Op 17 december heeft de minister van Binnenlandse Zaken en Koninkrijksrelaties kritische Kamervragen beantwoord:
Op de vraag ‘Wat is de wettelijke grondslag om ondernemingen te verplichten aangifte te doen met eHerkenning (dat in tegenstelling tot DigiD niet gratis is en alleen commercieel verkrijgbaar is)?’ heeft hij als volgt geantwoord:
Het antwoord van de Minister luidt als volgt:
Uit artikel 2:15, eerste lid, van de Algemene wet bestuursrecht volgt dat een bestuursorgaan bevoegd is om nadere eisen te stellen aan het gebruik van de elektronische weg. Van deze bevoegdheid wordt gebruik gemaakt door de Belastingdienst. Dit soort eisen zijn over het algemeen technisch van aard en hebben betrekking op het borgen van de betrouwbaarheid en vertrouwelijkheid van de gegevensuitwisseling. Daarnaast behoren informatiesystemen, die persoonsgegevens verwerken, ingevolge de Algemene verordening gegevensbescherming (AVG) aan bepaalde eisen te voldoen ten aanzien van toegangsbeveiliging. Via de EU verordening nr. 910/2014 (eIDAS-verordening) en de bij uw Kamer in behandeling zijnde Wet digitale overheid wordt de norm betreffende de adequate beveiliging van de toegang tot digitale dienstverlening nader gespecificeerd. Ongeacht of de nadere invulling van de norm door inwerkingtreding van de Wet digitale overheid van kracht is, is de Belastingdienst bevoegd en verplicht om de persoonsgegevens op haar portaal adequaat te beveiligen. De Belastingdienst is gelet op artikel 5, eerste lid, letter f, AVG verplicht passende technische beveiligingsmaatregelen te nemen. In het begrip ‘passend’ ligt besloten dat de beveiliging in overeenstemming is met de stand van de techniek en dat het niveau van beveiliging correspondeert met de aard van de te verwerken persoonsgegevens. De stand van de techniek is sterk tijdgebonden.
Zowel de stand van de techniek als de hoeveelheid privacygevoelige gegevens, die worden getoond in het portaal voor ondernemers, schrijdt voort. eHerkenning is op dit moment het enige beschikbare inlogmiddel voor organisaties dat een passend beveiligingsniveau biedt voor de aangifte loonheffingen en de aangifte vennootschapsbelasting in 2020.
De Autoriteit Persoonsgegevens (AP) houdt toezicht op de toepassing van de AVG en is al langere tijd van mening dat het betrouwbaarheidsniveau van de inlogmiddelen van de overheid omhoog zou moeten. Dit blijkt onder andere uit de voorwaardelijke dwangsom die de AP in 2018 aan het UWV heeft opgelegd. Om die reden stapt ook het UWV al vooruitlopend op de wet Digitale overheid over op het verplichte gebruik van eHerkenning, niveau 3.
Bijlage:
Voor nadere informatie kunt u contact opnemen met de managing partner van Reconi, de heer F.J. Jonker via onderstaand e-mailadres: