RAM en MKB-Profilering: Het Topje van de IJsberg
Het Risico Analyse Model (RAM) was het grootste en meest invasieve surveillance-instrument dat de Nederlandse Belastingdienst ooit heeft gebouwd. Twintig jaar lang, van 1998 tot 2018, profielde het systeem vrijwel alle belastingplichtigen — burgers én ondernemers — door 69 bronsystemen te koppelen in een centraal datawarehouse, zonder wettelijke grondslag, zonder kennisgeving aan betrokkenen, en zonder enige mogelijkheid tot verweer.
Executive summary
Het Risico Analyse Model (RAM) was het grootste en meest invasieve surveillance-instrument dat de Nederlandse Belastingdienst ooit heeft gebouwd. Twintig jaar lang, van 1998 tot 2018, profielde het systeem vrijwel alle belastingplichtigen — burgers én ondernemers — door 69 bronsystemen te koppelen in een centraal datawarehouse, zonder wettelijke grondslag, zonder kennisgeving aan betrokkenen, en zonder enige mogelijkheid tot verweer. Het KPMG-rapport van februari 2025 (330 pagina’s), vrijgegeven naar aanleiding van het artikel 68-verzoek van Kamerlid Omtzigt, bevestigt wat gedupeerde ondernemers al jaren vermoedden: de toeslagenaffaire was niet het incident, maar het topje van de ijsberg. Waar de toeslagenaffaire circa 26.000 gezinnen trof, profileerde RAM 2,2 miljoen entiteiten over twintig jaar, genereerde meer dan 20.000 selecties per jaar, en koppelde bidirectioneel met de FSV-zwarte lijst die 180.000 burgers als fraudeverdachte registreerde. De Belastingdienst wist al in 2013 van de onrechtmatigheid, zette het systeem door tot één dag voor de AVG van kracht werd, en sloot de bewijsstukken vervolgens op in een “datakluis” van 64 miljoen bestanden die bij geen enkel onderzoek is doorzocht. Dit onderzoek documenteert de schade aan MKB-ondernemers, de verzwegen schaal, en de constitutionele implicaties van een staat die twintig jaarlang haar eigen burgers heimelijk profileerde.
Context
Het RAM-systeem
Het Risico Analyse Model (RAM) ontstond rond 1998 op kantoor Roermond als eenvoudige Excel-database voor brancherisico’s. Via MS Access (2004) en Oracle op AWS (2012) groeide het uit tot een datawarehouse met 250 gegevenstabellen dat vrijwel alle belastingplichtigen in Nederland profielde. De directie Midden- en Kleinbedrijf (MKB) was eigenaar en grootgebruiker.
RAM koppelde 69 bronsystemen, waaronder:
- Belastinggegevens: OB, LH, VPB, IH, Toeslagen
- Bevolkingsregisters: BRP (inclusief nationaliteit), BVR, KvK, Kadaster
- Strafrechtelijk: GEFIS (strafrechtelijke gegevens)
- Voertuigen/eigendom: RDW, Kadaster
- Internet: gescrapete internetgegevens (2015)
Het systeem opereerde met een stoplichtmechanisme: rood = selecteren voor toezicht/fraude-traject. De top 20.000 rode subjecten gingen automatisch naar FD-aanpak, fraude/EOS of thematische onderzoeken — zonder inhoudelijke toetsing.
De datakluis: 64 miljoen verborgen bestanden
In mei 2019, rond de invoering van de AVG, verplaatste de Belastingdienst 64 miljoen ongesorteerde bestanden van een samenwerkings-drive (Q-schijf) naar een afgeschermde omgeving: de “datakluis.” In april 2026 onthulde de Kamerbrief 2026D17991 het bestaan van deze kluis. Kritiek: de datakluis is bij geen enkel onderzoek doorzocht — niet bij de Parlementaire Enquête Fraude en Dienstverlening (PEFD), niet bij het POK-onderzoek, niet bij het FSV-onderzoek, niet bij het CAF-onderzoek, en niet bij het RAM-onderzoek zelf.
De officiële positie luidt: “Er zijn op dit moment geen aanwijzingen dat de datakluis met opzet buiten beschouwing is gebleven.” Maar de feiten vertellen een ander verhaal: systematische uitsluiting van HTML-bestandstypes bij zoekacties, 9 maanden vertraging bij het informeren van de Kamer, en bevestigd ontbrekende documenten uit onderzoeken die wél in de kluis zaten.
De toeslagenaffaire in perspectief
| Categorie | Aantal | Bron |
|---|---|---|
| Toeslagenfamilies getroffen | ~26.000 | Parlementaire documenten |
| FSV-registraties (unieke BSN’s) | ~180.000 burgers | PwC; Commissie-Donner |
| FSV-signalen (totaal inclusief historisch) | ~290.000 personen | Kamervragen 2022; RVS 2025:2720 |
| Aangiften geselecteerd op nationaliteit (2012-2014) | 11.236 BSN’s | PwC; Commissie-Donner |
| RAM-entiteiten (totaal) | 2.2 miljoen | KPMG rapport |
| MKB-bedrijven Nederland | ~1,5 miljoen | CBS |
| Datakluis bestanden | 64 miljoen | Kamerbrief 2026D17991 |
| Gedupeerden met migratieachtergrond | 71% | CBS |
De verhouding is onthullend: voor elke getroffen toeslagenfamilie stonden 7 tot 11 burgers op de FSV-zwarte lijst, en profileerde RAM potentieel miljoenen belastingplichtigen over twintig jaar. De toeslagenaffaire was niet het systeem — het was een symptoom.
Key findings
1. MKB-ondernemers als voornaamste slachtoffer
De MKB-directie was eigenaar en grootgebruiker van RAM. Van de 248 geautoriseerde gebruikers hadden 200 onbeperkte toegang tot alle gegevens van alle belastingplichtigen. Meer dan 2.662 Excel-extracties met RAM-data werden verspreid via USB-sticks, e-mail en CD’s per post — buiten alle controle.
MKB-ondernemers werden zonder medeweten geprofileerd op:
- Nationaliteit (eerste én tweede; 112/250 tabellen bevatten nationaliteitsgegevens)
- Postcode
- Strafblad (via GEFIS-koppeling)
- Internetdata (gescrapet in 2015)
Vervolgens werden zij geselecteerd voor belastingcontrole, boekenonderzoeken en fraude/EOS-trajecten — zonder mogelijkheid tot inzage, correctie of bezwaar. De enige “transparantie” bestond uit algemene informatiepagina’s op de website van de Belastingdienst.
2. Geschat aantal getroffen ondernemers
| Metric | Aantal | Methode |
|---|---|---|
| Selecties per jaar (2017) | 20.000+ | KPMG |
| Operationele jaren | 20 (1998-2018) | KPMG |
| Geschat totaal selecties | ~500.000 (over 20 jaar) | KPMG; AP-rapport juli 2025 |
| Unieke BSN’s op nationaliteit geselecteerd | 11.236 (enkel 2012-2014) | PwC |
| Top rode subjecten per cyclus | 20.000 | KPMG |
| FSV-registraties zonder competente eenheid | 16.529 | PwC |
| Geschat totaal getroffen ondernemers | 100.000 – 300.000 | Conservatieve raming op basis van 20.000 selecties/jaar × 20 jaar, gecorrigeerd voor overlap |
Raming methodologie: Volgens het KPMG-rapport (2025) en het AP-rapport (juli 2025) zijn over 20 jaar circa 500.000 selecties uitgevoerd. Hiervan zijn slechts 1.170 RAM-extracten teruggevonden in archieven — minder dan 0,25% van het totaal. Met minimaal 20.000 selecties per jaar, en rekening houdend met overlap (sommige ondernemers meerdere keren geselecteerd), levert dit een conservatieve schatting van 100.000 tot 300.000 unieke MKB-ondernemers die door RAM zijn geprofileerd en mogelijk benadeeld. De werkelijke omvang is mogelijk groter omdat RAM-volgoperaties (IVT, KTA, CAP) na 2018 deels dezelfde data gebruiken.
3. De datakluis als bewaarplaats voor bewijsmateriaal
De aanwijzingen dat RAM-gegevens bewust zijn afgeschermd zijn circumstantieel maar cumulatief:
| Aanwijzing | Detail |
|---|---|
| Datakluis niet doorzocht | Bij geen enkel onderzoek is de 64 miljoen-bestanden datakluis doorzocht — inclusief het RAM-onderzoek zelf |
| HTML-bestanden uitgesloten | PEFD-zoekacties excludeerden systematisch HTML-bestandstypes → miljoenen bestanden gemist |
| 9 maanden vertraging | Datakluis ontdekt juli 2025; Kamer pas geïnformeerd 15 april 2026 |
| ~9.000 dossiers vernietigd | Beroepsdossiers 2019-2020 vernietigd onder AVG-voorwendsel terwijl Archiefwet behoud vereiste |
| Tweede nationaliteit gemaskeerd | Mei 2019: opdracht tweede nationaliteit te maskeren — hetzelfde jaar als de datakluis |
| RAM uitgeschakeld één dag vóór AVG | 25 mei 2018 — timing wijst op bewust ontwijken van AVG-compliance-eisen |
| Beleidsreactie: geen onderzoek derden | Maart 2025: staatssecretaris sluit onderzoek naar RAM-gegevensverstrekking aan derde organisaties uit |
De Inspectie Overheidsinformatie en Erfgoed (2021) kwalificeerde de vernietiging als een “buitengewoon ongelukkige samenloop” maar concludeerde geen opzet. Kamerlid Omtzigt reageerde: “De belastingdienst vindt een datakluis terug… Nu snap ik waarom relevante stukken altijd onvindbaar…”
4. Acht mechanismen van benadeling
Het RAM-systeem benadeelde MKB-ondernemers via acht gedocumenteerde mechanismen:
- Selectie op nationaliteit — 14 extracties gebruikten nationaliteit als selectiecriterium; 369/1.170 extracties bevatten nationaliteitsgegevens
- Geen wettelijke grondslag — nooit een grondslag- of doelbindingsanalyse uitgevoerd; GEB okt 2017 erkende niet-conform
- Onbeperkte toegang — 200/248 gebruikers met onbeperkte toegang tot alle data; 2.662 Excel-bestanden verspreid zonder controle
- Motor voor fraude/EOS — stoplicht rood = automatische selectie; top 20.000 naar FD-aanpak zonder toetsing
- Koppeling met FSV — bidirectioneel; RAM-versterkte FSV-registraties en vice versa; 16.529 registraties zonder competente eenheid
- Geen transparantie — ondernemers wisten niet dat RAM bestond; geen inzage, correctie of bezwaar mogelijk
- Voortgezet ondanks waarschuwingen — intern bekend sinds 2013; DG geïnformeerd 2015; systeem in stand gehouden als “onmisbaar”
- Verspreiding naar derden — gegevens gedeeld met ministeries, gemeenten, inspecties; geen overzicht bijgehouden; geen verder onderzoek beloofd
5. De constitutionele crisis
RAM raakt aan de kern van de rechtsstaat:
- Art. 1 Grondwet (gelijke behandeling) — nationaliteit als selectiecriterium is discriminatie
- Art. 8 EVRM (privéleven) — ongecontroleerde dataverspreiding over 20 jaar
- Art. 14 EVRM (discriminatieverbod) — systematische profilering op herkomst
- Art. 6 EVRM (eerlijk proces) — geen inzage, geen bezwaar, geen verweer
- Art. 1 P1 EVRM (eigendomsbescherming) — ongestoorde uitoefening beroep en bedrijf onmogelijk gemaakt
- AVG — nooit aangemeld bij AP; geen verwerkingsregister; geen grondslaganalyse
De WRR publiceerde in april 2016 — vier jaar vóór de toeslagenaffaire — Working Paper 021 waarin de exacte systemen, methoden en risico’s werden beschreven. Peter Olsthoorn waarschuwde: “Een enorm en snel groeiend datacomplex is in ontwikkeling… grotendeels onopgemerkt.” De waarschuwing werd genegeerd.
6. Herstelonderzoek: onvoldoende en onvolledig
Het herstelonderzoek van de staatssecretaris (maart 2025) is fundamenteel onvoldoende:
| Beperking | Probleem |
|---|---|
| Onderzoek beperkt tot 14 spreadsheets | 112/250 tabellen bevatten nationaliteitsgegevens; 369/1.170 extracties bevatten nationaliteit |
| Geen schadeberekening MKB | Geen systematische raming van boetes, naheffingen, reputatieschade, faillissementen |
| Geen onderzoek derden | Geen onderzoek naar verstrekking RAM-gegevens aan gemeenten, ministeries, inspecties |
| Datakluis niet doorzocht | 64 miljoen bestanden niet onderzocht op RAM-gerelateerd bewijsmateriaal |
| Geen individuele melding | Overheid stelt: “geen aanleiding om aan te nemen dat burgers zijn benadeeld” |
| Opvolgers nog actief | KTA (~22.000 gebruikers), IHP, IFL, SMOB erven deels dezelfde problemen |
De staatssecretaris beloofde uiterlijk juni 2025 duidelijkheid. Per december 2025 was het onderzoek nog steeds in behandeling.
Schadeaanname: conservatieve raming
| Schadepost | Conservatieve raming per ondernemer | Bij 100.000 ondernemers | Bij 300.000 ondernemers |
|---|---|---|---|
| Extra belastingaanslagen/boetes | €5.000 – €50.000 | €500M – €5Mrd | €1,5Mrd – €15Mrd |
| Accountantskosten/advocaten | €2.000 – €10.000 | €200M – €1Mrd | €600M – €3Mrd |
| Reputatieschade/verlies opdrachten | €10.000 – €100.000 | €1Mrd – €10Mrd | €3Mrd – €30Mrd |
| Gederfde omzet (faillissement/inkrimping) | €20.000 – €200.000 | €2Mrd – €20Mrd | €6Mrd – €60Mrd |
| Immateriële schade (stress, gezondheid) | €5.000 – €25.000 | €500M – €2,5Mrd | €1,5Mrd – €7,5Mrd |
| Totaal (conservatief) | €42.000 – €385.000 | €4,2Mrd – €38,5Mrd | €12,6Mrd – €115,5Mrd |
Deze raming is gebaseerd op de schadebevindingen uit de toeslagenaffaire, geschaald naar de bredere MKB-populatie. De werkelijke schade kan hoger uitvallen gezien de langere periode (20 vs. 5 jaar) en het bredere scala aan gevolgen (belastingaanslagen, invordering, FSV-registratie, digitale stigmatisering).
Conclusie
Het RAM-systeem was geen technische vergissing maar een constitutionele schending op systeemniveau. Twintig jaar lang profielde de Nederlandse staat haar eigen burgers en ondernemers op basis van nationaliteit, strafblad en postcode, zonder wettelijke grondslag, zonder toezicht en zonder recht op verweer. De toeslagenaffaire — met 26.000 getroffen gezinnen en een maatschappelijke schok die een kabinet deed vallen — was het symptoom van een veel groter probleem. Het RAM-systeem trof potentieel honderdduizenden ondernemers. De bewijsstukken zijn opgesloten in een datakluis die de staat weigert te doorzoeken. Het herstelonderzoek is beperkt tot 14 spreadsheets. Niemand is persoonlijk aansprakelijk gesteld. En de opvolgersystemen draaien door.
Krijn ten Hove (BNNVara) karakteriseerde het treffend: “Een constitutioneel probleem, geen administratieve misser.”
Bronverwijzingen
- KPMG Rapport Onderzoek RAM, deel 1 (25 februari 2025) — rijksoverheid.nl
- KPMG Rapport Onderzoek RAM, deel 2 (25 februari 2025) — rijksoverheid.nl
- Kamerbrief beleidsreactie RAM (6 maart 2025) — staatssecretaris Van Oostenbruggen
- Review met RAM vergelijkbare systemen (maart 2025) — rijksoverheid.nl
- Kamerbrief RAM januari 2026 — rijksoverheid.nl
- Documenten onderzoek RAM, deel 2 (mei 2025) — rijksoverheid.nl
- Documenten onderzoek RAM, deel 3 (mei 2025) — rijksoverheid.nl
- Tweede Kamer — Uitkomsten extern onderzoek RAM
- Officiële bekendmaking KPMG-rapport (PDF)
- Artikel 68-verzoek Kamerlid Omtzigt (NSC), 21 juni 2023
- Kamerbrief 2026D17991 (datakluis), 15 april 2026 (Eerenberg & Palmen-Schlangen)
- Kamerbrief 3 december 2025 (RAM-opvolging) — staatssecretaris Heijnen
- Inspectie Overheidsinformatie en Erfgoed rapport, april 2021 (ISBN 978-90-773541-0-0)
- Autoriteit Persoonsgegevens, boetebesluit FSV juli 2020 (€2,75 miljoen)
- WRR Working Paper 021, april 2016 (ISBN 978-94-90186-30-2)
- PwC werkdocument FSV, februari 2022
- Commissie-Donner (“Omzien in verwondering”), maart 2020
- CBS statistieken gedupeerden toeslagenaffaire
- Accountancy Vanmorgen, 7 maart 2025
- iBestuur, 7 maart 2025
- Dutch IT Channel, 5 december 2025
- NOS, 15-16 april 2026 (datakluis onthulling)
Bronnen
- KPMG Rapport Onderzoek RAM, 7 februari 2025 (330 pagina's) — rijksoverheid.nl
- Artikel 68-verzoek Kamerlid Omtzigt (NSC), 21 juni 2023
- Kamerbrief 2026D17991 (datakluis), 15 april 2026 (Eerenberg & Palmen-Schlangen)
- Kamerbrief 6 maart 2025 (beleidsreactie RAM) — staatssecretaris Van Oostenbruggen
- Kamerbrief 3 december 2025 (RAM-opvolging) — staatssecretaris Heijnen
- Inspectie Overheidsinformatie en Erfgoed rapport, april 2021 (ISBN 978-90-773541-0-0)
- Autoriteit Persoonsgegevens, boetebesluit FSV juli 2020 (€2,75 miljoen)
- WRR Working Paper 021, april 2016 (ISBN 978-94-90186-30-2)
- PwC werkdocument FSV, februari 2022
- Commissie-Donner, maart 2020
- CBS statistieken gedupeerden toeslagenaffaire
- Accountancy Vanmorgen, 7 maart 2025
- iBestuur, 7 maart 2025
- Dutch IT Channel, 5 december 2025
- NOS, 15-16 april 2026 (datakluis onthulling)