De Belastingdienst overtreedt de privacywet door het burgerservicenummer (BSN) te verwerken in het btw-nummer van ondernemers met een eenmanszaak, zoals zzp’ers. Dat meldt de Autoriteit Persoonsgegevens (AP) op basis van onderzoek. De privacywaakhond heeft het beleid van de Belastingdienst getoetst aan de AVG, de nieuwe Europese privacywet die 25 mei van kracht is geworden.
Eigenaren van een eenmanszaak, zoals zzp’ers, krijgen voor zakelijke communicatie met de Belastingdienst een speciaal btw-nummer. Dat nummer bestaat voor een gedeelte uit het persoonlijke BSN, dat bedoeld is voor communicatie met de overheid. Eigenaren van een eenmanszaak zijn verplicht hun btw-nummer op hun website openbaar te maken. Zelfstandigen met een eenmanszaak kunnen hun BSN daardoor niet beschermen, oordeelt de Autoriteit Persoonsgegevens.
Misbruik
Omdat het BSN aan een persoon gekoppeld is, is het nummer kwetsbaar voor misbruik. Kwaadwillenden die het BSN van een ander in handen krijgen, kunnen het nummer bijvoorbeeld voor identiteitsfraude gebruiken.
De Autoriteit Persoonsgegevens laat weten dat de Belastingdienst zo snel mogelijk moet stoppen met het gebruik van het BSN voor het btw-nummer, maar beseft dat dit niet van de ene op de andere dag kan zo halverwege het belastingjaar. De Belastingdienst heeft daarom tot 1 januari 2019 om met het gebruik van het nummer te stoppen. Doet de organisatie dat niet, dan kan de privacywaakhond optreden. De AP kan bijvoorbeeld een verwerkingsverbod afdwingen of een boete opleggen. Waarop een eventuele boete gebaseerd zou zijn, kon de AP nog niet aangeven.
Aanpassen
De Belastingdienst brengt nu technisch in kaart welk alternatief systeem het kan gebruiken. Of de Belastingdienst aan de deadline van 1 januari kan voldoen, is nog maar de vraag. Het aanpassen is een technisch ingewikkeld verhaal en zeker niet zomaar gerealiseerd. De Belastingdienst gaat de Tweede Kamer na de zomer over de alternatieve systemen informeren. Onlangs heeft staatssecretaris Snel van Financiën gezegd dat de Belastingdienst pas over een jaar kan voldoen aan de AVG.