Op 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG) in werking getreden. Al snel werd duidelijk dat de Belastingdienst niet kon voldoen aan de door de AVG gestelde eisen met betrekking tot persoonsgegevens. In een brief aan de Tweede Kamer rapporteert de staatssecretaris van Financiën over de stand van zaken binnen de Belastingdienst met betrekking tot de AVG.
Inmiddels heeft de Belastingdienst de nodige maatregelen getroffen om te voldoen aan de AVG. Het is echter nog niet gelukt om alle verouderde gegevens te verwijderen. Daar zijn twee oorzaken voor aan te wijzen. Voor een aantal oude systemen zijn ingrijpende aanpassingen nodig om verouderde gegevens op basis van de AVG-normen te kunnen verwijderen. Dat is op korte termijn niet mogelijk. Daarnaast dienen alle digitale documenten op basis van de inhoud beoordeeld te worden op de aanwezigheid van persoonsgegevens, aangezien de bestandsnaam of het bestandsformaat niets zegt over de inhoud van een bestand. De verouderde documenten worden in een datakluis geplaatst. De persoonsgegevens zijn niet langer toegankelijk voor medewerkers van de Belastingdienst, maar alleen voor de aangewezen beheerders.
Op de website van de Belastingdienst staat een privacyverklaring. De privacyverklaring geeft informatie over de persoonsgegevens die de Belastingdienst verwerkt van burgers, bedrijven en eigen personeel, waar die gegevens vandaan komen en aan wie ze eventueel geleverd worden. Een samenvatting van het register van verwerkingen is gepubliceerd als bijlage bij de privacyverklaring.
De Belastingdienst heeft maatregelen genomen om het intern oneigenlijk delen van gegevens te voorkomen.