Gegevensbeschermingseffectbeoordeling (PIA): Wijziging van enkele belastingwetten en enige andere wetten (Fiscale verzamelwet 2021)

Gegevensbeschermings- effectbeoordeling (PIA) Financiën/Directoraat-Generaal Fiscale Zaken Algemene Fiscale Politiek Den Haag Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek 2 126 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Gegevensbeschermings- effectbeoordeling (PIA) Financiën/Directoraat-Generaal Fiscale Zaken Algemene Fiscale Politiek Contact: Ministerie van Financiën, directie Algemene Fiscale Politiek, afdelin Eurosese en Douaneaan.ele. enheden Versie: 12 september 2019 3 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Inhoudsopgave Inleiding 5 A. Beschrijving kenmerken gegevensverwerkingen 6 1. Voorstel E 6 2. Persoonsgegevens C3 8 3. Gegevensverwerkingen E 11 4. Verwerkingsdoeleinden m 12 5. Betrokken partijen E 12 6.

Belangen bij de gegevensverwerking E 14 7. VerwerkingslocatiesE 14 8. Techniek en methode van gegevensverwerking E 14 9. Juridisch en beleidsmatig kader E 14 10. Bewaartermijnen 15 B. Beoordeling rechtmatigheid gegevensverwerkingen 15 11. Rechtsgrond C3 16 12. Bijzondere persoonsgegevens E 18 13. Doelbinding E 18 14. Noodzaak en evenredigheid E 19 15. Rechten van de betrokkene E 21 C. Beschrijving en beoordeling risico's voor de betrokkenen 21 16. Risico's 111 21 D. Beschrijving voorgenomen maatregelen 22 17. Maatregelen E 23 4 126 Gegevensbeschermingseffectbeoordeling l PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Inleiding Conform de aanwijzing voor de regelgeving, is bij het voorstel voor de wet die ziet op de wijziging van de Algemene douanewet voor de kennisgeving liquide middelen en operationalisering van de nieuwe liquide middelen verordening, waarbij persoongegevens verwetrkt gaan worden, een PIA opgesteld.

Deze PIA is opgesteld in samenwerking met de Douane, de DG Belastingdienst en de directie Financiele Markten van het ministerie van Financien. 5 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek A. Beschrijving kenmerken gegevensverwerkingen Beschrijf op gestructureerde wijze de voorgenomen gegevensverwerkingen, de verwerkingsdoeleinden en de belangen bij de gegevensverwerkingen. Onder A wordt de eerste stap beschreven van de PIA: een overzicht van de relevante feiten van de voorgenomen gegevensverwerkingen. Als de feiten onduidelijk zijn, werkt dit door in de beoordeling. 1. Voorstel Beschrijf het voorstel waar de gegevensbeschermingseffectbeoordeling op ziet en context waarbinnen deze plaatsvindt op hoofdlijnen. 6 126 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Inleiding Deze PIA ziet op een wetsvoorstel in verband met een wijziging van de Algemene douanewet (hierna: Adw).

Dit wetsvoorstel heeft een tweeledig doel. Ten eerste de operationalisering in het nationaal recht van Verordening (EU) 2018/1672 , van toepassing vanaf 3 juni 2021 als opvolger van Verordening (EG) nr. 1889/2005. Ten tweede wordt met dit wetsvoorstel een aanvulling in het nationaal recht opgenomen, in het onderhavige geval de Adw, gegeven op de aangifteplicht van het EU-buitengrensoverschrijdende vervoer van liquide middelen dat is opgenomen in Verordening (EU) 2018/1672. Deze aanvulling in nationaal recht betreft de verplichting om desgevraagd gegevens te verstrekken aan de inspecteur van de Douane, door de afzender, de vervoerder of de ontvanger, bij het intracommunautaire / binnenlands vervoer van liquide middelen, waardevolle goederen en documenten, die kunnen duiden op witwassen of terrorismefinanciering. Deze nationale aanvulling heeft ook zijn uitwerking op het verkeer over de EU-buitengrens en EU-binnengrens, immers zodra de waardevolle goederen en documenten die grens zijn overgebracht zijn deze in vervoer in het binnenland.

In het aanvullende nationaal recht wordt tevens een plicht voor de inspecteur in het leven geroepen, om de aldus verkregen informatie door te geven aan de Financiële inlichtingen eenheid (FIU-Nederland). Hiermede wordt aangesloten bij de verplichting die de inspecteur al heeft bij de regels die gelden in het kader van verordening 2018/1672 voor de EU-buitengrensoverschrijding. De FIU-Nederland is op basis van de Wet ter voorkoming van witwassen en financieren van terrorisme de organisatie waar diverse meldplichtige instellingen ongebruikelijke transacties dienen te melden. Met haar analyses van gemelde ongebruikelijke transacties legt de FIU- Nederland transacties en geldstromen bloot die te relateren zijn aan witwassen, financiering van terrorisme of onderliggende misdrijven. Nadat transacties verdacht zijn verklaard door het hoofd van de FIU-Nederland worden deze ter beschikking gesteld aan diverse handhavings- en opsporingsdiensten.

Verwerking persoonsgegevens Verordening 2018/1672 In Verordening 2018/1672 wordt voorgeschreven dat iedere natuurlijke persoon die de Europese Unie binnenkomt of verlaat en die liquide middelen ten bedrage van € 10.000 of meer vervoert, een aangifte moet doen. De inspecteur oefent als aangewezen bevoegde autoriteit toezicht uit en controleert in dat verband natuurlijke personen, hun bagage en vervoermiddelen. Daarnaast moet op verzoek van de inspecteur wanneer er sprake is zogenaamde onbegeleid vervoer van liquide middelen in post,- pakket en koerierszendingen en vrachtzendingen desgevraagd inlichtingen worden verstrekt. De in de verordening voorgeschreven te verzamelen en verwerken persoonsgegevens, zijn in beide gevallen (aangifteplicht en kennisgevingsplicht) op een aantal uitzonderingen na gelijk. Voor de verwerking van de persoonsgegevens wordt aangesloten bij de reeds bestaande processen/systemen zoals die er nu al zijn in het kader van de vergelijkbare taken uit Verordening (EG) nr. 1889/2005.

Verwerking van (persoons)gegevens aanvulling in nationaal recht De inspecteur beschikt op grond van het komende nationaal recht over de bevoegdheid om informatie te vragen aan een ieder die direct of indirect betrokken is bij vervoer van liquide middelen, waardevolle goederen of documenten in die situaties waarin de verordening 2018/1672 niet van toepassing is. Het krijgen van, zowel via een aangifte of een controle, of het vragen om informatie is hier essentieel voor het uitoefenen van toezicht. Pas op het moment van het krijgen van of vragen om informatie start de kern van deze toezichthoudende taak. 7 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek De persoonsgegevens die binnen de taakuitoefening van het nationaal recht verzameld en verwerkt worden sluiten aan op die gegevens welke op grond van de verordening 2018/1672 verzameld en verwerkt worden.

Ook wordt gebruik gemaakt van de processen/systemen zoals die ook in het kader van de taakuitoefening voor de verordening gebruikt worden. 2. Persoonsgegevens Som alle categorieën van persoonsgegevens op die worden verwerkt. Geef per categorie van persoonsgegevens tevens aan op wie die betrekking hebben. Deel deze persoonsgegevens in onder de typen: gewoon, bijzonder, strafrechtelijk en wettelijk identificerend. 8 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Gewone persoongegevens Via de aangifte, kennisgevingsplicht of bij een bij controle opgevraagde gegevens, worden indien daartoe aanleiding is (onder meer bij het constateren van een onregelmatigheid) de volgende persoonsgegevens (of naar persoonsgegevens herleidbare gegevens) verwerkt: Persoonsgegevens aangever • Voorna(a)m(en) Achternaam • Adres • Postcode • Woonplaats • Land • Geboortedatum • Geboorteplaats • Geboorteland • Nationaliteit • Geslacht • Paspoortnr/ID kaartnr • Identiteitsnummer (BSN) • Emailadres • Telefoonnummer Persoonsgegevens eigenaar/ verwachte ontvanger -natuurlijke persoon • Voorna(a)m(en) • Achternaam • Adres • Postcode • Woonplaats • Land • Geboortedatum • Geboorteplaats • Geboorteland • Nationaliteit • Geslacht • Paspoortnr/ID kaartnr • Identiteitsnummer (BSN) Persoonsgegevens eigenaar / verwachte ontvanger - niet natuurlijke persoon • Naam • Registratienummer (KvK) • BTW-nummer • EORI nummer • Adres • Postcode • Woonplaats • Land • Email • Website Persoonsgegevens aangever • Voorna(a)m(en) • Achternaam 9 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek • Adres • Postcode • Woonplaats • Land • Geboortedatum • Geboorteplaats • Geboorteland • Nationaliteit • Geslacht • Paspoortnr/ID kaartnr • Identiteitsnummer (BSN) • Emailadres • Telefoonnummer • Aantal medereizigers Persoonsgegevens verzender/ ontvanger onbegeleid vervoer liquide middelen • Voorna(a)m(en) • Achternaam • Adres • Postcode • Woonplaats • Land • Geboortedatum • Geboorteplaats • Geboorteland • Nationaliteit • Geslacht Paspoortnr/ID kaartnr • Identiteitsnummer (BSN) Persoonsgegevens eigenaar / verwachte ontvanger - niet natuurlijke persoon • Naam • Registratienummer (KvK) • BTW-nummer • EORI nummer • Adres • Postcode • Woonplaats • Land • Email • Website Herleidbare (persoons)gegevens ( in samenhang bezien) • Reisroute: • Land van vertrek • Vluchtnummer • Via (land van doorreis): • Vluchtnummer • Land van bestemming Daarnaast worden bij de behandeling van de aangifte en/of verrichten van de controle ook de naam en personeelsnummer van de behandeld ambtenaar verwerkt. 10 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Bijzondere of strafrechtelijk persoonsgegevens Ten overvloede, dit is een reeds bestaand algemeen proces waar dit wetsvoorstel geen wijzigingen op aanbrengt.

Indien er sprake is van een overtreding van de Verordening (EU) 2018/1672 of de Algemene Douanewet dan wel een vermoeden van witwassen / terrorismefinanciering, kan door de inspecteur een proces-verbaal opgemaakt worden, al dan niet in het kader van de fiscale strafbeschikking. Naast bovenstaand genoemde persoonsgegevens zullen bij het opmaken van het proces-verbaal de volgende gegevens worden verwerkt: • Datum strafbaar feit • Tijdstip strafbaar feit • Plaats strafbaar feit • Verklaring verdachte (hier kunnen persoonsgegevens in voorkomen inclusief van derden) • Verslag verhoor verdachte (hier kunnen persoonsgegevens in voorkomen inclusief van derden) • Kopie paspoort/ID-kaart • Kopie vliegticket/Boardingpass • Uitgereikt exemplaar fiscale strafbeschikking • Kopie kwitantie betaling geldboete 3. Gegevensverwerkingen El Geef alle voorgenomen gegevensverwerkingen weer. De door de Douane ontvangen informatie op grond van de aangifteplicht of de kennisgevingsplicht wordt in de reeds bestaande douaneapplicatie voor dit proces verwerkt.

Deze applicatie bevat dezelfde data als op de betreffende aangifte /kennisgeving staat vermeld, met een eventuele code wanneer sprake is van een onregelmatigheid. Het werken in de applicatie vindt plaats door geautoriseerde personen. Registratie van de gegevens vindt plaats op de volgende locaties van de Douane: Eindhoven en Rotterdam Haven en op Schiphol bij het Douane Landelijk Tactisch Centrum. anvulling van de overige informatie vindt binnen 4 werkdagen altijd lokaal plaats in de backoffice door geautoriseerde medewerkers. Medewerkers die toegang tot de gegevens hebben: • geautoriseerde medewerkers Fysiek Toezicht zijnde vraagbaken liquide middelen • geautoriseerde medewerkers Boete-Fraude-Cobrdinatie (BFC) en BFC-ondersteuning • geautoriseerde Technisch specialisten werkzaam binnen proces liquide middelen • geautoriseerde risico specialisten Douane Landelijk Tactisch Centrum (DLTC) • geautoriseerde Beleidsadviseur Douane landelijk kantoor • geautoriseerde Handhavingsregisseur Douane landelijk kantoor 11 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek 4.

Verwerkingsdoeleinden EI Beschrijf de doeleinden van de voorgenomen gegevensverwerkingen. Hoofdoel Bestrijden van witwassen en terrorismefinanciering door middel van toezicht en registratie van het fysiek vervoer van liquide middelen, waardevolle goederen en documenten en waar relevant de doorgifte van die informatie aan de FIU. Nevendoel Het verrichten van risicoanalyse om zodoende te komen tot een versterkt douanetoezicht. Gegevens die worden verwerkt in het kader van het toezicht op de aangifteplicht liquide middelen, kunnen ook ten behoeve van risicoanalyses worden gebruikt conform artikel 46 DWU. Het doel risicoanalyse is verenigbaar met het oorspronkelijk doel toezicht op het fysieke vervoer van liquide middelen in het reizigersverkeer. 5. Betrokken partijen Cl Benoem welke organisaties betrokken zijn bij welke gegevensverwerkingen. Deel deze organisaties per gegevensverwerking in onder de rollen: verwerkingsverantwoordelijke, verwerker, verstrekker en ontvanger.

Benoem tevens welke functionarissen binnen deze organisaties toegang krijgen tot welke persoonsgegevens. 12 1 26 Gegevensbeschermingseffectbeoordeling I PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Verwerkingsverantwoordelijke De verwerkingsverantwoordelijke is de Minister van Financiën, namens deze de Algemeen Directeur Douane. Verwerker N.v.t. Verstrekker of ontvanger Ontvanger: FIU (alle informatie op basis van verordening) Opsporingsdiensten/OM (in kader van vervolging), Europese Commissie (wanneer sprake is van schending financiële belangen van de Unie) Europese lidstaten (op basis van verordening) derde(n) landen (op basis van verordening en WZB verdragen) belanghebbende/verdachte. Belastingdienst Icov FIU Verordening 2018/1672 voorziet in een verplichting voor de bevoegde autoriteit om het vervoer van liquide middelen aan de Financiële inlichtingen eenheid te melden.

Onregelmatigheden geconstateerd op basis van de aangifte of bij een controle worden gemeld aan de FIU door de melding te voorzien van een bepaalde code. Het nationaal recht sluit voor de melding aan de FIU hierop aan. In de huidige applicatie is dat een handmatige actie door superuser. Een spreekwoordelijke druk op de knop. Alleen de superuser heeft een autorisatie bij FIU om XML bestanden te kunnen uploaden. OM Persoonsgegevens worden als onderdeel van het zaakdossier indien noodzakelijk doorgegeven aan de desbetreffende opsporingsdienst/Openbaar Ministerie voor verdere afhandeling van de zaak. Europese Commissie en Europese lidstaten De informatie verkregen binnen de taakuitoefening van verordening 2018/1672 wordt ook in het zogenaamde Customs Information System (CIS) gepload om te voldoen aan de wettelijke informatieverstrekking op grond van artikel 10 Verordening 2018/1672 richting EU-lidstaten en EU commissie.

Daarbuiten wordt de geploade informatie gebruikt voor geanonimiseerde statistische doeleinden en risicoanalyse. Derde landen Verstrekking van de informatie uit de aangifte en kennisgeving met derde landen kan alleen plaatsvinden wanneer er sprake is van een wederzijdsebijstand (WZB)-verdrag welke daarin voorziet. elastingdienst (dienstonderdeel Belastingen) Daarnaast wordt de informatie (geautomatiseerd) verstrekt aan de Belastingdienst (op basis van het Groen (douane)-Blauwe (belastingdienst) convenant). De Belastingdienst krijgt geautomatiseerd een bestand gemaild. Icov Icov(opbasis varisorivengnt met Icov). Icov wordt via eenpostbus bediend. 13 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Verstrekker: Belanghebbende/verdachte, Europese lidstaten, derde(n) landen 6. Belangen bij de gegevensverwerking Beschrijf alle belangen die de verwerkingsverantwoordelijke en anderen hebben bij de voorgenomen gegevensverwerkingen.

De Douane heeft belang bij deze gegevensverwerking in de zin van de wettelijke verplichting en de publieke taak om toezicht te houden op de aangifteplicht liquide middelen/kennisgevingplicht en de (wettelijk vereiste) doorgifte van deze gegevens in het kader van het bestrijden van witwassen / terrorismefinanciering. 7. Verwerkingslocaties Benoem in welke landen de voorgenomen gegevensverwerkingen plaatsvinden. De voorgenomen gegevensverwerkingen door de Douane vinden in Nederland plaats. 8. Techniek en methode van gegevensverwerking Beschrijf op welke wijze en met gebruikmaking van welke (technische) middelen en methoden de persoonsgegevens worden verwerkt. Benoem of sprake is van (semi-)geautomatiseerde besluitvorming, profilering of big data-verwerkingen en, zo ja, beschrijf waaruit een en ander bestaat. De gegevensverwerking betreft primair vastlegging en raadpleging ten behoeve van het proces liquide middelen.

Er is geen sprake van geautomatiseerde besluitvorming. In het kader van een controle naar aanleiding van de uitkomsten van het bestaande en mede door de EU voorgeschreven risicoanalyseproces, is er altijd sprake van een menselijke toets, voordat over wordt gegaan tot het nemen van daadwerkelijke controlemaatregelen. In beginsel is de identiteit van een aangever hierbij ook geen relevant gegeven. Eerder is het bestemmingsland danwel herkomstland van de liquide middelen/waardevolle goederen/documenten van belang voor de controle op de aangifteplicht/kennisgeving. 9. Juridisch en beleidsmatig kader E Benoem de wet- en regelgeving, met uitzondering van de AVG en de Richtlijn, en het beleid met mogelijke gevolgen voor de gegevensverwerkingen. 14 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek er F7cle;i7g EU 2018/1672. (nieuwe verordening) Algemene douanewet artikelen 3:1, 3:2a, 3:b, 3:3, 3:4, 3:5.

(nieuwe artikelen) De Douane ontleent haar bevoegdheden met betrekking tot controle van goederen en risicobeheer aan artikel 46 DWU. Het Douanewetboek van de Unie verplicht in artikel 46, lid 2, de douaneautoriteiten om hun controles te baseren op risicoanalyses met gebruikmaking van geautomatiseerde gegevensverwerkingstechnieken. Op deze wijze is de Douane beter in staat om risicogericht te handhaven. Onder deze bepaling vallen ook het handmatig verwerken van persoonsgegevens. Op basis van art. 1:21 Adw dient de Douane zich bij aanvang van een controle of controleproces te verwittigen van de noodzaak van die maatregel en dient het controleproces aan een proportionaliteits- en subsidiariteitstoets te onderwerpen, zo ook vanuit de debriefing. rt. 1:26 eerste lid, letter c, Adw biedt vervolgens de kaders voor de omvang van de controle. De geheimhoudingsverplichtingen volgen voor wat betreft de Douane uit artikel 12 DWU juncto ,artikel 1:33 ADW (laatste geldt ook voor verstrekking aan Belastingdienste en Icov). 10.

Bewaartermijnen Bepaal en motiveer de bewaartermijnen van de persoonsgegevens aan de hand van de verwerkingsdoeleinden. De gegevens worden bewaard conform de geldende fiscale bewaartermijn en de ordeningsstructuur Douane: • NAW-gegevens bij conform controle; niet langer dan strikt noodzakelijk • Aangifte is 7 jaar na laatste handeling • PV is 12 jaar na laatste handeling rtikel 13 Verordening 2018/1672: De bevoegde autoriteiten en de FIE slaan door de toepassing van artikel 3, artikel 4, artikel 5, lid 3, en artikel 6 verkregen persoonsgegevens op gedurende een termijn van vijf jaar vanaf de datum waarop de gegevens werden verkregen. Bij afloop van deze termijn worden deze persoonsgegevens gewist.. De bewaartermijn kan eenmalig worden verlengd met een bijkomende periode van maximaal drie jaar. anvullende maatregel hierbij benodigd: bewaartermijn van 5 jaar doorvoeren in de applicatie. J B. Beoordeling rechtmatigheid gegevensverwerkingen Beoordeel aan de hand van de feiten zoals vastgesteld in onderdeel A of de voorgenomen gegevensverwerkingen rechtmatig zijn.

Het gaat hier om de beoordeling van de juridische rechtsgrond, noodzaak en doelbinding van de gegevensverwerkingen. Beoordeel tevens de wijze 15 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek waarop invulling wordt gegeven aan de rechten van de betrokkenen. Voor dit onderdeel van de PIA is in het bijzonder juridische expertise nodig. 11. Rechtsgrond El Bepaal op welke rechtsgronden de gegevensverwerkingen worden gebaseerd. 16 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA De Douane verricht de gegevensverwerkingen conform haar publieke taak op basis van onderstaande artikelen: ,AVG: Betreft de wettelijke verplichting (voor de verstrekking) (art. 6, eerste lid, onderdeel c, jo. 'derde lid, AVG) en vervulling taak van algemeen belang (art. 6, eerste lid, onderdeel e, jo. derde lid, AVG). Algemene douanewet artikelen 3:1, 3:2a, 3:b, 3:3, 3:4, 3:5 (nieuwe artikelen) rtikel 15 DWU: erstrekking van inlichtingen aan de douaneautoriteiten 1.

Douanecontroles, andere dan steekproefcontroles, moeten hoofdzakelijk gebaseerd zijn op een met behulp van elektronische gegevensverwerkingstechnieken uitgevoerde risicoanalyse, die ertoe strekt om aan de hand van op nationaal, Unie- en indien beschikbaar internationaal niveau vastgestelde criteria de risico's in kaart te brengen en te evalueren alsmede de nodige tegenmaatregelen te ontwikkelen. 3. Douanecontroles worden uitgevoerd binnen een gemeenschappelijk kader voor risicobeheer, gebaseerd op de uitwisseling van informatie betreffende risico's en resultaten van risicoanalyse tussen de douanediensten, waarbij gemeenschappelijke risicocriteria en -normen, controlemaatregelen en prioritaire controlegebieden worden vastgesteld. l Artikel 9 verordening 2018/1672 (nieuw) Verstrekking van informatie aan de FIE: 1. De bevoegde autoriteiten registreren de uit hoofde van artikel 3, artikel 4, artikel 5, lid 3, of artikel 6 verkregen informatie en geven deze door aan de FIE van de lidstaat waar zij werden verkregen, overeenkomstj9 de in artikel 16, lid 1, onder c) L bedoelde technische voorschriften. !Verplichting gegevens vast te leggen en aan FIU door te geven.

Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek 17 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek 3. De bevoegde autoriteiten verstrekken de in lid 1 bedoelde informatie zo snel mogelijk en in ieder geval uiterlijk binnen 15 werkdagen na de datum waarop de informatie werd verkregen. 12. Bijzondere persoonsgegevens Indien bijzondere of strafrechtelijke persoonsgegevens worden verwerkt, beoordeel of één van de wettelijke uitzonderingen op het verwerkingsverbod van toepassing is. Bij verwerking van een wettelijk identificatienummer beoordeel of dat is toegestaan. Bijzondere of strafrechtelijke persoonsgegevens Ja, in verband met bestaande wettelijke taak, waar dit wetsvoorstel geen wijziging in aanbrengt. Strafrechtelijke gegevens worden verwerkt wanneer er sprake is van een constatering van een onregelmatigheid.

Deze gegevens worden vervolgens verder verwerkt in het bedrijfsproces onregelmatigheden. Deze werkwijze is conform artikel 10 van de AVG: Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid. 13. Doelbinding Indien de persoonsgegevens voor een ander doel worden verwerkt dan oorspronkelijk verzameld, beoordeel of deze verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens oorspronkelijk zijn verzameld. 18 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Artikel 13 lid 2 Verordening 2018/1672: De verwerking van persoonsgegevens op basis van deze verordening geschiedt uitsluitend met het oog op de voorkoming en de bestrijding van criminele activiteiten.

Noodzaak en evenredigheid Beoordeel of de voorgenomen gegevensverwerkingen noodzakelijk zijn voor het verwezenlijken van de verwerkingsdoeleinden. Ga hierbij in ieder geval in op proportionaliteit en subsidiariteit. a. Proportionaliteit: staat de inbreuk op de persoonlijke levenssfeer en de bescherming van de persoonsgegevens van de betrokkenen in evenredige verhouding tot de verwerkingsdoeleinden? b. Subsidiariteit: kunnen de verwerkingsdoeleinden in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze, worden verwezenlijkt?. 19 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Verordening 2018/1872 [Taken uitgevoerd in het kader van Verordening 2018/1872 zijn verplicht. De te verzamelen en verwerken persoonsgegevens zijn hierbij voorgeschreven door de verordening (artikel 3 en 4 van de verordening).

Proportionaliteit en subsidiariteit zijn beoordeeld op EU-niveau. Waarborgen hieromtrent zijn voornamelijk vastgelegd in artikel 13 van de verordening en overweging 33: Gezien de aard van de verzamelde informatie en het gewettigde vertrouwen van vervoerders en kennisgevers dat hun persoonsgegevens en de informatie over de waarde van de liquide middelen die zij de Unie hebben binnen- of buiten gebracht, vertrouwelijk worden behandeld, moeten de bevoegde autoriteiten voldoende waarborgen bieden om ervoor te zorgen dat functionarissen die toegang tot de informatie moeten hebben het beroepsgeheim naleven en die informatie op passende wijze beschermen tegen ongeoorloofde toegang, gebruik of verstrekking. Tenzij anders is bepaald in deze verordening of het nationale recht, met name in het kader van gerechtelijke procedures, mag die informatie niet openbaar worden gemaakt zonder de toestemming van de autoriteit die deze heeft verkregen.

De verwerking van gegevens op grond van deze verordening kan ook persoonsgegevens omvatten en dient in overeenstemming met het Unierecht te worden uitgevoerd. De lidstaten en de Commissie mogen persoonsgegevens alleen verwerken op een wijze die verenigbaar is met de doelstellingen van deze verordening. De verzameling, openbaarmaking, doorzending, verstrekking en andere verwerking van persoonsgegevens binnen het toepassingsgebied van deze verordening moeten onderworpen zijn aan de vereisten van Verordeningen (EG) nr. 45/2001 ( 3 ) en (EU) 2016/679 ( 4 ) van het Europees Parlement en de Raad. De verwerking van persoonsgegevens voor de toepassing van deze verordening moet tevens in overeenstemming zijn met de grondrechten op eerbiediging van het privéleven en van het familie- en gezinsleven als erkend in artikel 8 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden van de Raad van Europa, alsook het recht op eerbiediging van het privéleven en het familie- en gezinsleven en het recht op de bescherming van persoonsgegevens die worden gewaarborgd in respectievelijk de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (het „Handvest").

Proportionaliteit Het betreft veelal gegevens die door de belanghebbende/de reiziger zelf zijn aangeleverd op grond van wettelijke verplichtingen die voortkomen uit de Verordening en (de aanvullende nationale) douanewetgeving. De Douane vraagt niet meer persoonsgegevens van een belanghebbende dan strikt noodzakelijk voor de uitvoering van haar werkzaamheden. De Douane is er zich van bewust dat met de aanvulling in nationaal recht een grotere groep (in)direct betrokkenen gevraagd kan worden haar persoonsgegevens af te geven. Ook kan voor meer vormen van waardevolle goederen en documenten persoonsgegevens opgevraagd worden. Bewust is daarom gekozen voor een kennisgevingsplicht en geen aangifteplicht. Waarbij alleen op verzoek van Douane persoonsgegevens verstrekt te hoeven worden. Hiermee wordt de groep betrokkenen zo beperkt mogelijk gehouden. Ook zal de Douane haar aanvullende bevoegdheid vanuit het nationale recht, (beleidsmatig) beperkt inzetten.

Alleen daar waar de Douane nu al aanwezig is (b.v. op luchthavens en bij controles in het binnenland). Ook dit beperkt de mogelijke groep betrokkenen. Zonder te beschikken over de gevraagde persoonsgegevens, zou de Douane haar toezichtstaak in het voorkomen van witwassen en terrorismefinanciering op dit terrein, niet naar behoren kunnen uitoefenen. Ook kan de Douane zonder deze persoonsgegevens niet voldoen aan haar wettelijke taak om gegevens te verstrekken aan de FIU voor nadere analyse in het kader van het bestrijden van witwassen en terrorismefinanciering. 20 126 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Subsidiariteit De Douane verzamelt slechts gegevens bij de (verplichte) aangifte of op verzoek bij de kennisgevingsplicht en kan deze gegevens niet op een andere wijze verkrijgen. Voor het aanvullende nationaal recht wordt aangesloten bij de gestelde eisen en persoonsgegevens in Verordening 2018/1872 en de daarbij gebruikte systemen en procedures.

Er bestaat geen minder nadelige wijze dan waarop deze gegevens in de huidige systemen kunnen worden vastgelegd. De kennisgevingsplicht die wordt opgenomen in het nationaal recht is een lichtere vorm dan de aangifteplicht. Voor die vervoersmodaliteiten waarvoor dus geen aangifteplicht bestaat zijn er feitelijk dus geen formaliteiten waarin het vervoer van liquide middelen in het kader van het bestrijden van witwassen en terrorismefinanciering moet voldoen. Alleen in die gevallen dat de Douane noodzaak ziet om die gegevens te verzamelen zal de kennisgevingsverplichting worden opgelegd en zullen persoonsgegevens worden verzameld. Hiermee is gekozen voor de meest redelijke en minst nadeltge wijze van gegevensverwerking. 15. Rechten van de betrokkene Geef aan hoe invulling wordt gegeven aan de rechten van betrokkenen. Indien de rechten van de betrokkene worden beperkt, bepaal op grond van welke wettelijke uitzonderingen dat is toegestaan.

Het recht op inzage en recht op correctie wordt in deze geëffectueerd via de gangbare lijn. Informatie over de verwerking van persoonsgegevens door de Belastingdienst/Douane is te vinden op www.rijksoverheid.nl, www.douane.nl en www.belastingdienst.nl. Informatie over de verwerking van persoonsgegevens door de Belastingdienst/Douane en het uitoefenen van het recht op inzage of correctie is te vinden op www.rijksoverheid.nl, www.douane.n1 en www.belastingdienst.nl. Informatie over de behandeling van een verzoek tot verbetering, aanvulling, verwijdering of afscherming van persoonsgegevens door de Belastingdienst/Douane is te vinden op www.rijksoverheid.nl, www.douane.nl en op www.belastingdienst.nl. C. Beschrijving en beoordeling risico's voor de betrokkenen Beschrijf en beoordeel de risico's van de voorgenomen gegevensverwerkingen voor de rechten en vrijheden van de betrokkenen. Houd hierbij rekening met de aard, omvang, context en doelen van de gegevensverwerking zoals in onderdeel A en B zijn beschreven en beoordeeld.

Het gaat hierbij overigens niet om de risico's van de verwerkingsverantwoordelijke zelf. 16. Risico's Beschrijf en beoordeel de risico's van de gegevensverwerkingen voor de rechten en vrijheden van betrokkenen. Ga hierbij in ieder geval in op: 21 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek a. welke negatieve gevolgen de gegevensverwerkingen kunnen hebben voor de rechten en vrijheden van de betrokkenen; b. de oorsprong van deze gevolgen; c. de waarschijnlijkheid (kans) dat deze gevolgen zullen intreden; d. de ernst (impact) van deze gevolgen voor de betrokkenen wanneer deze intreden. F;4(gemeen Door de aanvulling in nationaal recht wordt de groep betrokkenen groter: • de afzender, vervoerder, ontvanger die (in)direct) betrokken is bij het intracommunautaire verkeer (het overschrijden van de EU-binnengrenzen) of vervoer in het binnenland van liquide middelen, waardevolle goederen of documenten. • de afzender, vervoerder, ontvanger die (in)direct) betrokken is bij het EU- grensoverschrijdende verkeer van waardevolle goederen of documenten.

Hiermee loopt een grotere groep (in)direct betrokkenen risico op de hieronder genoemde risico's dan alleen de groep waarvoor de verordening geldt. Onjuiste informatieverschaffing De aangever vermeldt gegevens op het aangifte/kennisgevingsformulier van derden (beoogde ontvanger/daadwerkelijke eigenaar). De informatie wordt door de aangever naar waarheid verstrekt en daarvoor wordt getekend. Niet uit te sluiten is echter, dat deze informatie onjuist is en de betrokkene ten onrechte terecht komt in een nader (strafrechtelijk) onderzoek. Geen gevallen bekend in de afgelopen 10 jaar. Een onjuiste vastlegging betreffende geldbedrag Stel voor dat in plaats van € 10.000 bij registratie in de applicatie liquide middelen € 100.000 wordt ingebracht. Door deze onjuistheid kan na doorgifte van de gegevens aan de FIU deze melding worden geclassificeerd als een verdachte transactie en betrokkene wellicht onderwerp worden van een strafrechtelijk onderzoek.

De afgelopen 10 jaar is dat een enkele keer voorgekomen en ontdekt bij interne controle en hersteld. Datalek door kwijtraken formulier Het betreft een (deels) papieren proces vaan aangifte/kennisgeving doen. Het betreffende aangifte/kennisgevingsformulier kan kwijtraken in het daaropvolgende administratieve proces. D kans daarop is klein. Gegevens belanden in oneigenlijke handen Door oneigenlijke toegang tot het systeem of een hack, kunnen gegevens in oneigenlijke handen vallen, met de daarbij horende risico's van b.v. repuatieschade. De kans hierop is klein. D. Beschrijving voorgenomen maatregelen In onderdeel D wordt bezien welke maatregelen kunnen worden getroffen om de in onderdeel C erkende risico's te voorkomen of te verminderen. Welke maatregelen in redelijkheid worden 22 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek getroffen is een belangenafweging van de wetgever of verwerkingsverantwoordelijke.

Voor dit onderdeel van de PIA is, als het gaat om beveiligingsmaatregelen, expertise over informatiebeveiliging belangrijk. 17. Maatregelen Beoordeel welke technische, organisatorische en juridische maatregelen in redelijkheid kunnen worden getroffen om de hiervoor beschreven risico's te voorkomen of te verminderen. Beschrijf welke maatregel welk risico aanpakt en wat het restrisico is na het uitvoeren van de maatregel. Indien de maatregel het risico niet volledig afdekt, motiveer waarom het restrisico acceptabel is. 23 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek Algemeen De omvang van de groep (nieuwe) (in)direct betrokkenen door het aanvullende nationale recht, wordt zoveel mogelijk beperkt doordat hier alleen een kennisgevingsplicht op verzoek van de Douane voor geldt. Evenals de (beleidsmatige) inperking van het gebruik van de bevoegdheid tot kennisgeving tot die plaatsen waar de Douane nu al aanwezig is (b.v. luchthavens en bij controles in het binnenland).

De verwachte groep nieuwe betrokkenen zal hiermee naar verwachting beperkt blijven. Onjuiste informatieverschaffing Voor zover mogelijk check (via applicatie en interne controle) op juistheid gegevens bij aangifte/kennisgeving. Een onjuiste vastlegging betreffende geldbedrag De applicatie kent een aantal checks en interne controles maar een dergelijke fout is niet helemaal te voorkomen. Datalek door kwijtraken formulier Door registratie van het gegeven dat aangifte is gedaan en controle op de uiteindelijke aanvulling en verwerking, kan in de applicatie liquide middelen middels een interne controle voorkomen worden dat deze formulieren te lang blijven liggen buiten het eindelijke dossier. Proces van administratieve verwerking/dossiervorming en centrale archivering wordt zo kort mogelijk ingericht. Gegevens belanden in oneigenlijke handen De beveiliging van de gegevens vindt plaats overeenkomstig de beveiligingsvoorschriften van algemene aard, die gelden voor alle organisatieonderdelen van de Belastingdienst/Douane, ongeacht de aard van hun proces.

Deze handboeken zijn mede samengesteld op basis van maatschappelijk aanvaarde normenkaders voor informatiebeveiliging, zoals (NEN-)ISO/IEC 27002:2007. Tezamen vormen zij het uitgangspunt voor de vijfjaarlijkse certificering door de Auditdienst Rijk. Getroffen algemene maatregelen zijn onder meer: • autorisatie voor een beperkt aantal gebruikers • verplicht gebruik van sterke wachtwoorden • back-ups door CIE/CAO • integriteitscontroles • interne controles volgens IC plan • monitoring en logging • controle van toegekende bevoegdheden • beperken inzageniveau Hier kunt u aanvullende punten toevoegen: selecteer de tab Invoegen, kies Snelonderdelen, Aanvullend punt Voeg hier wanneer gewenst een afsluitende alinea toe. Denk bijvoorbeeld aan: • Lessen uit deze PIA • Volgende stappen etc. 24 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA Financiën/Directoraat-Generaal Fiscale Zaken - Algemene Fiscale Politiek 25 1 26 Gegevensbeschermingseffectbeoordeling 1 PIA