L'Autorité de protection des données néerlandaise (AP) a publié son premier rapport sur l'"État de la protection des données au sein de l'Administration fiscale", soulignant la lenteur des progrès en matière de conformité malgré une surveillance renforcée.

Ce rapport, issu de la surveillance intensifiée mise en place en 2024, révèle que l'Administration fiscale ne respecte toujours pas la législation sur la protection des données dans 10 des 12 domaines examinés. Les principaux manquements concernent des algorithmes de sélection insuffisamment justifiés, l'incapacité à démontrer une intervention humaine dans les décisions algorithmiques lorsque la loi l'exige, et une sécurisation inadéquate des données personnelles. L'Administration fiscale invoque la vétusté de ses systèmes informatiques et des priorités politiques concurrentes. L'AP estime cependant que la protection des données doit être une priorité, notamment pour les traitements à haut risque.

Des progrès sont néanmoins constatés dans deux domaines désormais conformes : la notification des violations de données et la réalisation d'Analyses d'Impact relatives à la Protection des Données (AIPD). D'autres améliorations sont attendues, comme la suppression du numéro de service citoyen (BSN) des références de paiement d'ici fin 2026. Cette surveillance renforcée, prévue jusqu'à mi-2029, a été instaurée suite à un nombre élevé de sanctions infligées à l'Administration fiscale entre 2019 et 2022. Un membre du conseil d'administration de l'AP a qualifié de "préoccupante" la protection encore insuffisante des données des citoyens, tout en notant que la direction de l'organisme s'efforce de résoudre les problèmes. Le prochain rapport sera publié en janvier 2028.