de 27 beveiligingseisen. Ook bleek dat de beveiligingsprocessen informeel van aard waren en dat 200 van de 248 op autorisatieoverzichten aangetroffen gebruikers in 2017 onbeperkte toegang hadden tot RAM. Zij konden gegevens in RAM exporteren en onbeveiligd via email versturen of op USB-sticks plaatsen.

De onderzoekers stelden ook vast dat er een beperkt aantal technische en organisatorische maatregelen waren getroffen om te kunnen voldoen aan de wettelijke kaders voor privacy en archivering. Het waarborgen van de naleving van de beginselen van privacy- en archiveringswetgeving werd bijna geheel aan gebruikers van de RAM-gegevens overgelaten. De gegevensverwerking met RAM was niet opgenomen in het register van verwerkingen en niet aangemeld bij de Functionaris Gegevensbescherming van het ministerie van Financiën of de externe privacytoezichthouder.

De Autoriteit Persoonsgegevens (AP) heeft aangegeven verder onderzoek te zullen doen naar het gebruik van de RAM-database door de Belastingdienst. Daarnaast onderzoekt de Belastingdienst of het gebruik van gegevens uit RAM in specifieke situaties mogelijk tot een schending van grondrechten heeft geleid. "Als onafhankelijk toezichthouder bepaalt de AP de scope van het vervolgonderzoek, de planning en op welke wijze wordt gerapporteerd", aldus de staatssecretaris.