FSV Belastingdienst: waarom compensatiebeleid privacyclaims niet oplost

Onrechtmatige verwerking persoonsgegevens in FSV Belastingdienst 

Het geschil gaat over de zogeheten Fraude Signalering Voorziening (FSV) van de Belastingdienst. De FSV was een applicatie met als doel om mogelijke signalen van belastingfraude te voorkomen.  

Het probleem was alleen dat er geen enkele kadering rondom dit systeem was: er werd niet bijgehouden wie er iets in het systeem plaatste, waarom dat gebeurde, wie er toegang had noch waarom er toegang werd verkregen.  

Het is dan ook weinig verrassend dat meerdere instanties concludeerden dat dit zo niet kon. Ook de Autoriteit Persoonsgegevens heeft in 2022 een boete opgelegd van maar liefst 3,7 miljoen euro.  

Informeren betrokkenen na onrechtmatige registratie in FSV 

De FSV is in februari 2020 uitgeschakeld. In de FSV stonden uiteindelijk ongeveer 290.000 personen geregistreerd. De personen van wie bekend was dat hun gegevens in het systeem stonden (*), zijn hierover per brief geïnformeerd.  

(*) Saillant detail; kennelijk stonden er ook gegevens in het systeem van onbekende personen. Dat roept de vraag op naar de datakwaliteit van het systeem. 

In de brief is hen gewezen op de mogelijkheid een inzageverzoek te doen. De betrokkene in deze kwestie ontving die brief op 23 april 2021 (dus ruim een jaar na het uitschakelen van het systeem).  

Grofmazig compensatiebeleid na FSV-registratie 

De minister heeft vervolgens in november 2022 – dus ongeveer anderhalf jaar na de informatieve brief – compensatiebeleid opgesteld voor de getroffenen. Volgens dat beleid was er voor drie situaties voorzien in een financiële compensatie.  

Het beleid was geformuleerd met als uitdrukkelijk doel om de afhandeling snel te kunnen doen. Er vond geen individuele beoordeling plaats van alle omstandigheden van het geval. Er werd slechts – wat meer grofmazig – getoetst of een betrokkene in één van de drie categorieën valt. Wie in een categorie valt kreeg wel iets, wie daar buiten valt kreeg niets.  

Op grond van dit beleid is aan meer dan 263.000 personen een brief gezonden waarin staat dat zij geen recht hebben op een vergoeding. De betrokkene in de kwestie is één van de personen die een dergelijk afwijzend bericht ontvangt (op 17 maart 2023).  

Bezwaar tegen afwijzing compensatie FSV-registratie  

De betrokkene is het niet eens met de afwijzing. Hij gaat in bezwaar en vervolgens beroep. Hij kiest daarmee dus de bestuursrechtelijke route.  

De rechtbank verklaart de man niet-ontvankelijk. Volgens de rechtbank is er geen sprake van een ‘besluit’ in bestuursrechtelijke zin, nu het hier gaat om een beleidsmatige en onverplicht uitgekeerde compensatie. Er ligt immers geen wet aan het handelen van de Belastingdienst ten grondslag.  

Bestuursrechtelijke route open bij compensatiebesluit FSV

De man gaat in hoger beroep en daar gebeurt iets interessants. De Afdeling wijst er op dat ook buitenwettelijk begunstigend beleid kan dienen als grondslag tot het nemen van besluiten (onder verwijzing naar ECLI:NL:CRVB:2025:700).  

Daaruit volgt dat een beslissing die wordt genomen op basis van dergelijk beleid en die beoogt een financiële aanspraak toe te kennen of te onthouden een ‘besluit’ is in de zin van de Algemene Wet Bestuursrecht.  

Met andere woorden: ook al is er geen wettelijke basis voor de compensatie, dan nog staat de laagdrempelige route van het bestuursrecht open om een toe- of afwijzing van compensatie aan te vechten. Dat is voor veel burgers gunstig, nu zij in het bestuursrecht ook zonder advocaat kunnen procederen.  

Compensatiebesluit FSV moet individueel worden gemotiveerd

De Afdeling wijst de minister er verder alvast op dat een nieuw besluit deugdelijk gemotiveerd zal moeten worden. Zie letterlijk de Afdeling: 

18.     De Afdeling geeft de minister vanuit het oogpunt van een efficiënte geschilbeslechting mee dat, indien de minister in het nieuwe besluit bij het standpunt blijft dat [appellant] niet voldoet aan de voorwaarden voor een tegemoetkoming, hij dat standpunt deugdelijk moet motiveren. Dat betekent dat uit het besluit moet blijken hoe is vastgesteld dat de registratie van de persoonsgegevens van [appellant] in de FSV voor hem geen gevolgen heeft gehad. Verder moet de minister ingaan op het betoog van [appellant] dat het tegemoetkomingsbeleid onredelijk is en dat hij ook vanwege het enkele feit dat zijn gegevens in de FSV werden geregistreerd in aanmerking zou moeten komen voor een tegemoetkoming wegens immateriële schade. 

Deze aanwijzing is vanuit de bestuursrechtelijke kaders bezien uiteraard begrijpelijk. Een dergelijk individueel gemotiveerd besluit staat tegelijkertijd natuurlijk wel haaks op het doel van het compensatiebeleid (snelheid enerzijds en individueel gemotiveerd besluiten anderzijds schuurt met elkaar). 

Met name de opdracht om te onderbouwen dat hoe is vastgesteld dat de registratie van de persoonsgegevens van de man in de FSV voor hem geen gevolgen heeft gehad lijkt nog best een tijdrovende klus (zeker als er kennelijk geen goede logging e.d. in de FSV zat). Het punt dat er al schade is vanwege de enkele registratie lijkt gelet op rechtspraak van het Hof van Justitie daarentegen wel weer relatief eenvoudig te weerleggen door de minister. 

Lessen voor toekomstig compensatiebeleid bij privacyclaims

Deze kwestie laat goed zien hoe een ondoordachte verwerking van persoonsgegevens snel kan ‘exploderen’ in de hoeveelheid werk die het vervolgens oplevert.  

Vijf jaar na het uitschakelen van het systeem is de overheid immers nog steeds niet klaar met de totale afhandeling ervan. In die vijf jaar tijd: 

• hebben maar liefst vijf onderzoeken plaatsgevonden door externe commerciële deskundigen (dus ook vijf keer medewerking verlenen); 
• heeft onderzoek door de Autoriteit Persoonsgegevens plaatsgevonden; 
• zijn honderdduizenden brieven verstuurd; 
• is vergaderd om beleid te formuleren;  
• is dat beleid vervolgens toegepast op honderdduizenden dossiers;  
• zijn inzageverzoeken ingediend die afgehandeld moesten worden; 
• werd er gehandhaafd door de Autoriteit Persoonsgegevens (met alle voorbereiding daarvan), met een boete van 3,7 miljoen tot gevolg;  
• is er geprocedeerd;  
• etc. 

De investering in tijd en geld die hier al met al in is gaan zitten moet gigantisch zijn. En het einde is nog niet volledig in zicht. 

Ook de gedachte om met compensatiebeleid het geheel wat te versimpelen en versnellen wordt ook nog eens de grond in geboord. Zij het dat natuurlijk wel de vraag is of in dit geval de mensen die het betreft voldoende tijdig bezwaar en beroep hebben ingesteld. Als dat niet gebeurd is, dan zou in die zin het beleid wel zijn effect kunnen hebben gehad. Voor de toekomst echter is wel duidelijk dat compensatiebeleid geen oplossing is om onder individueel gemotiveerde besluiten uit te komen als bestuursorgaan.  

Al met al vormt deze kwestie wel een schoolvoorbeeld van ‘bezint eer ge begint’ met grootschalige verwerkingen van (gevoelige) persoonsgegevens. Juist de grote schaal van de verwerking maakt dat kwestie al snel ‘explodeert’ in de afhandeling indien achteraf blijkt dat een systeem verkeerd ontworpen is. Toets dus vooraf of systemen aan de wet voldoen, bijvoorbeeld door het uitvoeren van een DPIA of het extern laten reviewen van processen.  

Voorkomt u liever dergelijke kwesties? Of heeft u ook een kwestie waar een passende oplossing voor gevonden moet worden? Neem gerust contact op met een van de advocaten van ons privacyteam.