Činjenice slučaja
Ispitanik ima belgijsko i američko državljanstvo. Prema američkim poreznim propisima, podliježe američkom poreznom sustavu zbog svoje nacionalnosti. Za prikupljanje informacija i ubiranje poreza od Amerikanaca koji žive u inozemstvu, SAD je potpisao sporazume s drugim zemljama u skladu sa Zakonom o porezu na inozemne račune (FATCA). U Belgiji je to značilo da su banke bile obvezne obavijestiti porezne vlasti ako građanin SAD-a ima račun u Belgiji.
U svibnju 2020. banka u kojoj je ispitanik imao račun obavijestila ga je da je zakonski obvezna obavijestiti porezne vlasti da ispitanik ima račun, kao i njegovo ime, adresu, nadležnost prebivališta, porezni identifikacijski broj, datum rođenja, stanje na računu, broj računa i druge podatke koji se odnose na njegovu bankovnu imovinu.
Dana 22. prosinca 2022. ispitanik i udruga „nesvjesnih poreznih rezidenata“ (Association Accidental Americans) Belgije podnijeli su žalbu belgijskom nadzornom tijelu. Sukladno članku 17. stavku 1. točki (d) GDPR-a, ispitanik je zatražio da porezno tijelo izbriše njegove podatke dobivene na temelju FATCA sporazuma i prema članku 18. stavku 1. točki (b) GDPR-a da ograniči njihovu obradu.
Podnositelji pritužbe također su zatražili prekid razmjene informacija između belgijske i američke uprave na temelju FATCA sporazuma. Smatrali su da je ova obrada, temeljena na FATCA sporazumu, prekršila članke 45., 46. i 49. GDPR-a, načelo ograničenja svrhe (članak 5. stavak 1. točka (b) GDPR-a), proporcionalnost i ograničenje podataka (5. stavak 1. točka (c)) GDPR), ograničenje pohrane (5. stavak 1. (e) GDPR), transparentnost (članci 12. do 14. GDPR) i da je trebala biti provedena procjena učinka (članak 35. GDPR).
Belgijska uprava tvrdila je da je prema članku 96. GDPR-a FATCA sporazum (a time i prijenos) valjan. Ovaj članak navodi da međunarodni ugovori koji su postojali prije GDPR-a ostaju na snazi pod uvjetom da su u skladu s primjenjivim zakonodavstvom u vrijeme kada su sklopljeni.
Dana 24. svibnja 2023. nadzorno tijelo donio je odluku - 2023/AR/801 u kojoj je naredio zabranu prijenosa poreznih podataka ispitanika u SAD. Unatoč činjenici da članak 96. GDPR-a propisuje da su ugovori sklopljeni prije GDPR-a koji su u skladu sa zakonodavstvom EU-a u trenutku sklapanja i dalje važeći prema GDPR-u, nadzorno tijelo je smatralo FATCA sporazum neusklađenim s GDPR-om.
Voditelj obrade je uložio žalbu drugostupanjskom sudu tražeći da se rješenje obustavi i poništi. Sud doista ima nadležnost obustaviti odluku ako se, prima facie, čini da bi se odluka mogla poništiti i ako je vjerojatno da će trenutno izvršenje odluke prouzročiti ozbiljnu štetu koju bi bilo teško popraviti.
Voditelj obrade je tvrdio da je odluka prekršila članak 96. GDPR-a smatrajući da je FATCA sporazum nevažeći i da je njegovo izvršenje nanijelo ozbiljnu štetu međunarodnom ugledu i odnosima Belgije.
Stav suda
Žalbeni sud u Bruxellesu naveo je da članak 96. GDPR-a ne predviđa vremensko ograničenje za valjanost međunarodnih sporazuma sklopljenih prije GDPR-a i da bi zabrana prijenosa nekih podataka u SAD mogla ozbiljno naštetiti međunarodnom ugledu Belgije.
Sud je smatrao da, suprotno tumačenju nadzornog tijela, članak 96. GDPR-a ne predviđa vremensko ograničenje valjanosti međunarodnih ugovora sklopljenih prije GDPR-a.
Osim toga, Sud je smatrao da ako se odluka ne obustavi, belgijska država ne bi mogla ispuniti svoje obveze prema SAD-u, odnosno prenijeti podatke prije 30. rujna. Pobijana odluka dovela je belgijsku državu u koliziju s njezinim međunarodnim obvezama, dok članak 27. Bečke konvencije o pravu međunarodnih ugovora navodi da se stranka ne može pozvati na odredbe svog domaćeg prava kako bi opravdala svoje neizvršenje ugovora.
Sud je potom proveo test razmjernosti i smatrao da, iako prijenos podataka potencijalno krši odredbe GDPR-a, cilj je bio spriječiti poreznu prijevaru, odnosno ovdje se radi o cilju od općeg interesa. Ovaj je cilj prevagnuo nad interesima ispitanika.
Kao rezultat toga, Sud je odlučio suspendirati odluku belgijskog nadzornog tijela do donošenja presude o meritumu.
