Staatssecretaris Eerenberg van Financiën heeft de Tweede Kamer laten weten dat de Belastingdienst vasthoudt aan de keuze voor Fast Enterprises als beheerder van het nieuwe btw-systeem. Het Amerikaanse bedrijf valt onder de CLOUD Act. Dat betekent in theorie dat Amerikaanse opsporingsdiensten toegang kunnen krijgen tot gegevens van Nederlandse belastingplichtigen.
De Belastingdienst gaat door met het plan om het Amerikaanse Fast Enterprises het beheer te laten voeren over het nieuwe btw-systeem. Dat schrijft staatssecretaris Eerenberg in een brief aan de Tweede Kamer. Eerder stelden Kamerleden al 25 vragen over de uitbesteding, nadat beveiligingsexperts en politici zich openlijk zorgen maakten over de gevolgen. Fast Enterprises won eind 2024 een aanbesteding van 190 miljoen euro voor de vernieuwing van het btw-systeem, dat wekelijks circa 1,5 miljard euro aan belastinginkomsten verwerkt.
Servers in Apeldoorn, beheer in Amerika
Fast levert een totaaloplossing, waarbij zowel software als infrastructuur onder het beheer van het Amerikaanse bedrijf vallen. Het gaat om het GenTax-pakket, dat wereldwijd al door meer dan 60 belasting- en inkomstendiensten wordt gebruikt, waaronder in Finland. De fysieke servers staan wel in Apeldoorn en worden via een housing-oplossing ter beschikking gesteld door de Belastingdienst zelf.
“Er is hier geen sprake van opslag of verwerking van de gegevens van belastingplichtigen in een cloudomgeving”, schrijft Eerenberg. Op termijn wil de Belastingdienst het systeem wel naar de cloud migreren. Eerenberg erkent dat Fast Enterprises als bedrijf onder Amerikaanse jurisdictie valt. Daarmee komen gegevens van Nederlandse belastingplichtigen binnen de reikwijdte van wetten als de CLOUD Act en de FISA Amendments Act. Die wetgeving geeft Amerikaanse opsporingsdiensten de mogelijkheid om toegang te krijgen tot gegevens of die te verzamelen.
Maatregelen om risico’s te beperken
De Belastingdienst kondigt verschillende maatregelen aan om de risico’s te beheersen. Zo wordt een vier-ogenprincipe toegepast. Daarbij staan Fast-medewerkers altijd onder toezicht van eigen medewerkers van de Belastingdienst. Beheer op afstand is niet toegestaan. Daarnaast worden fiscusmedewerkers opgeleid om het systeem zelf te beheren en is er overleg gaande om uitsluitend te werken met medewerkers die niet onder Amerikaanse jurisdictie vallen. Eerenberg stelt dat deze maatregelen de risico’s terugbrengen tot een aanvaardbaar restrisico. Wel voegt hij toe dat risico’s bij gebruik van een externe leverancier nooit volledig worden weggenomen.
De Belastingdienst ontkomt overigens ook niet aan het gebruik van Amerikaanse technologie. Eerder besloot de dienst ook al door te gaan met de migratie naar Microsoft 365, ondanks vragen over digitale soevereiniteit. Staatssecretaris Eerenberg wijst er in zijn brief op dat ook de huidige infrastructuur, zoals virtualisatiesoftware en besturingssystemen van de servers, al bestaat uit Amerikaanse producten.
Tegelijkertijd onderzoekt de Belastingdienst onder welke voorwaarden het beheer en onderhoud op termijn in eigen handen kan worden genomen. Over de exacte invulling daarvan zijn nog geen verdere details bekendgemaakt.