Op 24 februari heeft het Hof van Justitie uitspraak gedaan in een sleepnet-zaak uit Letland.
Feiten
Onderwerp van het geschil is de vraag of de belastingdienst uit Letland van een internetreclame aanbieder kan verlangen dat alle gegevens inzake de aangeboden personenauto’s geautomatiseerd aan de belastingdienst mogen worden verschaft. In overwegingen 16 en verder wordt een en ander als volgt beschreven (hierna machine vertaling):
Het hoofdgeding en de prejudiciële vragen
16 SS is een in Letland gevestigde aanbieder van diensten op het gebied van internetreclame.
17 Op 28 augustus 2018 heeft de Letse belastingdienst SS een verzoek om informatie gestuurd op basis van artikel 15, lid 6, van de wet inzake belastingen en heffingen, waarin zij SS verzocht de toegang te herstellen die die belastingdienst had tot de chassisnummers van de voertuigen waarvoor op het internetportaal van SS reclame was gemaakt en tot de telefoonnummers van de verkopers, en SS te voorzien van uiterlijk op 3 september 2018, informatie over de advertenties die in de periode tussen 14 juli en 31 augustus 2018 zijn gepubliceerd in de rubriek “Personenauto’s” op deze portaalsite.
18 Dit verzoek preciseerde dat deze informatie, met inbegrip van de link naar de advertentie, de tekst van de advertentie, het merk, het model, het chassisnummer en de prijs van het voertuig, alsmede het telefoonnummer van de verkoper, elektronisch moest worden ingediend, in een formaat waarin de gegevens konden worden gefilterd of geselecteerd.
19 Voorts werd SS verzocht om, indien de toegang tot de informatie in de op het betrokken internetportaal gepubliceerde advertenties niet kon worden hersteld, de reden daarvan mee te delen en uiterlijk op de derde dag van elke maand de relevante informatie over de in de voorgaande maand gepubliceerde advertenties te verstrekken.
20 Van mening dat het verzoek van de Letse belastingdienst om openbaarmaking niet in overeenstemming was met de in verordening 2016/679 neergelegde beginselen van evenredigheid en minimalisering van persoonsgegevens, heeft SS tegen dat verzoek een klacht ingediend bij de waarnemend directeur-generaal van de Letse belastingdienst.
21 Bij besluit van 30 oktober 2018 heeft deze laatste deze klacht afgewezen, waarbij zij onder meer heeft verklaard dat de Letse belastingdienst in het kader van de verwerking van de in het hoofdgeding aan de orde zijnde persoonsgegevens de bevoegdheden uitoefende die hem bij wet waren toegekend.
22 SS heeft bij de administratīvā rajona tiesa (administratieve rechtbank van het district Letland) beroep ingesteld tot nietigverklaring van dit besluit. Naast de argumenten die zij in haar klacht had aangevoerd, voerde zij daarin aan dat in dat besluit noch het specifieke doel van de door de Letse belastingautoriteiten beoogde verwerking van persoonsgegevens was aangegeven, noch de hoeveelheid gegevens die daarvoor nodig was, hetgeen in strijd is met artikel 5, lid 1, van verordening 2016/679.
23 Bij vonnis van 21 mei 2019 heeft de adminīvā rajona tiesa (administratieve rechtbank van het district) dit beroep verworpen, waarbij zij in wezen heeft verklaard dat de Letse belastingadministratie gerechtigd was om toegang te vragen tot informatie betreffende elke persoon en in onbeperkte hoeveelheden, tenzij die informatie onverenigbaar werd geacht met de doelstellingen betreffende de belastinginning. Het gerecht was ook van oordeel dat de bepalingen van verordening 2016/679 niet van toepassing waren op deze administratie.
24 SS heeft tegen dit arrest bij de verwijzende rechter hoger beroep ingesteld en betoogd dat, enerzijds, de Letse belastingautoriteiten onderworpen waren aan de bepalingen van verordening 2016/679 en, anderzijds, die autoriteiten het evenredigheidsbeginsel hadden geschonden door maandelijks en zonder beperking in de tijd een grote hoeveelheid persoonsgegevens betreffende een onbeperkt aantal advertenties op te vragen, zonder de belastingplichtigen te identificeren bij wie een belastingcontrole zou worden ingesteld.
25 De verwijzende rechter stelt vast dat in het kader van het hoofdgeding niet wordt betwist dat de uitvoering van het litigieuze verzoek om toegang intrinsiek verband houdt met de verwerking van persoonsgegevens, en evenmin dat de Letse belastingautoriteiten gerechtigd zijn om informatie te verkrijgen waarover een aanbieder van diensten voor internetreclame beschikt en die noodzakelijk is voor de uitvoering van specifieke fiscale inningsmaatregelen.
26 Het hoofdgeding betreft de vraag hoeveel en welke informatie de Letse belastingautoriteiten kunnen vragen, of die informatie beperkt dan wel onbeperkt is, en of de verplichting tot informatieverstrekking waaraan SS is onderworpen, in de tijd beperkt moet zijn.
27 De verwijzende rechter is met name van oordeel dat hij dient na te gaan of, in de omstandigheden van het hoofdgeding, de verwerking van persoonsgegevens op transparante wijze plaatsvindt ten opzichte van de betrokkenen, of de in het litigieuze verzoek om openbaarmaking gespecificeerde informatie voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden wordt gevraagd en of de verwerking van persoonsgegevens slechts plaatsvindt voor zover zij daadwerkelijk noodzakelijk is voor de vervulling van de taken van de Letse belastingdienst, in de zin van artikel 5, lid 1, van verordening 2016/679.
28 Daartoe dienen de criteria te worden vastgesteld aan de hand waarvan kan worden beoordeeld of een verzoek om mededeling van de Letse belastingdienst de wezenlijke inhoud van de fundamentele rechten en vrijheden eerbiedigt en of het in het hoofdgeding aan de orde zijnde verzoek om mededeling in een democratische samenleving als noodzakelijk en evenredig kan worden beschouwd ter waarborging van belangrijke doelstellingen van de Unie en van Letse openbare belangen op begrotings- en belastinggebied.
Beslissing
Het Hof oordeelt dat artikel 5 lid 1 van de AVG (onder meer het beginsel van „minimale gegevensverwerking”) van toepassing is op het door een belastingdienst opvragen van gegevens:
Om die redenen heeft het Hof (Vijfde kamer) geoordeeld
De bepalingen van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) moet aldus worden uitgelegd dat het inwinnen door de belastingautoriteiten van een lidstaat bij een marktdeelnemer van inlichtingen die een aanzienlijk aantal persoonsgegevens bevatten, onderworpen is aan de vereisten van deze verordening, in het bijzonder die van artikel 5, lid 1, ervan.
Essentieel is dat er een wettelijke grondslag is voor het opvragen van gegevens en dat de gegevens nodig zijn voor specifieke doeleinden (markering door mij):
De bepalingen van verordening 2016/679 moeten aldus worden uitgelegd dat de belastingautoriteiten van een lidstaat niet mogen afwijken van de bepalingen van artikel 5, lid 1, van die verordening wanneer hun een dergelijk recht niet is verleend bij een wettelijke maatregel in de zin van artikel 23, lid 1, daarvan.
De bepalingen van verordening 2016/679 moeten aldus worden uitgelegd dat zij zich er niet tegen verzetten dat de belastingautoriteiten van een lidstaat een aanbieder van diensten op het gebied van reclame op internet verplichten om hun gegevens mee te delen betreffende belastingplichtigen die reclame hebben gepubliceerd in een van de secties van zijn internetportaal, op voorwaarde met name dat deze gegevens noodzakelijk zijn voor de specifieke doeleinden waarvoor zij worden verzameld en dat de periode gedurende welke deze gegevens worden verzameld, niet langer is dan de periode die strikt noodzakelijk is om het nagestreefde doel van algemeen belang te bereiken.
De uitspraak geeft aan dat overheden niet ongelimiteerd naar eigen goeddunken gegevens mogen opvragen bij private partijen.
Uitspraak: hier (Franstalig)
Ellen Timmer - juridische artikelen en berichten 