7.c. Rapportage toeristenbelasting d.d. 9.4.2021.pdf

De gemeenten kunnen nadenken over een systeem van checks and balances, bijvoorbeeld in de vorm van een periodieke toetsing en accountantsverklaring. 4.3

Aandachtspunten Privacy

Doeksen verwerkt in deze opzet persoonsgegevens bij de verkoop van boottickets en draagt zorg voor afdracht van de toeristenbelasting aan de gemeenten. Persoonsgegevens worden echter in beginsel niet uitgewisseld tussen Doeksen en de gemeenten, waardoor bij uitwerking van deze variant weinig aandachtspunten in het kader van de AVG te verwachten zijn. Slechts informatie over totalen (aantallen bezoekers, verblijfsnachten en euro’s toeristenbelasting) wordt gedeeld tussen Doeksen en de gemeenten. Evenmin hoeft sprake te zijn van uitwisseling van tot individuen herleidbare geaggregeerde gegevens. Wij hebben geen zicht op de wijze waarop Doeksen in haar proces de naleving van de AVG heeft geborgd. Als wordt gekozen voor deze variant adviseren wij in de overeenkomst de uitgangspunten voor uitwisseling van gegevens vast te leggen. 4.4

Aandachtspunten Marktregulering

Voor andere partijen dan Doeksen is in deze situatie geen rol, daarmee is het perspectief beperkt en overzichtelijk. Voor zover de gemeenten alle toeristenbelastingen via Doeksen incasseert, zou de volledige opdracht aan Doeksen eveneens via een onderhandelingsprocedure zonder aankondiging worden vormgegeven.Net als in de huidige situatie kunnen de gemeenten een beroep kunnen doen op de uitzonderingsgrond van artikel 2.32 onderdeel b onder 3 van de Aanbestedingswet. Gemeenten hebben enige ruimte om deze procedure in te vullen en vorm tegeven. We verwijzen naar de opmerkingen over de huidige situatie voor wat betreft de aanpak.

18 | nieuwe perspectieven

5 Heffing bij bezoeker via Doeksen In dit hoofdstuk beschrijven we de tweede uitvoeringsvariant, heffing bij bezoeker via een koppeling met de website van Doeksen. 5.1

Algemene aandachtspunten

Heffing van toeristenbelasting van de start van het verblijf tot het einde, via een koppeling met de website van Doeksen wordt in deze variant beschreven. De bezoeker is belastingplichtig. Betaling vindt rechtstreeks aan de gemeenten plaats. De meerderheid van de toeristen komt via Doeksen in de gemeenten binnen en vertrekt ook weer via Doeksen. Daarnaast is het samenvallen van het moment van de koop van het ticket en de toeristenbelasting organisatorisch handig, maar in deze variant wellicht minder effectief en efficiënt. De reden hiervan is dat na koppeling een bepaalde mate van vrijwilligheid bestaat van de kant van de toerist om ook daadwerkelijk het juiste aantal dagen van het verblijf te betalen. Wellicht kan hiervoor een technische oplossing worden gevonden, bijvoorbeeld dat de totale bestelling op de website pas kan worden afgerond op het moment dat enerzijds de ticketprijs en anderzijds toeristenbelasting is betaald (hierna: “technische oplossing”). Dan wordt een gesloten systeem gecreëerd tussen het transport en de belastingheffing; iedereen die per veerboot aankomt heeft belasting betaald. Als het technisch niet mogelijk is de totale bestelling af te ronden, zal deze variant minder effectief zijn. In feite kan op de juiste naleving van de belastingplicht beperkt toezicht plaatsvinden.

Informatie over het daadwerkelijke aantal overnachtingen kan immers niet worden gekoppeld aan de specifieke personen die de gemeenten hebben bezocht. Daarnaast zal daadwerkelijk incasseren van een niet betaalde belastingverplichting tot hoge kosten leiden die niet in verhouding staan tot de beperkte individuele omvang van de toeristenbelasting. Een beperking van deze variant voor heffing door Doeksen is dat niet alle bezoekers op deze wijze belast kunnen worden. Heffing van de belasting van het grootste deel van de bezoekers wordt op deze manier ondervangen. Voor bezoekers die bijvoorbeeld via de havens de eilanden benaderen zal een separaat systeem gehanteerd moeten worden. 5.2

Aandachtspunten Fiscaal

In deze variant is de bezoeker belastingplichtige. De gemeenten kunnen overgaan tot vaststellen van de belastingplicht voor de bezoekers. Het is mogelijk om een derde te belasten met de heffing en invordering van toeristenbelasting. Uit de jurisprudentie 29 blijkt dat deze derde daarvoor wel moet zijn aangewezen als gemeenteambtenaar. 30 Als de derde geen aangewezen ambtenaar is, bestaat het risico dat deze derde niet verplicht is om de geïnde belastingen af te dragen aan de gemeente. 31 In deze variant kunnen de gemeenten ervoor kiezen om Doeksen een rol toe te bedelen in het controleren op de naleving van het betalen van de belastingplicht. In deze variant kan aan Doeksen een vergoeding worden betaald voor haar diensten. Als de toerist zelf wordt aangewezen als belastingplichtige voor het nachtverblijf, is voor logiesverstrekkers en/of Doeksen bij dezelfde overnachtingen geen rol als belastingplichtige meer weggelegd. Als ervoor wordt gekozen om ‘nachttoeristenbelasting’ te heffen van de toeristen zelf, blijft heffing van dagtoeristenbelasting bij of via Doeksen op zelfstandige basis mogelijk. Een aandachtspunt van deze variant is dat de toeristen zelf belastingplichtige zijn, zij hebben een directe mogelijkheid tot het maken van bezwaar tegen de heffing van toeristenbelasting.

Daarbij adviseren wij zo min mogelijk vrijstellingen op te nemen, aangezien de vrijstellingen mogelijk het gesloten systeem doorbreken. 29 Onder andere Hoge Raad 21 november 2014, nr. 13/06387.

30 Gemeenteambtenaar belast met de heffing van gemeentelijke belastingen in de zin van artikel 231, lid 2, aanhef en onderdeelb Gemeentewet. Bij rechtspersonen kan bijvoorbeeld de directeur worden aangewezen als ambtenaar. Indien gewenst kunnenwij de kaders hiervoor nog nader uitwerken. 31 Hoge Raad 8 oktober 1993, nr. 15.101. In deze zaak waren afspraken gemaakt met een rederij over de inning van toeristenbelasting. De rederij stelde later dat deze afspraken niet rechtsgeldig waren, vorderde afgedragen toeristenbelastingterug en kreeg daarin gelijk.

19 | nieuwe perspectieven

Informatie-uitwisseling? Een voordeel van deze variant is dat in feite geen informatie-uitwisseling hoeft plaats te vinden tussen Doeksen en de gemeenten als een technische oplossing kan worden geboden voor het afronden van de bestelling. Het uitgangspunt is dan immers dat elke bezoeker die via Doeksen wordt vervoerd, de toeristenbelasting heeft betaald. Er is dan ook geen noodzaak tot het uitwisselen van gegevens over de bezoekers tussen Doeksen en gemeenten om een effectief systeem van handhaving mogelijk te maken. Op het moment dat in deze variant geen technische oplossing kan worden aangeboden voor afronding van de bestelling, vervalt deze zekerheid. Op dat moment zal informatie-uitwisseling plaats moeten vinden tussen de gemeenten (die de betaling ontvangen) en partijen met gegevens over het daadwerkelijke verblijf. Dit kan enerzijds door informatie van Doeksen op te vragen over de lengte van het verblijf, maar anderzijds door informatie te verkrijgen van de logiesverstrekkers. Vervolgens moet deze informatie vergeleken worden en moet de bezoeker worden aangespoord om over te gaan tot betaling van de toeristenbelasting. Het is de vraag of de benodigde inzet voor het vergelijken van de gegevens en de incasso opweegt tegen de voordelen van deze variant. 5.3

Aandachtspunten Privacy

Doeksen verwerkt persoonsgegevens bij de verkoop van boottickets. In deze variant is de bezoeker belastingplichtige en betaling vindt plaats rechtstreeks aan gemeenten. Hierdoor ontvangen de gemeenten een grote hoeveelheid persoonsgegevens. Single-sign-on De gemeenten hebben het volgende systeem voor ogen waarbij de technische oplossing nader wordt ingevuld. Bezoekers dienen eenmalig in te loggen via de website van Doeksen voor de aankoop van het vervoersticket. Vervolgens wordt via single-sign-on systeem (“SOS”) automatisch toegang verschaft tot een betaalmodule binnen een bankomgeving waarin bezoekers de toeristenbelasting kunnen betalen. Het is dan niet langer nodig om wederom gegevens in te voeren, het systeem laat toe dat de gegevens voor een korte periode worden onthouden om vervolgens de gegevens te dupliceren voor het betalen van de belasting en vervolgens kan de bestelling worden afgerond. Daarvoor is in ieder geval vereist dat Doeksen geen toegang heeft tot de bankomgeving waarbinnen de bezoekers de toeristenbelasting kunnen betalen. Deze oplossing kan vanuit privacyperspectief worden vormgegeven. Informatieplicht De wettelijke plicht tot betaling van toeristenbelasting verschuift door aanpassing van de verordening van logiesverstrekker naar de toerist. Dit leidt tot het verdwijnen van de informatieplicht van de logiesverstrekker.

Er zal beoordeeld moeten worden welke informatie nodig is om goede controle mogelijk te maken en op welke wijze en welke grond deze informatie kan worden verkregen, als geen technische oplossing kan worden gevonden. De betrokkene heeft mogelijk op grond van de AVG het recht zich tegen geautomatiseerde berekening van de verschuldigde toeristenbelasting te verzetten. Indien de betrokkene zich tegen de geautomatiseerde besluitvorming verzet, dient het besluit te worden herbeoordeeld door middel van een menselijke tussenkomst. Bij deze variant ontstaan extra gegevensstromen, daarbij hebben wij de volgende aandachtspunten: • In deze opzet worden extra gegevens verwerkt (zoals betalingsgegevens), hierbij dienen de (in de bijlage) genoemde algemene principes uit de AVG in acht te worden genomen, waaronder met name de minimale gegevensverwerking, beveiliging, en het uitoefenen van derechten van betrokkenen; • Bij de automatische omleiding en bepaling van hoeveel toeristenbelasting betaald wordt, kan de betrokkene bezwaar aantekenen tegen volledig geautomatiseerde besluitvorming. Als uitsluitend sprake is van een op geautomatiseerde verwerking gebaseerd besluit waaraan voor betrokkene rechtsgevolgen zijn verbonden, moet worden voorzien in procedures die de rechten van de betrokkene borgen.

• Aandacht voor een systeem waarbij privacy-by-design en privacy-by-default in acht worden genomen, alsmede de beveiliging (integriteit en vertrouwelijkheid) van het gebruikte systeem.

20 | nieuwe perspectieven

•

Voor de volledigheid: Doeksen en de gemeenten zijn in beginsel beide verwerkingsverantwoordelijken, een verwerkingsovereenkomst hoeft dan niet gesloten te worden. Zij dienen ieder de op hen rustende verplichtingen uit hoofde van de AVG na te komen. Indien Doeksen een administratieve rol krijgt als de technische oplossing ontbreekt, zou Doeksen verwerker kunnen worden. .Daarbij is een verwerkersovereenkomst nodig.

DPIA (gegevensbeschermingseffectenbeoordeling) De Europese privacytoezichthouders hebben een lijst met negen criteria opgesteld om te beoordelen of verwerkingen een hoog privacyrisico opleveren voor de betrokken personen. De bovenstaande verwerkingen zouden aan minstens twee van deze factoren kunnen voldoen, namelijk: het nemen van geautomatiseerde beslissingen (zoals via de website van Doeksen) en omdat het hier om een grootschalige gegevensverwerking gaat (met het oog op de hoeveelheid mensen, de hoeveelheid gegevens, de tijdsduur en de geografische reikwijdte van de verwerking). 32 Naar aanleiding van het bovenstaande dient deze variant een gegevensbeschermingseffectenbeoordeling uitgevoerd te worden. Ook in het geval dat geoordeeld mocht worden dat een DPIA niet verplicht is, bevelen wij dit wel ten zeerste aan, om zo in kaart te brengen wat de aandachtspunten van deze verwerkingen zijn. Als een technische oplossing kan worden gevonden voor de afronding van de bestelling, dan leidt deze variant tot een gesloten systeem waarbij een bezoek via Doeksen gelijk staat aan betaling van toeristenbelasting. Als geen technische oplossing kan worden gevonden, dan ontbreekt dat gesloten systeem. Dan is een voorwaarde voor een effectieve handhaving van de belastingplicht, dat de gemeenten op een andere manier informatie over verblijf kunnen matchen.

Wellicht is dan ook nadere informatie nodig van de logiesverstrekkers over het verblijf. 5.4

Aandachtspunten Marktregulering

Voor wat betreft de koppeling via de website van Doeksen geldt dat het voor de hand ligt om in samenwerking met Doeksen te bekijken wat de mogelijkheden zijn. Wellicht kunnen de gemeenten gebruik maken van bestaande infrastructuur, bijvoorbeeld de dienstverlener van het financieel pakket van de gemeenten in combinatie met de ICT leverancier van Doeksen die verantwoordelijk is voor de inrichting van de website en betaalmodule. Wij verwachten dat het lastig is om het ‘eigendom’ van deze koppeling bij de gemeenten te beleggen. Immers is het ‘product’ direct gelieerd aan de bestaande infrastructuur, mogelijk werkt de leverancier met een licentie . Bovendien is de vraag of het noodzakelijk is voor de werking van de koppeling om deze in eigendom te hebben. Bij deze variant is mogelijk sprake van verschillende overheidsopdrachten. De opdracht om een koppeling te bouwen, te onderhouden en beheren. Op dit moment zijn de kosten van een dergelijke oplossing nog niet inzichtelijk. Evenmin is duidelijk of dit leidt tot een Europese aanbestedingsplicht. Mogelijk wenst Doeksen een vergoeding voor het faciliteren van de koppeling op haar website. Als dat het geval is, kunnen de gemeenten mogelijk wederom gebruik maken van de eerder genoemde uitzondering. Als onderdeel van een brede (markt)consultatie kunnen de gemeenten de haalbaarheid van een dergelijke oplossing verkennen.

32 Data protection impact assessment (DPIA) | Autoriteit Persoonsgegevens

21 | nieuwe perspectieven

6 Heffing bij bezoeker via app In dit hoofdstuk beschrijven we de derde uitvoeringsvariant; heffing via een app. 6.1

Algemene aandachtspunten

Heffing van toeristenbelasting van de start van het verblijf tot het einde, via een app wordt in deze variant beschreven. In deze variant is de bezoeker de belastingplichtige. De betaling vindt rechtstreeks aan de gemeenten plaats. De app leidt bezoekers rechtstreeks naar de gemeente om daar te betalen. Wat dat betreft verschilt het gebruik van de app niet met de koppeling (uitvoeringsvariant II). Een belangrijk voordeel van deze variant is dat dit systeem onafhankelijk van de manier van transport kan worden toegepast. Deze variant kan dus zowel in worden gezet bij Doeksen als bij de havens. De reden hiervan is dat een bepaalde mate van vrijwilligheid bestaat om enerzijds de app te downloaden en anderzijds de (vrijwillige) keuze van de toerist om ook daadwerkelijk het juiste aantal dagen van het verblijf te betalen. In feite kan op de juiste naleving van de belastingplicht beperkt toezicht plaatsvinden. Informatie over het daadwerkelijke aantal overnachtingen kan immers niet eenvoudig worden gekoppeld aan de specifieke personen die de gemeenten hebben bezocht. Daarnaast zal daadwerkelijk incasseren van een niet betaalde belastingverplichting tot hoge kosten leiden die niet in verhouding staan tot de beperkte omvang van de toeristenbelasting. 6.2

Aandachtspunten Fiscaal

In deze variant is de bezoeker belastingplichtige. De gemeenten kunnen overgaan tot vaststellen van de belastingplicht voor de bezoekers. In deze variant kunnen de gemeenten ervoor kiezen om de app-bouwer een rol toe te bedelen in het controleren op de naleving van het betalen van de belastingplicht. Als de toerist zelf wordt aangewezen als belastingplichtige voor het nachtverblijf, is voor logiesverstrekkers en/of Doeksen bij dezelfde overnachtingen geen rol als belastingplichtige meer weggelegd. Als ervoor wordt gekozen om ‘nachttoeristenbelasting’ te heffen van de toeristen zelf, blijft heffing van dagtoeristenbelasting bij of via Doeksen op zelfstandige basis mogelijk. Het is mogelijk om een derde te belasten met de heffing en invordering van toeristenbelasting. Uit de jurisprudentie 33 blijkt dat deze derde daarvoor wel moet zijn aangewezen als gemeenteambtenaar. 34 Gedacht kan worden aan de app-bouwer. Echter een belangrijk nadeel daarbij is een directe relatie tussen de app-bouwer en het verblijf ontbreekt. In deze verhouding is de app-bouwer nog verder verwijderd van het begrip houden van verblijf, dan bij de 1e en 2e variant. Een aandachtspunt van deze variant is dat de toeristen zelf belastingplichtige zijn, zij hebben een directe mogelijkheid tot het maken van bezwaar tegen de heffing van toeristenbelasting.

Informatie-uitwisseling? Informatie-uitwisseling vindt plaats tussen de gemeenten (die de betaling ontvangen) en partijen met gegevens over het daadwerkelijke verblijf. Dit kan enerzijds door informatie van Doeksen op te vragen over de lengte van het verblijf, maar anderzijds door informatie te verkrijgen van de logiesverstrekkers. Vervolgens moet deze informatie vergeleken worden en moet de bezoeker worden aangespoord om over te gaan tot betaling van de toeristenbelasting. Het is de vraag of de benodigde inzet voor het vergelijken van de gegevens en de incasso opweegt tegen de voordelen van deze variant.

33 Onder andere Hoge Raad 21 november 2014, nr. 13/06387.

34 Gemeenteambtenaar belast met de heffing van gemeentelijke belastingen in de zin van artikel 231, lid 2, aanhef en onderdeel b Gemeentewet. Bij rechtspersonen kan bijvoorbeeld de directeur worden aangewezen als ambtenaar. Indien gewenst kunnenwij de kaders hiervoor nog nader uitwerken.

22 | nieuwe perspectieven

6.3

Aandachtspunten Privacy

De bezoeker is belastingplichtige en betaling vindt plaats rechtstreeks aan gemeenten. Hierdoor ontvangen de gemeenten een grote hoeveelheid persoonsgegevens. Ingevolge de eisen van artikel 25 AVG (Privacy-bydesign en privacy-by-default) moet de applicatie zo vormgegeven worden dat de berekening, heffing en controle privacy-vriendelijk te waarborgen is. Keuze in positie app-bouwer De gemeenten hebben met de inzet van de app de keuze om een beperkte opdracht te verstrekken aan de app-bouwer of de opdracht te verstrekken om haar volledig te ontzorgen met het proces van heffen en innen van toeristenbelasting. In dat eerste geval is de app-bouwer slechts verwerker van persoonsgegevens. Vanuit privacy oogpunt is dat scenario betrekkelijk eenvoudig, vooral wanneer slechts noodzakelijke gegevens worden verwerkt. In het tweede geval zijn de gemeenten tezamen met de app-bouwer verwerkersverantwoordelijke in de zin van de AVG. Dat scenario is vanuit privacy-oogpunt ingewikkelder, vooral omdat de app-bouwer in die variant een grote verantwoordelijkheid krijgt. Vanuit de systematiek voor het incasseren van toeristenbelasting ontbreekt de zelfstandige grondslag voor het opvragen van de persoonsgegevens bij de app-bouwer. Het is onbekend of marktpartijen een dergelijke verantwoordelijkheid op zich willen nemen. Dit onderdeel kan in een marktconsultatie worden betrokken.

De wettelijke plicht tot betaling van toeristenbelasting verschuift door aanpassing van de verordening van logiesverstrekker naar de toerist. Dit leidt tot het verdwijnen van de informatieplicht van de logiesverstrekker. Er zal beoordeeld moeten worden welke informatie nodig is om goede controle mogelijk te maken en op welke wijze en welke grond deze informatie kan worden verkregen, als geen technische oplossing kan worden gevonden. Bij deze variant ontstaan extra gegevensstromen, daarbij hebben wij de volgende aandachtspunten: • Indien voor het beheer/ontwikkeling van deze variant een andere partij wordt ingeschakeld (een verwerker), dient hier op grond van de AVG een verwerkingsovereenkomst mee gesloten te worden. • In deze opzet worden extra gegevens verwerkt (zoals betalingsgegevens), hierbij dienen de (in de bijlage) genoemde algemene principes uit de AVG in acht te worden genomen, waaronder met name de minimale gegevensverwerking, beveiliging, en het uitoefenen van de rechten van betrokkenen. • Daarnaast moet ook hier aandacht zijn voor een systeem waarbij de beveiliging (integriteit en vertrouwelijkheid) van het gebruikte systeem wordt geborgd.

• Denk aan doelbinding en dataminimalisatie: via een app kunnen veel gegevens verzameld worden (zoals bijvoorbeeld locatiegegevens), maar wanneer deze niet nodig zijn voor het doel dat is vastgesteld (hier: het heffen van toeristenbelasting), mogen deze niet verwerkt worden. Op dit punt wijzen wij op het proces van ontwikkeling van de Coronamelder-app door de overheid van vorig jaar. Dit ontwikkelingsproces is complex geweest, omdat het ontwikkelen van een overheids-app die een zo klein mogelijke inbreuk maakt op de privacy van de gebruikers, lastig blijkt en met veel waarborgen omkleed moet worden. 35 Ook aan de ontwikkeling van de OV-chipkaart en de verschillende onderzoeken die de Autoriteit Persoonsgegevens daarbij heeft gedaan kunnen relevante aandachtspunten worden ontleend. 36 DPIA (gegevensbeschermingseffectenbeoordeling) De Europese privacytoezichthouders hebben een lijst met negen criteria opgesteld om te beoordelen of verwerkingen een hoog privacyrisico opleveren voor de betrokken personen. De bovenstaande verwerkingen zouden aan minstens twee van deze factoren kunnen voldoen, namelijk: het nemen van geautomatiseerde beslissingen (zoals via de app) en omdat het hier om een grootschalige gegevensverwerking gaat (met het oog op de hoeveelheid mensen, de hoeveelheid gegevens, de tijdsduur en de geografische reikwijdte van de verwerking).

37 Naar aanleiding van het bovenstaande dient voor deze variant een gegevensbeschermingseffectenbeoordeling uitgevoerd te worden. Ook in het geval dat geoordeeld mocht worden dat een DPIA niet verplicht is, bevelen wij dit wel ten zeerste aan, om zo in kaart te brengen wat de aandachtspunten van deze verwerkingen zijn.

35 AP: Privacy gebruikers corona-app nog onvoldoende gewaarborgd | Autoriteit Persoonsgegevens 36 Onderzoeken | Autoriteit Persoonsgegevens

37 Data protection impact assessment (DPIA) | Autoriteit Persoonsgegevens

23 | nieuwe perspectieven

6.4

Aandachtspunten Marktregulering

Voor deze variant moet een geheel nieuw systeem worden ontwikkeld. In Nederland is een dergelijk systeem uniek en naar verwachting zal een specifieke oplossing gemaakt moeten worden door de markt. De gemeenten hebben bepaalde wensen en een doel voor ogen. Onduidelijk is of, en zo ja hoe de markt kan voorzien in deze behoefte. Met behulp van een marktconsultatie kan deze leemte worden gevuld. Bij een marktconsultatie worden de kennis en expertise van marktpartijen benut om meer duidelijkheid te krijgen over de criteria waaraan de app moet voldoen, bijvoorbeeld technische mogelijkheden, specificaties en eisen. Een marktconsultatie kan worden uitgezet via TenderNed. Het is aan te raden een duidelijke toelichting te geven over het doel van de koppeling en de wensen van de gemeenten, zodat de markt adequaat kan reageren. Naar alle waarschijnlijkheid zal de waarde van de opdracht ook boven het Europese drempelbedrag uitkomen. De overheidsopdracht zal bestaan uit diverse elementen; de bouw en realisatie alsmede het onderhoud en beheer gedurende de looptijd. De gemeenten kunnen ook de keuze maken volledig ontzorgd te worden door de opdrachtnemer, zodanig dat zij in het geheel niet bij de uitvoering betrokken is. Op het moment dat de app in opdracht van de gemeenten wordt ontwikkeld, kan de gemeente eisen stellen aan het eigendom van de app en de broncode.

Bovendien is ook de vraag of het noodzakelijk is voor de werking van de app om deze in eigendom te hebben. Wij adviseren dit onderdeel in de consultatie te adresseren. Een extra punt van aandacht zijn de kortingen voor diensten van ondernemers die mogelijk via de app worden aangeboden vanuit het oogpunt van staatssteun/Wet Markt en Overheid. Het is belangrijk om ervoor te waken dat er geen economisch voordeel aan bepaalde marktpartijen wordtverschaft via de app, dan wel dat de app de toets kan doorstaan op de gedragsregels uitde Wet Markt en Overheid. Starten met inkopen De keuze van de gemeenten zal naar alle waarschijnlijkheid gepaard gaan met de nodige (financiële) inzet. Er moet een speciaal product worden ontwikkeld, waarin diverse praktische en juridische uitdagingen het hoofd moet worden geboden. Daarmee is de ontwikkeling risicovol en gaat deze gepaard met de nodige onzekerheden. Op dit moment is nog onduidelijk of de markt in de behoefte van de gemeenten kan voorzien. Eigenlijk kan daarmee in deze fase nog geen keuze worden gemaakt over inkoop van één van de varianten. Wij verwachten dat de uitkomsten van marktconsultatie meer duidelijkheid kan verschaffen. Vervolgens kan een inkoop- en aanbestedingsstrategie worden bepaald waarin diverse keuzes voorliggen (waaronder scope, aard, omvang en looptijd opdracht).

Ervan uitgaande dat er meerdere partijen in de markt actief zijn die de diensten kunnen leveren, zullen de gemeenten in de aanbestedingsdocumenten – met behulp van de informatie naar aanleiding van de marktconsultatie - selectiecriteria en gunningscriteria moeten opnemen. Het doel is om de beste partij met de beste inschrijving te selecteren. Vervolgens zal veelvuldig met Doeksen gecommuniceerd worden over de realisatie.

24 | nieuwe perspectieven

Bijlage AVG Verwerken van persoonsgegevens en gronden voor die verwerking Persoonsgegevens De AVG is alleen van toepassing wanneer het gaat om persoonsgegevens. Een persoonsgegeven is informatie over een levend geïdentificeerd of identificeerbaar natuurlijk persoon. 38 Dit betekent dat de persoon in kwestie geïdentificeerd is, of kan worden. 39 De persoon waarom het gaat wordt aangeduid met de ‘betrokkene’. De AVG stelt dat de betrokkene bijvoorbeeld geïdentificeerd kan worden aan de hand een naam, identificatienummer, locatiegegevens, of bijvoorbeeld kenmerkende elementen (zoals iemands fysiek). Naast ‘gewone’ persoonsgegevens kent de AVG ook bijzondere persoonsgegevens, 40 zoals gegevens over etniciteit, religieuze overtuigingen of genetische/biometrische gegevens. Voor verwerking hiervan (zie ‘Verwerken’) gelden strengere eisen (het is verboden, tenzij er een strenge(re) rechtmatigheidsgrondslag is). Verwerken De AVG spreekt over het ‘verwerken van persoonsgegevens’. Deze definitie is breed en omvat niet alleen het verzamelen, opslaan, wijzigen, structureren, en wijzigen van gegevens, maar ook het afschermen, wissen of vernietigen van gegevens. 41 Daarbij maakt het in beginsel niet uit of de verwerkingen geautomatiseerd (bijvoorbeeld via een computer) of handmatig plaatsvinden (bijvoorbeeld het bijhouden van een papieren kaartenbak).

Rollen Bij de verwerking van persoonsgegevens spreekt de AVG van een aantal ‘rollen’. Het is van belang goed te kwalificeren welke ‘rol’ een partij heeft om te bepalen welke rechten en plichten daaruit voortvloeien. De ‘betrokkene’ is degene van wie de gegevens worden verwerkt, in het kader van dit rapport is dit de toerist. De ‘verwerkingsverantwoordelijke’ is degene die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, in dit verband kunnen dat de gemeenten zijn, maar in de huidige heffingssystematiek zijn dat bijvoorbeeld ook de logiesverstrekkers. Zij bepalen namelijk welke persoonsgegevens worden verwerkt voor welk doel: de gemeente voor het heffen van de toeristenbelasting, de logiesverstrekker voor de uitvoering van de overeenkomst met de toerist, om te voldoen aan zijn wettelijke verplichtingen, etc. In een aantal gevallen kan er sprake zijn van een ‘verwerker’: dit is degene die ten behoeve van de verwerkingsverantwoordelijke de persoonsgegevens verwerkt. Bijvoorbeeld als de gemeenten de berekening of heffing van bepaalde belastingen uitbesteden. Als laatste kunnen in dit kader derde partijen van belang zijn. Dit zijn partijen die niets met de oorspronkelijke verwerking van gegevens van doen hebben, maar deze ontvangen van de verwerkingsverantwoordelijke of verwerker.

Deze verstrekking van persoonsgegevens is aan strenge voorwaarden onderhevig. Rechtmatigheid: gronden voor verwerking van persoonsgegevens Voor het verwerken van persoonsgegevens moet een grondslag (reden of mogelijkheid) voor het gebruik (verwerken) van persoonsgegevens bestaan. De zes grondslagen staan opgesomd in artikel 6 lid 1 van de AVG. Verwerking van persoonsgegevens kan plaatsvinden: • op basis van toestemming van de betrokkene, mits deze vrij gegeven, voor specifieke doeleinden, geïnformeerd en ondubbelzinnig is; 42 • indien het noodzakelijk is voor het uitvoeren van een overeenkomst waarbij de betrokkene partij is (denk aan het de gegevens die de logiesverstrekker van de toerist nodig heeft voor boeking, betaling, etc.);

38 De AVG is niet van toepassing op rechtspersonen (B.V.’s, etc.)

39 Een voorbeeld van dat laatste is bijvoorbeeld het filmen van een kentekenbewijs door de politie (zij hebben toegang tot het kentekenregister). Voor een ‘normale’ burger is dit geen persoonsgegeven. 40 Artikel 9 AVG. Uitzondering hierop zijn artikel 23 sub c UAVG (noodzakelijk in aanvulling op de verwerking van persoonsgegevens van strafrechtelijke aard), art 24 UAVG (wetenschappelijk, historisch onderzoek of statistische doeleinden) en artikel 25 (ras of etnische afkomst). 41 Artikel 4 lid 2. 42 Zie artikel 7 AVG.

25 | nieuwe perspectieven

• • • •

als de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; denk aan de wettelijke verplichting (artikel 438 Wetboek van Strafrecht) voor bepaalde logiesverstrekkers om een register nachtverblijven bij te houden; wanneer dit noodzakelijk is om de vitale belangen van de betrokkene of andere personen te beschermen (bijvoorbeeld in het geval dat iemand bewusteloos is en zijn gegevens moeten worden doorgegeven aan het ziekenhuis); als de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke. Overheden kunnen hier geen beroep op doen in het kader van de uitvoering van hun publieke taak; 43 of als de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of een taak die is opgedragen in het kader van de uitvoering van het openbaar gezag. 44

Voor de overheid zijn met name de verwerking om te voldoen aan een wettelijke verplichting en de verwerking voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag relevant. De verwerking bij deze grondslagen dient een grondslag te hebben in het Unierecht of het lidstatelijke recht. De wet bepaalt bijvoorbeeld welke belastingen door de besturen van provincies en gemeenten kunnen worden geheven en regelt hun financiële verhouding tot het rijk. 45 Dit betekent niet dat voor iedere afzonderlijke verwerking specifieke wetgeving is vereist, volstaan kan worden met wetgeving die als basis fungeert voor verschillende verwerkingen. De wettelijke basis kan ook de doelen van de verwerking bepalen, alsmede bepalen welke gegevens bewaard mogen worden, voor welke termijn, etc. en of de verwerker een publiek of privaat persoon is. 46 Ook bij deze gronden gaat het erom of de verwerking van de persoonsgegevens noodzakelijk is om te voldoen aan de wettelijke plicht of noodzakelijk voor de uitvoering van de taak van algemeen belang/uitoefening van het openbaar gezag. Voor de verwerking van bijzondere/gevoelige persoonsgegevens kent de AVG een regime waarbij verwerking verboden is, tenzij er één van de wettelijke uitzonderingssituaties geldt (zie artikel 9 AVG).

47 Principes van verwerking Artikel 5 van de AVG zet uiteen aan welke principes voldaan moet worden indien er persoonsgegevens worden verwerkt. Eén van deze principes is hierboven al uiteen gezet, namelijk rechtmatigheid: dit zijn de gronden voor verwerking. Daarnaast zijn de principes van behoorlijkheid en transparantie, doelbinding, dataminimalisatie, juistheid van gegevens, opslagbeperking, integriteit en vertrouwelijkheid en de verantwoordingsplichtplicht van belang. Deze moeten ook in acht worden genomen bij de heffing van toeristenbelasting bij de toerist in plaats van bij de logiesverstrekker. Hieronder worden deze kort uiteengezet. Behoorlijkheid en transparantie De verwerkingsverantwoordelijke moet de persoonsgegevens verwerken op een manier die behoorlijk is. Dit houdt in dat de verwerking van de persoonsgegevens transparant moet zijn voor de betrokkenen. Zij moeten geïnformeerd worden dat de verwerking plaatsvindt en in hoeverre dit gebeurt, in toegankelijke en begrijpelijke taal. Betrokkenen moeten bewust worden gemaakt van de risico’s, regels, waarborgen en rechten in verband met de verwerking en de wijze waarop zij hun rechten kunnen uitoefenen. 48 De verwerkingsverantwoordelijke is tot het geven van deze informatie verplicht.

49 De AVG maakt een onderscheid in informatie die verstrekt moet worden in twee situaties: 1) als de persoonsgegevens bij de betrokkene zelf worden verzameld (artikel 13 AVG); en 2) als de persoonsgegevens bij een ander worden verzameld (artikel 14 AVG).

43 Zie laatste zin van artikel 6 lid 1 AVG. Overigens kan gerechtvaardigd belang wel spelen bij bijvoorbeeld bewaking van overheidsgebouwen en andere

interne bedrijfsprocessen.

44 Artikel 6 lid 1 sub e AVG

45 Artikel 132 lid 6 Grondwet

46 Overweging 45 en artikel 6 lid 3 AVG 47 Zie artikel 9 AVG

48 Overweging 39 AVG 49 Art 12 lid 1 AVG

26 | nieuwe perspectieven

Doelbinding De AVG bepaalt dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld. Daarnaast mogen zij niet verder verwerkt worden voor een onverenigbaar doel. 50 Dit betekent dat het wel mogelijk is om persoonsgegevens door te geven indien het doel waarvoor zij verzameld zijn, verenigbaar is met het doel waarvoor zij worden doorgegeven. 51 De verwerkingsverantwoordelijke moet daarom voorafgaand aan de verwerking duidelijk hebben waarom hij de persoonsgegevens wil verwerken en waarvoor. Een uitzondering bestaat voor archivering met het oog op het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden. De gemeenten willen in de huidige opzet enkel de gegevens verwerken voor het doel van het heffen van de toeristenbelasting. Indien de gemeenten deze gegevens willen gebruiken voor andere doeleinden, moet dit doel verenigbaar zijn met het heffen van de toeristenbelasting, of moeten zij een zelfstandige rechtmatigheidsgrondslag hebben in dat kader. Minimale gegevensverwerking De persoonsgegevens die worden verzameld moeten ‘toereikend zijn, ter zaken dienend en beperkt tot wat noodzakelijk is voor de verwerking’. Het is dus niet de bedoeling om zoveel mogelijk gegevens te verzamelen en daarna te selecteren wat relevant is.

52 Dit houdt ook verband met gegevensbescherming door ontwerp en standaardinstellingen (ook wel bekend als ‘privacy-by-design’ en ‘privacy-by-default’), artikel 25 AVG. De nog te ontwikkelen manier van gegevensverzameling moet dus bij het ontwerp rekening houden dat enkel die persoonsgegevens worden verzameld, die strikt noodzakelijk zijn voor de heffing van de toeristenbelasting. Juistheid De verwerkingsverantwoordelijke moet alle redelijke maatregelen treffen, zodat de door hem verwerkte persoonsgegevens juist zijn en indien nodig worden geactualiseerd. Zijn deze onjuist, moeten zij gelet op de doelen waarvoor ze worden verwerkt gewist of gerectificeerd worden. 53 Dit hangt samen met het recht op rectificatie (artikel 16 AVG) en het recht op beperking van verwerking (artikel 18 AVG). Opslagbeperking Op grond van de AVG geldt er een opslagbeperking voor persoonsgegevens. Zij moeten worden opgeslagen in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is. Een uitzondering hierop is het bewaren van gegevens met het oog op het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, indien er passende technische en organisatorische maatregelen zijn getroffen om de rechten en vrijheden van de betrokkenen te beschermen.

54 Beveiliging (integriteit en vertrouwelijkheid) De verantwoordelijke moet passende technische of organisatorische maatregelen nemen zodat een passende beveiliging gewaarborgd is. Hierdoor moeten de persoonsgegevens onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. 55 De in dit kader te nemen maatregelen zijn afhankelijk van de manier waarop de gemeenten de heffing willen laten plaatsvinden. Indien er bijvoorbeeld gekozen wordt voor een app, moet ervoor gezorgd worden dat deze app veilig genoeg is en aan de huidige (en toekomstige) beveiligingstandaarden voldoet. Uitvoeren ‘gegevensbeschermingseffectenbeoordeling’ (DPIA) Op grond van artikel 35 AVG dient er een zogenaamde gegevensbeschermingseffectenbeoordeling uitgevoerd te worden indien een verwerking een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Dit speelt met name bij nieuwe technologieën.

50 Indien er geen sprake is van een verenigbaar doel, moet degene die de gegevens wil ontvangen een zelfstandige rechtmatigheidsgrondslag hebben om

de gegevens te verwerken.

51 Artikel 5 lid 1 sub b AVG. Verdere verwerking in de zin van artikel 89 lid 1 AVG (archivering in het algemeen belang, wetenschappelijk of historisch

onderzoek of statistische doeleinden) is niet onverenigbaar. 52 Artikel 5 lid 1 sub c AVG. 53 Artikel 5 lid 1 sub d AVG 54 Artikel 5 lid 1 sub e AVG. Langduriger opslag is mogelijk bij archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden. 55 Artikel 5 lid 1 sub f AVG.

27 | nieuwe perspectieven

Bij de risicobeoordeling worden de aard, omvang, context en doeleinden in acht genomen. Deze DPIA dient voor de beoogde verwerking uitgevoerd te worden, om inzichtelijk te maken wat het effect van deze verwerking is op de bescherming van persoonsgegevens. De functionaris voor de gegevensbescherming dient hierbij te worden geconsulteerd. 56 Een DPIA is met name in de volgende gevallen vereist: • wanneer op basis van geautomatiseerde verwerking (waaronder profilering) een systematische en uitgebreide beoordeling wordt gemaakt, waarop besluiten met rechtsgevolgen voor natuurlijke personen worden gebaseerd; • er een grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke veroordelingen en strafbare feiten plaatsvindt; • in geval van stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten. In dit kader heeft de Autoriteit Persoonsgegevens een lijst opgesteld met verwerkingen waarbij dit verplicht is, 57 waaronder de situaties vallen van een grootschalige verwerking van locatiegegevens, grootschalig gebruik van Internet of Things en cameratoezicht. Deze lijst is niet uitputtend. Daarnaast hebben de Europese privacytoezichthouders negen criteria opgesteld om te bepalen of een DPIA verplicht moet worden uitgevoerd, waarbij de vuistregel is dat bij het voldoen aan twee van deze factoren deze moet worden uitgevoerd.

58 Dit betekent niet dat als er niet aan twee factoren wordt voldaan, een DPIA niet verplicht is. Een organisatie dient vanwege de verantwoordingsplicht (zie hierna) te documenteren waarom een DPIA niet is uitgevoerd. Zoals uit het bovenstaande blijkt is het uitvoeren van een DPIA niet altijd verplicht, maar wordt in veel voorkomende gevallen wel aangeraden om te doen, onder andere om interne processen met het verwerken van persoonsgegevens inzichtelijk te maken en met het oog op de verantwoordingsplicht. Verantwoordingsplicht De verantwoordelijke heeft de plicht om de hierboven genoemde principes na te leven en dit te kunnen aantonen. Dit kan bereikt worden door een goede documentatie van onder meer de interne privacy policy, de procedures om de rechten van de betrokkenen op juiste wijze te borgen en de omgang met eventuele datalekken. 59 Rechten van de betrokkenen De betrokkene heeft op grond van de AVG verschillende rechten. Dit zijn het recht op inzage, rectificatie, wissen van gegevens (ook wel ‘recht op vergetelheid’), het beperken van de verwerking, overdraagbaarheid van gegevens (ook wel ‘data portabiliteit’), het maken van bezwaar tegen de verwerking en het recht om niet onderworpen te worden aan automatische besluitvorming. De verwerkingsverantwoordelijke dient de betrokkene in staat te stellen door deze rechten gemakkelijk uit te oefenen, o.a.

door het instellen van mechanismen om dit te bewerkstelligen, waar mogelijk deze gratis en/of elektronisch te verstrekken en in beginsel binnen een maand op een verzoek te reageren. 60 Unie- of lidstatelijk recht kan hier wel beperkingen aan stellen. 61 Informatieverstrekking aan betrokkenen Op basis van artikel 13 AVG moet de volgende informatie worden verstrekt aan de betrokkene: 62 • de identiteit en contactgegevens van de (vertegenwoordiger van) de gemeenten; • de contactgegevens van de functionarissen voor de gegevensbescherming; • in dit geval is het heffen van de toeristenbelasting het doel en de verwerkingsgrond een (nieuw te creëren) wettelijke basis in de Gemeentelijke Verordeningen. Op grond van ditartikel moet dit doel en de rechtmatigheidsgrondslag worden vermeld; • de (categorieën) van ontvangers indien anderen deze gegevens ook ontvangen; • wat de bewaartermijn van de gegevens is (of in ieder geval hoe deze wordt bepaald);

56 In bepaalde gevallen is er ook voorafgaande aan de verwerking raadpleging van de Autoriteit persoonsgegevens nodig, zie in dit kader 57 Data protection impact assessment (DPIA) | Autoriteit Persoonsgegevens

artikel 36 AVG.

58 Data protection impact assessment (DPIA) | Autoriteit Persoonsgegevens 59 Artikel 5 lid 2 AVG.

60 Overweging 59 AVG. 61 Overweging 73 AVG.

62 Gezien het feit de gemeente geen beroep mag doen op de rechtsgrond ‘gerechtvaardigd belang’, is de verplichting om dezete vermelden indien daar gebruik van wordt gemaakt, niet opgenomen. Er wordt anderzijds ook verdedigd dat deze grondslagwel mogelijk is voor interne bedrijfsvoering, zoals het beveiligen van overheidsgebouwen.

28 | nieuwe perspectieven

• • • • •

welke rechten de betrokkene heeft; dat de betrokkene het recht om een klacht in te dienen bij een toezichthouder; of er sprake is van geautomatiseerde besluitvorming door de koppeling van gegevens; de persoonsgegevens dienen uitsluitend te worden verwerkt voor de toeristenbelasting. Indien er sprake is van een verdere verwerking (ander doel dan eerst overeengekomen), dient de betrokkene daarvan op de hoogte gesteld te worden; indien de betrokkene al over deze informatie beschikt, hoeft deze niet aan hem verstrekt te worden.

Recht op inzage De betrokkene heeft het recht op inzage van de gegevens die over hem/haar worden verwerkt (artikel 15 AVG). Dit artikel zet uiteen welke informatie bij een dergelijk verzoek verschaft moet worden. Aan de hand van deze informatie kan de betrokkene onder andere afleiden of zijn gegevens compleet en juist zijn en of hij over wil gaan tot het uitoefenen van één van zijn volgende rechten. Het recht op rectificatie Indien de gegevens onjuist zijn, heeft de betrokkene het recht dat deze gerectificeerd worden. Dit dient de verwerkingsverantwoordelijke onverwijld te doen (artikel 16 AVG). Daarnaast heeft de betrokkene recht op het aanvullen van onvolledige persoonsgegevens. De verwerkingsverantwoordelijke moet eventuele ontvangers van die gegevens ook informeren als de betrokkene zijn recht op rectificatie uitoefent (artikel 19 AVG). Recht op gegevenswissing (ook wel: recht op vergetelheid) De verwerkingsverantwoordelijke dient de persoonsgegevens van de betrokkene zonder onredelijke vertraging te wissen (artikel 17 AVG). Dit is geen absoluut recht. Het recht kan bijvoorbeeld worden uitgeoefend als de persoonsgegevens niet langer nodig zijn voor de doeleinden waarvoor zij zijn verwerkt, of als ze zijn verwerkt op basis van toestemming die wordt ingetrokken en er geen andere verwerkingsgrond bestaat.

De uitoefening van dit recht kan bijvoorbeeld geweigerd worden als de gegevens nog nodig zijn ten behoeve van het nakomen van een wettelijke plicht (nationaal- of Europeesrechtelijk), het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Ook hier dient de verwerkingsverantwoordelijke eventuele ontvangers van die gegevens ook te informeren als de betrokkene zijn recht op gegevenswissing uitoefent (artikel 19 AVG). Beperking van verwerking De betrokkene mag om beperking van de verwerking vragen. Hierbij mogen de persoonsgegevens gedurende een bepaalde periode niet meer verwerkt worden. Het uitoefenen van dit recht is mogelijk in de volgende gevallen: • de betrokkene vermoedt dat de verwerkte gegevens onjuist zijn; • de verwerking is onrechtmatig, maar in plaats van het wissen van gegevens wil de betrokkene dat verwerking beperkt wordt; • de verwerkingsverantwoordelijke heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft ze nodig voor instelling, uitoefening of onderbouwing van een rechtsvordering; • de betrokkene heeft bezwaar gemaakt en in afwachting van de uitkomst wil deze de verwerking beperken.

Recht op overdraagbaarheid van gegevens (dataportabiliteit) Indien de gemeenten de persoonsgegevens verwerken op basis van toestemming of voor de uitvoering van de overeenkomst met betrokkene én de verwerking via geautomatiseerde procedés wordt verricht, heeft de betrokkene het recht op overdraagbaarheid van gegevens (artikel 20 AVG). Gezien het feit de gemeenten de verwerking van gegevens niet stoelen op deze twee verwerkingsgronden, is dit recht hier niet van toepassing. Recht van bezwaar Indien de verwerking van persoonsgegevens gestoeld wordt op de rechtmatigheidsgrondslag uit artikel 6 lid 1 sub f (noodzakelijk voor openbaar belang etc.), dan kan de betrokkene bezwaar aantekenen tegen de verwerking van zijn persoonsgegevens (artikel 21 AVG).

29 | nieuwe perspectieven

De verwerkingsverantwoordelijke dient de verwerking dan te staken, tenzij hij dwingende gerechtvaardigde gronden voor verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering. Recht om niet om niet onderworpen te worden aan geautomatiseerde besluitvorming Artikel 22 AVG bepaalt dat de betrokkene het recht heeft om niet te worden onderworpen aan uitsluitend op geautomatiseerde verwerking gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden. Hieronder valt ook profilering. Dit is niet van toepassing indien de verwerking noodzakelijk is voor de totstandkoming of uitvoering van een overeenkomst met de betrokkene, de verwerking is toegestaan bij unie- of lidstatelijk recht dat ook voorziet in passende maatregelen met betrekking tot rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, of berust op de uitdrukkelijke toestemming van de betrokkene.

30 | nieuwe perspectieven

Geraadpleegde documenten Hieronder is het overzicht weergegeven van de, voor dit onderzoek, geraadpleegde documenten. Documenten 1. Dienstverleningsovereenkomst belastingheffing Vlieland, Gemeente Leeuwarden, d.d. 1 oktober 2013 2. Quickscan Waddenkaart, Sweco Nederland B.V., d.d. 17 februari 2017 3. Verkenning overdracht concessieverlening Friese Waddenveren, eindrapport MuConsult, d.d. 14 februari 2019 4. Concept programma van Eisen Toeristenbelasting Vlieland en Terschelling, intern document d.d. 6 december 2020 5. Jaarstukken gemeente Vlieland 2019 6. Jaarstukken gemeente Terschelling 2019 7. Verslag bespreking met Rederij Doeksen d.d. 7 december 1983 8. Brief Doeksen aan college gemeente Vlieland betreft Vergoeding inning toeristenbelasting d.d. 14 februari 1984 inclusief handgeschreven notitie met inhoud afspraak 9. Brief Doeksen aan college gemeente Terschelling betreft Vergoeding inning toeristenbelasting d.d. 14 februari 1984 inclusief handgeschreven notitie met inhoud afspraak 10. Collegeadvies “Uitbesteden heffen en invorderen gemeentelijke belastingen en uitvoering Wet WOZ” gemeente Vlieland d.d. 10 oktober 2013 en 30 oktober 2013

31 | nieuwe perspectieven

nieuwe perspectieven In de nieuwe economie doen kansen zich sneller voor dan ooit. Nieuwe spelregels geven een boost aan zakelijk werken. En een nieuwe generatie staat klaar om het anders te doen. Beter, slimmer, innovatiever. Wie succesvol wil ondernemen, moet zelf ook vernieuwen. Open staan voor verandering. En met open vizier kijken naar de mogelijkheden die voor ons liggen. Nieuwe perspectieven, dát is wat BDO u wil bieden. En kan bieden, dankzij onze unieke combinatie van lokale marktkennis en een internationaal netwerk. Persoonlijke dienstverlening en een professionele aanpak. BDO helpt u graag om vanuit een andere invalshoek naar uw business te kijken. Zodat u de juiste beslissingen neemt om uw organisatie sterker, wendbaarder en succesvoller te maken. Of u nu een mkb-bedrijf, familiebedrijf, publieke organisatie of internationale onderneming bent. BDO kijkt graag met u vooruit. Samen komen we tot nieuwe inzichten en nieuwe kansen in uw markt. Samen creëren we nieuwe perspectieven.

32 | n ieuwe perspectieven voor <Pas dit veld aan via de knop Informatie aanpassen>