Persoonsgegevens zijn vaak nuttige tools in het onderzoek door belastingautoriteiten. Ondernemingen worden dan ook met de regelmaat van de klok aangeschreven om persoonsgegevens te bezorgen, zoals gegevens van klanten, leveranciers, contactpersonen of werknemers. In een arrest van 24 februari 2022 (C-175/20) maakt het Hof van Justitie (“HvJ”) duidelijk dat ondernemingen die gegevens zonder verder onderzoek aan belastingautoriteiten bezorgen, hun eigen verplichtingen onder de “Algemene Verordening Gegevensbescherming” (“AVG”) dreigen te schenden.
Context
Deze zaak betrof een verzoek van de Letse belastingautoriteit aan een aanbieder van internetadvertentiediensten om informatie te bezorgen over advertenties voor de verkoop van voertuigen op zijn website. Het verzoek betrof persoonsgegevens gelinkt aan de voertuigen in advertenties en de verkopers daarvan. Persoonsgegevens zijn alle mogelijke gegevens die een natuurlijke persoon identificeren of identificeerbaar maken. De belastingdienst verzocht de onderneming om hem onbeperkt in de tijd toegang te verstrekken tot de gegevens, of – indien dat niet mogelijk zou zijn – om maandelijks de gegevens door te sturen. Het verzoek was daarenboven onbeperkt qua scope wat betreft de hoeveelheid informatie en persoonsgegevens of het aantal betrokkenen waarvan de belastingautoriteit de mededeling vroeg. De aanbieder van advertenties was van mening dat het verzoek van de belastingautoriteit niet in overeenstemming was met de AVG, meer bepaald met de beginselen van evenredigheid en minimale gegevensverwerking, en de zaak is uiteindelijk bij het HvJ terecht gekomen.
Beslissing Hof van Justitie
Toepassingsgebied. Een verzoek om informatie van een belastingautoriteit aan een onderneming valt binnen het toepassingsgebied van de AVG. De belastingautoriteit én de onderneming die het verzoek ontvangt zijn beiden verwerkingsverantwoordelijken en moeten beiden de AVG, waaronder de algemene beginselen inzake de verwerking van persoonsgegevens (art. 5 AVG) naleven.
Geen afwijking zonder wet. Een belastingautoriteit mag niet afwijken van de beginselen inzake de verwerking van persoonsgegevens (art. 5 AVG), zoals het beginsel van minimale gegevensverwerking, wanneer die afwijking niet op duidelijke, nauwkeurige en voorzienbare wijze in het nationale recht is voorzien. Uitzonderingen op het recht op gegevensbescherming moeten immers steeds een uitdrukkelijke grondslag in het nationale recht kennen (art. 23 AVG) zonder dat het per se een door het parlement vastgesteld wet moet zijn.
Krijtlijnen van een geldig verzoek. De vraag of een belastingautoriteit een onderneming kan verplichten om, zoals in casu, gedurende een onbepaalde periode een omvangrijke hoeveelheid persoonsgegevens te verstrekken, is een vraag die aan de nationale rechter toekomt. Het HvJ zet in zijn beslissing wel de krijtlijnen van een geldig verzoek om informatie uiteen:
De belastingautoriteit moet in haar verzoek de onderneming steeds op de hoogte brengen van de doeleinden van de verwerkingen die zij beoogt. De inning van de belasting en de bestrijding van belastingfraude worden beschouwd als taken van algemeen belang in de zin van artikel 6.1.e AVG. Als de verstrekking van persoonsgegevens niet rechtstreeks is gebaseerd op een wettelijke bepaling (dit wil zeggen een duidelijke en nauwkeurige bepaling die een automatische en verplichte overdracht van bepaalde persoonsgegevens voorschrijft; men denke bijvoorbeeld aan art. 321quater WIB92 met betrekking tot exploitanten van een digitaal samenwerkingsplatform), maar voortvloeit uit een verzoek van de belastingautoriteit (op basis van een algemenere bepaling, zoals bijvoorbeeld art. 316 of 322 WIB92), moet dit verzoek de specifieke doeleinden voor de verzameling van gegevens met het oog op de taak van algemeen belang nader omschrijven. Op die manier is de onderneming in staat om na te gaan of de doorgifte van de persoonsgegevens rechtmatig is en kunnen nationale rechterlijke instanties de rechtmatigheid van de doorgifte en het gebruik van de gegevens toetsen. De praktijk leert dat de Belgische fiscus vaak tekort schiet op dit gebied als hij vragen om inlichtingen aan derden verstuurt.
Verder moeten de persoonsgegevens die de belastingautoriteit opvraagt steeds toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is (beginsel van minimale gegevensverwerking – artikel 5.1.c AVG). De belastingautoriteit mag bijgevolg niet zomaar op algemene en ongedifferentieerde wijze persoonsgegevens opvragen wanneer die gegevens niet noodzakelijk zijn voor de doeleinden waarvoor zij worden verwerkt. Het HvJ oordeelde dat het aan de verwijzende rechter is om na te gaan of alle gegevens die de belastingautoriteit wenst te verzamelen noodzakelijk zijn om het doel van de verwerking te bereiken.
In dat verband benadrukte het HvJ nogmaals dat het aan de verwerkingsverantwoordelijke toekomt om de naleving van de beginselen van de AVG aan te tonen (verantwoordingsplicht – artikel 5.2 AVG). De belastingautoriteit moet kunnen aantonen dat zowel (i) de hoeveelheid persoonsgegevens, als (ii) het tijdvak waarop de verzameling van persoonsgegevens betrekking heeft zoveel mogelijk worden beperkt, tot wat strikt noodzakelijk is om het beoogde doel van algemeen belang te bereiken.
De bewijslast van de naleving van deze beginselen rust, volgens het HvJ, op de verwerkingsverantwoordelijke (in casu de belastingautoriteit die het verzoek aan de onderneming verstuurt).
Lessons learned
Het arrest leert dat het ook voor ondernemingen van cruciaal belang is om kritisch om te gaan met verzoeken om informatie van (fiscale) overheden en om er niet zonder eigen onderzoek op in te gaan. Het arrest van het HvJ stelt, onzes inziens, dat op de ontvanger van het verzoek om informatie een onderzoekplicht rust over de geldigheid van het verzoek en de vraag of de ontvanger wel degelijk (juridisch) in de mogelijkheid is om aan het verzoek tegemoet te komen. Elke doorgifte van persoonsgegevens ten gevolge van een verzoek van een belastingautoriteit maakt een verwerking van persoonsgegevens uit. Antwoorden op een onwettig verzoek zou dus de aansprakelijkheid van de onderneming tot gevolg kunnen hebben.
Uw onderneming moet daarom steeds nagaan of ze in overeenstemming met de AVG kan ingaan op een verzoek van een belastingautoriteit voor het verstrekken van persoonsgegevens.
Wij stellen onze expertise binnen dit domein graag ter beschikking om u in deze analyse bij te staan.
Svjatoslav Gnedasj - Partner
Anneleen Van de Meulebroucke - Counsel
Justine De Meersman - Advocaat
Elliot Ravet - Advocaat
