Datatilsynets referanse: 10/00491-20/CBR

PVN-2011-09 Tollvesenets kontroll av vareførsel

Klage på Datatilsynets vedtak om at Toll- og avgiftsdirektoratets praksis med å gjennomføre søk vedrørende privatpersoner i valutaregisteret i kontrolløyemed må opphøre

Personvernnemndas avgjørelse av 25. april 2012 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Gisle Hannemyr, Jostein Halgunset, Ørnulf Rasmussen)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på vedtak om at Toll- og avgiftsdirektoratets søk vedrørende privatpersoner i valutaregisteret i kontrolløyemed må opphøre.

2 Saksgang

Datatilsynet mottok en henvendelse fra privatperson 28.4.2010 med spørsmål om hvorvidt tollvesenet har adgang til å hente informasjon fra valutaregisteret i forbindelse med toll- og avgiftsrevisjon av privatpersoner. Tollvesenet hadde overfor privatpersonen vist til tolloven § 13-4 som hjemmel for sin henvendelse.

Datatilsynet innhentet uttalelser om tolloven og valutaregisterloven fra distrikstollstedet, Toll- og avgiftsdirektoratet og Finansdepartementet. I brev av 16.6.2010 påla Datatilsynet tollregionen å redegjøre for hvilket rettslig grunnlag som forelå for informasjonsinnhentingen. Tollregionen besvarte brevet 2.7.2010 og viste til tolloven § 4-10, jf kapittel 13. Den 5.10.2010 rettet tilsynet en henvendelse til Toll- og avgiftsdirektoratet. Direktoratet besvarte brevet 29.11.2010 hvor tolloven § 13-4 anføres som tilstrekkelig hjemmel for å foreta dokumentkontroller vedrørende privat innførsel. I brev av 6.12 2010 ba Datatilsynet om Finansdepartementets vurdering av tollvesenets praksis. Finansdepartementet besvarte henvendelsen 8.2.2011.

Datatilsynet fant at den aktuelle opplysningsinnhentingen ikke hadde rettslig grunnlag etter personopplysningsloven § 8, jf § 11 bokstav a. Datatilsynet ga varsel om vedtak 17.3.2011. Direktoratet ga sitt tilsvar til varselet 26.4.2011, med tilleggsinformasjon 9.6.2011.

Datatilsynet fattet vedtak i tråd med varselet 23.6.2011. Toll- og avgiftsdirektoratet påklaget vedtaket 29.8.2011. I tillegg har Datatilsynet mottatt to brev fra Finansdepartementet, datert 31.8.2011 og 4.10.2011, hvor departementet delvis støtter direktoratets vurderinger.

Saken ble oversendt Personvernnemnda 26.10.2011, som mottok saken 2.11.2011. Klager ble orientert om dette i brev fra nemnda datert 2.11.2011, med frist til uttalelse innen 17.11.2011. Toll- og avgiftsdirektoratet kom med kommentarer til klagesaken i brev av 17.11.2011. Finansdepartementet slutter seg i brev av 17.11.2011 i alt det vesentligste til direktoratets anførsler.

Personvernnemnda gjennomførte møter med partene i denne saken. Den 29. februar møtte nemnda tre representanter fra tolletaten i nemndas møte og deretter møtte to representanter fra Datatilsynet. Begge parter presenterte sitt syn på saken og tolkningen av de relevante lovene.

Etter møtet har nemnda mottatt skriftlige svar fra Tolletaten på enkelte spørsmål som dukket opp under møtet, i Toll- og avgiftsdirektoratets brev av 9.3.2012.

3 Faktum

I det statlige valutaregisteret registreres betalinger i utlandet på over kr 25 000, med opplysninger om betaleren og mottakeren. Ved sjekk mot tolletatens tolldeklareringssystem kan man finne tilfeller på betalinger i utlandet på over kr 25 000 der ingen korresponderende deklarasjon og avgiftsbetaling av vareinnførsel er registrert. Det lovlige unntak for deklarasjons- og avgiftsplikt ved innreise til Norge er begrenset til vareverdier for inntil kr 6000. En slik sjekk kan derfor gi indikasjon på mulig ulovlig vareinnførsel uten betaling av pliktig merverdiavgift, eventuelt andre importavgifter eller toll som måtte gjelde for varen.

Toll- og avgiftsdirektoratet (Direktoratet) foretar søk vedrørende privatpersoner i valutaregisteret i kontrolløyemed i forbindelse med toll- og avgiftsrevisjon. Tollvesenet ber deretter privatpersoner om å redegjøre for hvilke varer disse transaksjonene knytter seg til, hvorvidt disse er deklarert for tollvesenet, kvitteringer/dokumentasjon knyttet til kjøpet og privatpersonen bes også opplyse om hvilke eventuelle andre varer som er importert.

Datatilsynet mener at direktoratet mangler rettslig grunnlag for slike søk og har fattet vedtak om at slike søk må opphøre med mindre tollovens hjemler for personkontroll kommer til anvendelse.

Datatilsynet fattet følgende vedtak:

Toll og avgiftsdirektoratet skal snarest, og senest innen 15. august 2011, gjennomgå etatens rutiner for kontroll av privatpersoner, for å sikre at fremtidig kontrollvirksomhet ikke går utover de fullmakter som lovgiver uttrykkelig har gitt i lovs form, jf tolloven § 13-1 litra e om personkontroll.
Herunder skal direktoratet:

  • sørge for at etatens praksis med å be privatpersoner om å gi opplysninger og legge frem dokumentasjon i kontrolløyemed opphører, med mindre tollovens hjemler for personkontroll kommer til anvendelse
  • sørge for at etatens praksis med å gjennomføre søk vedrørende privatpersoner i valutaregisteret i kontrolløyemed opphører, med mindre tollovens hjemler for personkontroll kommer til anvendelse.

Spørsmålet i saken er hvorvidt denne type kontroll er lovlig.

4 Klagers anførsler

Når det gjelder første strekpunkt i Datatilsynets vedtak anfører direktoratet at merverdiavgiftsloven § 15-11 utgjør lovhjemlet behandlingsgrunnlag, jf personopplysningsloven § 8. Subsidiært er det forutsatt i merverdiavgiftsloven, tolloven og forvaltningsloven at det er adgang til å be om opplysninger fra privatpersoner, og at dette er tilstrekkelig til å oppfylle kravet om behandlingsgrunnlag i § 8. Under enhver omstendighet mener direktoratet at behandlingen kan hjemles i en av nødvendighetsalternativene i personopplysningsloven § 8 bokstavene e og f.

Når det gjelder andre strekpunkt i vedtaket, mener klager at valutaregisterloven § 6 utgjør hjemmel for søk i registeret. Subsidiært at det er forutsatt i valutaregisterloven og at dette er tilstrekkelig etter personopplysningsloven § 8. Atter subsidiært mener klager at nødvendighetsvilkåret i § 8 bokstavene e og f danner tilstrekkelig behandlingsgrunnlag for den personopplysningsbehandlingen som søk i registeret medfører.

Klager mener at Datatilsynets vedtak er feil når det legger til grunn at det kun er tolloven som hjemler etatens adgang til å be om opplysninger og dokumentasjon. Klager mener at hjemmel følger av merverdiavgiftsloven § 15-11. Klager er ikke enig med Datatilsynet i at merverdiavgiftsloven § 15-11 er en ren pliktbestemmelse og at det må foreligge en kompetansebestemmelse som omhandler hvorvidt tolletaten har kompetanse, på hvilke vilkår en kontroll eventuelt kan finne sted og hvordan kontrollen eventuelt skal gjennomføres. Klager mener at merverdiavgiftsloven § 15-11 gir klar hjemmel for å kreve at privatpersoner avgir opplysninger om aktuell innførsel. Subsidiært må det i det minste være klart at dette forutsettes i merverdiavgiftsloven, hvilket utgjør et tilstrekkelig behandlingsgrunnlag etter personopplysningsloven § 8. Uavhengig av dette må det være adgang til å anmode om opplysninger. Finansdepartementet har også uttalt at det under enhver omstendighet må være slik at tolletaten uten særskilt hjemmel kan oppfordre privatpersoner om å gi opplysninger som kan være av betydning for riktig fastsettelse av merverdiavgift og toll.

Når det gjelder adgangen til å søke i valutaregisteret, er dette regulert i valutaregisterloven § 6. Valutaregisteret ble opprettet nettopp for å tilfredsstille kontroll- og etterforskningsorganenes behov for opplysninger om grensekryssende overføring av betalingsmidler. Administrering av registeret ligger hos tolletaten.

Tolletaten har et saklig behov for å søke i opplysningene i valutaregisteret, også mot privatpersoner. Finansdepartementet uttalte i Ot prp nr 35 (2003-2004) kapittel 7.4 at

skatteetaten, toll- og avgiftsetaten og Rikstrygdeverket vil kunne bruke registerets opplysninger i forbindelse med sin kontrollvirksomhet. Disse etatene vil kunne søke i registeret både i forbindelse med konkrete kontrollsaker og i forbindelse med stikkprøvekontroller og andre kontroller som er en del av etatens alminnelige kontrollvirksomhet”. Departementet uttalte videre at ”etatene som gis søkeadgang i registeret, vil kunne benytte de fremsøkte data i sitt arbeid i samsvar med valutaregisterlovens formål og etter de saksbehandlingsregler som gjelder for etaten. Departementet kan ikke se at personvernhensyn taler avgjørende mot dette”.       

Det er forutsatt i forarbeidene at valutaregisteret skal kunne brukes til å søke i legale transaksjoner for å spore opp mulige avgiftsunndragelser. Under lovprosessen har Stortinget vurdert de personvernmessige implikasjonene og kom til at kontrolletatenes behov skulle prioriteres. Det sies intet i forarbeidene om at det kreves ytterligere hjemmelsgrunnlag for å søke i valutaregisteret. Uansett er det tilstrekkelig for at lovkravet skal være oppfylt at lovhjemmelen klart forutsetter slik personopplysningsbehandling. Valutaregisterloven § 6 forutsetter klart slik behandling av personopplysning som søk i registeret innebærer. Etatens bruk av valutaregisteret er innenfor formålet som angitt i valutaregisterloven §§ 6 og 1.

Adgangen til å anmode om ytterligere opplysninger følger av merverdiavgiftsloven § 15-11 og § 13-3 andre ledd, jf tolloven § 12-10, samt forvaltningsloven § 17.

Klager mener også at personopplysningsloven § 8 bokstav e gir tilstrekkelig hjemmelsgrunnlag for den aktuelle behandlingen. I kommentarutgaven til personopplysningsloven nevnes både trygdeetaten og plan- og bygningsetaten som eksempel på etater som kan forvalte personopplysninger etter denne bestemmelsen. Disse etater utøver en ikke ubetydelig kontrollvirksomhet. Det vises også til forarbeidene. Klager mener at Datatilsynet tolker bestemmelsen for strengt og utenfor intensjonen når tilsynet hevder at nødvendighetsalternativene ikke kan brukes på grunn av at behandlingen er så inngripende at det må legges til grunn et strengt lovhjemmelskrav. Tolletaten kan etter merverdiavgiftsloven § 13-3 annet ledd, jf tolloven § 12-10 etterberegne toll og innførselsmerverdiavgift basert på sannsynlighetsovervekt. Da må tolletaten også kunne gjøre det mindre, nemlig anmode om opplysninger etter forvaltningsloven § 17 for å oppklare saksforholdene, slik at man eventuelt unngår etterberegning. Klager kan ikke se at det bes om opplysninger av spesielt inngripende karakter. Det gjelder spørsmål om hvorvidt det er innført deklarasjonspliktige varer.

Klager mener også at personopplysningsloven § 8 bokstav f kan gi behandlingsgrunnlag. Tolletatens avgiftsinnkreving er av meget stor samfunnsmessig betydning og står for nesten 20 prosent av statsbudsjettets inntektsside.

5 Finansdepartementets kommentarer

Finansdepartementet har gitt sin tilslutning til direktoratets vurdering av at merverdiavgiftsloven § 15-11 utgjør et klart og tilstrekkelig lovhjemlet behandlingsgrunnlag for å kreve opplysninger fra privatpersoner. Departementet har uttalt at bestemmelsen gir en generell kontrollhjemmel, uten avgrensning til enkelte grupper eller til enkelte kontrollstadier. Bestemmelsen omfatter også kontroll av privatpersoner i tiden etter en mulig avgiftspliktig innførsel.

Merverdiavgiftsloven § 15-11 hjemler imidlertid ikke i seg selv søk i valutaregisteret. Derimot vil et generelt kontrollbehov av mulig avgiftspliktig innførsel kunne begrunne søk i valutaregisteret i henhold til selve registerreglene. Adgang til å foreta søk er hjemlet i valutaregisterloven § 6. Etter denne bestemmelsens første ledd kan tolletaten foreta søk i valutaregisteret når etaten har behov for opplysninger i forbindelse med sin kontrollvirksomhet. Departementet deler ikke tilsynets oppfatning av hva som er ”kontrollvirksomhet”. Det kan ikke være slik at tolletatens adgang til søk i registeret er avhengig av om det er hjemmel til å gjennomføre påfølgende/videre kontroller overfor en konkret privatperson. Adgangen til å gjennomføre kontroll overfor privatperson som ikke har deklarert innførsel av varer, herunder krav om opplysninger og fremleggelse av dokumentasjon, må holdes atskilt fra spørsmålet om adgang til søk i valutaregisteret. Departementet mener at vurderingen av om det er hjemmel til å søke i valutaregisteret må holdes atskilt fra vurderingen av om det er adgang til å foreta kontrolltiltak etter merverdiavgiftsloven eller andre lover.

Departementet har lagt til grunn at tolloven § 13-4 ikke kan benyttes overfor privatpersoner. Tolloven har dermed ingen tilsvarende generell hjemmel som merverdiavgiftsloven § 15-11 til å kreve opplysninger fra privatpersoner om forhold av betydning for tollkontrollen. Har en privatperson deklarert innførsel av en vare, gir imidlertid tollovforskriften § 4-10-3 hjemmel til å pålegge privatpersonen å gi opplysninger om forhold omhandlet i deklarasjonen og andre opplysninger. Manglende hjemmel for å kreve opplysninger fra privatpersoner etter grensepassering gjelder således de tilfeller hvor privatpersonen unnlater å foreta deklarering av tollpliktig vare. I slike tilfeller vil det som regel være spørsmål om mulig merverdiavgiftspliktig innførsel, og toll- og avgiftsmyndighetene kan dermed kreve opplysninger med hjemmel i merverdiavgiftsloven § 15-11. Den ”aktuelle kontrollvirksomheten” vil derfor normalt være hjemlet i merverdiavgiftsloven, selv om den ikke er hjemlet i tolloven.

Toll- og avgiftsdirektoratet har opplyst til departementet at etaten ikke lenger vil benytte tolloven § 13-4 som hjemmel for opplysningspålegg overfor privatpersoner.

Departementet er ikke enig med Datatilsynet i at tolletaten bare har adgang til søk i valutaregisteret dersom det er hjemmel i tollovens bestemmelser om personkontroll, og at det er bare disse bestemmelsene som gir grunnlag for å kreve eller be om opplysninger fra privatpersoner.

I NOU 2009:Tiltak mot skatteunndragelser kap 8 har et samlet utvalg foreslått å endre ordlyden i tolloven § 13-4 slik at den blir mer i samsvar med tilsvarende hjemler ellers i skatte- og avgiftsregelverket, herunder ligningsloven § 4-10 og merverdiavgiftsloven § 15-11.

6 Datatilsynets vurdering

Datatilsynet har i sitt vedtak lagt til grunn at den aktuelle innhentingen av personopplysninger krever hjemmel i lov, jf personopplysningsloven § 8 annet alternativ. Dette gjelder både for oppslag i valutaregisteret og for innhenting av opplysninger fra den registrerte selv. Ved vurderingen er det lagt stor vekt på at behandlingen pålegges den registrerte, den har et kontrollformål som retter seg mot privatpersoner og det er initiert av offentlig myndighet.

Datatilsynet har lagt vekt på hva det objektive formålet med innhentingen er og ikke hvordan formålet blir forstått av den registrerte – som en anmodning eller en kontroll. Formålet med innhentingen er kontroll og det må være avgjørende.

Henvendelsen er uansett utformet slik at det også rent subjektivt kan oppleves som en kontroll.

Datatilsynet fastholder derfor at den aktuelle behandlingen krever hjemmel i lov. Tilsynet har vurdert valutaregisterloven § 6, tolloven §§ 13-1 og 13-4 og merverdiavgiftsloven § 15-11 og er kommet til at behandlingen ikke har tilstrekkelig klar hjemmel i de nevnte lover. Datatilsynet viser til legalitetsprinsippet og forholdsmessighetsvurderingen som skal gjøres; jo mer inngripende behandlingen er desto sterkere og klarere må lovhjemmelen være.

Når det gjelder valutaregisterloven § 6 mener Datatilsynet at ordet ”kontrollvirksomhet” er brukt for å begrense bruken av opplysningene i registeret mot annen virksomhet som etatene har, ikke for å etablere kontrollkompetanse hos den enkelte etat. Av lovens forarbeider fremgår det at intensjonen med valutaregisteret var å gi enkelte etater et nytt elektronisk verktøy for å forenkle deres kontrollvirksomhet. Det fremkommer ikke opplysninger som at man samtidig søker å utvide kontrolladgangen i forhold til det som gjaldt før loven ble vedtatt. Tvert imot skal det brukes i etatenes ”alminnelige kontrollvirksomhet”. Valutaregisterloven må leses i lys av annet regelverk.  Loven inneholder fellesbestemmelser for en rekke etater som hver på sitt område har ulik kompetanse. Kompetansen reguleres i særlovgivningen, for eksempel tolloven. Datatilsynet fastholder at valutaregisterloven § 6 ikke i seg selv etablerer en kontrolladgang for tollvesenet. Det må foreligge en kontrolladgang etter andre bestemmelser.

Når det gjelder merverdiavgiftsloven § 15-11 mener Datatilsynet at bestemmelsen ikke gir hjemmel for tollvesenets innhenting av personopplysninger fra valutaregisteret og den registrerte selv. Det er normalt ikke tilstrekkelig for å etablere kontrollkompetanse for en offentlig etat at det foreligger en lovhjemmel som pålegger en plikt eller oppstiller et forbud for den enkelte borger. Det må kreves at det i tillegg foreligger en lovhjemmel som gir etaten kompetanse til å gjennomføre tiltak rettet mot den enkelte for å avdekke om loven etterleves, og eventuelt på hvilke vilkår slik kompetanse oppstår. Merverdiavgiftsloven § 15-11 regulerer avgiftssubjekters og avgiftspliktiges plikt til å gi opplysninger og yte bistand i forbindelse med en avgiftskontroll. Den etablerer imidlertid ikke kompetanse for tollvesenet til å rette kontrolltiltak mot enkeltpersoner, selv om den klart forutsetter at tollvesenet har kontrollkompetanse. Det må derfor foreligge en kontrolladgang etter andre bestemmelser.

Når det gjelder tolloven § 13-4, så gjelder den kontroll hos virksomheter og gir ikke hjemmel for tollvesenets kontroll av privatpersoner.

Datatilsynet har lagt til grunn at heller ikke tollovens § 13-1 bokstav e hjemler etterkontroll av privatpersoners vareførsel, idet kontrollen ble gjennomført mange år etter grensepassering eller antatt vareførsel.

Datatilsynet er derfor kommet til at tolloven kun gir hjemmel for å gjennomføre kontroller av enkeltpersoner i rimelig tilknytning til en grensepassering.

7 Personvernnemndas merknader

Datatilsynet har fattet vedtak om at toll- og avgiftsdirektoratet må gjennomgå etatens rutiner for kontroll av privatpersoner, for å sikre at fremtidig kontrollvirksomhet ikke går utover de fullmakter som lovgiver uttrykkelig har gitt i lovs form, jf tolloven § 13-1 litra e om personkontroll. Det vises til Datatilsynets vedtak gjengitt i punkt 3 ovenfor.

7.1 Foreligger hjemmel for å be privatpersoner om opplysninger i kontrolløyemed?

Personvernnemnda skal først vurdere det første punktet i tilsynets vedtak, nemlig hvorvidt etatens praksis med å be privatpersoner om å gi opplysninger har hjemmel.

Etter nemndas syn kan punkt 1 deles i to underspørsmål. Det ene er spørsmål om det foreligger hjemmel for å be om opplysninger og det andre er om det foreligger hjemmel for å innhente opplysninger. Første spørsmål blir behandlet i dette punkt og andre spørsmål blir behandlet under punkt 7.2.

Når det gjelder å be om opplysninger, har Datatilsynet har tatt som standpunkt at tollmyndighetene ikke kan spørre privatperson om identifiserte uttak/forbruk i utlandet, i ettertid, og om hva disse penger ble brukt til. Tilsynet mener at slikt spørsmål krever hjemmel i lov, jf legalitetsprinsippet. Nemnda kan ikke dele denne rettslige forståelse. Et spørsmål om en privatperson vil bistå et forvaltningsorgan med å avklare faktum i en sak, er ikke omfattet av legalitetsprinsippet. Spørsmålet i seg selv gir ingen faktiske eller rettslige virkninger. At informasjon til det aktuelle forvaltningsorgan kan føre til at det treffes vedtak, også inngripende vedtak, er en annen sak. Da vil dette eventuelle vedtak møte legalitetsprinsippet og spørsmålet om det foreligger hjemmel i lov vil oppstå.

Videre kan man se spørsmålet om opplysninger slik at tolletaten har opprettet en sak ved henvendelsen til pengebrukeren/vareeieren. Tolletaten gir så varsel om dette i henhold til forvaltningsloven § 16 første ledd. Her forutsettes at parten orienteres om sin mulighet og rett til å uttale seg om saken. Hvis det så er noen spesifikke problemstillinger i saken, som for eksempel hva pengene ble brukt til, vil tolletaten ha ansvar for å utrede dette i henhold til forvaltningsloven § 17 første ledd. Den saklig korrekte måte å utrede et faktumspørsmål på, omfatter også ofte å spørre parten hva parten mener om faktum. Det kan etter omstendighetene derfor være en lovbestemt plikt for tolletaten til å spørre, og ikke et spørsmål om det foreligger lovhjemmel som gir tolletaten en rett til å spørre eller be om opplysninger.

7.2 Foreligger hjemmel for å pålegge privatpersoner å gi opplysninger i kontrolløyemed?

Det neste spørsmål er hvorvidt tolletaten kan pålegge en privatperson å gi opplysninger eller utlevere dokumenter som kan medvirke til å kaste lys over saken. Etter nemndas syn er det ved dette spørsmålet man møter legalitetsprinsippet, fordi unnlatelse av å etterkomme et slikt pålegg kan føre til rettslige sanksjoner.

Klager har påberopt merverdiavgiftsloven § 15-11 som rettslig grunnlag for pålegg om utlevering. Bestemmelsen lyder:

Et avgiftssubjekt skal uten opphold legge fram, utlevere eller sende inn registrerte og dokumenterte regnskapsopplysninger, regnskapsmateriale og andre dokumenter av betydning for avgiftskontrollen når avgiftsmyndighetene krever det. Med dokumenter menes også elektronisk lagrede dokumenter. Pliktene gjelder også elektroniske programmer og programsystemer. Avgiftssubjektet plikter å gi fullstendige opplysninger om forhold som myndighetene finner kan ha betydning for kontrollen. Det samme gjelder den som er ansvarlig for merverdiavgift ved innførsel av varer, samt den som er pålagt bokføringsplikt etter bokføringsloven § 2 tredje ledd.

Plikten gjelder «avgiftssubjektet». Avgiftssubjekt er definert i merverdiavgiftsloven § 1-3 bokstav d) som:

      «avgiftssubjekt: den som er eller skal være registrert i Merverdiavgiftsregisteret»

På grunn av denne formuleringen gjelder som utgangspunkt ikke utleveringsplikten for privatpersoner. Imidlertid fortsetter loven ved å slå fast at det samme gjelder for «den» som er ansvarlig for merverdiavgift ved innførsel av varer. En naturlig språklig forståelse vil være at dette viser tilbake til den som fører varen inn. Merverdiavgiftshåndboken 2011 i sin kommentar til merverdiavgiftsloven § 15-11 gir uttrykk for den samme oppfatning. Vi kan ikke se at det foreligger relevante kilder som skulle medføre et annet resultat. Merverdiavgiftsloven § 15-11 gir derfor hjemmel for å pålegge privatpersoner å gi opplysninger og å legge frem dokumentasjon i kontrolløyemed. Tolletaten har således hjemmel til å innhente informasjon fra privatpersoner med hjemmel i merverdiavgiftsloven § 15-11.

7.3 Foreligger hjemmel for søk i valutaregisteret i kontrolløyemed?

Personvernnemnda skal så gå over til å vurdere det siste punktet i tilsynets vedtak, nemlig hvorvidt toll- og avgiftsetaten har hjemmel til å søke i valutaregisteret i kontrolløyemed.

Tolletaten har tilgang til valutaregisteret og foretar søk i registeret etter privatpersoners forbruk av penger i utlandet. Tollvesenet undersøker dernest med sine registre om eventuelle varekjøp er deklarert for merverdiavgift og/eller toll. Dette er behandling av personopplysninger, jf personopplysningsloven § 2 nr 2, som krever behandlingsgrunnlag, jf personopplysningsloven § 8. I denne saken skal Personvernnemnda vurdere hvorvidt tollvesenet har behandlingsgrunnlag for å behandle personopplysninger for det formål å kontrollere enkeltpersoners vareinnførsel fra utlandet, jf personopplysningsloven § 8, jf § 11.

Personopplysningsloven krever behandlingsgrunnlag og nemnda vil vurdere om behandlingsgrunnlag foreligger.

Datatilsynet har lagt til grunn at tolletaten må ha hjemmel i lov for den behandling av personopplysninger som utføres og at nåværende praksis for kontroll av privatpersoner går utover de fullmakter som lovgiver uttrykkelig har gitt i lovs form, jf tolloven § 13-1 litra e om personkontroll. Tilsynet er av den oppfatning at etatens praksis med å gjennomføre søk vedrørende privatpersoner i valutaregisteret i kontrolløyemed må opphøre, med mindre tollovens hjemler for personkontroll kommer til anvendelse.

I det følgende vil nemnda gå nærmere igjennom kravet til hjemmel i lov.

7.3.1 Kreves hjemmel i egen lov?

Spørsmålet er om legalitetsprinsippet krever lovhjemmel i denne saken. I denne sammenheng er det et spørsmål om kontroll og etterforskning for å undersøke om vareførsel er blitt deklarert. Dersom vareførsel er gjennomført uten deklarasjon inn i Norge, kan det foreligge smugling og unndragelse av toll- og avgiftsbetaling.

Nemnda vil først vurdere hvorvidt det er krav om hjemmel for å skaffe informasjon og etterforske. Forarbeidene til personopplysningsloven (Ot prp nr 92 (1998-99) kap II) uttaler at:

Om behandlingen er så forankret i lov at dette alternativet får anvendelse, må avgjøres ved å tolke loven som eventuelt hjemler behandlingen. Hjemmelskravet er relativt, slik at det kreves klarere hjemmel jo større personvernmessige konsekvenser behandlingen kan få.

I fjordlaksdommen (Rt 1995 s 530) uttalte Høyesterett følgende:

Etter min mening kan en ikke ut fra rettspraksis vedrørende råfiskloven trekke den konklusjon at det på dette området generelt gjelder et krav om "klar og uomtvistelig" lovhjemmel. Det er vesentlige ulikheter mellom vår sak og de saker der en kan finne hjemmelskravet formulert slik. Jeg antar, med bakgrunn i teori og rettspraksis, at kravet til lovhjemmelen må nyanseres blant annet ut fra hvilket område en befinner seg på, arten av inngrepet, hvordan det rammer og hvor tyngende det er overfor den som rammes. Også andre rettskildefaktorer enn loven selv må etter omstendighetene trekkes inn. En slik mer sammensatt vurdering må etter min mening legges til grunn ved avgjørelsen av de hjemmelsspørsmål som oppstår i denne saken.

Hvorvidt det kreves eksplisitt hjemmel eller det er tilstrekkelig at det er forutsatt i loven, ble behandlet i PVN-2010-10 SATK, hvor nemnda uttalte følgende:

Personvernnemnda er enig i at vegtrafikkloven § 5, tredje ledd må anses for å gi hjemmel for registreringen. Selv om selve registreringen ikke er eksplisitt nevnt i lovbestemmelsen, må det etter nemndas mening tolkes inn under passusen ”for kontroll av trafikk”. Dette følger også av formålet med og intensjon bak lovbestemmelsen, samt praktiseringen av denne for ATK. Klager har således lovhjemmel som behandlingsgrunnlag.

Legalitetsprinsippet er gradert og hjemmelskravet relativt. Etter nemndas syn er ikke inngrepet i denne saken, altså etterforskning i form av søk i valutaregisteret for å undersøke om privatperson har innført varer til landet uten å deklarere, så stort at det krever eksplisitt lovhjemmel. I forhold til legalitetsprinsippet er det derfor ikke et krav om klar og uomtvistelig lovhjemmel i denne saken.

7.3.2 Gir valutaregisterloven hjemmel for søk i registeret i kontrolløyemed?

Det er et forbud i personopplysningsloven mot å behandle personopplysninger uten behandlingsgrunnlag. Nemnda vil derfor vurdere hvorvidt valutaregisterloven § 6 gir behandlingsgrunnlag for søk i valutaregisteret i tolletatens kontrolløyemed. Valutaregisterloven kom i 2004 og lovens § 6 gir enkelte etater tilgang til opplysningene i registeret:

Politiet, skatteetaten, toll- og avgiftsetaten, Arbeids- og velferdsdirektoratet og Finanstilsynet skal ha elektronisk tilgang til opplysningene i registeret. Søk i registeret skal kun skje ut fra disse etatenes behov for opplysninger i forbindelse med forebygging og bekjempelse av kriminalitet, kontrollvirksomhet og tilsyn.

Det følger av lovbestemmelsen at de offentlige myndigheter nevnt i bestemmelsens første ledd skal ha elektronisk tilgang til opplysningene i registeret. Disse etatene vil kunne foreta søk i registeret og hente ut relevant informasjon. Søk i registeret kan gjøres både i forbindelse med stikkprøvekontroller og andre kontroller som er en del av etatens alminnelige kontrollvirksomhet. I forarbeidene (Ot prp nr 35 (2003-2004) pkt 4.2.3) gis det følgende begrunnelse for at tolletaten skal få slik tilgang til registeret:

Toll- og avgiftsetatens behov for kontrollopplysninger om utenlandstransaksjoner vil ikke bli mindre. Økt internasjonalisering, økt reisevirksomhet og økt handel over landegrenser gjør at toll- og avgiftsetaten trenger tilgang til opplysninger som kan bekrefte/avkrefte de opplysninger som oppgis til tollmyndighetene, alternativt bidra til avdekking av transaksjoner som ikke er oppgitt til toll- og avgiftsmyndighetene. Kontrollene på dette feltet kan være både omfattende og kompliserte, og effektive elektroniske verktøy er helt vesentlig.

Når det gjelder hensynet til enkeltpersoners personvern uttales det i forarbeidene (punkt 6.2.4):

Departementet er opptatt av at hensynet til den enkeltes personvern skal ivaretas på best mulig måte. Inngrepet i personvernet blir større jo mer detaljert rapportering det legges opp til. Samtidig vil et detaljert register kunne være til bedre hjelp for kontrolletatene i deres arbeid.
Departementet foreslår at ordningen med rapportering av aggregerte summer videreføres, og at kun transaksjoner over en viss beløpsgrense rapporteres enkeltvis. Beløpsgrensen foreslås satt til NOK 25 000. Grensen heves da i forhold til dagens beløpsgrense. Videre blir det samsvar med grensen for rapportering av inn- og utførsel av kontanter, som også er på NOK 25 000. En slik beløpsgrense innebærer at det ikke vil bli rapportert enkelttransaksjoner på lavere beløp. Enkelttransaksjoner på NOK 25 000 eller mer, vil bli rapportert og registrert. For korttransaksjoner med beløp under beløpsgrensen vil det bli foretatt aggregeringer, det vil si at det rapporteres samlesummer pr. kort pr. måned pr. land for nordmenns bruk i utlandet, og pr. kort pr. måned for utlendingers bruk i Norge. Beløpsgrensen på NOK 25 000 vil bli fastsatt i forskrift.

Om etatenes tilgang til registeret uttaler forarbeidene (kap 7.4):

Etatene som gis søkeadgang i registeret, vil kunne benytte de fremsøkte data i sitt arbeid i samsvar med valutaregisterlovens formål og etter de saksbehandlingsregler som gjelder for etaten. Departementet kan ikke se at personvernhensyn taler avgjørende mot dette.
Det følger imidlertid av lovens formålsbestemmelse og § 6 første ledd at søk i registeret kun skal skje ut fra etatenes behov for opplysninger i forbindelse med iverksatt etterforskning, kontrollvirksomhet og tilsyn. I dette ligger også en begrensning av hvem innen de enkelte etater som kan foreta søkene. Det vil være de tjenestemenn som har et saklig og faglig behov for opplysningene i sitt arbeide. Det vil ikke være anledning for enhver tjenestemann i de forskjellige kontrolletatene til å gjennomføre søk i registeret. Den enkelte etat vil også ha et ansvar for å sikre forsvarlige saksbehandlingsrutiner.

Formålet med loven er regulert i valutaregisterloven § 1:

Formålet med loven er å forebygge og bekjempe kriminalitet og å bidra til riktig skatte- og avgiftsbetaling, ved at kontroll- og etterforskningsorganene får tilgang til opplysninger om valutavekslinger og fysisk eller elektronisk overføringer av betalingsmidler inn og ut av Norge

Formålet er blant annet å bidra til riktig skatte- og avgiftsbetaling ved å gi kontrollorganene tilgang til registeret. Valutaregisteret vil dermed være et viktig kontrollverktøy for skatte- og avgiftsmyndighetene, og vil også kunne ha en preventiv funksjon i forhold til skatte- og avgiftsunndragelser. Tilgang skal gis slik at valutaregisteret kan brukes av etatene i forbindelse med disse organers oppgaver.

Spørsmålet er dernest om § 6 (tilgang til registeret) hjemler enhver type søk som tolletaten ønsker å utføre eller om tolletaten må ha en hjemmel i tolloven for sine kontrolloppgaver først og deretter søke i registeret for å utføre nettopp disse oppgavene. Ordlyden ”behov for opplysninger i forbindelse med kontrollvirksomhet og tilsyn”, tyder på at ethvert behov for opplysninger skal kunne begrunne et søk, såfremt det gjøres i forbindelse med kontroll eller tilsyn. Valutaregisterloven § 1 gir et vidt mandat, og kommentarutgaven uttaler at de offentlige myndigheter som er nevnt i § 6 skal ha elektronisk tilgang for å hente ut relevant informasjon i forbindelse med etatenes alminnelige kontrollvirksomhet.

Nemnda tolker dette dit hen at etatens alminnelige kontrollvirksomhet, som i tolloven av 2007 § 1-5 er definert som blant annet å «føre kontroll med vareførselen til og fra tollområdet, og med at gjeldende lovbestemmelser om vareførselen overholdes» kan begrunne søk i valutaregisteret.

Slik nemnda tolker uttalelsene i forarbeidene har tolletaten i valutaregisterloven § 6, jf valutaregisterloven § 1 og tolloven § 1-5, fått hjemmel til å foreta søk i valutaregisteret ut fra behov for opplysninger i forbindelse med kontroll og tilsyn.

Datatilsynet har imidlertid problematisert at kapittel 13 i tolloven, «alminnelige bestemmelser om tollkontroll», synes å gi tolletaten en kontrollkompetanse innen forholdsvis snevre rammer. I hovedsak kan undersøkelser som gjelder enkeltpersoner kun skje på stedet, jf § 13-1. Om kapittel 13 i tolloven ble det uttalt i forarbeidene (Ot prp nr 58 (2006-07)):

Til Kapittel 13 Alminnelige bestemmelser om tollkontroll
Kapittelet inneholder bestemmelsene om tollmyndighetenes kontrollvirksomhet fra tolloven kapittel III. (…)
Departementet viser til at det vil være behov for en gjennomgang av lovbestemmelsene som regulerer tollmyndighetenes adgang til å gjennomføre kontroll. En slik gjennomgang vil måtte gå nærmere inn på utformingen av gjeldende lovfullmakter, på bakgrunn av endringer i handelsmønster og teknologi mv., og en avveining av personvernhensyn og kontrollbehov. Departementet har ansett at en gjennomgang av kontrollfullmaktene og behovet for eventuelle materielle endringer, faller utenfor denne lovtekniske gjennomgangen.

Det kan synes som at departementet ved arbeidet med ny tollov i 2007, selv om dette arbeidet kom tre år etter valutaregisterloven, utsatte arbeidet med ny utforming av gjeldende lovfullmakter som følge av ny teknologi, avveining av personvernhensyn og kontrollbehov. Nemnda finner dette uheldig. Likevel finner nemnda, etter en tolkning av ordlyd og gjennomgang av forarbeider, at tolletaten har hjemmel til den type kontroll som er blitt utført i denne saken fordi det er klart forutsatt at tolletaten skal ha slik tilgang. Det følger av legalitetsprinsippet at loven må gi eksplisitt lovhjemmel for kontroll på kroppen. Tolloven gir slik hjemmel. Personvernnemnda ser det slik at § 6 gir tilstrekkelig grunnlag for søk i registeret og forstår bestemmelsen videre som en regel om unntak fra registereiers taushetsplikt. Dette innebærer at den taushetsplikt som registereier har etter forvaltningslovens § 13 må anses suspendert av valutaregisterloven § 6. Det innebærer også en utleveringsplikt.

Personvernnemnda legger vekt på at valutaregisterloven § 6 har en tilstrekkelig klar regel om at tolletaten har anledning til å søke i registeret. Denne er begrenset formålsmessig, til den kontrollvirksomhet tolletaten skal utføre. Det er altså en saklig begrensning. Datatilsynet mener at man ikke har adgang til i ettertid å kontrollere privat import, fordi tolloven § 13-1 legger tidsmessige begrensninger for kontrollen. Dermed skal ikke en slik etterfølgende virksomhet kunne legitimere krav på innsyn i valutaregisteret etter valutaregisterloven § 6. Personvernnemnda ser det ikke slik. Tolloven § 13 -1 omhandler den tradisjonelle tollkontroll: lete etter varer i bil, båt, fly eller lager. Bestemmelsen hjemler også å lete på person, rent fysisk. Tolloven § 13-1 har imidlertid ingen regel om å lete i registre. Det betyr, slik nemnda ser det, ikke at det ikke er adgang til å søke i register. Dersom det var lovgivers intensjon, ble § 6 feil utformet. Nemnda finner at poenget er at det er to ulike måter å lete på. Kompetansen til disse to letemåtene er delt på ulike regelsett. Tolloven § 13-1 regulerer fysisk leting, og gir rettsgrunnlag for det, som innenfor sine rammer oppfyller legalitetsprinsippets krav til hjemmel. Men derfra, til å tolke dette dithen at det som ikke er omhandlet i tolloven § 13-1 ikke kan utføres, kan nemnda ikke slutte seg til. Dersom man ser på varigheten av tolletatens kompetanse til å treffe vedtak til skade for parten, (3 år, maks 10 år), forutsetter det at tolletaten kan jobbe med saken lenge etter at varen er sendt videre, eventuelt forbrukt, ødelagt eller i alle fall ikke er fysisk sporbar. At registersøk bare kan skje som ledd i den fysiske kontrollen som hjemles i tolloven § 13-1 finner nemnda derfor ulogisk.

Hovedgrunnen til at nemnda ikke kan dele tilsynets vurdering ligger likevel i den prinsipielle og bakenforliggende jus, nemlig legalitetsprinsippet. Datatilsynet mener at legalitetsprinsippet fordrer at innsyn i et slikt register har eksplisitt lovhjemmel. Etter nemndas syn må legalitetsprinsippet forstås slik at det foreligger tilstrekkelig lovhjemmel for innsyn i registeret. Legalitetsprinsippet vil beskytte registereier mot et annet forvaltningsorgans inntrengning i registeret. Ordlyden i valutaregisterloven § 6 vil klart oppfylle legalitetsprinsippets krav til hjemmel i en slik situasjon.

Vernet om pengebrukeren (den registrerte) skapes etter nemndas syn av taushetspliktreglene. Informasjonen i registeret er underlagt taushetspliktreglene i forvaltningsloven § 13. Det er registereier som har taushetsplikten. Etter nemndas syn suspenderer valutaregisterloven § 6 denne plikten overfor tolletaten. Nemnda finner ikke rettslig grunnlag for å begrense anvendelsen av § 6 til grensepasseringstidspunktet, eller til utførelsen av en fysisk kontroll som omhandlet i tolloven § 13-1. Bestemmelsen i § 6 gir valutaregisteret både rett og plikt til å gi tolletaten tilgang.

Personvernnemnda vil også knytte noen bemerkninger til fordeling av den personelle kompetansen mellom toll og politi, som Datatilsynet har problematisert. Datatilsynet mener at når tids- og stedsgrensen er overskredet, er politiet rett instans, ikke tolletaten. Etter nemndas syn er det ikke uten videre gitt at det ene system (politi) erstatter det andre (toll) funksjonelt. Det er ikke bare ulike prioriteringer i de to etater, men det stilles også ulike skyldkrav ved reaksjon fra tolletaten og ved reaksjon fra domstolen. Merverdiavgiftsplikten er en objektiv
forpliktelse, mens straffansvaret er basert på subjektiv skyld. Skifte i bruk av offentlig etat bør ikke forveksles med involvering av politiets bistandsrolle overfor tolletaten. Etter tolloven § 12-3 (1) har politiet en sekundærrolle, som medhjelper til tolletaten, etter anmodning. Tolletaten utøver skjønn og treffer vedtak, og politiet bruker makt for å bistå tolletaten. Lovgiver synes dermed å ha overlatt ansvaret for kontroll med rett innbetaling, sågar i inntil 10 år etter grensepasseringen, til tolletaten, og tildelt politiet en begrenset rolle som tvangsmakthjelper der tolletaten ber om det – og valutaregisteret som hjelper for tolletatens etterforskning, der tolletaten ber om dét. Dette mener nemnda samsvarer med den rollen tolletaten er tildelt gjennom § 1-5.

8 Vedtak

Klagen tas til følge.

 

 

Oslo, 25. april 2012

Eva I E Jarbekk
Leder