Gezien Verordening (EU) nr. 904/2010 van de Raad van 7 oktober 2010 betreffende de administratieve samenwerking en de bestrijding van fraude op het gebied van de belasting over de toegevoegde waarde(1), en met name artikel 24 sexies,
Richtlijn 2006/112/EG van de Raad(2) zoals gewijzigd bij Richtlijn (EU) 2020/284(3), voert met ingang van 1 januari 2024 verplichtingen tot het meedelen van gegevens voor betalingsdienstaanbieders in. Met ingang van die datum moeten betalingsdienstaanbieders die in de Europese Unie zijn gevestigd of daar betalingsdiensten verlenen, bepaalde registers bijhouden van grensoverschrijdende betalingen door betalers die zich binnen de lidstaten bevinden en van bepaalde inlichtingen over de begunstigden, en deze registers doorgeven aan de lidstaten met het oog op het bestrijden van fraude met de belasting over de toegevoegde waarde (btw).
Krachtens Verordening (EU) nr. 904/2010, zoals gewijzigd bij Verordening (EU) 2020/283(4), moeten de lidstaten deze registers doorsturen naar een centraal elektronisch systeem van betalingsinlichtingen (“Cesop”) dat door de Commissie moet worden ontwikkeld, onderhouden, gehost en technisch beheerd.
Om de goede werking van Cesop te waarborgen en overeenkomstig artikel 24 sexies, punt a), van Verordening (EU) nr. 904/2010 moeten de technische maatregelen voor het opzetten van Cesop worden vastgesteld. Die maatregelen moeten voorzien in de nodige Cesop-functionaliteiten voor de ontwikkeling van de gebruiksmogelijkheden van Cesop zoals beschreven in artikel 24 quater van Verordening (EU) nr. 904/2010. De maatregelen moeten tevens zorgen voor een hoge mate van gebruiksvriendelijkheid door in Cesop zoek- en visualisatie-instrumenten aan te bieden. Daarnaast moet Cesop de uitwisseling van inlichtingen tussen Eurofisc-verbindingsambtenaren vergemakkelijken door hen in staat te stellen snel en veilig informatie over btw-fraude rechtstreeks in Cesop uit te wisselen. De maatregelen die de Commissie moet nemen om Cesop te onderhouden nadat het systeem in werking is getreden, moeten ook worden vastgesteld om de operationele kwaliteitsnormen van de IT-infrastructuur en de functionaliteiten van Cesop te waarborgen, en om ervoor te zorgen dat de vereiste updates worden uitgevoerd wanneer dat nodig is om de incidenten in het systeem tussen de Commissie en de lidstaten te behandelen.
Hoewel de lidstaten als verwerkingsverantwoordelijken van Cesop verantwoordelijk zijn voor het beheer ervan, heeft de Commissie overeenkomstig artikel 24 sexies, punt b), van Verordening (EU) nr. 904/2010 als host en verwerker een reeks verantwoordelijkheden die beperkt zijn tot het technisch beheer van Cesop. Daartoe moeten de technische taken behoren die nodig zijn voor het dagelijkse administratieve beheer van Cesop, zoals het bijhouden van een register van de Eurofisc-verbindingsambtenaren die Cesop raadplegen, het bijhouden van een register van de betalingsdienstaanbieders die gegevens aan de lidstaten hebben doorgegeven, het treffen van passende organisatorische beveiligingsmaatregelen voor Cesop, en het voorzien in de nodige opleiding en ondersteuning voor Eurofisc-verbindingsambtenaren om Cesop doeltreffend te kunnen gebruiken.
Overeenkomstig artikel 24 ter, lid 1, punt b), van Verordening (EU) nr. 904/2010 moeten de lidstaten de gegevens in een gemeenschappelijk formaat aan Cesop toezenden. De gegevenselementen die betalingsdienstaanbieders in het formaat van een XML-document moeten melden, moeten worden vastgelegd. Om de algehele interoperabiliteit tussen de nationale elektronische systemen en Cesop overeenkomstig artikel 24 ter, lid 3, van Verordening (EU) nr. 904/2010 te waarborgen, moeten de lidstaten controleren of de door de betalingsdienstaanbieders doorgegeven gegevens de verplichte en syntactisch correcte gegevenselementen bevatten overeenkomstig artikel 243 quinquies van Richtlijn 2006/112/EG, aangezien Cesop alleen kan functioneren als de verplichte gegevens correct in Cesop worden ingevoerd.
De lidstaten moeten de Eurofisc-verbindingsambtenaren aanwijzen die toegang hebben tot Cesop en de Commissie in kennis stellen van hun beslissing. In dat verband moet de Commissie die ambtenaren een unieke identificatiecode verstrekken om toegang te krijgen tot Cesop en een lijst bijhouden van alle Eurofisc-verbindingsambtenaren die toegang hebben tot Cesop op basis van de van de lidstaten ontvangen informatie.
Overeenkomstig artikel 24 sexies, punt g), van Verordening (EU) nr. 904/2010 moet de Commissie procedures vaststellen om te waarborgen dat passende technische en organisatorische beveiligingsmaatregelen voor het ontwikkelen en functioneren van Cesop zijn ingevoerd. Diverse beveiligingsaspecten van de centrale componenten van Cesop zijn tevens afhankelijk van de uitvoering van nationale beveiligingsmaatregelen, zoals maatregelen om de veiligheid van de doorgegeven gegevens te controleren en maatregelen om ervoor te zorgen dat alleen de Eurofisc-verbindingsambtenaar met een geldige unieke identificatiecode toegang heeft tot Cesop. Daarom moeten de lidstaten de Commissie informatie verstrekken over hun eigen beveiligingsmaatregelen. De lidstaten en de Commissie moeten elkaar op de hoogte houden van de genomen beveiligingsmaatregelen en van de noodzaak van upgrades van deze maatregelen.
De verwerking van persoonsgegevens in het kader van deze verordening en de verantwoordelijkheden van de lidstaten en de Commissie zijn onderworpen aan de regels van Verordening (EU) 2016/679 van het Europees Parlement en de Raad(5) en Verordening (EU) 2018/1725 van het Europees Parlement en de Raad(6). Overeenkomstig artikel 24 sexies, punt h), van Verordening (EU) nr. 904/2010 moeten de rol en de verantwoordelijkheden van de lidstaten en de Commissie wat betreft de verwerkingsverantwoordelijkheid voor Cesop worden vastgesteld. De lidstaten moeten gezamenlijk worden beschouwd als verwerkingsverantwoordelijken van Cesop, aangezien zij beslissen over de middelen voor de verwerking en het gebruik van de gegevens in Cesop. De Commissie moet worden beschouwd als verwerker, aangezien zij bij de uitvoering van al haar taken namens de lidstaten handelt.
Deze verordening wordt pas met ingang van 1 januari 2024 van toepassing om ze in overeenstemming te brengen met de toepassing van Verordening (EU) 2020/283 en Richtlijn (EU) 2020/284.
De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 en heeft op 2 februari 2022 een advies uitgebracht.
De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Permanent Comité inzake administratieve samenwerking,