Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter (Artikel 29)

Transkript

1 Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter (Artikel 29) 02318/09/SV WP167 Yttrande 8/2009 Om skydd av personuppgifter insamlade och behandlade av skattefria butiker vid flygplatser och hamnar Antaget den 1 december 2009 Denna arbetsgrupp inrättades i enlighet med artikel 29 i direktiv 95/46/EG. Den är ett oberonde rådgivande EU-organ för dataskydd och integritet. Arbetsgruppens uppgifter framgår av artikel 30 i direktiv 95/46/EG och artikel 15 i direktiv 2002/58/EG. Sekretariatet tillhandahålls av Europeiska kommissionens direktorat D (Grundläggande rättigheter och medborgarskap) Generaldirektoratet för rättvisa, frihet och säkerhet, B-1049 Bryssel, Belgien, Kontor nr LX-46 01/190. Website:

2 Arbetsgruppen för skydd för enskilda med avseende på behandlingen av personuppgifter har antagit detta yttrande med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995, genom vilket arbetsgruppen inrättades, med beaktande av artiklarna 29, 30.1 a och 30.3 i det direktivet och artikel 15.3 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002, med beaktande av artikel 255 i EG-fördraget och av Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar, och med beaktande av dess arbetsordning, har antagit följande yttrande. Yttrande 8/2009 om skydd av personuppgifter insamlade och behandlade i skattefria butiker vid flygplatser och hamnar Inledning Gemenskapslagstiftningen medger befrielse från punktskatt i samband med passagerares inköp i skattefria butiker vid flygplatser och hamnar. Sådana inköp omfattas dock av vissa villkor. För att uppfylla dessa villkor insamlar och behandlar de flesta skattefria butiker i EU:s medlemsstater uppgifter, inklusive passageraruppgifter, i samband med inköp av varor. Det råder dock stora skillnader vad gäller insamling och behandling av sådana passageraruppgifter i skattefria butiker i EU. Passagerarna får ingen information om insamlingen av uppgifter, inte heller när det gäller deras personuppgifter, syftet med insamlingen, deras rättigheter eller vad uppgifterna ska användas till och att de kan komma att spridas till olika myndigheter. I enlighet med artikel 30 i direktiv 95/46/EG har kommissionen uppmanat arbetsgruppen att granska ärendet och göra en översyn av EU-medlemsstaternas befintliga praxis när det gäller skydd om personuppgifter och om nödvändigt ta fram rekommendationer för en enhetlig tillämpning av allmänna principer för uppgiftsskydd som ska respekteras av skattefria butiker vid flygplatser och hamnar. I yttrandet analyseras de rättsliga och praktiska frågor som uppkommer i samband med insamling och behandling av personuppgifter i skattefria butiker vid flygplatser och hamnar. Syftet är att ge en vägledning för butiksinnehavare och tullmyndigheter som svarar för tillsynen av genomförandet av EU:s lagstiftning för en ökad harmonisering av tillämpningen av befintliga bestämmelser. -2-

3 Regelverket Undantag från punktskatt grundas på följande gemenskapslagstiftning som har införlivats och genomförts av alla medlemsstater. a) Rådets direktiv 92/12/EEG av den 25 februari 1992 som kommer att ersättas av b) rådets direktiv 2008/118/EG av den 16 december 2008 om allmänna regler för punktskatt och om upphävande av direktiv 92/12/EEG (punktskattedirektivet). Direktivet träder i kraft den 1 april I direktiv 92/12/EEG nämns inga undantag, däremot innehåller direktiv 2008/118/EG en tydlig rättslig grund för undantag från skatteplikt för punktskattepliktiga varor i skattefria butiker i Europeiska unionen. I artikel 14 i punktskattedirektivet föreskrivs villkoren för att punktskattepliktiga varor ska kunna undantas från punktskatt och vilka resande som omfattas av en sådan skattebefrielse. Denna bestämmelse gäller för varor som tillhandahålls av skattefria butiker och som medtas i det personliga bagaget av resande vid flyg- eller sjöresa till ett tredjeterritorium eller tredjeland. I artikel 14.5 b i direktivet fastställs följande definition: Med "resande till ett tredjeterritorium eller tredjeland" avses passagerare med en färdhandling för flyg- eller sjöresa vilken anger att den slutliga destinationen är en flygplats eller hamn i ett tredjeterritorium eller tredjeland. Till följd av dessa bestämmelser kan endast en begränsad mängd handelsvaror undantas från punktskatt om resenären har en resehandling, t.ex. ett boardingkort eller en färjebiljett. Dessutom måste han eller hon resa från Europeiska unionen till en destination utanför gemenskapen. Däremot är det inte nödvändigt att resenären är bosatt utanför EU. Enligt artikel 14.3 i direktivet ska medlemsstaterna vidta nödvändiga åtgärder för att se till att undantagen tillämpas på ett sådant sätt att skatteundandragande, skatteflykt eller missbruk förhindras. Varken direktiv 92/121/EEG eller direktiv 2008/118/EG innehåller bestämmelser om uppgiftsskydd. Därför måste de allmänna bestämmelserna i direktiv 95/46/EG tillämpas. Varierande praxis i de olika medlemsstaterna På begäran av Europeiska kommissionen inledde arbetsgruppen under sommaren 2009 en undersökning av hur skattefria butiker samlade in och behandlade uppgifter och hur dessa uppgifter behandlades av andra. Det visade sig att det råder stora skillnader i praxis hos skattefria butiker i Europa, vilket kan bero på att gemenskapens lagstiftning, eller den nationella lagstiftningen, tolkas olika. Det kan dessutom bero på att punktskattedirektivet träder i kraft först den 1 april

4 I samband med undersökningen upptäckte arbetsgruppen att denna praxis kan skilja sig åt på fyra punkter. 1 Det är inte möjligt att köpa skattefria handelsvaror utan att uppge flygnumret. För att kontrollera att en passagerare är berättigad till undantag från punktskatt och för att undvika missförstånd eller diskussioner med passageraren, måste alla resenärer för kassören uppvisa sitt boardingkort som skannas in för att identifiera ett giltigt flyg. Endast uppgifter som namn eller passnummer samlas in och lagras. Om destinationen för flygresan ligger utanför EU visas det lägre priset på kassakvittot. Uppgifterna om flyget och de inköpta föremålen som tas ombord lagras i 10 år för att behöriga skattemyndigheter senare ska kunna kontrollera den skattefria butiken. 2 I en annan medlemsstat samlar skattefria butiker vid flygplatserna in en mängd uppgifter om passagerarna. För att en kontroll av handelsvaror undantagna punktskatt ska vara möjlig, föreskriver relevant skattelagstiftning att alla säljare måste behålla ett detaljerat kvitto med information om bl.a. de första fem bokstäverna i köparens efternamn, de första fem bokstäverna eller siffrorna i flygnumret, destinationen och datumet då inköpet gjordes. Butiker vid flygplatser samlar in dessa uppgifter genom att skanna in boardingkorten elektroniskt eller genom att mata in uppgifterna manuellt. Dessutom samlar de in andra uppgifter, t.ex. typ, nummer och värdet på den inköpta varan, köparens identitet (15 bokstäver) och lagrar dessa uppgifter elektroniskt i en central databas i tre år. Man samlar dock inte in känsliga uppgifter. På så sätt är det lätt att identifiera vissa passagerare och bygga upp databaser om skattefria varor inköpta av enskilda resenärer under en viss period. 3 I andra medlemsstater samlar skattefria butiker endast in information om flygets destination (flygnummer) för att kontrollera om destinationen ligger inom EU eller utanför EU utan att registrera flygnumret. Inga ytterligare uppgifter samlas in och lagras. I alla dessa fall har arbetsgruppen noterat att inga skattefria butiker lämnat information till passagerarna om varför flygnummer samlas in och hur uppgifter lagras. 4 I en medlemsstat samlar skattefria butiker inte in några uppgifter alls om passagerare oavsett om de inköpt punktskattebefriade varor eller ej, eller om destinationen ligger inom EU eller utanför. Exemplen ovan visar tydligt att det inte finns någon enhetlig praxis i EU och att medlemsstaterna trots de entydiga bestämmelserna i punktskattedirektivet har utvecklat olika metoder för att hantera skattefria inköp. Medan man i vissa fall (se ovan) inte samlar in några uppgifter alls, måste resenären i andra medlemsstater lämna en mängd uppgifter som sedan lagras. Det finns även stora variationer i hur länge uppgifterna lagras. Bortsett från uppgiftsskyddsfrågor leder denna varierande praxis till frågan om den stämmer överens med de bestämmelser i punktskattedirektivet som tydligt ger medlemsstaterna befogenheter att vidta nödvändiga åtgärder för att undvika skatteundandragande och missbruk. -4-

5 Uppgiftsskyddsbestämmelser Som nämnts tidigare innehåller dessa direktiv inga uppgiftsskyddsbestämmelser och därför ska grundreglerna i direktiv 95/46/EG tillämpas, eftersom personuppgifter kan komma att behandlas av skattefria butiker och skattemyndigheter och detta är en verksamhet som måste anses höra till den första pelaren. Dessa grundregler omfattar bland annat följande: Lagenlighet Begränsat syfte Uppgifterna måste vara begränsade, relevanta och korrekta Ingen vidare behandling i oförenligt syfte Proportionerlig lagringstid Tillräcklig information till registrerade personer Dessutom kan det vara nödvändigt att i vissa medlemsstater införa ett förfarande med förhandsförklaring. Den registrerades rättigheter De rättigheter för registrerade som avses i artiklarna och i direktivet måste också tillämpas när passagerare köper varor i skattefria butiker och deras personuppgifter samlas in och behandlas. När känsliga uppgifter samlas in tillämpas artikel 8 i direktivet. Tillämpning av principer för uppgiftsskydd Den praxis som nämns under punkt 3, begränsad information om flygningens destination samlas in och punkt 4 om att skattefria butiker i en medlemsstat inte samlar in personuppgifter är de tillvägagångssätt som visar störst respekt för att den enskildes uppgifter skyddas och bör främjas i den mån det tillåter en effektiv tillämpning av punktskattedirektivet. Enligt direktivet är det medlemsstaternas uppgift att vidta nödvändiga åtgärder för att förhindra och bekämpa missbruk och skatteundandragande. Dessa åtgärder kan omfatta insamling av vissa uppgifter när det är nödvändigt och ändamålsenligt för att fullgöra dessa åtaganden. När det gäller den situation som beskrivs i punkt 2, där en medlemsstat samlar in en stor mängd personuppgifter, ställer arbetsgruppen sig frågande till om denna praxis är förenlig med principerna om dataminimering och proportionalitet. Den mängd uppgifter som samlas in verkar onödigt stor för att avgöra om en resenär är berättigad till befrielse från punktskatt. I de fall där inga direkta personuppgifter samlas in (punkt 1 och 3) är endast en indirekt identifiering av passagerarna möjlig. Denna praxis stämmer överens med godtagna uppgiftsskyddsprinciper eftersom endast en mycket begränsad mängd uppgifter samlas in, dvs. flygnummer/destination och denna information lagras, om överhuvudtaget, för en begränsad period i syfte att göra det möjligt för myndigheterna att förhindra missbruk. Även lagringstiden varierar betydligt i de exempel som nämnts här. Medan man i vissa fall, som i punkt 3 och 4, inte lagrar några uppgifter alls, uppgår lagringstiden i punkt 1 och 2 till tre, respektive tio år. -5-

6 Enligt artikel 6 e i direktiv 95/46/EG ska uppgifter inte lagras längre än nödvändigt för att användas för de ändamål för vilka de samlades in. För att undvika missbruk och skatteundandragande kan medlemsstater behöva lagra vissa uppgifter för att kontrollera och undersöka hur skattefria butiker driver sin verksamhet. Arbetsgruppen ställer sig tveksam till att vissa myndigheter behöver en lagringstid på tio år, när det för andra myndigheter är tillräckligt med en lagringstid på tre år. Denna period bör förkortas och i alla fall inte vara längre än andra lagringsperioder som tillämpas vid motsvarande omständigheter som till exempel bevarande av fakturor för skatteändamål. Det är också lämpligt att harmonisera lagringsperioderna i hela EU eftersom det påverkar resenärer som alla omfattas av direktiv 2008/118/EG. Vidare behandling av personuppgifter som insamlats av tullmyndigheter i samband med deras verksamhet sker i överensstämmelse med både direktiv 2008/118/EG och principer om uppgiftsskydd. All annan behandling av personuppgifter som samlats in i samband med inköp av skattefria varor bör vara strikt begränsade i överensstämmelse med reglerna i direktiv 95/46/EG. Slutsatser och rekommendationer Skattefria butiker vid flygplatser och hamnar samlar in och behandlar uppgifter, inklusive personuppgifter, för att kontrollera att deras kunder är berättigade till befrielse från punktskatt. I de flesta fall lagrar dessa butiker uppgifterna för att kunna visa tullmyndigheterna att de har handlat lagenligt. Tullmyndigheterna kan även behandla och lagra uppgifter i eget syfte, inklusive för statistikändamål. Ovan nämnda direktiv ger en tydlig rättslig grund för insamling, behandling och lagring av vissa uppgifter i passagerares resehandlingar. Det innehåller inga särskilda uppgiftsskyddsbestämmelser och därmed är principerna i direktiv 95/46/EG tillämpliga. Butiker och tullmyndigheter bör dock vara medvetna om att insamlandet av uppgifter bör begränsas till det absolut nödvändiga och tillämpa principen om dataminimering. I exemplet i punkt 2 respekteras inte principerna om nödvändighet och proportionalitet. I de flesta fall bör det för butikerna endast vara nödvändigt att registrera flygnummer/destination som visas på boardingkortet för att avgöra om undantag från skattebefrielse gäller eller inte (se exempel 3 i det här yttrandet). Detta vore både rimligt och ändamålsenligt. I fall där fler uppgifter samlas in bör det finnas ett tydligt behov av uppgifterna. Uppgifterna bör inte användas för brottsbekämpningssyften om de inte är nödvändiga som bevis i fall av missbruk (inga överföringar av massdata till polismyndigheter). Uppgifter bör inte användas för annat ändamål än vad som ursprungligen var avsett (lämna ut uppgifter till tredje part utan information eller medgivande, t.ex. till transportörer) om de inte används till statistik. Det bör inte ske något systematiskt insamlande av kunders inköp i syfte att analysera deras beteende och inköpsvanor. -6-

7 Lagringsperioden bör begränsas till vad som är absolut nödvändigt och harmoniseras i hela EU. En av huvudpunkterna i arbetsgruppens undersökning är att den information som lämnas till passagerare är otillräcklig. Även om skattefria butiker endast samlar in uppgifter, men inte lagrar dessa, bör kunden informeras om detta. Om uppgifter lagras är det än mer nödvändigt att lämna information om vilka uppgifter som lagras, i vilket syfte, för hur länge och hur den registrerade kan få mer information. På detta område kan berörda parter göra mer, t.ex. genom skyltning i skattefria butiker eller utdelning av informationsblad. Hur sådan information kan tillhandahållas passagerare framgår av dokument WP 100 och bilagorna till detta som antogs av arbetsgruppen i november Nuvarande varierande praxis som beskrivs i det här yttrandet ger anledning att befara att varken bestämmelserna i punktskattedirektivet eller uppgiftsskyddsbestämmelser tillämpas och respekteras på ett enhetligt sätt av skattefria butiker i EU. Det verkar finnas ytterligare behov att harmonisera nuvarande praxis och att öka medvetenheten bland resande när det gäller insamling och behandling av uppgifter i samband med inköp av skattefria varor. Medlemsstaternas uppgiftsskyddsmyndigheter uppmanas att gemensamt med butiksinnehavare och flygplatsmyndigheter undanröja eventuella brister samt se till att nuvarande praxis följer tillämplig lagstiftning och gällande uppgiftsskyddsbestämmelser. Informationen till passagerare om skattefria inköp kan och bör förbättras. Butiker, flygplatser, hamnar, konsumentorganisationer och andra berörda parter bör sträva efter att tillhandahålla lämplig information till resande så att dessa kan utöva sina rättigheter när de handlar skattefria varor. Avgivet i Bryssel den 1 december 2009 På arbetsgruppens vägnar Ordföranden Alex Türk