ECLI:NL:RBMNE:2025:2805 text/xml public 2025-09-12T11:20:26 2025-06-10 Raad voor de Rechtspraak nl Rechtbank Midden-Nederland 2025-06-11 UTR 24/715 Uitspraak Eerste aanleg - meervoudig NL Utrecht Bestuursrecht
Rechtspraak.nl Viditax (FutD) 2025061205 FutD 2025-1236 JBP 2025/117
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBMNE:2025:2805 text/html public 2025-06-10T16:09:58 2025-06-11 Raad voor de Rechtspraak nl ECLI:NL:RBMNE:2025:2805 Rechtbank Midden-Nederland , 11-06-2025 / UTR 24/715
Eiseres heeft de AP verzocht om handhavend op te treden tegen de Belastingdienst, omdat de Belastingdienst volgens haar onrechtmatig persoonsgegevens verstrekt aan de Amerikaanse belastingdienst, de IRS. De Belastingdienst levert persoonsgegevens door op grond van de Intergovernmental Agreement (IGA), een bilateraal verdrag dat tussen Nederland en de VS is afgesloten. Volgens eiseres kan deze IGA niet als grondslag dienen voor het doorleveren van persoonsgegevens, omdat dit verdrag dateert van vóór de inwerkingtreding van de AVG. Volgens eiseres biedt de IGA onvoldoende waarborgen voor de doorlevering van persoonsgegevens.
De rechtbank geeft eiseres hierin geen gelijk. De IGA voldeed namelijk bij de inwerkingtreding aan de toen geldende privacywetgeving en dat betekent dat volgens artikel 96 van de AVG dit verdrag van kracht is gebleven en wel als grondslag kan dienen voor de doorlevering. De rechtbank oordeelt verder dat er voldoende passende waarborgen zijn voor internationale doorgifte, zoals bedoeld in artikel 46, tweede lid, van de AVG. Dat niet al die waarborgen in de IGA zelf staan, is daarbij niet relevant. Dat hoeft namelijk niet. De waarborgen zijn neergelegd in andere geldende belastingwetgeving en dat is voldoende.
Ook volgt de rechtbank eiseres niet in haar standpunt dat het doel van de doorgifte niet duidelijk is en dat de doorgifte niet noodzakelijk zou zijn en niet proportioneel. De rechtbank vindt in dat kader relevant dat de Belastingdienst op basis van een verdrag een minimale dataset doorgeeft aan de IRS. Het gaat om reguliere gegevens, van belang voor de uitvoering van belastingwetten. Eiseres heeft niet (niet eens een begin van) aannemelijk gemaakt dat de verstrekte gegevens een ander doel dienen. Het is verder in het kader van de proportionaliteit van de verwerking van de gegevens van eiseres niet relevant dat de IRS niet dezelfde gegevens aan de Belastingdienst levert als andersom. Het gestelde gebrek aan wederkerigheid doet namelijk niet af aan de verwerking van de persoonsgegevens van eiseres. De Belastingdienst houdt zich verder aan zijn verantwoordingsplicht en maakt ook geen inbreuk op het transparantiebeginsel en de informatieverplichting ten aanzien van eiseres. Dat er bij eiseres onduidelijkheid zou bestaan over de doorgifte van haar persoonsgegevens, is de rechtbank ook verder niet gebleken. Samenvattend komt de rechtbank tot de conclusie dat de Belastingdienst niet onrechtmatig gegevens doorlevert aan de IRS en daarom is er geen aanleiding voor de AP om handhavend op te treden.
Bij de rechtbank bestaan geen vragen over de uitleg van de relevante wet- en regelgeving en daarom stelt zij geen prejudiciële vragen. Ook ziet zij geen aanleiding voor heropening van het onderzoek vanwege de beslissing van de Belgische Gegevensbeschermingsautoriteit over de Belgische IGA. Die beslissing gaat namelijk niet over de situatie van eiseres en is in zoverre niet relevant. Het beroep van eiseres is daarom ongegrond.
RECHTBANK MIDDEN-NEDERLAND
Zittingsplaats Utrecht
Bestuursrecht
zaaknummer: UTR 24/715
uitspraak van de meervoudige kamer van 11 juni 2025 in de zaak tussen
[eiseres] , uit [woonplaats] , eiseres (gemachtigden: mr. D. Knibbeler, mr. V. Wellens en mr. S. Been),
en
de Autoriteit Persoonsgegevens, hierna: de AP (gemachtigden: mr. J.M.A. Koster en mr. E. Nijhof),
Als derde-partij neemt aan de zaak deel: de minister van Financiën (de minister) als verantwoordelijke voor de Belastingdienst, (gemachtigden: mr. T. Gillhaus, mr. Q.J.D. van der Bent en mr. G.J. Zwenne).
Samenvatting
1.1. Deze uitspraak gaat over het handhavingsverzoek dat eiseres heeft ingediend bij de AP, omdat zij vindt dat de Belastingdienst haar persoonsgegevens in strijd met de Algemene verordening gegevensbescherming (AVG) doorgeeft aan de Internal Revenue Service (IRS), de Amerikaanse Belastingdienst. De AP heeft geen aanleiding gezien om tot handhaving over te gaan. Dat staat in het besluit van 2 april 2024. Hiertegen richt zich het beroep van eiseres.
1.2. De rechtbank komt in deze uitspraak tot het oordeel dat de AP terecht niet tot handhaving is overgegaan. De Belastingdienst heeft geen overtreding begaan door de persoonsgegevens van eiseres door te geven aan de IRS. Eiseres krijgt geen gelijk en het beroep is dus ongegrond. Hierna legt de rechtbank uit hoe zij tot dit oordeel komt en welke (andere) gevolgen dit oordeel heeft.
1.3.
Onder 2 staat het procesverloop in deze zaak. Onder 3 staat een beschrijving van het geschil en een korte samenvatting van de beroepsgronden van eiseres. De beoordeling door de rechtbank volgt vanaf 4. Daarbij gaat de rechtbank in op de volgende vragen: -Is de Intergovernmental Agreement (IGA) na inwerkingtreding van de AVG van kracht gebleven? - Is de doorgifte van gegevens aan de IRS rechtmatig? In dat kader beantwoordt de rechtbank de volgende vier subvragen: -Zijn er voldoende passende waarborgen voor internationale doorgifte van persoonsgegevens zoals bedoeld in artikel 46, tweede lid, van de AVG? -Is het doel van de doorgifte van gegevens ter uitvoering van de IGA helder en is de doorgifte noodzakelijk en proportioneel (artikel 5, eerste lid, aanhef en onder b en c, van de AVG)? -Houdt de Belastingdienst zich aan zijn verantwoordingsplicht (artikel 5, tweede lid, van de AVG)? -Maakt de Belastingdienst inbreuk op het transparantiebeginsel en de informatieverplichting (artikel 14, eerste lid, aanhef en onder f, van de AVG)?
- En tot slot: moeten er prejudiciële vragen worden gesteld? Onder ‘conclusie en gevolgen’ staat de beslissing van de rechtbank en de gevolgen daarvan.
1.4. De wettelijke regels en beleidsregels die van belang zijn voor deze zaak, staan in de bijlage bij deze uitspraak.
Procesverloop
2. Eiseres heeft samen met haar echtgenoot op 29 oktober 2019 een klacht bij de AP ingediend. Zij heeft daarin gesteld dat de Belastingdienst haar persoonsgegevens in strijd met de artikelen 14 en 15 van de AVG verwerkt en doorgeeft aan de IRS. In een brief van 11 februari 2022 heeft zij de AP verzocht om daartegen corrigerend op te treden. De AP heeft de klacht vanaf dat moment aangemerkt als handhavingsverzoek. Eiseres heeft het handhavingsverzoek op 12 oktober 2023 en 10 november 2023 herhaald.
2.1. Omdat een beslissing op haar handhavingsverzoek uitbleef, heeft eiseres de AP in gebreke gesteld. Op 31 januari 2024 heeft zij vervolgens beroep ingesteld tegen het uitblijven van een beslissing op het handhavingsverzoek.
2.2. De AP heeft op 2 april 2024 alsnog een besluit genomen op het handhavingsverzoek (het bestreden besluit). Het beroep tegen het uitblijven van een besluit wordt op grond van artikel 6:20, derde lid, van de Algemene wet bestuursrecht (Awb) geacht ook gericht te zijn tegen het bestreden besluit. Eiseres heeft daartegen op 10 juni 2024 beroepsgronden ingediend.
2.3. De AP heeft op 14 maart 2025 een verweerschrift ingediend en de minister op diezelfde datum een zienswijze.
2.4. De rechtbank heeft het beroep op 25 maart 2025 op een zitting behandeld. Hieraan hebben deelgenomen: eiseres, de gemachtigden van eiseres, de gemachtigden van AP en de gemachtigden van de minister, op mr. G.J. Zwenne na.
2.5. Op de zitting is het beroep, voor zover dat is ingediend namens de partner van eiseres, ingetrokken. Ook heeft eiseres het beroep tegen het niet-tijdig beslissen ingetrokken.
Waarover gaat het geschil?
3. Eiseres heeft de AP verzocht om handhavend op te treden in die zin dat de AP zal gelasten dat de doorgifte van persoonsgegevens door de Belastingdienst aan de IRS in het kader van de Foreign Account Tax Compliance Act (FATCA) wordt verboden of opgeschort en subsidiair dat de doorgifte van rekeningsaldogegevens in dit kader wordt verboden of opgeschort.
3.1. De achtergrond van het verzoek is gelegen in de gegevensuitwisseling die plaatsvindt tussen de Belastingdienst en de IRS ter uitvoering van de IGA, een verdrag dat tussen Nederland en de Verenigde Staten (VS) op 18 december 2013 tot stand is gekomen. Deze IGA is bedoeld om uitvoering te geven aan de FATCA. De VS hebben de FATCA opgesteld met als doel ervoor te zorgen dat Amerikaanse belastingplichtigen, die vermogen buiten de VS aanhouden, correct belastingaangifte doen bij de Amerikaanse belastingdienst. Deze wet richt zich op tegoeden van Amerikaanse burgers bij buiten de VS gevestigde financiële instellingen, waaronder ook Nederlandse instellingen. De FATCA legt - onder andere - rapportageverplichtingen op aan financiële instellingen. Als zij daaraan niet meewerken, worden er door de VS financiële maatregelen jegens hen getroffen. Omdat de privacywetgeving van de lidstaten van de Europese Unie zich ertegen verzet dat financiële instellingen rechtstreeks gegevens verstrekken aan de IRS en deze instellingen bovendien geconfronteerd worden met hoge administratieve lasten, zijn er afspraken gemaakt tussen Nederland en de VS, op basis waarvan de Belastingdienst en de IRS automatisch informatie uitwisselen, waaronder de benodigde gegevens van de financiële instellingen waartoe de FACTA verplicht. Deze afspraken tussen de Belastingdienst en de IRS zijn neergelegd in de IGA.
3.2. Eiseres woont in Nederland, maar zij heeft (ook) de Amerikaanse nationaliteit en valt daarmee onder de werking van de IGA. Ongeacht waar ter wereld Amerikanen wonen of werken, worden zij geconfronteerd met de Amerikaanse belastingwetgeving, omdat het Amerikaanse belastingstelsel gebaseerd is op het beginsel van belastingheffing op basis van staatsburgerschap. Daarmee verschilt dit stelsel van het Nederlandse belastingstelsel.
3.3. De oorspronkelijke klacht van eiseres was gericht tegen de doorgifte van haar persoonsgegevens aan de IRS en bevatte, voor zover van belang voor deze uitspraak, de volgende elementen. Eiseres stelde dat de Belastingdienst onterecht/onrechtmatig persoonsgegevens heeft verstrekt aan de Amerikaanse overheid. Zij vond verder dat zij niet (tijdig) is geïnformeerd over de verstrekking van haar persoonsgegevens aan de IRS. In het bestreden besluit heeft de AP daarover geconcludeerd dat de Belastingdienst de AVG niet heeft overtreden en dat handhaving dus niet aan de orde is.
3.4 Eiseres is het hiermee niet eens. Zij stelt dat de Belastingdienst in strijd met de AVG haar persoonsgegevens heeft verwerkt en nog steeds verwerkt. 1) Daartoe voert zij ten eerste aan dat de IGA niet geldig is, omdat niet wordt voldaan aan artikel 96 van de AVG. 2) Vervolgens is eiseres van mening dat de doorgifte van de gegevens aan de IRS op basis van de IGA op zichzelf al onrechtmatig is. 3) Verder voert zij aan dat er strijd is met artikel 5, eerste lid, aanhef en onder b en c, van de AVG. 4) Ook voldoet de Belastingdienst niet aan de verantwoordingsplicht die is neergelegd in artikel 5, tweede lid, van de AVG. 5) Eiseres is tot slot van mening dat de Belastingdienst niet voldaan heeft aan het transparantiebeginsel en de informatieverplichting.
Beoordeling van de rechtbank
Is de IGA na inwerkingtreding van de AVG van kracht gebleven?
4. De rechtbank beoordeelt eerst de stelling van eiseres dat de IGA niet (langer) geldig is omdat niet wordt voldaan aan artikel 96 van de AVG en dat op basis daarvan dus geen doorgifte mag plaatsvinden. Daarna zal zij de overige beroepsgronden van eiseres bespreken.
4.1. Eiseres heeft in het kader van de eerste grond aangevoerd dat de IGA dateert van vóór de inwerkingtreding van de AVG , maar ook toen was dit verdrag volgens haar strijdig met de Privacyrichtlijn en de toen geldende Wet bescherming Persoonsgegevens (Wbp). Het College bescherming persoonsgegevens (Cbp), de rechtsvoorganger van de AP, heeft weliswaar eerder een wetgevingsadvies uitgebracht en de IGA niet strijdig bevonden met het toen geldende privacyrecht, maar het Cbp heeft daarbij niet expliciet getoetst of er passende waarborgen bij internationale gegevensoverdracht zijn.
4.2. De rechtbank stelt vast dat de IGA op 18 december 2013 tot stand is gekomen en in werking is getreden in 2015. Het dateert daarmee van vóór inwerkingtreding van de AVG in 2016. Artikel 96 van de AVG bepaalt dat internationale overeenkomsten betreffende de doorgifte van persoonsgegevens aan derde landen die door de lidstaten zijn gesloten vóór 24 mei 2016, en die in overeenstemming zijn met het vóór die datum toepasselijke Unierecht, van kracht blijven totdat zij worden gewijzigd, vervangen of ingetrokken.
4.3. De Belastingdienst heeft erop gewezen dat de IGA in overeenstemming is met de Privacyrichtlijn, het voor 24 mei 2016 toepasselijke Unierecht, en de Wbp, waarin de Privacyrichtlijn in Nederland is geïmplementeerd. De AP is diezelfde mening toegedaan, waarbij zij erop wijst dat de IGA ter parlementaire goedkeuring is voorgelegd en dat in de behandeling van deze goedkeuringswet in de Tweede Kamer uitgebreid acht is geslagen op de privacybescherming bij de voorgenomen internationale gegevensuitwisseling. Het Cbp, heeft bovendien op 30 mei 2013 een wetgevingsadvies uitgebracht. Daarin heeft het Cbp geconcludeerd dat niet is gebleken dat met de IGA de Wbp niet wordt nageleefd. De AP stelt zich daarom op het standpunt dat de IGA van kracht is gebleven ná de inwerkingtreding van de AVG en daarmee aan de Belastingdienst nog steeds een wettelijke basis biedt voor doorgifte van de persoonsgegevens aan de IRS.
4.4. De rechtbank geeft de AP en de Belastingdienst hierin gelijk. Uit de memorie van toelichting ten behoeve van de goedkeuring blijkt dat de gegevensverstrekking in het kader van de IGA aan de beginselen van de toen geldende Wbp is getoetst en akkoord is bevonden en daarmee ook in lijn was met de Privacyrichtlijn. De rechtbank wijst in het bijzonder naar pagina 18 van de memorie van toelichting: “ De toets aan de Wet bescherming persoonsgegevens […] De uitwisseling tussen overheden geschiedt op grond van bestaande en reeds geldende verdragen waarin in overeenstemming met internationale standaarden voorschriften en waarborgen over de beveiliging van gegevens zijn opgenomen. […] Voor informatie-uitwisseling tussen landen is een wettelijke basis nodig die voorziet in een toereikende bescherming van de belangen van de individuele belanghebbenden. […] In artikel 7 Wbp is bepaald dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Dit is uitgewerkt in artikel 14 WIB (in onderdeel 3.2. van deze algemene toelichting is reeds aangegeven dat de WIB van toepassing is op de onderhavige informatie-uitwisseling). In dit artikel is bepaald, dat alleen informatie wordt verstrekt ter uitvoering van Europese richtlijnen en andere regelingen van internationaal of interregionaal recht (doelbinding) en wordt limitatief opgesomd wanneer geen informatie behoeft te worden verstrekt. Op dit punt wordt in artikel 14 WIB aangesloten bij de uitsluitingsgronden die gebruikelijk worden opgenomen in internationale regelingen, zoals ook in artikel 30 van het belastingverdrag tussen Nederland en de VS en artikel 22 van het WABB-verdrag. Elke verwerking van gegevens dient volgens de Wbp te voldoen aan de beginselen van proportionaliteit en subsidiariteit. […] De vereiste wettelijke grondslag voor deze verstrekking ligt in artikel 8 van de WIB. Op grond van dit artikel worden de Nederlandse FI’s immers wettelijk verplicht om informatie aan de Belastingdienst te verstrekken. De grond die deze gegevensverwerking rechtvaardigt is gelegen in artikel 8, onderdeel e, Wbp, namelijk dat gegevensverwerking noodzakelijk moet zijn voor de goede vervulling van de publiekrechtelijke taak van het betreffende bestuursorgaan. In dit geval gaat het om de informatie-uitwisseling tussen de Belastingdienst en de IRS. De regering is dan ook van mening dat er sprake is van proportionaliteit en subsidiariteit. Onder meer omdat de informatie die aan de IRS wordt gerapporteerd en die op grond van de wederkerigheid ook door de IRS aan de Belastingdienst zal worden geleverd noodzakelijk en relevant is, zowel vanuit het perspectief van de VS, als vanuit het perspectief van Nederland. Alle te verstrekken informatie is noodzakelijk om kennis te nemen van en belasting te kunnen heffen over buitenlandse inkomsten- en vermogensbestanddelen. Daarnaast is het afsluiten van de IGA noodzakelijk om ervoor te zorgen dat de informatie van Nederlandse FI’s terechtkomt bij de IRS zonder dat de privacybeschermingsregels van de betrokkenen worden geschonden, alsmede om een gelijk speelveld voor de Nederlandse financiële sector te bewerkstelligen. Persoonsgegevens mogen niet langer bewaard worden dan noodzakelijk is voor de doeleinden waarvoor zij zijn verzameld of worden gebruikt (artikel 10 Wbp). […] In buitenlandsituaties is die termijn twaalf jaren. Dit is geregeld in artikel 16 van de AWR. Het doel waarvoor de persoonsgegevens zijn verzameld en worden verwerkt is bepalend voor de hoeveelheid en de soort gegevens die onderwerp van verwerking vormen. De gegevens dienen ter zake dienend en niet bovenmatig te zijn (artikel 11, eerste lid, Wbp). Daarnaast moeten zij ingevolge het tweede lid van artikel 11 Wbp juist en nauwkeurig te zijn. Met de opname van een groot aantal uitzonderingen in Bijlage II van de NL IGA voor Nederlandse FI’s en productcategorieën waarvan gegevens niet relevant zijn voor de doelstellingen van FATCA, wordt recht gedaan aan de eis van artikel 11 Wbp. Ook de gedetailleerde bepalingen in Bijlage I van de IGA dragen bij aan het voldoen aan de bepalingen van artikel 11 Wbp. Zo wordt in Bijlage I uitgebreid aangegeven op welke wijze FI’s hun klanten die kwalificeren als een «Amerikaanse persoon» kunnen identificeren binnen hun hele klantenbestand. Hiermee wordt voorkomen dat FI’s meer dan de benodigde informatie verstrekken. Bovendien hoeft niet over alle rekeningen van «Amerikaanse personen» gerapporteerd te worden. Artikel 12 Wbp beschrijft de geheimhoudingsplicht. Een ieder die kennis neemt van of werkt met de gegevens is verplicht tot geheimhouding daarvan. In artikel 67 AWR is de geheimhoudingsplicht van de Belastingdienst geregeld. Op grond van artikel 28 WIB geldt de geheimhoudingsplicht van artikel 67 AWR onverkort voor inlichtingen die in het kader van wederzijdse bijstand van een andere staat zijn verkregen. Daarnaast worden geen inlichtingen verstrekt aan een ander land als in dat land geen geheimhoudingsplicht voor ambtenaren geldt (artikel 16 WIB). In de onafhankelijke peer review van het Global Forum on Transparancy and Exchange of Information for Tax Purposes heeft de VS optimaal gescoord op de onderzoeken ten aanzien van gegevensbescherming en geheimhouding. Er is dus geen enkele reden te veronderstellen dat de VS geen adequate gegevensbescherming biedt. […] ”
4.5. In de nota naar aanleiding van het verslag zijn vragen over de waarborgen van gegevensbescherming door de staatssecretaris van Financiën beantwoord, waarbij onder andere ook is stilgestaan bij de wijze waarop de gegevensbescherming in de VS wettelijk is vastgelegd. De staatssecretaris concludeert dat de VS de nationale bepalingen inzake de gegevensbescherming strikt handhaaft. Daaruit volgt volgens de bewindspersoon dat sprake is van een adequate gegevensbescherming in de VS.
4.6. Het Cbp heeft in zijn wetgevingsadvies van 30 mei 2013 ook stilgestaan bij de grondslag voor de gegevensuitwisseling. Nu deze op basis van een verdrag plaatsvindt, is de WIB van toepassing, waarin invulling is gegeven aan de vereisten van privacybescherming bij internationale gegevensuitwisseling. Op grond daarvan mag de Belastingdienst alleen gegevens vragen om te kunnen voldoen aan richtlijnen en andere regelingen van internationaal of interregionaal recht. Verder bevat de WIB bepalingen over geheimhouding en doorlevering. De gegevens mogen alleen voor de heffing van belastingen worden gebruikt. Voor elk ander gebruik moet toestemming worden verleend door Nederland. Deze voorwaarden zijn opgenomen in het verdrag onder andere door verwijzing naar het WABB-verdrag. Het Cbp heeft de IGA beoordeeld, waarbij is gekeken naar de concept toelichting en de toepasselijke wetgeving en verdragen. Het is het Cbp niet gebleken dat met de IGA de Wbp niet wordt nageleefd. De IGA heeft het Cbp geen aanleiding gegeven tot het maken van inhoudelijke opmerkingen.
4.7. De rechtbank stelt gelet op het voorgaande vast dat de wetgever de gegevensverwerking in het kader van de IGA heeft getoetst aan de beginselen uit de Wbp en daarmee ook aan de Privacyrichtlijn. Er is kenbaar aandacht geweest voor - onder andere - doelbinding, proportionaliteit en subsidiariteit, minimale gegevensverwerking, geheimhouding en passende beveiliging. Ook is gekeken naar de nationale waarborgen in de VS na doorgifte van de gegevens aan de IRS. Hoewel het wetgevingsadvies van het Cbp compact is, is daarin wel verwezen naar de toelichting en de relevante wetgeving en heeft het Cbp, als deskundige op het gebied van de naleving van de toen geldende privacywetgeving in Nederland, geen bezwaren gezien in de doorgifte van persoonsgegevens op grond van de IGA. Uit het voorgaande blijkt dat er bij de totstandkoming van (de goedkeuring van) de IGA aandacht is geweest voor alle aspecten die eiseres ook noemt. Zij heeft niet aannemelijk gemaakt dat er onderdelen zijn waaraan de wetgever geen aandacht heeft besteed. Dit alles samen maakt dat de rechtbank de AP en de Belastingdienst volgt in hun conclusie dat de IGA in overeenstemming is met het vóór 24 mei 2016 toepasselijke Unierecht en op grond van artikel 96 van de AVG dus van kracht is gebleven. Dit betekent dat de Belastingdienst in beginsel op basis van dit verdrag gegevens mag doorgeven aan de IRS. De rechtbank zal hierna, aan de hand van de eerder weergegeven beroepsgronden van eiseres, verder toetsen of de wijze waarop de verwerking van persoonsgegevens nu plaatsvindt, rechtmatig is.
Zijn er voldoende passende waarborgen als bedoeld in artikel 46, tweede lid, van de AVG?
5. In het kader van de tweede grond, inhoudende dat de doorgifte van gegevens aan de IRS op basis van de IGA onrechtmatig is, voert eiseres aan dat de Belastingdienst in eerdere procedures steeds heeft betoogd dat de gegevensoverdracht plaatsvond op grond van artikel 49, eerste lid, aanhef en onder d, van de AVG, maar pas later heeft gesteld dat deze plaatsvond op grond van artikel 46, tweede lid, aanhef en onder a, van de AVG. Dit laatste artikel kan echter alleen worden ingeroepen als er passende waarborgen zijn. Volgens eiseres bevat de IGA die waarborgen niet.
5.1. Eiseres voert in dat kader aan dat de passende waarborgen moeten blijken uit het instrument zelf, de IGA dus. Zij kunnen volgens haar niet worden gevonden in aanpalende wetgeving. Volgens eiseres waren de passende waarborgen er ook niet bij inwerkingtreding van de IGA. Zij stelt dat er in de IGA substantiële tekortkomingen bestaan wat betreft gegevensbescherming, waardoor deze internationale overeenkomst niet voldoet aan de strikte normen die daaraan op grond van artikel 46, tweede lid, aanhef en onder a, van de AVG worden gesteld. Als voorbeeld wijst eiseres erop dat het recht op inzage, rectificatie, wissing en beperking van de verwerking en recht van bezwaar niet uit de IGA zelf blijkt. Voor zover het gaat om de gegevensverwerking in de VS ontleent eiseres weliswaar rechten aan de US Privacy Act of 1974, maar dat blijkt niet uit de IGA. Welke rechten zij heeft, is dus volgens haar onduidelijk en het is aan de Belastingdienst om ondubbelzinnig aan te tonen dat die passende waarborgen bestaan. Tot nu toe heeft de Belastingdienst deze cruciale bewijslast volgens eiseres niet naar behoren vervuld.
5.2. De rechtbank geeft eiseres hierin geen gelijk. Anders dan eiseres stelt, vereist artikel 46, tweede lid, aanhef en onder a, van de AVG, niet dat alle waarborgen als bedoeld in dat artikel, in de IGA zelf moeten zijn opgenomen. De waarborgen kunnen bestaan uit het samenstel van regels dat van toepassing is op de gegevensuitwisseling die krachtens de IGA plaatsvindt. In dit verband wijst de rechtbank op het arrest van het Hof van Justitie (HvJ) EU inzake Schrems II. Dit arrest gaat over gegevensverwerking op grond van civiele standaardcontractbepalingen tussen partijen zoals bedoeld in artikel 46, tweede lid, aanhef en onder c, van de AVG. In het arrest heeft het HvJ EU verduidelijkt dat bij de beoordeling van het passende databeschermingsniveau zowel de inhoud van de standaardcontractbepalingen als het rechtstelsel van het derde land betrokken moet worden. Eiseres interpreteert het arrest Schrems II echter zo dat als er in een derde land geen passend beschermingsniveau gewaarborgd is, als bedoeld in artikel 45 van de AVG, de gegevensverwerking alléén kan plaatsvinden op grond van artikel 46 van de AVG, mits er passende waarborgen zijn die uit het instrument zelf, in het voorliggende geval de IGA, blijken. Dat de waarborgen moeten blijken uit het instrument zelf, leest de rechtbank echter niet in dit arrest. Integendeel, uit dit arrest blijkt dat het gaat om zowel de standaardcontractbepalingen als het rechtsstelsel van het derde land. Dat geldt naar het oordeel van de rechtbank eens te meer voor gegevensverwerking op grond van een verdrag. Hierbij geldt namelijk dat – anders dan bij een contract tussen twee civiele partijen – de VS en Nederland niet alleen gebonden zijn aan de IGA, maar ook aan andere tussen hen afgesloten (belasting)verdragen.
5.3. Ook de door eiseres aangehaald Richtlijn 2/2020 van de het Europees Comité voor gegevensbescherming (bekend onder zijn Engelse afkorting EDPB) bevat geen aanwijzing dat de passende waarborgen moeten zijn opgenomen in de IGA zelf. De EDPB merkt juist op “dat de waarborgen (...) sterker zijn als de internationale overeenkomsten voortbouwen op reeds bestaande elementen in het intern recht van een derde land”.
5.4. De IGA, in combinatie met de overige regelgeving die op de uitwisseling van gegevens met de VS van toepassing is, bevat toereikende waarborgen die zorgen voor eenzelfde beschermingsniveau in de VS als het beschermingsniveau dat binnen de EU door de AVG wordt gewaarborgd. Het samenstel van regels in de IGA, het bilaterale belastingverdrag, het WABB-verdrag, de WIB en de Nederlandse wetgeving, in hun onderlinge samenhang bezien, zorgen voor die benodigde gegevensbescherming. Het Amerikaanse recht biedt verder passende waarborgen, die juist voor eiseres, als Amerikaans staatsburger toegankelijk zijn. Deze passende waarborgen zijn door de IRS expliciet tot uitdrukking gebracht in het Privacy Program Plan, de IRS Privacy Policy en de FATCA IDES technical FAQs.
5.5. Dat de Belastingdienst in andere zaken/eerdere besluitvorming (ook) naar artikel 49 van de AVG heeft verwezen, maakt dit niet anders.
6. De doorgifte van de persoonsgegevens aan de IRS vindt dus plaats op grond van de IGA, met de daarbij behorende passende waarborgen. Op deze internationale doorgifte is hoofdstuk V van de AVG van toepassing maar ook - voor zover voor deze zaak van belang - de algemene beginselen voor gegevensverwerking van hoofdstuk II en de artikelen over rechten van betrokkenen als bedoeld in hoofdstuk III. De rechtbank zal hierna een aantal van de door eiseres concreet genoemde beginselen beoordelen.
Is het doel van de doorgifte van gegevens ter uitvoering van de IGA helder en is de doorgifte noodzakelijk en proportioneel (artikel 5, eerste lid, aanhef en onder b en c, van de AVG)?
7. Eiseres stelt dat de doorgifte van de gegevens aan de IRS niet voldoet aan de beginselen die zijn neergelegd in artikel 5, eerste lid, aanhef en onder b en c, van de AVG. Er wordt volgens eiseres niet voldaan aan de beginselen van ‘doelbinding’, ‘noodzakelijkheid’ en ‘proportionaliteit.’
- Wat is het doel van de doorgifte?
8. Volgens eiseres schiet de IGA tekort in het helder definiëren van de doeleinden waarvoor persoonsgegevens verwerkt mogen worden. Er wordt niet gespecificeerd welke specifieke verwerkingsactiviteiten door de betrokken partijen uitgevoerd zullen worden. Eiseres verwijst naar de Richtsnoeren van 16 december 2015 van de Article 29 Working Party (WP29) waarin is gezegd dat de formulering van het doel (belastingontduiking/ verbetering van de naleving van de belastingwetgeving) te vaag is om als doel te dienen, omdat dit teveel flexibiliteit voor de bevoegde autoriteit zou toestaan. Eiseres stelt verder dat verwerking voor extra-(fiscale) doeleinden bovendien ook mogelijk is. Deze mogelijkheid werd ook al bekritiseerd door de EDPB in zijn advies 2/2015 van 8 juli 2015.
8.1. De rechtbank volgt eiseres niet in haar standpunt. Het gaat hier om gegevensverwerking als bedoeld in artikel 6, eerste lid, aanhef en onder c, van de AVG: de doorgifte is noodzakelijk om te voldoen aan een wettelijke verplichting die op de Belastingdienst rust. Met dat doel worden de gegevens aan de IRS doorgegeven. Het gaat om reguliere gegevens, van belang voor de uitvoering van belastingwetten. Eiseres heeft niet (niet eens een begin van) aannemelijk gemaakt dat de verstrekte gegevens een ander doel dienen.
8.2. Wat betreft het standpunt van eiseres dat het gegeven doel niet duidelijk (genoeg) zou zijn, gelet op wat de WP29 schrijft, overweegt de rechtbank dat de richtsnoeren van de WP29 (later opgevolgd door de EDPB) zijn te zien als uitleg van de AVG en aanbevelingen bieden. Zij zijn, hoewel onmiskenbaar behulpzaam bij de uitleg van de privacywetgeving, echter niet juridisch bindend. Het is niet zo dat, omdat de WP29 van mening is dat een bepaald doel te vaag is, de IGA, een tussen partijen tot stand gekomen verdrag, niet (langer) rechtmatig zou zijn. Dat daargelaten heeft de WP29 slechts gesteld dat een algemeen doel voor de doorgifte van persoonsgegevens, zoals de verbetering van de internationale naleving van de belastingplicht, een te vaag doel kan zijn. Dat betekent niet dat dit ook in dit geval zo is. De wetgever heeft het doel van de IGA concreet benoemd (verbetering van de naleving van belastingplicht en uitvoering geven aan de FATCA) en vervolgens in artikel 2 van de IGA concreet vermeld welke persoonsgegevens in dat kader worden uitgewisseld. De WP29 vreest dat autoriteiten teveel flexibiliteit toekomt ten aanzien van de verwerking van persoonsgegevens. Eiseres heeft niet aannemelijk gemaakt dat die vrees in haar (of enig ander concreet) geval bewaarheid is geworden. Wat zij in dat kader heeft aangevoerd berust vooral op algemene aannames over de gegevensverwerking en de potentiële mogelijkheden tot het gebruik van haar persoonsgegevens voor andere doeleinden dan genoemd in de IGA. Dat daarvan concreet sprake is, is niet aannemelijk geworden.
- Is de doorgifte noodzakelijk voor de uitvoering van het verdrag?
9. Eiseres stelt dat dat de AP in het bestreden besluit voornamelijk heeft getoetst of de doorgifte relevant is, maar dat betekent volgens haar nog niet dat de verwerking ook noodzakelijk is. Noodzakelijkheid is niet aanwezig als het doel ook met minder ingrijpende maatregelen kan worden bereikt. Daarvan is volgens eiseres in haar geval sprake. Zij wijst er in dat verband op dat Amerikanen die 330 dagen per jaar in het buitenland verblijven en een inkomen hebben dat ligt onder de geldende inkomstendrempel, een vrijstelling hebben van belastingplicht. Er kan bij deze Amerikanen dus nooit sprake zijn van belastingontduiking en dus is doorgifte van hun persoonsgegevens niet noodzakelijk. Eiseres verwijst verder naar het arrest van het HvJ EU in de zaak Digital Rights Ireland. Volgens haar wordt niet voldaan aan de voorwaarde van minimale gegevensverwerking. Er vindt op grond van de IGA automatische gegevensuitwisseling plaats, zonder dat er ten aanzien van haar concrete aanwijzingen zijn voor overtredingen van Amerikaanse belastingwetgeving.
9.1. De rechtbank volgt eiseres hierin niet. Uit artikel 2 van de IGA volgt dat in het kader van de IGA de volgende informatie aan de IRS wordt verstrekt: haar naam, haar adres, haar U.S. TIN, haar bankrekeningnummer en het saldo op de desbetreffende bankrekening. Het gaat hier om een beperkte nauwkeurig in de wet omschreven dataset, waarvan de wetgever dus heeft gemeend dat deze noodzakelijk is ter uitvoering van het met de IGA te dienen doel. Daarmee is deze situatie niet vergelijkbaar met de situatie aan de orde in het arrest van het HvJ EU in de zaak Digital Rights Ireland. In dat arrest ging het om een algemene verplichting tot de ongedifferentieerde bewaring van elektronische verkeers- en locatiegegevens van alle burgers. Van het automatisch verwerken van bulkgegevens is, anders dan eiseres stelt, in dit geval geen sprake.
9.2 De stelling dat de doorgifte van (alle) gegevens (mogelijk) niet noodzakelijk is om uitvoering te geven aan de IGA, komt er daarnaast feitelijk op neer dat de Belastingdienst een screening moet doen of de betrokkene belastingplichtig is in de VS, voordat gegevens worden doorgegeven. De AVG noopt echter niet tot een dergelijke belastingtechnische beoordeling vooraf.
- Is de verwerking proportioneel?
10. Eiseres stelt dat de gegevensverwerking niet proportioneel is omdat gelijkwaardige wederkerigheid van de doorgifte van persoonsgegevens ontbreekt. De VS verstrekken immers niet het banksaldo van ingezetenen uit de VS, terwijl wederkerigheid van de gegevensverstrekking wel de inzet is geweest van de IGA.
10.1. De rechtbank vindt wat eiseres heeft aangevoerd over het ontbreken van wederkerigheid, niet relevant voor het beoordelen van het handhavingsverzoek van eiseres. Om te beginnen is er, zoals eerder in deze uitspraak benoemd, sprake van een verschil in belastingstelsels tussen Nederland en de VS. Het is nu juist het afwijkende belastingstelsel van de VS waardoor vanuit dat land aan financiële instellingen over de hele wereld een rapportageverplichting is opgelegd. De Belastingdienst heeft voor het Nederlandse belastingstelsel niet dezelfde gegevens nodig als worden doorgegeven aan de VS. Dat de IGA verplicht tot (een) wederkerigheid en dat dit tot nu toe mogelijk niet zou zijn bereikt, betekent verder niets voor de situatie van eiseres. Het gestelde gebrek aan wederkerigheid doet namelijk niet af aan de verwerking van haar persoonsgegevens.
11. Samenvattend komt de rechtbank tot de conclusie dat de gegevensverwerking in overeenstemming is met de artikelen 6, eerste lid, aanhef en onder c, en de artikelen 5, eerste lid, aanhef en onder b en c, van de AVG.
Houdt de Belastingdienst zich aan zijn verantwoordingsplicht (artikel 5, tweede lid, van de AVG)?
12. Eiseres heeft aangevoerd dat niet is voldaan aan de verantwoordingsplicht die is neergelegd in artikel 5, tweede lid, van de AVG. Volgens eiseres is de huidige situatie in strijd met het beginsel van 'accountability', zoals vastgelegd in artikel 24 van de AVG. De verwerkingsverantwoordelijke moet volgens eiseres op ieder moment kunnen bewijzen dat zijn handelen in overeenstemming is met de AVG. Daarom is Nederland gehouden om zijn internationale instrumenten voor (automatische) uitwisseling van fiscale gegevens grondig en zonder verder uitstel te onderzoeken. In dat kader moet de Belastingdienst volgens eiseres een Data Protection Impact Assessment (DPIA) uitvoeren. Hoewel deze verplichting vóór de inwerkingtreding van de AVG niet bestond, bestaat er volgens eiseres wel degelijk een impliciete verplichting om dat alsnog te doen voor (in dit geval) de IGA. De Belastingdienst kan niet stellen dat waarborgen en maatregelen passend of voldoende zijn zonder een grondige analyse van de gegevensverwerking te verrichten. In de WP29 Richtsnoeren van 16 december 2015 is aan de lidstaten voorts met klem verzocht om een DPIA uit te voeren.
12.1.
De rechtbank volgt eiseres hierin niet. Vaststaat dat er vóór inwerkingtreding van de AVG geen wettelijk vereiste bestond om een DPIA uit te voeren. Ook na de inwerkingtreding van de AVG was de Belastingdienst niet gehouden om alsnog een DPIA te verrichten. De Belastingdienst heeft er terecht op gewezen dat voor verwerkingen die plaatsvonden voorafgaand aan de inwerkingtreding van de AVG op 25 mei 2018, de plicht tot het uitvoeren van een DPIA uitdrukkelijk niet geldt. De plicht tot het uitvoeren van een DPIA gaat pas gelden op het moment dat de risico's van de verwerking wezenlijk veranderen. Daarvan is in dit geval geen sprake. Dat zich een wijziging heeft voorgedaan in de gegevensverwerking, heeft eiseres namelijk niet aannemelijk gemaakt. Daarnaast geldt, zoals de rechtbank hiervoor heeft geoordeeld, dat er, anders dan eiseres stelt, geen sprake is van een situatie waarin bij de doorgifte van de persoonsgegevens niet wordt voldaan aan de beginselen van doelbinding, noodzakelijkheid en proportionaliteit. Er bestaat daarom geen verplichting voor de Belastingdienst om alsnog een DPIA uit te voeren. De verantwoordingsplicht van de Belastingdienst strekt niet zover dat zonder verdere concrete aanleiding geëist kan worden dat de Belastingdienst een DPIA uitvoert. Ook dit betoog van eiseres slaagt niet.
Maakt de Belastingdienst inbreuk op het transparantiebeginsel en de informatieverplichting (artikel 14, eerste lid, aanhef en onder f, van de AVG)?
13. Eiseres stelt dat de Belastingdienst gehouden was om aan haar de nodige informatie te verstrekken over welke passende of geschikte waarborgen er zijn voor de internationale doorgifte van persoonsgegevens, als bedoeld in artikel 46, tweede lid, van de AVG, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. Dit volgt uit artikel 14, eerste lid, aanhef en onder f, van de AVG. Die informatie is niet verschaft, waarmee volgens eiseres aan dit artikel niet is voldaan. De informatieve websites van de Belastingdienst kunnen vanuit gegevensbeschermingsrecht niet worden opgevat als die informatie. Bovendien bevatten die websites ook geen informatie over de passende wettelijke waarborgen in het kader van internationale doorgiften onder de IGA, maar slechts algemene informatie. Hierdoor geldt de uitzondering van artikel 14, vijfde lid, aanhef en onder c, van de AVG niet.
13.1. De rechtbank maakt uit de gedingstukken op dat de klacht van eiseres in 2019 was ingegeven door de onduidelijkheid die bij haar bestond over de doorgifte van gegevens naar de VS. Zij is hierover door de Belastingdienst nader geïnformeerd en heeft daarop in haar zienwijze van 3 november 2020 gereageerd. Hieruit blijkt dat het haar (inmiddels) bekend is dat de aan de IRS in het kader van de IGA verstrekte gegevens niet verder strekten dan wat er onder de FATCA vereist was. Dat er bij eiseres desondanks nog sprake zou zijn van onduidelijkheid over de doorgifte van haar persoonsgegevens, is de rechtbank niet gebleken. Wat eiseres heeft aangevoerd is een algemeen betoog over de informatieverplichting, maar gaat dus niet over de situatie van haarzelf.
13.2. De AP heeft bovendien terecht in het bestreden besluit opgemerkt dat de informatieverplichting van artikel 14, eerste tot en met het vierde lid, van de AVG niet van toepassing is in dit geval, omdat het hier om doorgifte als bedoeld in artikel 14, vijfde lid, onder c, van de AVG gaat, namelijk een verwerking die uitdrukkelijk is voorgeschreven op grond van het lidstatelijk recht. Nu dit recht is gebaseerd op de IGA, die is blijven gelden omdat die voldoet aan de Wbp, zijn ook de belangen van eiseres voldoende beschermd.
13.3. Tot slot heeft de AP in het bestreden besluit nog vermeld dat de Belastingdienst inmiddels via zijn website informatie over de verstrekking van gegevens aan de IRS verstrekt. Er is gelet op het voorgaande geen enkele aanwijzing dat de Belastingdienst in het geval van eiseres in strijd met het transparantiebeginsel en zijn informatieverplichting handelt.
14. De rechtbank komt tot de conclusie dat de beroepsgronden niet slagen. Er is geen aanleiding om de gegevensverwerking van de Belastingdienst onrechtmatig te achten. Dit leidt tot de conclusie dat de AP het handhavingsverzoek van eiseres terecht heeft afgewezen. Ook wat eiseres verder heeft aangevoerd, leidt niet tot de conclusie dat de Belastingdienst een overtreding heeft begaan waartegen de AP handhavend zou moeten optreden. Het beroep van eiseres slaagt niet.
Moeten er prejudiciële vragen worden gesteld?
15. Eiseres heeft zich op het standpunt gesteld dat er prejudiciële vragen gesteld moeten worden, maar daar ziet de rechtbank geen aanleiding voor. De uitleg van de relevante wet- en regelgeving levert namelijk geen nadere vragen op, zoals uit het voorgaande ook blijkt. De door eiseres opgestelde vragen zijn vooral algemene vragen over de IGA en de FATCA-wetgeving, die de zorgen van verschillende belangenorganisaties over deze wetgeving weerspiegelen, maar die niet zozeer gaan over de concrete verwerking van de persoonsgegevens van eiseres, die de AP in dit geval heeft onderzocht. Er zijn geen vragen over deze gegevensverwerking, waarbij moet worden opgemerkt dat het gaat om de verstrekking van een minimale hoeveelheid wettelijk vastgelegde persoonsgegevens aan de IRS in het kader van een eveneens wettelijk vastgelegd doel. Als er vragen en zorgen zijn over de tenuitvoerlegging van de FATCA, is het aan de wetgever om dat op te pakken. Deze handhavingsprocedure leent zich daar niet voor.
Bestaat er aanleiding om de zaak te heropenen?
16. Eiseres heeft na de zitting verzocht om heropening van het onderzoek, omdat zij wil dat de rechtbank het meest recente besluit van de Belgische Gegevensbeschermingsautoriteit over de Belgische IGA bij haar uitspraak betrekt. De rechtbank ziet hiervoor echter geen aanleiding. De rechtbank, komt zoals uit het voorgaande blijkt, tot het oordeel dat de Belastingdienst geen overtreding heeft begaan door de gegevens van eiseres door te leveren aan de IRS. Wat de Belgische gegevensbeschermingsautoriteit heeft overwogen over de Belgische IGA naar aanleiding van een klacht in een Belgische zaak, kan geen verandering in dit oordeel brengen.
Conclusie en gevolgen
17. Het beroep is ongegrond. Dat betekent dat de Belastingdienst geen overtreding begaat door persoonsgegevens van eiseres door te geven aan de IRS en de AP het handhavingsverzoek van eiseres terecht heeft afgewezen. Eiseres krijgt daarom het griffierecht niet terug. Zij krijgt ook geen vergoeding van haar proceskosten.
Beslissing
De rechtbank verklaart het beroep ongegrond.
Deze uitspraak is gedaan door mr. M. Eversteijn, voorzitter, en mr. P.J.M. Mol en mr. J.L.W. Broeksteeg, leden, in aanwezigheid van mr. M.E.C. Bakker, griffier.
Uitgesproken in het openbaar op 11 juni 2025.
griffier
voorzitter
Een afschrift van deze uitspraak is verzonden aan partijen op:
Informatie over hoger beroep
Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.
Bijlage: voor deze uitspraak belangrijke wet- en regelgeving
Algemene verordening gegevensbescherming (AVG)
Artikel 5
Beginselen inzake verwerking van persoonsgegevens
1. Persoonsgegevens moeten: […]b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”);
[…]
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”).
Artikel 6 Rechtmatigheid van de verwerking 1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[…]
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; […].
Artikel 14
Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen
1. Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:
f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een ontvanger in een derde land of aan een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van de in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.
[…]
5. De leden 1 tot en met 4 zijn niet van toepassing wanneer en voor zover:
[…] c) het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen; […]
Artikel 24
Verantwoordelijkheid van de verwerkingsverantwoordelijke
1. Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.
2. Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.
[…].
Artikel 45
Doorgiften op basis van adequaatheidsbesluiten
1. Een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie kan plaatsvinden wanneer de Commissie heeft besloten dat het derde land, een gebied of één of meerdere nader bepaalde sectoren in dat derde land, of de internationale organisatie in kwestie een passend beschermingsniveau waarborgt. Voor een dergelijke doorgifte is geen specifieke toestemming nodig.
[…].
Artikel 46
Doorgiften op basis van passende waarborgen
[…].
2. De in lid 1 bedoelde passende waarborgen kunnen worden geboden door de volgende instrumenten, zonder dat daarvoor specifieke toestemming van een toezichthoudende autoriteit is vereist:
a. a) een juridisch bindend en afdwingbaar instrument tussen overheidsinstanties of -organen;
[…].
Artikel 49
Afwijkingen voor specifieke situaties
1. Bij ontstentenis van een adequaatheidsbesluit overeenkomstig artikel 45, lid 3, of van passende waarborgen overeenkomstig artikel 46, met inbegrip van bindende bedrijfsvoorschriften, kan een doorgifte of een reeks van doorgiften van persoonsgegevens aan een derde land of een internationale organisatie slechts plaatsvinden mits aan één van de volgende voorwaarden is voldaan:
[…]
d) de doorgifte is noodzakelijk wegens gewichtige redenen van algemeen belang;
[…]
Artikel 96
Verhouding tot eerder gesloten overeenkomsten
Internationale overeenkomsten betreffende de doorgifte van persoonsgegevens aan derde landen of internationale organisaties die door de lidstaten zijn gesloten vóór 24 mei 2016, en die in overeenstemming zijn met het vóór die datum toepasselijke Unierecht, blijven van kracht totdat zij worden gewijzigd, vervangen of ingetrokken.
Verordening (EU) 2016/679 van het Europees parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).
Het Verdrag tussen het Koninkrijk der Nederlanden en de VS tot verbetering van de
internationale naleving van de belastingplicht en de tenuitvoerlegging van de FATCA, Trb.
2014, 22 en 128.
Richtlijn (EG) 95/46 van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.
Kamerstukken II, 2013-2014, 33 985, nr. 3.
Wet op de internationale bijstandsverlening bij de heffing van belastingen [noot rechtbank].
Verdrag inzake wederzijdse administratieve bijstand in belastingzaken [noot rechtbank].
Financiële instellingen [noot rechtbank].
Hiermee wordt de in deze uitspraak besproken IGA bedoeld [noot rechtbank].
Algemene wet inzake rijksbelastingen [noot rechtbank].
Kamerstukken II, 2014-2015, 33 985, nr. 6.
Zie pagina 7 van de nota n.a.v. het verslag.
HvJ EU, 16 juli 2020, ECLI:EU:C:2020:559, C-311/18, inzake Facebook Ireland en Schrems.
HvJ EU, 8 april 2014, ECLI:EU:C:2014:238, gevoegde zaken C-293/12 en C-594/12 inzake Digital Rights Ireland.