De Algemene Verordening Gegevensbescherming (AVG) legt een aantal verplichtingen op aan de zogenoemde verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens. (Noot 15: Elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijk persoon.) Op de verwerkingsverantwoordelijke rust onder meer een verantwoordingsplicht. De verwerkingsverantwoordelijke dient aan te tonen dat de verwerking in lijn is met de AVG. Zo dient de verwerkingsverantwoordelijke aan te kunnen tonen dat de verwerking van persoonsgegevens onder meer voldoet aan de beginselen van rechtmatigheid, transparantie, doelbinding en juistheid. Ook dient de verwerkingsverantwoordelijke aan te tonen dat passende technische en organisatorische maatregelen zijn genomen om de persoonsgegevens te beveiligen. Op de website van de Autoriteit Persoonsgegevens (AP) zijn voorbeelden te vinden van dergelijke maatregelen. (Noot 16: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/verantwoordingsplicht.)
Intermediairs zijn op grond van artikel 10h, tweede lid, WIB gehouden over meldingsplichtige grensoverschrijdende constructies gegevens en inlichtingen te verstrekken aan de Belastingdienst. Deze gegevens en inlichtingen kunnen persoonsgegevens bevatten. Het beginsel van rechtmatigheid houdt in dat er een rechtsgrondslag voor de verwerking moet zijn. De rechtsgrondslagen worden limitatief opgesomd in artikel 6 AVG. Artikel 6, eerste lid, onderdeel c, AVG geeft de mogelijkheid om persoonsgegevens te verwerken als dit noodzakelijk is om aan een wettelijke verplichting te voldoen die op de verwerkingsverantwoordelijke rust. Artikel 10h WIB is de grondslag op basis waarvan de verwerking van deze persoonsgegevens rechtmatig is. Omdat intermediairs wettelijk verplicht zijn om tot de betreffende verwerking van persoonsgegevens over te gaan, is het bijvoorbeeld niet nodig om toestemming – één van de andere in artikel 6 AVG genoemde grondslagen – te vragen aan degene van wie die persoonsgegevens worden verwerkt. Zodoende hoeven (hulp-)intermediairs geen toestemming te vragen aan de betreffende belastingplichtige(n) om een meldingsplichtige grensoverschrijdende constructie te rapporteren aan de Belastingdienst.
Intermediairs, in hun hoedanigheid van verwerkingsverantwoordelijke in de zin van de AVG, zijn onder meer gehouden de personen van wie de persoonsgegevens door hen worden verwerkt daarover te informeren. Via hun privacyverklaring bijvoorbeeld kunnen zij invulling geven aan deze informatieplicht. (Noot 17: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/mag-u-persoonsgegevens-verwerken.) Indien de intermediair is gehouden een zogenoemd verwerkingsregister te onderhouden, dient de verwerkingsgrondslag ook hierin te worden opgenomen. (Noot 18: Zie ook https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/verantwoordingsplicht#ben-ik-verplicht-om-een-verwerkingsregister-op-te-stellen-7191.)
Intermediairs zijn, als verwerkingsverantwoordelijken, gehouden de rechten te respecteren van de personen van wie de persoonsgegevens worden verwerkt. Voor de verwerkingen die voortvloeien uit de Wet implementatie EU-richtlijn meldingsplichtige grensoverschrijdende constructies betreft dit vooral het recht op inzage, het recht op rectificatie en wissing en het recht op informatie over wat met de persoonsgegevens wordt gedaan om een behoorlijke en transparante verwerking te waarborgen. Een compleet overzicht en een toelichting op deze rechten is te vinden op de website van de AP. (Noot 19: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/rechten-van-betrokkenen.), (Noot 20: Voor zover een relevante belastingplichtige als verwerkingsverantwoordelijke kan worden aangemerkt gelden eveneens de verplichtingen uit de AVG.)
