Privacy Impact Assessment Databank Auto

Belastingdienst A Privacy Impact Assessment Databank Auto Toetsmodel Rijksdienst in NOREA format 22 december 2014 Omschrijving De Databank Auto is een web based applicatie waarbij diverse gegevens [o a externe camerabeeiden ANPR informatie en CJIB boetes in een systeem worden getoond De appiicatie wordt door geautoriseerde medewerkers gebruikt voor het toezicht op de autobeiastingen [MRB BPM BZM en privegebruik auto PGA Aanbeveling ^ Antwoord Vraag 2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Basisinformatie type persoonsgegevens type verwerking en noodzaak gegeve nsmin ima lise ring I Wilt u als verantwoordelijke persoonsgegevens gaan gebruiken voor de verwerking die u voorziet Zo ja van welktype 1 1 Ja Nee Het betreft de verwerking van o a parkeergegevens externe camerabeelden ANPR informatie en CJIB boetes als contra informatie voor de hefting van de zogenoemde autobelastingen zie voor een overzicht van alle gegevens Bijiage 1 Overzicht bronbestanden Databank Auto Het Landelijk Coordinatiepunt Auto {LCA als onderdeel van de Belastingdienst verzorgt de coordinatie van de verwerking van de onderhavige persoonsgegevens Voor deze verwerking wordt gebruik gemaakt van de Databank Auto de databank die via een web based applicatie kan worden geraadpleegd Deze databank is in de loop der jaren ontwikkeld en wordt beheerd binnen LCA Deze PIA is met name gericht op de inrichting en het gebruik van deze databank Naast het individueel bevragen van de databank door geautoriseerde medewerkers kunnen ook zogenoemde query verzoeken worden gedaan ^ De query verzoeken lopen via de Landelijke Toezicht Organisatie LTO is een onderdeel van de Belastingdienst en bij elk verzoek staat centraal welke datavelden bevraagd worden en waarom deze velden noodzakelijk zijn voor het gestelde doel Verzoeken voor autodata kunnen middels een intakeformulier worden ingediend bij de LTO Business Analysis postbus Dit intakeformulier kan via de postbus worden opgevraagd Tevens worden daarbij de leveringscriteria toegezonden Deze leveringscriteria zijn samengesteld i s m met een privacy deskundige beleidsmedewerker privacy van de LTO Na registratie in de RIT Rapportages intensief toezicht tool en de aanmaak van een dossier t b v archivering worden de verzoeken verder beoordeeld ^ Zie voor een geprioriteerd overzicht van alle mogelijke risico s en aanbevelingen pagina 25 en 26 van dit document ^ Een query is huiselijkgezegd een bevraging van de databank aan de hand van een bepaalde set parameters Pagina 2 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Aspecten zijn is er een formele opdrachtgever heeft het verzoek met toezicht te maken is er sprake van een project worden gegevens eventueel aan derden geleverd is er een wettelijke basis voor de levering aan derden en is er een doelbinding Dit betreft een eerste beoordeling De verzoeken worden nogmaals door LCA beoordeeld LCA behandelt de query aanvraag en zorgt voor de uitlevering van de gevraagde gegevens LCA heeft de brondata ter beschikking en is eigenaar hiervan en hebben meer zicht op en kennis van de soorten aanvragers De gegevensdumps komen via drie routes binnen 1 LTD 2 Belastingdienst Centrale Administratie B CA Centrale Informatievoorziening CIV 3 Intern bijvoorbeeld gegevens uit de Workflow Privegebruik Auto PGA Alle dataoverdrachten tussen LCA en LTO worden vastgelegd De in de onderhavige databank verwerkte persoonsgegevens zijn in een overzicht weergegeven en kunnen verder gespecificeerd worden in de datavelden onder de motorkap ^ De verwerkte persoonsgegevens zijn onderverdeeld in de volgende 5 categorieen 1 Voertuiggegevens 2 Contra Informatie extern 3 Contra Informatie intern 4 Basis gegevens 5 Productiegegevens 1 2a Is het de bedoeling om gegevens over de financiele of economische situatie van Er worden financieel economische gegevens van betrokkene verwerkt Het niet de bedoeling om te stigmatiseren of uit te sluiten maar de databank is als toezichtinstrument wel een middel waarmee men invulling geeft aan Nee ^ Het overzicht is als bijiage bij deze PIA beschikbaar en uitsluitend voor intern gebruik Omdat in het overzicht strategische controle informatie wordt weergegeven mag de bijiage niet worden gepubliceerd of extern worden gebruikt Pagina 3 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 betrokkenen of andere gegevens die kunnen leiden tot stigmatisering of uitsluiting te verwerken het risicoselectiebeleid Je ontkomt er dan niet aan dat je risicogroepen selecteert en daarmee mogelijk stigmatiseert Het uitgangspunt is overigens het object {de auto i p v het subject 1 2b Is het de bedoeling om gegevens over kwetsbare groepen of personen te verwerken Het is niet de bedoeling dat gegevens over kwetsbare groepen of personen worden verwerkt maar het is niet uit te sluiten dat er gegevens van kwetsbare groepen en personen worden verwerkt Nee Is het de bedoeling gebruikersnamen wachtwoorden en andere inloggegevens te verwerken 1 2c Nee Nee I 2d Is het de bedoeling om uniek identificerende gegevens zoals biometrische gegevens te verwerken Nee Er zullen geen uniek identificerende gegevens worden verwerkt Nee Is het de bedoeling om het BSN nummer of een ander persoonsgebonden nummerte verwerken I 2e Ja Nee Voor de toezichtstaak van de Belastingdienst uitvoering publiekrechtelijke taak art 8 letter e Wbp is het gebruik van het BSN noodzakelijk en overigens ook wettelijk voorgeschreven Kan van elkvan de ondervraag 1 1 en vraag 1 2 opgevoerde typen persoonsgegevens worden Zie het overzicht met de vijf onderscheiden categorieen persoonsgegevens {Bijiage 1 In het overzicht wordt aangegeven welke gegevens van belang zijn en voor welk doel 1 3 Ja Momenteel wordt er nagedacht over een eventuele opschoning Zie bijvoorbeeld de Wetalgemene bepalingen burgerservicenummer Pagina 4 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 gesteld datzij beleidsmatig of technisch direct van belang en onontbeerlijk zijn voor het bereiken van de beleidsdoelstelling Wat zou er predes niet inzichtelijk worden als ervoor wordt gekozen bepaalde gegevens niet te verwerken Licht perte verwerken persoonsgegeven toe van de databank Daarbij wordt er gekeken welke gegevens eventueel niet meer noodzakelijk zijn voor de databank Het is aan te raden om bij de beoordeiing van de bestanden in de databank gebruik te maken van hetoverzicht in Bijiage 1 Per bestand moet bepaald worden of het bestand noodzakelijk is voor hettoezicht op de autobeiastingen Van de externe contra informatie worden momenteei de Externe Camera Beelden ECB s gefilterd op zakelijke kentekens Dit betekent dat alleen de ECB s van zakeiijke kentekens worden weergegeven in de databank Dit filter geldt op dit moment nog niet voor de overige externe contra informatie CJIB boetes en ANPR beelden Inspectle controle en toezicht Nee Er worden gegevens verwerkt {zie antwoord op vraag 2a die als gevoelig kunnen worden gekwalificeerd en die noodzakelijk zijn voor de controle van dejuistheid en de volledigheid van de belastingheffing Kan als het gaat om gevoelige persoonsgegevens hetzelfde beleidseffect of technisch 1 4 Nee Pagina 5 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 resultaat worden bereikt op een van de volgende wijien a door {gecombineerd gebruik van normale persoonsgegevens b door gebruik van geanonimiseerde of gepseudonimiseerde gegevens In welk breder wettelijk beleldsmatig of technisch kader wordt hetvoorziene informatiesysteem ontwikkeld en wat voor soort en verwerklng en van persoonsgegevens gaan hlervan deel uitmaken bij hetvoorziene traject Wordt hierbij gebruikt gemaaktvan {nieuwe technologie of informatiesystemen De databank van het LCA is een instrument dat past binnen hettoezicht beleid van de Belastingdienst met handhavingsregie via de LTO De databank is al enkele jaren operationeel en er is nog niet eerder een PIA uitgevoerd voor deze databank Deze PIA kan worden gezien als een tussentijdse uitvoeringstoets op de naleving van de Wbp Het instrument PIA is relatief nieuwten opzichte van de bedrijfsprocessen van de Belastingdienst en daarom niet eerder toegepast 1 5 Nee Doelbinding koppeling kwaliteit en profilering II Pagina 6 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Hebt u het de specifieke doel{en waarvoor u de persoonsgegevens gaat verwerken in detail vastgesteld Geldt hiervoor een en hetzelfde specifieke doel II 1 Ja Ja De databank is tot stand gekomen n a v overleg en bewuste beslultvormlng binnen de Belastingdienst Door voortschrijdend inzicht kan het nut van deze databank anders beoordeeld worden in de toekomst Doel 1 was het oorspronkelijk doel Doelen 2 3 4 en 5 zijn een resultante van het eerste doel en deze gevolg doelen zijn verenigbaar met het eerste doel Aanbevolen maatregel Onderzoek de noodzaak voor deze exporteer knop in relatie tot de DWB werkplekken waarmee iedere geautoriseerde medewerker op locatie op plekken met beveiligde WiFi toegang toegang heeft tot de databank Zie tevens ook Bijiage 2 voor het protocol waarin is aangegeven welke voertuigpassagegegevens fiscaal relevant zijn Doel 1 Alle relevante externe en interne] contra informatie tonen in een systeem ten behoeve van het integrale toezicht op de autobelastingen PGA BPM MRB en BZM voor de Belastingdienst Belastingen blauw in jargon Doel 2 Risicovinding autobelastingen Doel 3 Bestuurlijke informatie Bl verantwoordingsinformatie en stuurinformatie Doel 4 Contra informatie voor de andere bedrijfsonderdelen van de Belastingdienst groen en rood in jargon Doel 5 Administratieve controle en boekenonderzoeken de voorberei ding Er zit een TOP knop in de databank Daarmee kan men de scherminhoud exporteren naar een ander formaat Excel PDF Word etc ] Daarmee kan de informatie uit de databank worden gebruikt in andere applicaties die de Belastingdienst in haartoezichtproces gebruikt Nu de Belastingdienst werkt met Digitale Werkruimte Belastingdienst DWB werkplekken waarbij tijd en plaats onafhankelijk kan worden gewerkt is deze knop wellicht niet meer nodig Pagina 7 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Gaat het bij het project systeem om gebruikvan nieuwe persoonsgegevens voor een bestaand doel of bestaande doelen binnen al bestaande systemen {scenario toevoeging nieuwe persoonsgegevens 11 2 Nee De persoonsgegevens werden altijd al gebruikt voor deie doelen maar waren niet eerder bijeen gebracht in een databank Nee De parkeergegevens zijn inmiddels uit de databank verwijderd en zullen dus niet gebruikt worden De eerder opgevraagde parkeergegevens hebben overigens momenteel ookgeen actualiteitswaarde meer aangezien het gegevens zijn uit 2012 Het opvragen van parkeergegevens is recent aan de orde gekomen in een juridische procedure waarin is geoordeeld dat er bij het opvragen van de parkeergegevens geen strijd is met de Wbp de Beeidkant van 20 augustus Nu zullen wij met inachtneming van het arrest de informatie binnen Special Auto alleen gaan benutten ter verifiering van eigen fiscale vermoedens van niet juist gebruik van de zakelijke auto door verklaringhouders van geen privegebruik Van andere informatie wensen wij geen gebruik te maken noch toegang toe te hebben Momenteel bouwen wij verder aan nieuwe filters om informatie gestuurd te handhaven Function creep hoeft op zichzelf niet negatief te zijn Hetherbergt wel een risico van Wbp schendingin zicb Pagina 8 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Gaat het bij het project systeem om het nastreven van nieuwe aanvullende doeleinden door bestaande persoonsgegevens of verzamelingen daarvan te gebruiken vergelijken delen koppelen of andersiins verder te verwerken {scenario toevoeging doeleinden Zo ja hebben alle personen instanties systemen die betrokken zijn bij de verwerking dezelfde doelstelling met de verwerking van de desbetreffende persoonsgegevens of is daarmee spanning mogelijk gelet op hun taak of hun belang Geiden dezelfde doelen voor het hele proces 11 3 Ja Ja De databank wordt in de loop van haar bestaan gebruikt voor meerdere doeleinden Daarmee ligt het gevaarvan ongecontroleerde unct on creep op de loer dat de persoonsgegevens voor andere doeleinden worden gebruikt dan oorspronkelijk bedoeld was Daar zal extra aandacht voor moeten zijn bij het beheer van de databank ^ Aanbevolen maatregel Eventuele nieuwe doelen toetsen door middel van een PIA Zo moet er bijvoorbeeld in detoekomst getoetst worden of een nieuw doel verenigbaar is met het oorspronkelijke doel Zie het antwoord bij vraag II 1 De daar genoemde doelen 2 3 en 4 zijn verenigbaar met doel 1 Nieuwe doelen of nog niet beschreven doelen zullen moeten worden getoetst aan de Wbp eisen zoals de verenigbaarheid van het nieuwe doel met het oorspronkelijke doel Als voorbeeld de databank gebruiken voor integriteitsonderzoeken onder rijksambtenaren is niet toegestaan Dat doel is niet verenigbaar met het oorspronkelijke doel Indien u positief hebt geantwoord op vragen 11 2 of 11 3 hoe wordt een dergelijk voorgenomen gebruik d w z gebruik van nieuwe persoonsgegevens in bestaande systemen of van bestaande persoonsgegevens voor nieuwe doeleinden gemeld aan a de functionaris voor de gegevensbescherming of b het De verwerking van de persoonsgegevens in de databank is niet nieuw en is opgenomen in de meldingen Verwerkingen van persoonsgegevens door de Belastingdienst en de FIOD 30 augustus 2013 zoals gepubliceerd op de website van de Belastingdienst De aard van de publiekrechtelijke taak van de Belastingdienst maakt dat de handhavings en toezichtinstrumenten van de Belastingdienst slechts beperkt gepubliceerd kunnen worden Hoewel de overheid in zijn algemeenheid transparantie nastreeft past de Belastingdienst terughoudendheid in haar publicaties 11 4 Nee Function creep hoeft op zichzelf niet negatief te zijn Hetherbergt wel een risico van Wbp schendingin zich Pagina 9 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Cbp indien er geen FG is Indien u positief geantwoord hebt op vragen 11 2 of 11 3 welke nadere controles op een dergelijk gebruik {d w z gebruik van nieuwe persoonsgegevens in bestaande systemen of van bestaande persoonsgegevens voor nieuwe doeleinden zijn voorzien In de toekomst zal er nog een PIA moeten worden afgenomen om het gebruik van de persoonsgegevens in de databank te controleren 11 5 Ja Aanbevolen maatregel Bij nieuwe doelen is het raadzaam het PIA instrument te gebruiken als toetsing op de naleving van de Wbp Welke periodieke en incidentele controles zijn voorzien om de juistheid nauwkeurigheid en actualiteit van de in het beleidsvoorstel wetsvoorstel op overheidsICT systeem verwerkte persoonsgegevens na te gaan De toetsing van de kwaliteitvan de processen rondom de databank is onvoldoende gestructureerd In het beheervan de databank moet nadrukkelijk aandacht komen voor de toets op de naleving van de Wbp en het voldoen aan andere normen zoals beschreven in het Handbook beveiliging Belastingdienst HBB en de Baseline beveiliging rijk BIR Ook de richtsnoeren van het College bescherming persoonsgegevens CBP over de beveiliging van persoonsgegevens moeten worden nageleefd Documenteren van de processen en de processtappen is een eerste zet 11 6 Ja Aanbevolen maatregel De informatiebeveiliging van de databank Auto moet geregeld worden conform het HBB BIR en de Cbp richtsnoeren De overdracht naar B CA zo snel mogelijk realiseren Het inwinnen en het beheer van de gegevens uit de databank zal op korte termijn een activiteit worden van B CA Centrale Informatievoorziening CIV lnwinnen en Verstrekken van Gegevens IVG Binnen B CA is veel expertise en er wordt standaard gewerkt met behulp van protocollen Pagina 10 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Zullen de verzamelde verwerkte persoonsgegevens gebruikt worden om het gedrag de aanwezigheid of de prestaties van mensen in kaart te brengen en of te beoordelen en of te voorspellen Zijn de betrokkenen daarvan op de hoogte Zijn de gegevens die hiervoor worden gebruikt afkomstig uit verschillende {eventueel externe bronnen en zijn zij oorspronkelijk voor andere doelen verzameld 11 7 Ja Ja De databank wordt gebruikt voor risicoselectie Deze risicoselectie houdt per definitie in dat groepen kentekens worden onderscheiden als meer of minder risicovol in de zin van onvolledige onjuiste belastingopbrengsten In die zin kun je spreken van profiling Aanbevolen maatregel Indien er nieuwe risicoprofielen worden ontwikkeld moeten deze getoetst worden door middel van de PIA zie de PIA van de Belastingdienst hetonderdeel profilering Wordt bij deze analyse beoordeling voorspelling gebruik gemaakt van vergelijking van persoonsgegevens die technisch geautomatiseerd is {d w z niet door mensen zelf wordt uitgevoerd Zo ja hoe wordt geregeld dat indien dit geautomatiseerde proces tot een beoordeling of voorspelling over een bepaalde persoon leidt hierop pas concrete actie wordt ondernomen na tussenkomst en tweede controlevan menselijk personeel Er worden persoonsgegevens aan elkaar gekoppeld en met elkaar vergeleken De uitkomsten van het geautomatiseerde proces worden gebruikt om de toezichtcapaciteit gericht in te vullen Er worden geen geautomatiseerde beslissingen genomen op louter digitale informatie uit de databank De databank voorziet in de mogelijkheid tot gerichte renseignering {bijvoorbeeld t b v belastingcontroles en risicoselectie en analyse 11 8 Nee Opmerking B CA is eveneens een gebruiker van de databank en vergelijkt geautomatiseerd de signaleringen van geschorste handelsvoorraad auto s {toezicht op MRB Zie ook Bijiage 1 Betrokken instanties systemen III Pagina 11 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 en verantwoordelijkheid Welke interne en externe instantie s en of systemen is zijn betrokken bij de voorziene verwerking in elk van de onder 1 5 onderscheiden fasen Welke verstrekkers zijn er en welke ontvangers Welke bestanden of deelbestanden en welke infrastructuren Zie het overzichtvan bronbestanden en ook het overzicht waarin wordt gepubllceerd welke overheidsinstanties het BSN mogen gebruiken Ill l Nee Is in ieder stadium duidelijk wie verantwoordelijk is voor de verwerking van de persoonsgegevens Zo ja is deze persoon of organisatie daarop voldoende voorbereid en geequipeerd wat betreft de nodige voorzieningen en maatregelen waaronder middelen beleid taakverdeling procedures en intern toezicht III 2 is de verantwQordelijke voor Nee Persoonsgegevens ae aataoanK Pagina 12 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Wie binnen uw organisatie en elk van de andere betrokken organisaties krijgen precies toegangtotde persoonsgegevens Bestaat de kans dat bij het gebruik ervan de gegevens ter beschikking komen van onbevoegden Er wordt een register bijgehouden van alle verleende autorisaties waarin wordt vastgelegd per wanneer de autorisatie verleend is en met welk doel hij is aangevraagd Een autorisatie wordt voor een jaar verleend Jaarlijks zal worden getoetst of de autorisatie verlengd wordt Mutaties worden verwerkt in het register Indien er gedurende een periode van een half jaar geen gebruik is gemaakt van de autorisatie wordt deze door LCA beeindigd III 3 Ja Het is noodzakelijk een adequaat autorisatieproces te hanteren Er moet beschreven worden wie en waarom diegene autorisatie heeft gek regen Ten tijde van het uitvoeren van deze PIA zijn er 1715 autorisaties uitgegeven Er wordt gewerkt met autorisatieprofielen en er vinden regelmatig updates plaats Aanbevolen maatregel Beoordeel de huidige autorisatielijst en de autorisatieprofielen Een belangrijke vraag is of iedereen slechts toegang krijgttot de gegevens die noodzakelijk zijn voor zijn of haar werkzaamheden niet meer dan nodig Geldt voor een of meer van de betrokken instanties een beperking van de mogelijkheid om persoonsgegevens te verwerken als gevolg van geheimhoudingsverplichtingen {in verband metfunctie wet III 4 Ja Nee Voor alle mensen die werken met de databank geldt artikel 67 AWR onverkort Zijn alle stappen van de verwerking in de zin van soorten gegevens en uitwisselingen in kaart gebracht of te brengen zodanig dat daardoor voor de betrokkenen inzichtelijk is bij wie waarom en hoe de persoonsgegevens worden verwerkt III 5 Nee Zie V l Zie ook het overzicht in BijIage 1 Nee Pagina 13 van 29

applies AWR Art. 67

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Zijn er beleid en procedures voorzien voor het creeren en bijhouden van een verzameling van de persoonsgegevens die u wilt gaan gebruiken Zo ja hoe vaak en door wie zal de verwerking worden gecontroleerd Omvat de verzameling een verwerking die namens u wordt uitgevoerd {bijvoorbeeld door een onderaannemer Het LCA heeft een algemeen beleid en nog geen expliciet beleid voor de databank Het beleid voor de databank moet HBB conform worden geformuleerd waarbij de Richtsnoeren van CBP tot leidraad kunnen dienen III 6 Ja Aanbevolen maatreget Formuleer Wbp conform beleid en procedures omtrent de databank Is er sprake van overdracht van persoonsgegevens naar een {overheids instantie buiten de EU EER Heeft dit land een niveau van gegevensbescherming datals passend is beoordeeld door een besluit van de Europese Commissie of de Minister van Veiligheid en Justitie Worden daarbij alle of een gedeelte van de persoonsgegevens doorgegeven III 7 Nee Nee Pagina 14 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Beveiliging en bewaring vernietiging IV IV 1 Is het beleid met betrekking tot gegevensbeveillging binnen uw organlsatie op orde Zo ja wie welke afdeling en is zijn binnen de organisatle verantwoordelijk voor het opstellen implementeren en handhaven hiervan Is dit beleid specifiek gericht op gegevensbescherming en gegevensbeveillging De gegevensbeveillging van de databank is nog niet voldoende ingeregeld binnen het LCA Ja Aanbevolen maatregel Conformeer de handelswijzen bij het LCA aan het HBB {en daarmee implidet aan de BIR en de beveiligingsrichtsnoeren van het CBP Indien een deel van] de verwerking bij een bewerker plaatsvindt hoedraagtu zorg voor de gegevensbeveiliging en het toezicht daarop bij die bewerker Er wordt een bewerker ingehuurd die de schil en de workflow managementsystemen heeft gebouwd ode bewerker ontwikkelt thuis en hettesten gebeurt door de gebruikers van de {ver nieuw{d e funotionaliteit De bewerker heeft wel een geheimhoudingsverklaring getekend en er is een overeenkomst Dit contract is er al jaren De bewerker kan terecht op een Belastingdienst PC en doet ook nog wel andere klussen bij LCA op offertebasis IV 2 Ja Aanbevolen maatregel Zorg voor een adequate bewerkersovereenkomst met de bewerker en gebruik daarvoor het Arvodimodel Zorg voor een adequate beveiliging van de persoonsgegevens als de bewerker daar toegang toe heeft Welketechnische en organisatorische beveiligingsmaatregelen zijn getroffen ter voorkoming van niet geautoriseerde of onrechtmatige verwerking misbruik van a gegevens die in een geautomatiseerd format staan Autorisatie via user ID en login en het loggen van het inloggen IV 3 Ja Aanbevolen maatregel Zie de aanbeveling van vraag IV 1 Pagina 15 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 {bv wachtwoord bescherming versleuteling encryptie en b gegevens die handmatig zijn opgetekend bv sloten op kasten Is er een hoger beschermingsniveau om gevoelige persoonsgegevens te beveiligen IV 4 Welke procedures bestaan er in geval van inbreuken op beveiligingsvoorschriften en voor het detecteren ervan is er een calamiteitenplan om het gevolgvan een onvoorziene gebeurtenis waarbij persoonsgegevens worden blootgesteld aan onrechtmatige verwerking of veriies van persoonsgegevens afte handelen Zie aanbeveling bij IV 1 De procedures moeten conform HBB geregeld worden De server waar de databank op draalt staat nu nog in Almelo en gaat naar B CA in Apeldoorn Analyse ontwikkeling productie omgeving bijvoorbeeld worden nu gescheiden Hier is een schema van gemaakt {zie Bijiage 3 Ja Aanbevolen maatregel Zie de aanbeveling van vraag IV 1 Hoe lang worden de persoonsgegevens bewaard Geldt dezelfde bewaartermijn voor elk van de typen van verzamelde persoonsgegevens Is het project onderworpen aan enige wettelijke sectorale eisen met betrekking tot bewaring Momenteel wordt er door het LCA nagedacht over nieuwe bewaartermijnen van contra informatie Het idee is om alle contra informatie welke ten behoeve van de processen van LCA wordt gebruikt via een filter binnen te halen Dat betekent dat die gegevens die we als LCA niet via een filter inlezen niet langer beschikbaar hoeven te blijven voor ons toezicht proces en per direct kunnen worden vernietigd Deze vernietiging wordt uitgevoerd doorde beheerder BCA IVG Uiteraard kan gebruik door andere partijen binnen de Belastingdienst langer bewaren noodzakelijk maken IV 5 Nee Contra informatie die door LCA wordt ingewonnen via het filter zal worden aangewend ten behoeve van toezicht Dit toezicht omvat een proces Pagina 16 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 inclusief bezwaar en beroep De toezichtwensen worden afgestemd met de overige segmenten en zullen bepalend worden voor het inwinnen van contra informatie Het inwinnen van contra informatie sluit daarmee aan op het toezicht dat door de Belastingdienst wordt uitgeoefend Vervolgens zal een keer per jaar zal worden getoetst welke contra informatie daadwerkelijk in toezicht is gebruikt Informatie die {nog niet is aangewend wordt vernietigd informatie die in toezicht is gebruikt en waarvan het toezichtproces is afgerond zuiien eveneens worden vernietigd Contra informatie waarvan het toezicht proces nog niet is afgerond bezwaar en beroep zal nog beschikbaar blijven De rest van de persoonsgegevens wordt bewaard volgens de normale bewaar archief afspraken Conform bestaande wet en regelgeving archiefwet Op welke beleidsmatige en technische gronden is deze termijn van bewaring vereist Toezichteisen en aangiftetermijnen navorderings en naheffing aanslagtermijnen en bezwaarprocedures bepalen de lengte van bewaartermijnen IV 6 Nee Welke maatregelen zijn voorzien om de persoonsgegevens na afloop van de bewaartermijn te vernietigen Worden alle persoonsgegevens inclusief log gegevens vernietigd Is er controle op de vernietiging en door wie De vernietiging van de gegevens wordt uitgevoerd door de beheerder BCA IVG IV 7 Nee Het kan voorkomen dat medewerkers contra informatie op een eigen computer bewaren omdat dat nodig is geweest voor het uitvoeren van bepaalde bewerkingen Ook al is deze informatie alleen voor die medewerker benaderbaar het is ongewenst dat deze informatie bewaard blijft buiten de afspraken om Jaarlijks zullen alle medewerkers per mail worden bevraagd te bevestigen dat alle contra informatie welke niet meer in fiscale productie is door hen verwijderd is uit kasten laden en computerbestanden Er is dan slechts een plaats waar dergelijke informatie voorhanden is en dat is de databank Deze procedure wordt vastgelegd en per medewerker wordt bijgehouden dat er geschoond is Pagina 17 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Transparantie en rechten van betrokkenen V Is het doel van het verwerken van de gegevens bij de betrokkenen bekend of kan het bekend gemaakt worden Wat Is de procedure om betrokkenen indien nodig te informeren over het doel van de verwerking van hun persoonsgegevens Zie de meldingen Verwerkinpen van persoonspepevens door de Belastinpdienst en de FIOD Hier wordt een beschrijving gegeven van de persoonsgegevens die door de Belastingdienst verwerkt worden Hieronder vallen ook de persoonsgegevens die in de databank gebruikt worden Omdat het bij de onderhavige verwerkingen gaat om strategische informatie van de Belastingdienst kan niet alles in detail worden gepubliceerd In zijn algemeenheid zijn betrokkenen op de hoogte van de controle en selectiemethodieken van de Belastingdienst V l Nee Indien u de persoonsgegevens direct van de betrokkenen verkrijgt hoe stelt u hen van uw identiteit en het doel van de verwerking op de hoogte v66r het moment van verwerking V 2 Niet van toepassing Nee Indien u de persoonsgegevens via een andere {overheids organisatie verkrijgt hoe zullen de betrokkenen van uw identiteit en het doel van de verwerking op de hoogte worden gesteld op het moment van verwerking Via de op de website van de Belastingdienst gepubliceerde meldingen en de brochure in algemene zin maar niet in expliciete zin V 3 Nee Pagina 18 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Indien u toestemming tot verwerking van persoonsgegevens aan de betrokkene vraagt opt in kan de betrokkene deze toestemming dan op een later tijdstip weer intrekken {opt out Bij een weigering toestemming te geven of bij een dergelijke intrekking wat is dan de implicatie voor de betrokkene V 4 Nietvan toepassing Nee Via welke procedure hebben betrokkenen de mogelijkheid zich tot de verantwoordelijke te wenden met het verzoek hen mede te delen of hun persoonsgegevens worden verwerkt Hoe worden derden die mogelijk bedenkingen hebben tegen een dergelijke mededeling in de gelegenheid gesteld hun zienswijze te geven Er wordt gebruik gemaakt van de standaard Belastingdienstoplossingen Zie ook de folder De Belastingdienst en de Wet bescherming persoonsgegevens Wbp Hier wordt ook vermeld dat men recht heeft op inzage en correctie V 5 Nee Via de folder et i^|^ ^®9®9^tfftft het verzoek te recht in de functionele postbus Hoe kan een verzoek van een betrokkene tot verbetering aanvulling verwijdering of afscherming van persoonsgegevensin behandeling worden genomen V 6 Nee Persoonsgegevens Pagina 19 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Bijiage 1 Overzicht bronbestanden Databank Auto Omschrijvinginhoud Freguentie Catggorieengegevens Feitelij kdoel van degegeven^ Bestand Bron Beslaaluit meederde deelbestanden bevat alle informatie wagenpark NLuii H5B Ditis het kentekenregister van auto s die op naamstaan Ditis nodig voor dequery s Het zifn alIeauto s dus nietalleenzakeliike auto s [HSB hQuderschaosbelastingl HOgg Ni euw CIV 1 Vo ertu iggegev ens maand VastIegging van plaats en tijd waar en wanneer reed een voertuig Het betreft hier alle wegen Deze waarnemingen kunnen worden gebruiktvoor heitoezichi priv^ebruik auto [IH LH Vpb en QB en de orrizetverantwoording I H Vpb en OB Tevens worden deze g^evens gebruiktvoor het toezicht op de motorrijtuigenbel asting [MRB en debelasting zware motorrijtuigen BZM ^n de wetteliiketeurgmelding i h k v stelsel van basisregisters 2 Contra l nformatie [extern] Alle verkeersboetes van dezakeli ike auto s CJIB CJIB BCA maand VastI egging van plaats en tijd vi aar envi anneer reed een voertuig Het betreft hier alle wegen Deze vwaarnemingen kunnen worden gebruiktvoor hettoezicht priv^ebruik auto [IH LH Vpb en OB en de onri2etverantwoording lH Vpb en GB Tevens worden dezegegevens gebruiktvoor hettoezicht op de motorrijtuigenbel asting [MRB] en debelastingzware motorrijtuigen BZM ^n de weneli|keteurgmelding i h k v stelsel van basisr^isters 2 Conira l nformatie feiftern KLJ D CIE ExterneCamera Beelden wekelijks ECB VastI egging van plaats en tijd waar en wanneer reed een voertuig Het betreft hier alle wegen Deze waarnemingen kunnen worden gebruiktvoor hettoezicht priv^ebruik auto [IH LH Vpb en OB en de omzetverantwoording IH Vpb en OB Tevens worden dezegegevens gebruiktvoor hettoezicht op de motorrijtuigenbel asting [MRB en debelasting zware motorrijtuigen BZM ^n de wettelijketeurgmelding i h k v stelsel van basisregisters □ngefilterde camerabeelden van onze eigen ANPR camera voeruieen 3 Contra I nformatie fi ntern ANPR BCA maand Door middel vanspeciaal van externe pariij aangkochte software de GPS codering omgezet in herkenbarestraat en plaats namen 2 Contra I nformatie extern Huipbestand voor ANPR [ditis software AHPRGP5 LCA maand PGA Nodig omte achterhalen of iemand wel of niet bijtelt ook de code voor de reden niet bi jtellen Afvragen of toezicht PGA ook moetzien wat iemand verdient BPM Inkomen van iemand nodig omte bepalen waa r iemand woont woonplaatsbeeinsel 3 Contra I nformatie [intern] FLG LTD gevenswernemers NL maand 2 Conira l nformatie intern] Polls UWV BCA Loongegevens NLspecifiek raking auto All een loongegevens die met auto te maken hebben Nodig in toezicht maand BVR LTO Is kopievan BVR dumpwatvoor IT IVT gebruiktword 4 Basisgegevens Nodig omde populatietebepalenvoor query s maand Dump uit LOTUS PGA systeemdie allekentekens bevat gebruikt deVerklaringhouders Kentekens van verklaringhouders Nodig omte achterhalen wie deverklaringhouders PGAzijn Gebruikt in loezichtPGA PGAKentekenkaart LCA 2 wekel ijks 5 Product egegevens Alle door PGAopgelegdenaheffingen Rechistreekse koppeling met produktiesysteem] PGA Naheffi ng Real Time Omeen beeldtekrijgen of mensen al eerderzijn nageheven 5 Product egegevens Dump uit LOTUS PGAsysteem die alle Verklaringhouders bevat Kentekens van verklaringhouders Nodig omte achterhalen wie deverklaringhouders PGAzijn Gebruikt in toezichtPGA PGA Verklaringhouders LCA 2 wekel ijks 5 Product egegevens Dump uii LOTUS PGAsysteem die alle mutaties op Verklaringhouders 2 wekel ijks 5 Product ^^evens PGAMutaties LCA 2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Staatalleen op deanalyseserver om een query temaken Het beslandwurdt ookgebruiktvoor andere disci pi in 5 bij de Belastingdi enst zoals o a de FIOD Bestand komt regul ler bij deB CA birinen en wardt op verzoek aan het LCAverstrekt^ Opaanvraagverstrekt bestaodvaocaravaris en aanhangv agens Aanhangsvagens BCA afroep 1 Voertuiggegevens Is niet betrouwbaar omdatwenietvan alle leasemaatschapijnen degegevens knjgen Inhoudelijk is de data ookonjuist Leasegegevens warden getoets Ze warden al leen gebruikt als zevaIlidezijn Degegevens warden in tpezicht PGAgebruikt^ Wisselend periodiekeopleverings van bestanden dievia BCA portaal door leasmaatschappijen warden ingestuurd Lease BCA 1 Voertuiggegevens Om tebepalen v iat de zakelijkekentekens zi jnfmogelijk in detoekomst overbodigomdat het ookmet HSB zou kunnen] H053 is een query om devoertuigegevens aan de RSiNnummers met een economische activiteittoete voegen Alle zakeliikekentekens HQ 3 CIV maand 1 Voertuiggegevens Dm het v agenpark van een bedrljt in kaarttekunnen brengen query Ook madig voortoezicht in het I and fvullen van het TOP dossier Alle ondernemers UR13QQA1 □V maand 4 Basisgegevens Dump uit LOTLS UZGB systeem die all e VerkI aringhouders bevat UZGB VerkI aringhouders LCA Nodigomteachterhalenwiedeverkfarirtghouders UZGB zijn Gebruiktin toezichtUZGB maand 5 Producfegegevens 3 Contra lnformatie intern BQBACA Door Fissers mtddefs eenapp verzamefdfoto materiaaf afroep Mogeli jk gebruikt voor UZGB toezicht UZGB FIS VerlegdeaansprakeliJkheidfAPK MRB verzekering} Deautois egenlijkvan lemand anders fvoorbeeld betaal nu SO de rest over 2 jaar Dan is het bedrijf nog ofTceel eigenaar en jij nog niet Doel voor P6A om teachterhalen w e de auto gebruikt Dit wordt niet regulier opgevraagd bij deRDW Is 1 of 2x opgevraagd i h k v een pilot Bevat al leverleggingen van de aansprakelijkheid op een kenteken RDW BCA RTL afroep 1 Voertuiggegevens Plaats tijd keuringsstation en kilometerstand Gebruikt in toezicht Zakelijk voor PGA Niet zakelijk nodig voor rvlRBfbiJv schorsers Wordt niet meerververst Hiervoor is een reguliereapplicatiedoor de RDW pntwkkeld Afspraak lx per week maximaal 20 kentekens uitvragen Bevat al legegevens over deA emenePeriodiek Autokeuring van alle kentekens 2 Contra Informafe extern RDW BCA afroep APK Alle atgesloten Belastingdiens Convenanten Nodigomte zien of het een convenant post I s zowel query als door medewerkers CNV Post maand 4 Basisgegevens 3 Contra lnformatie intern Alle openstaande belastingschulden lAiekeliiks Toezicht BPM bepal I ngwoon plaats GOA Post Toezicht BPMibepalIngwoonplaats Meest uitgebreideprofiel kandit zien Het staat erin maar devraag IS of het noggebruikt wordt 2 Contra lnformatie intern Toeslagen Qverzichtvan detoeslagen perBSN LTO afroep UZGB Workfl ow Real Ti me Rechtreekse koppel Ing met het kantoorproces van de UZGB Dezeinformatiels nodig omte zi en of mensen i n toezicht zitten en welke brieven zehebben gehad 5 Product egegevens Real Time Rechtreekse koppel Ing met het kantoorproces van de PGA Deaeinformatieis nodig om te zien of mensen in toezicht zitten en welke brieven zehebben gehad PGAWorkfow 5 Product ^^evens Pagina 21 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 r Web bas0d opvoertocil vanterugmeldingen vanlanddiike PGAonderzoeken Correctfestaat PGA R£al TTm 5 PrQdu cti egegevens Dezeinformatieis nodig om tezien w eeen CQrrertiePGAheeftgekregen^OQknQdigvQQr BL Web based opvoertQol van rensefgneringengemaakt door onze FIS medewerkers 3 Contra lnformatie i ntern Zicbtwaarnetningen Tijd en plaats signaler ngen Toezicbt PGA UZGB PGAS Real Time 3 CQntra lnfQrmatie intern download Dump van alle inSURF aanwezige onderzoeken atroep Waarnemingen door bifyoorbeeld Fissers ToezichtPGA UZGB SURF 3 Contra Informaf e intern] Web based opyoertool vanAxITaxi renseigneringen AxiTaxi Real Tme Wordtgebruikt door het prefect AxiTaxi Waarnemingen BPM Workflow Real Tme Rechtreekse koppeling met het kantoorproces van de BPM Je kan hiermee zien welke posten in behandel ing zijn 5 Produc ti egegevens Brongegeven voor het dashboard BPM [Bl en stuurinformatiel Je kan in detail doorklikken Niettezien i n klandbeeld autQ beperkteautorisatiel Samen BPMTvormt dit het dashboards UCI Douane excel en access in SG maandeliikse levering ABD maand 5 Producti egegevens Brongegeven voor het dashboard BPM [Bl en stuunntormatiel Je kan in detail doorklikken Niettezien in klandbeeld auto beperkteautorisatiel Samen ABDvormtdithetdasbboard BPMT ZuidWest restitute BPM maand 5 Productl egegevens Niet meergebruikt Zitnu in HSB Zinen nietin HSBmaar eventueel in HSB accent^afhankelijkvan deal dan niet van toepas si ngzifnde privilege Boitenlandse militairen P^rsoonsgegeve|ii l Voertuiggegeven5 aanvraag I pireoonsgegevel^ NL militairen Niet gebrui kt en hebben we ook niet 1 Voertuiggegevens aanvraag PiSoonsgegevel^ BN GN kentekens wekelijks Niet meer gebrui kt Dit zit niet meer in HSB maar in HSB accent 1 Voertuiggegevens FISB Accent wordt door het LCAmaar beperktgebruikt Fletis af feen nodig om te kijken of er op een buitenlands kenteken MRB wordt betaald en om die kentekens vervolgens uittesluitenvQortoezfcht MRB buiteniandse kentekens HSB Accent BCA maand 1 Voertuiggegevens 2 Contra Informa tie extern CJIBBuitenfand BCA Verkeersboetes op buitenfandse kentekens maand Vastlegging vanplaats en tijd waar reediemand Gaat om buitenlandse kentekens Toezicht BZM Worden niet in kl antbeeldgetoont Wordtgebruikt voor devaststellingof een ECB waarnemingal dannietvan toepas singis voor een BZM plichtigvoertuig Al I e z wa re V rac hta uto s M015AA10 CIV maand 1 Vo ert u i^ ^ev en s Pagina 22 van 29

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 De werkgevers worden gekoppeld a an loongegevens Wij tonen de naam en adresgegevens van d werkggver Vgrsohi I met dg BVRgegevgns i s dat higr ook hi storie i n zit Allg werkgevgrsvan NL UR1940A1 CIV maand 4 Basi s gegevens Volgende velden warden in databank auto opgenomen Klantcoordinator VIPindlcatQr pQsten ult fvTZGO KC GEMrJD27 csv ATK^ 4 Baslsgegevens Nodig om at tesdaermen fVIP KC er nodig omteweten met wie er oontart opgenomen moet warden Volgendevefden warden in databank auto opgenomen Aandadhtcategorfe Zwaartecategorie^Rlsicoklasse CQmfortt nfQrmatfe^Verwachit compliant gedragvoorde komende S maanden ErJT DBF I KB 4 Basisgegevens Pagina 23 van 29

2058012 00001 PI A I Databank Auto Versie 22 decennber 2014 Bijiage 2 Protocol m b t fiscale relevantie voertuigpassagegegevens 6elast ngd enst Belastingdienst Protocol behorend bij het Convenant Belastingdienst PoHtie inzake medegebruik van de ANPR camera s van de Politie Verele l oo Datum Auteur 18 12 o14 Fersoonsgegevers 2058012 00001 Selastfngdienst Protocol behorend bij hat Convenant Belastingdienst Potitle inzake madegebruik van de AMPR camera s van de Polibe 1 1 Doelstefling van dit protooal Dit protocol geeft aan hoe de Belastingdienst concreet omgaat met voertiiigpassagegegevens Die gegevens worden uitsluifcend gebruik als deze Hscaa relevant zijn Dit houdt in dat de Befastingdlenst deze gegevens slecfits gebruikt ten behoeve van het toezicht op de Jufste nafeving van de beiastlngpllcht en bij de heffing en inning van belastingen Aiteen voertulgpassagegegevens die fiscaal relevant zijn worden opgenomen in de databank auto 1 2 Grondslag voor dit protocol Dit protocol is gebaseerd op arttkel 3 3 van het Convenant Beiastingdienst Politie inzake medegebruik van de ANPR camera s van de Poiitie 2 Noodzaak van het gebruik van voertulgpassagegegevens Het verwerken van voertuigpassagegegevens is nodig omdat geen andere informatte beschikbaar Is of kan worden verkregen waarmee het toezicht op de naleving van belastingwetgeving indien en ■ zover motorrijtuigen fiscaal relevant zijn Voertuigpassagegegevens worden gebruikt voor het toezicht op de naleving van de volgende belastingwetten • Wet op de loonbelasting 1964 vanwege priv6 gebruik auto • Wet Inkomstenbelasting 2001 o a vanwege priv4 gebruik auto • Wet op de belasting van persorenauto’s en motorhjwielen 1992 • Wet op de motorrijtuigenbelastfng 1994 • Wet beiasting zwane motorrijtuigen eurovignet » Wat op da omzetbelasting 196S • Wet op de vennootschapsbelasting 1969 voor 2 2 Concretisering van flscale relevantie De voigende voertuigpassagegegevens zijn fiscaal relevant • Voertuigpassagegegevens die betrekking hebben op motorrijtuigen die gelreerd zijn een ondememer in de zin van de Wet op de Omzetbelasting 1968 de Wet op de Inkomstenbelasting 2001 of de Wet op de Vennootschapsbelasting dan wel inhoudlngsplichtige in de zin van de Wet op de Loonbelasting 1964 Oeze gegevens zijn naar hun aard atdjd fiscaal relevant • Voertuigpassagegegevens die betrekking hebben op zware vrachtwagens waarop de Wet belasting zware motorrijtuigen van toepassing is zijn naar hun aard ook altijd fiscaal relevant • Voertulgpassagegegevens die betrekking hebben op motorrijtuigen op naam van partlcuiteren niet ondememers worden alleen verwerkt als daar een concrete aanieiding voor Is 2ij zijn fiscaal relevant als ten aanzien van die motorrijtuigen sprake is van een aanwijzlng dat een daarop betrekking hebbende verplichting op basis van de Wet op de motorrijtulgenbelasdng 1994 of de Wet op de belasting van personenauto s en motorrtjwielen 1992 niet isof wordt nageleefd aan een Inzage en correctierecht Houders van voertuigen hebben het recht desgevraagd informatie te ontvangen van de Belastingdienst over de voertuigpassagegegevens die zijn opgeslagen in de databank indien deze gegevens gerelateerd kunnen worden aan concrete navorderingsaansiagen dan wel naheffingsaanstagen Voor de overige opgeslagen gegevens geidt dat deze valien onder de neikwijdte van artikel 43 sub d van de Wet beschermlng persoonsgegevens Oe gegevens zullen worden gecorrigeerd of verwijderd als blijkt dat ze nietjuist zijn 4 1 2058012 00001 PI A I Databank Auto Versie 22 decennber 2014 Selastingdj enst bewijsleer kan hij daarop reageren ^ spelen In het kader van de vrije S Venwijdaren van voertuigpassagegeg Is sewofdeTSrda^fi^^rr lets venvijdard nadat duidelfjk eenmaal per jaar wordt de databank g^c^oonj maar ndnimaal evens S EvaJuatie van wetgeving jurispnrdentle en het te vneren toifcht aangepast in het licht oom Persoonsgegevens 2 Pagina 26 van 29

applies Wet Art. 43(d)

2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Bijiage 3 Weergave architectuur nieuwe servers Communicatie via iwebservice Communicatie via native sql divers Applicatie server Auto Databaseserver Workflows PGA workflow BPM workflow PGA workflow db test db BPM workflow db test db VAR workflow db test db IVT workflow db test db ■ Benodigde software IIS Benodigde software net framework 2 [ j3 5 4 5 SQI server native drivers I SQL server 2008 of 2012 ■ ■ Databaseserver Databank Applicatie server IVT workflow Databank auto databases IVT workflow VAR Workflow ■ Benodigde software Benodigde software SQL server 2008 of 2012 Oracle drivers tbv linked server ■ IIS net framework 2 0 3 5A 5 SQL server native drivers Applicatie server DataBank Databaseserver Query en analyse Applicatie server Query en analyse Report ngschil Databank auto databases Benodigde software Benodigde software Benodigde software Visual studio t plugin voor report ontwikkeling Sql server integration components ssis Sql management studio IIS SQL server 2008 of 2012 Oracle drivers tbv linked server net framework 2 0 3 5 4 5 Microsoft Reportingservice Webgedeelte SQL server native drivers ■ ■ Ms ■ Microsoft Reportingservice Webgedeelte ■ 2058012 00001 PI A I Data bank Auto Versie 22 december 2014 Pagina 28 van 29

2058012 00001 Belastingdienst Privacy Impact Assessment Databank Auto Overzicht van mogelijke risico s en aanbevelingen 1 Informatiebeveiliging Risico De gegevensbeveiligjng van de databank is nog niet voldoende ingeregeld In bet beheer van de databank moet nadrukkelijk aandacht komen voor de toets op de naleving van de Wet bescherming persoonsgegevens Wbp en bet voldoen aan beveiligings}normen zoals beschreven in bet Handboek Beveiliging Belastingdienst {HBB} en de Baseline Informatiebeveiliging Rijksdienst BIR Ook de ricbtsnoeren beveiliging van persoonsgegevens van bet College bescberming persoonsgegevens CBP moeten worden nageleefd Aanbeveling De informatiebeveiliging van de databank Auto moet geregeld worden conform bet HBB BIR en de CBP ricbtsnoeren Het inwinnen en bet bebeer van de gegevens uit de databank zal op korte termijn een worden activiteit Be la sti ngd i e nst Ce nt ra le B CA Unit Centrale Informatievoorziening CIV Unit Inwinnen en Verstrekken van Gegevens IVG Binnen B CA is veel expertise en er wordt standaard gewerkt met bebulp van protocollen De overdracbt naar B CA zal zo snel mogelijk gerealiseerd moeten worden van Administratie 2 Bronbestanden Aanbeveling Momenteel wordt er nagedacht over een opschoning van de databank Daarbij wordt er gekeken welke gegevens eventueel niet meer noodzakelijk zijn voor de databank Het is aan te raden om bij de beoordeling van de bestanden in de databank gebruik te maken van bet overzicht in Bijiage 1 Per bestand moet er beoordeeld worden of het bestand noodzakelijk is voor bet toezicbt op de autobelastingen Risico In de databank zitten verscheiden bronbestanden zie Bijiage 1 van bet volledige PIA document Bij enkele bestanden is bet de vraag of ze daadwerkelijk noodzakelijk zijn voor bet toezicbt op de autobelastingen Pagina 29 van 29

2058012 00001 PIA I DatabankAuto Versie 20 oktober 2014 3 Autorisaties Risico Er wordt een register bijgehojden van alle verleende autorisaties waarin wordt vastgelegd per wanneer de autorisatie verleend is en met welk doel hij is aangevraagd Ten tijde van het uitvoeren van deze PIA zijn er 1715 autorisaties uitgegeven Verder wordt er gewerkt met autorisatieprofielen De vraag is echter of de huidige autorisatieprofielen toereikend zijn Aanbeveling Het is noodzakelijk om een adequaat autorisatieproces te hanteren dus de autorisatielijst buidige autorisatieprofielen moeten beoordeeld worden Er moet getoetst worden of iedereen met een autorisatie enkel toegang beeft tot de gegevens die noodzakelijk zijn voor zijn of baar werkzaambeden niet meer dan nodig de en 4 Nieuwe doeleinden Risico De databank wordt in de loop van baar bestaan gebruikt voor meerdere doeleinden Daarmee ligt bet gevaar van ongecontroleerde uncffon creep op de loer dat de persoonsgegevens voor andere doeleinden worden gebruikt dan oorspronkelijk bedoeld was Daar zal extra aandacht voor moeten zijn bij bet beheer van de databank Aanbeveling Eventuele nieuwe doelen moeten worden getoetst door middel van een PIA Zo moet er bijvoorbeeld in de toekomst getoetst worden of een nieuw doel verenigbaar is met bet oorspronkelijke doel Tevens moeten eventuele nieuwe risicoprofielen getoetst worden door middel van de PIA zie de PIA van de Belastingdienst bet onderdeel profilering} 5 Exporteer knop Risico Er zit een exporteer knop in de databank Daarmee kan men de scherminhoud exporteren naar een ander formaat Excel PDF Word etc } Daarmee kan de informatie uit de databank worden gebruikt in andere applicaties die de Belastingdienst in baar toezichtproces gebruikt Nu de Belastingdienst werkt met Digitale Werkruimte Belastingdienst DWB werkplekken waarbij tijd en plaats onafbankelijk kan worden gewerkt is deze knop wellicbt niet meer nodig Aanbeveling Onderzoek de noodzaak voor deze exporteer knop in relatie tot de DWB werkplekken geautoriseerde medewerker op locatie op plekken met beveiligde WiFi verbinding toegang beeft tot de databank iedere waarmee Pagina 30 van 30

2058012 00001 PIA I DatabankAuto Versie 20 oktober 2014 Pagina 31 van 30 2058012 00001 2058012 00001