Eiseres heeft de Autoriteit Persoonsgegevens (AP) verzocht om handhavend op te treden tegen de Belastingdienst, omdat...

Eiseres heeft de Autoriteit Persoonsgegevens (AP) verzocht om handhavend op te treden tegen de Belastingdienst, omdat deze volgens haar onrechtmatig persoonsgegevens verstrekt aan de Amerikaanse belastingdienst (IRS) op basis van de Intergovernmental Agreement (IGA). Eiseres betoogt dat de IGA niet toegepast kan worden, omdat deze dateert van voor de inwerkingtreding van de AVG en onvoldoende waarborgen biedt voor de doorgifte. Het punt over de datum faalt, gelet op hetgeen in art. 96 AVG is opgenomen. Voor wat betreft de vereiste waarborgen, deze hoeven niet, anders dan eiseres stelt, te worden opgenomen in de IGA zelf (r.o. 5.2). De IGA in combinatie met overige regelgeving die op de uitwisseling van de gegevens met de VS ziet, zorgt voor voldoende waarborgen (r.o. 5.4). Het doel van de doorgifte is met de IGA voldoende concreet (r.o. 8.2). De (beperkte) gegevensverwerking is noodzakelijk (r.o. 9.1) en proportioneel (r.o. 10.1) en voldoet aan de verantwoordingsplicht. Dat er vóór de AVG geen DPIA-verplichting was, betekent dat bij onveranderde omstandigheden deze niet ineens gaat gelden bij inwerkingtreding van de AVG (r.o. 12.1). De specifieke informatieplicht waarnaar werd verwezen was hier niet van toepassing (r.o. 13.2).