DAC7 en de AVG: Hoe belastingtransparantie en privacy samenkomen in de platformeconomie

Introductie: Met de opkomst van de platformeconomie heeft de Europese Unie stappen ondernomen om belastingtransparantie te waarborgen. De invoering van de zevende richtlijn inzake administratieve samenwerking (DAC7) verplicht digitale platforms om inkomstengegevens van verkopers en bijvoorbeeld platformwerkers te rapporteren aan belastingautoriteiten. Tegelijkertijd beschermt de Algemene Verordening Gegevensbescherming (AVG) de privacy van individuen. Hoe verhouden deze twee regelgevingen zich tot elkaar?

Wat houdt DAC7 in? DAC7, van kracht sinds 1 januari 2023, verplicht digitale platformexploitanten om informatie te verzamelen, verifiëren en rapporteren over verkopers die relevante activiteiten uitvoeren, zoals:

• Verhuur van onroerend goed
• Levering van persoonlijke diensten (platform werk)
• Verkoop van goederen
• Verhuur van vervoermiddelen

Deze gegevens moeten jaarlijks worden gerapporteerd aan de belastingautoriteiten van de EU-lidstaat waarin de verkoper woont of waar het onroerend goed zich bevindt.

De kernprincipes van de AVG: De AVG, sinds 25 mei 2018 van kracht, stelt strikte regels voor het verwerken van persoonsgegevens. Organisaties moeten:

• Een wettelijke grondslag hebben voor gegevensverwerking
• Transparant zijn over welke gegevens worden verzameld en waarom
• Gegevens niet langer bewaren dan noodzakelijk
• Passende beveiligingsmaatregelen treffen

De verhouding tussen DAC7 en de AVG: Hoewel DAC7 platforms verplicht om persoonsgegevens te delen met belastingautoriteiten, blijft de AVG van toepassing. Dit betekent dat platforms:

• Alleen gegevens mogen verzamelen die noodzakelijk zijn voor DAC7-rapportage
• Verkopers en platformwerkersmoeten informeren over welke gegevens worden verzameld en gedeeld
• Gegevens adequaat moeten beveiligen tegen ongeoorloofde toegang

De wettelijke verplichting onder DAC7 vormt een geldige grondslag voor gegevensverwerking onder de AVG. Echter, platforms moeten ervoor zorgen dat deze verwerking proportioneel is en de rechten van betrokkenen respecteert.

Praktische implicaties voor platformexploitanten: Om te voldoen aan zowel DAC7 als de AVG, dienen platforms:

• Een gegevensbescherming effectbeoordeling (DPIA) uit te voeren om privacy risico's te identificeren en te mitigeren
• Duidelijke privacy verklaringen op te stellen die uitleggen welke gegevens worden verzameld en waarom
• Mechanismen te implementeren waarmee verkopers hun gegevens kunnen inzien, corrigeren of verwijderen

Conclusie: De implementatie van DAC7 benadrukt het belang van transparantie in de digitale economie. Tegelijkertijd onderstreept de AVG de noodzaak om de privacy van individuen te beschermen. Platforms die actief zijn in de EU moeten een balans vinden tussen deze twee verplichtingen door transparant te zijn, alleen noodzakelijke gegevens te verwerken en de rechten van gebruikers te respecteren.