11.1.In artikel 6, eerste lid, van de AVG is bepaald dat de verwerking alleen rechtmatig is indien en voor zover aan ten minste een van de in dat lid gestelde voorwaarden is voldaan. De voor deze zaken relevante voorwaarden luiden als volgt:
“c. de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
…
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.”.
In artikel 18, eerste lid, van de AVG is het volgende bepaald:
“De betrokkene heeft het recht van de verwerkingsverantwoordelijke de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is:
a) de juistheid van de persoonsgegevens wordt betwist door de betrokkene, gedurende een periode die de verwerkingsverantwoordelijke in staat stelt de juistheid van de persoonsgegevens te controleren;
b) de verwerking is onrechtmatig en de betrokkene verzet zich tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan;
c) de verwerkingsverantwoordelijke heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft deze nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;
d) de betrokkene heeft overeenkomstig artikel 21, lid 1, bezwaar gemaakt tegen de verwerking, in afwachting van het antwoord op de vraag of de gerechtvaardigde gronden van de verwerkingsverantwoordelijke zwaarder wegen dan die van de betrokkene.”.
Artikel 21, eerste lid, van de AVG luidt als volgt:
“De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), van artikel 6, lid 1, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.”.
12. De rechtbank stelt vast dat partijen van mening verschillen over de vraag of er een wettelijke grondslag is voor de verwerking van eisers persoonsgegevens als bedoeld in artikel 6, eerste lid, aanhef en onder c, van de AVG, dan wel of er een andere verwerkingsgrondslag is als bedoeld in artikel 6, eerste lid, van de AVG. Het antwoord hierop is van belang voor de vraag of eisers een geslaagd beroep kunnen doen op artikel 18, eerste lid, en artikel 21, eerste lid, van de AVG. De rechtbank zal daarom eerst beoordelen of er een wettelijke grondslag is voor de verwerking, daarna de afwijzing van de verzoeken van eisers op grond van de zojuist genoemde artikelleden beoordelen en tot slot op de overige beroepsgronden ingaan.
Is er een wettelijke grondslag als bedoeld in artikel 6, eerste lid, aanhef en onder c, van de AVG voor de verwerking van de persoonsgegevens van eisers?
13. Eisers voeren aan dat voor de verstrekking van hun persoonsgegevens aan de IRS een rechtsgeldige grondslag ontbreekt. De minister gaat er volgens hen ten onrechte vanuit dat de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting als bedoeld in artikel 6, eerste lid, aanhef en onder c, van de AVG. Volgens eisers moet er op grond van de AVG en het Europese Handvest bij het verwerken van persoonsgegevens op grond van een wettelijke plicht sprake zijn van een rechtsgrond vastgesteld bij Unierecht of lidstatelijk recht. De NL IGA voldoet daar in ieder geval niet aan. De wettelijke grondslag moet immers een Nederlandse wet zijn of een Europese verordening en de NL IGA is dat niet. Ook kan er geen wettelijke grondslag worden gevonden in de WIB of een andere Nederlandse wet, aldus eisers.
14. Uit het toetsingskader volgt dat op grond van artikel 6, eerste lid, aanhef en onder c, van de AVG persoonsgegevens rechtmatig kunnen worden verwerkt als dit noodzakelijk is om te voldoen aan een wettelijke plicht die op de verwerkingsverantwoordelijke rust. In artikel 6, derde lid, van de AVG is bepaald dat de rechtsgrond voor een dergelijke verwerking moet worden vastgesteld bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Het doel van de verwerking wordt in die rechtsgrond vastgesteld. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.