5 Gegevensbescherming

De Algemene Verordening Gegevensbescherming (AVG) legt een aantal verplichtingen op aan de zogenoemde verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens.1. Op de verwerkingsverantwoordelijke rust onder meer een verantwoordingsplicht. De verwerkingsverantwoordelijkemoet aantonen dat de verwerking in lijn is met de AVG. Zo moet de verwerkingsverantwoordelijke aan kunnen tonen dat de verwerking van persoonsgegevens onder meer voldoet aan de beginselen van rechtmatigheid, transparantie, doelbinding en juistheid. Ook moet de verwerkingsverantwoordelijke aantonen dat passende technische en organisatorische maatregelen zijn genomen om de persoonsgegevens te beveiligen. Op de website van de Autoriteit Persoonsgegevens (AP) zijn voorbeelden te vinden van dergelijke maatregelen.2.

Intermediairs zijn op grond van artikel 10h, tweede lid, WIB gehouden over meldingsplichtige grensoverschrijdende constructies gegevens en inlichtingen te verstrekken aan de Belastingdienst. Deze gegevens en inlichtingen kunnen persoonsgegevens bevatten. Het beginsel van rechtmatigheid houdt in dat er een rechtsgrondslag voor de verwerking moet zijn. De rechtsgrondslagen worden limitatief opgesomd in artikel 6 AVG. Artikel 6, eerste lid, onderdeel c, AVG geeft de mogelijkheid om persoonsgegevens te verwerken als dit noodzakelijk is om aan een wettelijke verplichting te voldoen die op de verwerkingsverantwoordelijke rust. Artikel 10h WIB is de grondslag op basis waarvan de verwerking van deze persoonsgegevens rechtmatig is. Omdat intermediairs wettelijk verplicht zijn om tot de betreffende verwerking van persoonsgegevens over te gaan, is het bijvoorbeeld niet nodig om toestemming – één van de andere in artikel 6 AVG genoemde grondslagen – te vragen aan degene van wie die persoonsgegevens worden verwerkt. Zodoende hoeven (hulp-)intermediairs geen toestemming te vragen aan de betreffende belastingplichtige(n) om een meldingsplichtige grensoverschrijdende constructie te rapporteren aan de Belastingdienst.

Intermediairs, in hun hoedanigheid van verwerkingsverantwoordelijke in de zin van de AVG, zijn onder meer gehouden de personen van wie de persoonsgegevens door hen worden verwerkt daarover te informeren. Via hun privacyverklaring bijvoorbeeld kunnen zij invulling geven aan deze informatieplicht.3. Als de intermediair is gehouden een zogenoemd verwerkingsregister te onderhouden, moet de verwerkingsgrondslag ook hierin worden opgenomen.4.

Intermediairs zijn, als verwerkingsverantwoordelijken, gehouden de rechten te respecteren van de personen van wie de persoonsgegevens worden verwerkt. Voor de verwerkingen die voortvloeien uit de Wet implementatie EU-richtlijn meldingsplichtige grensoverschrijdende constructies betreft dit vooral het recht op inzage, het recht op rectificatie en wissing en het recht op informatie over wat met de persoonsgegevens wordt gedaan om een behoorlijke en transparante verwerking te waarborgen. Een compleet overzicht en een toelichting op deze rechten is te vinden op de website van de AP.5.,6.