Skatteverkets promemoria Behandling av personuppgifter i Skatteverkets verksamhet med brottsutredningar

Transkript

1 Yttrande Diarienr Ert diarienr Fi2012/4241 Finansdepartementet Stockholm Skatteverkets promemoria Behandling av personuppgifter i Skatteverkets verksamhet med brottsutredningar Inledning Datainspektionen, som har granskat förslagen i promemorian huvudsakligen utifrån sin uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter, lämnar allmänna synpunkter och synpunkter på utvalda delar i promemorian. Allmänna synpunkter Enligt Datainspektionen behöver proportionalitetsbedömningarna mellan Skatteverkets behov av personuppgiftsbehandling i myndighetens brottsbekämpande verksamhet å ena sidan och den enskildes rätt till skydd för intrång i den personliga integriteten å andra sidan göras tydligare. Promemorian tycks i många fall utgå från att Skatteverkets behov per automatik är samma som polisens behov och/eller Kustbevakningens behov av att behandla personuppgifter i den brottsbekämpande verksamheten. Datainspektionen anser att det fortsatta lagstiftningsärendet bör innehålla en djupare analys och redogörelse för de proportionalitetsavvägningar som gjorts. Avsikten med de ändringar som genomfördes i 2 kap. 6 regeringsformen var att stärka skyddet för enskildas personliga integritet gentemot det allmänna. I prop. 2009/10:80 (s. 177) uttalas att en följd av ändringen är att lagstiftaren tvingas att tydligt redovisa vilka avvägningar som gjorts vid den proportionalitetsbedömning som ska göras. I promemorian redovisas sådana avvägningar i viss utsträckning. På flera ställen i promemorian citeras de förarbeten som legat till grund för polisdatalagen (2010:361) och Kustbevakningsdatalagen (2012:145) med enbart en kort hänvisning till att Postadress: Box 8114, Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: Webbplats: Telefax:

2 samma bedömningar kan ligga till grund för Skatteverkets behandling (se som exempel s. 68, 70,74, 76, 81, 82). I avsaknad av en djupare analys är det svårt att överblicka behovet av olika personuppgiftsbehandlingar och vilka konsekvenser behandlingarna kan få för skyddet av den personliga integriteten. Synpunkter på utvalda delar i promemorian Ändamål På samma sätt som Datainspektionen anfört i remissbehandlingen avseende förslaget till polisdatalag och förslaget till Kustbevakningsdatalag kan det ifrågasättas om bestämmelserna om ändamål i promemorians förslag uppfyller kraven på att personuppgifter endast får samlas in för specifika ändamål och att personuppgifterna därefter inte får användas på ett sätt som är oförenligt med insamlingsändamålet (se Datainspektionens yttrande den 28 februari 2008 [dnr ] och yttrande den 29 augusti 2011 [dnr ]). Detta gör sig särskilt starkt gällande mot bakgrund av att uppgifter kan komma att flöda mellan Skatteverkets brottsbekämpande verksamhet och den fiskala verksamheten. Gemensamt tillgängliga uppgifter Datainspektionen har tidigare, i samband med utarbetande av förslaget till polisdatalagen, ifrågasatt systemet med att ha olika regler för uppgifter som görs gemensamt tillgängliga och för andra uppgifter i brottsbekämpande verksamhet (se Datainspektionens yttrande den 28 februari 2008, dnr ). Datainspektionen anser att det är tveksamt om dataskyddsnivån i den känsliga brottsbekämpande verksamheten ska vara beroende av hur många som faktiskt har tillgång till uppgifterna. Det är enligt Datainspektionen rimligt att uppgifternas art, struktur och antal också på något sätt beaktas ifråga om regleringen av hur de ska hanteras. Det valda systemet kan också innebära svårigheter för de befattningshavare som behandlar uppgifter att avgöra om uppgifterna är att anse som gemensamt tillgängliga eller inte och vilket regelverk som ska tillämpas. Dessa synpunkter gör sig gällande även ifråga om promemorians förslag till lag om behandling av personuppgifter i Skatteverkets brottsbekämpande verksamhet. Samband med brottslig verksamhet I förslaget till lag om behandling av personuppgifter i Skatteverkets brottsbekämpande verksamhet ges Skatteverket möjlighet att göra uppgifter gemensamt tillgängliga i myndighetens brottsbekämpande verksamhet förutsatt att den misstänkta brottsligheten innefattar brott för vilket är föreskrivet fängelse i ett år eller därutöver alternativt att det är fråga om systematisk brottslighet. Ytterligare en begränsning gäller eftersom det endast Sida 2 av 7

3 är sådana brott som anges i lagen (1997:1024) om Skatteverkets brottsbekämpande verksamhet som faller under Skatteverkets mandat. Det som avses är behandling av personuppgifter i underrättelseverksamhet. Sådan behandling är särskilt känslig ur integritetssynpunkt eftersom den rör dels personer som inte är misstänkta för ett konkret brott men som kan misstänkas komma att begår brottsliga gärningar, dels personer som registreras enbart på grund av sin koppling till de personer som är av intresse s.k. kringpersoner, till exempel anhöriga eller andra som genom sitt samröre med den misstänkte kan vara av intresse i underrättelsearbetet. Med hänsyn till den känsliga personuppgiftsbehandlingen bör det enligt Datainspektionens mening belysas närmare vilka konkreta behov Skatteverket har av att kunna behandla sådana uppgifter. Vilken typ av brottslighet är det som avses? Vilka skäl motiverar en sänkning från dagens gräns på två års fängelse till ett års fängelse i straffskalan? Vilka av de brott som Skatteverket får mandat att behandla har minst ett års fängelse i straffskalan och vilka brott kan det bli fråga om att behandla med stöd av hänvisningen till systematisk brottslighet? Vilka konkreta problem kan uppkomma om en sådan behandling inte får ske? Vilka effektiviseringsvinster är det som förutses? Behandling av känsliga personuppgifter och sökbegränsningar Skatteverket får idag, enligt 4 lagen (1999:90) om behandling av personuppgifter vid Skatteverkets medverkan i brottsutredningar, överhuvudtaget inte behandla känsliga personuppgifter i underrättelseverksamheten. I annan brottsbekämpande verksamhet får känsliga personuppgifter behandlas under vissa förutsättningar. Vilka skäl som motiverar en utvidgning av Skatteverkets möjligheter att behandla känsliga personuppgifter inom ramen för underrättelseverksamheten framgår inte av promemorian. I promemorian har det inte heller lämnats något förslag på begränsningar i möjligheten att söka i material som inte är gemensamt tillgängligt. Det är enligt förslaget möjligt att till exempel söka på känsliga personuppgifter i icke gemensamt material. Konsekvenserna för den personliga integriteten vid en utvidgning av möjligheterna att behandla känsliga personuppgifter i underrättelseverksamheten samt avsaknad av begränsningar att söka på känsliga personuppgifter i icke gemensamt material måste utredas vidare. Sida 3 av 7

4 Andra myndigheters direktåtkomst till uppgifter som används i Skatteverkets brottsbekämpande verksamhet I promemorian föreslås att Rikspolisstyrelsen, polismyndigheterna, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och Kustbevakningen ska kunna medges direktåtkomst till personuppgifter i Skatteverkets brottsbekämpande verksamhet. Datainspektionen kan konstatera att skälen till att dessa myndigheter har ett behov av direktåtkomst till uppgifterna inte har utvecklats närmare i promemorian. Vilket behov har till exempel Kustbevakningen som motiverar direktåtkomst till Skatteverkets information? Finns det skäl att medge endast vissa brottsbekämpande myndigheter direktåtkomst med hänsyn tagen till respektive myndighets arbetsuppgifter och mandat? Utan en närmare analys går det inte att bedöma lämpligheten och konsekvenserna av att medge andra myndigheter direktåtkomst till Skatteverkets information. Internationellt samarbete I promemorian föreslås att Skatteverket, utöver vad som följer av internationella överenskommelser som riksdagen godtagit, ska få möjlighet att lämna personuppgifter till en utländsk myndighet inom Europeiska samarbetsområdet om det behövs för att myndigheten ska kunna förebygga, förhindra, upptäcka eller utreda brott. Någon närmare analys av behovet för Skatteverket att kunna lämna ut uppgifter har inte redovisats utan i promemorian har det konstaterat att det förslag som Skatteverket lämnar ska ses som en möjlig väg för framtiden. Konsekvenserna för den personliga integriteten vid en sådan lösning måste utredas vidare. Systematiken i den föreslagna lagen om behandling av personuppgifter i Skatteverkets brottsbekämpande verksamhet Under rubriken ändamål i 2 kap. 5 i den föreslagna lagen anges att personuppgifter får behandlas om det behövs i Skatteverkets brottsbekämpande verksamhet. Definitionen av vad som är brottsbekämpande verksamhet återfinns i 1 kap. 1 i den föreslagna lagen. Datainspektionen kan konstatera att denna systematik avviker från både polisdatalagen och kustbevakningsdatalagen. Datainspektionen anser att den systematik som valts för ändamålsbestämmelsen i de båda sistnämnda lagarna är att föredra framför den lösning som föreslagits i promemorian. I 2 kap. 10 andra meningen i förslaget till lag om behandling av personuppgifter i Skatteverkets brottsbekämpande verksamhet bör ordet längst läggas till. Sida 4 av 7

5 Förslaget om samrådsskyldighet med Datainspektionen I 2 förslaget till förordning om behandling av personuppgifter i Skatteverkets brottsbekämpande verksamhet förslås att Skatteverket ska samråda med Datainspektionen innan beslut fattas i frågor om betydande förändringar i IT-system som avser verksamhet som framgår av angiven lag. Datainspektionen är positiv till att det införs en samrådsskyldighet för Skatteverket. Datainspektionen anser dock att Skatteverket borde ha en motsvarande skyldighet att samråda med Datainspektionen som polisen har enligt 2 polisdataförordningen. Den föreslagna bestämmelsen bör därför utformas på samma sätt som för polisen. Sekretess mellan olika verksamhetsgrenar inom Skatteverket I promemorian föreslås att de brottsbekämpande enheterna och den fiskala verksamheten hos Skatteverket ska få utökade möjligheter att dela information. På det underlag som presenteras i promemorian går det inte att bedöma om verksamhetens behov av det föreslagna uppgiftsutbytet står i proportion till behovet av skydd för den personliga integriteten. Datainspektionen anser att förslaget måste utredas vidare. Förfrågningar om företagsuppgifter Enligt promemorians förslag ska det införas en möjlighet för företag och enskilda att på elektronisk väg få tillgång till uppgifter om ett företags obetalda skatter och avgifter som har överlämnats till kronofogden för åtgärd. Författningsförslaget kring detta avser ändring i 2 kap. 5 lagen (2001:181) om behandling i Skatteverkets beskattningsverksamhet och 10 a i förordning (2001:588) om behandling av uppgifter i Skatteverkets beskattningsverksamhet. Förslaget till ändringar i 10 a innebär att uppgifter om obetalda skatter och avgifter som överlämnats till Kronofogdemyndigheten för indrivning fortsättningsvis får lämnas ut till den som behöver uppgifterna i sin yrkesmässiga verksamhet och till annan som ingått eller överväger att ingå avtal med den som uppgiften avser. Utlämnandet kommer att avse såväl enskilda näringsidkare som juridiska personer. Uppgifter om restförda skatter och avgifter kan användas till ledning för bedömning av en näringsidkares kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. För de fall sådana uppgifter skulle lämnas ut av ett privat företag skulle Datainspektionen betrakta utlämnandet som en form av kreditupplysningsverksamhet. Datainspektionen anser därför att det är befogat att i detta sammanhang jämföra promemorians förslag om utlämnande av obetalda skatter och Sida 5 av 7

6 avgifter med de skyddsbestämmelser i kreditupplysningslagen (1973:1173) som gäller vid utlämnande och som syftar till att motverka otillbörligt intrång i den personliga integriteten och att felaktiga eller missvisande uppgifter lämnas ut. För det första kan konstateras att av 11 kreditupplysningslagen innebär att för det fall den omfrågade är en fysisk person så ska kreditupplysningsföretaget sända ett skriftlig meddelande, en s.k. kreditupplysningskopia, till den omfrågade med uppgift om bl.a. vilka uppgifter som lämnats ut. Denna bestämmelse gäller i kreditupplysningsverksamhet i stället för reglerna om information i personuppgiftslagen. Av 8 kreditupplysningslagen framgår att en uppgift om en fysisk person ska gallras när det inte längre är nödvändigt att bevara uppgiften med hänsyn till ändamålet med behandlingen. Det innebär i praktiken att uppgifter om enskilda näringsidkares betalningsförsummelser ska gallras tre år efter den dag då omständigheten inträffade. Uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får enligt 6 kreditupplysningslagen inte behandlas i kreditupplysningsverksamhet utan medgivande från Datainspektionen. Datainspektionen kan mot bakgrund av vad som framgår i promemorian inte avgöra i vad mån förslaget skulle medföra att sådana uppgifter, exempelvis uppgifter om böter, skulle komma att lämnas ut av Skatteverket. Det bör även uppmärksammas att bestämmelserna om rättelse i 3 a lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet (databaslagen) inte är utformad på samma sätt som bestämmelserna om rättelse i personuppgiftslagen, som gäller vid behandling av personuppgifter enligt 3 kap. 3 lagen (2001:181) om behandling av uppgifter i Skatteverkets verksamhet. Kronofogdemyndigheten ska enligt 3 a databaslagen på begäran av den registrerade snarast rätta, blockera eller utplåna bl.a. sådana uppgifter som är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. Kronofogdemyndigheten ska vidare underrätta kreditupplysningsföretag om att en rättelse gjorts. Enligt 28 personuppgiftslagen är den personuppgiftsansvarige skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av personuppgiftslagen. Datainspektionen kan Sida 6 av 7

7 mot bakgrund av vad som framgår i promemorian inte avgöra i vad mån dessa skillnader i bestämmelserna om rättelse skulle kunna medföra att Skatteverket och Kronofogdemyndigheten skulle komma fram till olika resultat i en rättelsefråga avseende en och samma uppgift. När det sedan gäller promemorians förslag om utlämnande innebär det ett krav på att uppgifter endast ska få lämnas ut till den som behöver uppgiften i sin yrkesmässiga verksamhet eller till den som ingått eller överväger att ingå ett avtal med den som uppgiften avser. Hur Skatteverket ska säkerställa att ett sådant krav upprätthålls i den praktiska tillämpningen behöver klarläggas. Det kan i detta sammanhang påpekas att kravet på legitimt behov i 9 kreditupplysningslagen inte gäller fysiska personer som är näringsidkare. Datainspektionen anser sammanfattningsvis att konsekvenserna för integriteten av ett sådant utlämnade av uppgifter om betalningsförsummelser som föreslås i 10 a bör analyseras närmare. För det fall en sådan analys visar att skyddet för den enskildes personliga integritet blir sämre i Skatteverkets verksamhet än i kreditupplysningsföretagens verksamhet bör förslaget om ett sådant utlämnade inte genomföras. Detta yttrande har beslutats av generaldirektören Kristina Svahn Starrsjö i närvaro av chefsjuristen Hans-Olof Lindblom, enhetschefen Britt-Marie Wester och juristen Jonas Agnvall, föredragande. Kristina Svahn Starrsjö Jonas Agnvall Sida 7 av 7