Høringsuttalelse - forslag til endring av bokføringsregelverket

Datatilsynet viser til Finansdepartementets høringsbrev om forslag til endring av bokføringsregelverket av 22. desember 2008. Høringsfristen er satt til 20. mars 2009.

Generelt - sletting av personopplysninger etter regnskapslovgivningen

Datatilsynets erfaring fra tilsyn og saksbehandling tilsier at behandlingsansvarlige i stor grad argumenterer for utvidetlagring av personopplysninger under henvisning til krav i annen lovgivning. Tilsynet ønsker selvsagt ikke å pålegge sletting i de tilfeller hvor annen lovgivning krever fortsatt oppbevaring, men finner det til tider problematisk at behandlingsansvarlige henviser til eksempelvis bokføringsloven som grunnlag for at ingen personopplysninger kan slettes.

Et annet problem i denne forbindelsen er at det ofte fremstår som uklart både for behandlingsansvarlige og Datatilsynet hvilke personopplysninger som faktisk kreves lagret i medhold av regnskapslovgivningen. Datatilsynet avventer i den forbindelse delrapport III fra Bokføringsstandardstyret, hvor flere av disse problemstillingene behandles.

Datatilsynet har i januar 2009 henvendt seg til Fornyings- og administrasjonsdepartementet med tanke på midler til å opprette et prosjekt for å kartlegge hvor grensen går mellom personopplysningslovens bestemmelser om sletting og bestemmelser om lagring i regnskapsloven, bokføringsloven, ligningsloven og annet tilstøtende regelverk.

Reduserte oppbevaringstid for regnskapsmateriale - endring av bokføringslovens § 13

I samsvar med Finanskomiteens merknad i Innst.O. Nr 107 (20032004) har Finansdepartementet bedt Økokrim og Skattedirektoratet vurdere om kravet til oppbevaring av primærdokumentasjon bør reduseres fra 10 til 5 år.

Både Økokrim og Skattedirektoratet fraråder i sine uttalelser å redusere oppbevaringstiden. Etatene er kommet til denne konklusjonen på tross av at det er relativt ra saker hvor opplysninger som går lenger tilbake enn fem år benyttes. Skattedirektoratet opplyser i sin uttalelse at det i kun 3-7% av sakene er relevant å gå lenger tilbake i tid enn 5 år.

Det følger av personopplysningslovens § 28 at personopplysninger skal slettes når det ikke lenger er behov for dem. I bestemmelsens første ledd er det gjort unntak fra sletteplikten i de tilfeller lagring følger av annen lov, slik som arkivloven, regnskapsloven eller bokføringsloven. Kravet til sletting må ses i sammenheng med grunnkravene i personopplysningslovens § 11 bokstav e, som sier at personopplysninger ikke skal lagres lenger enn det som er nødvendig ut fra formålet med behandlingen.

Personopplysningsloven legger opp til at det er den behandlingsansvarlige selv som i utgangspunktet skal vurdere hvor lenge det er behov for å oppbevare de innsamlede personopplysningene. Datatilsynet kan overprøve disse vurderingene i tråd med personopplysningslovens § 42 tredje ledd jf. § 46.

Det lagres stadig flere personopplysninger om oss. Mengden opplysninger som lagres utgjør et potensielt problem bl.a i forhold til retten til å være anonym og bruk av opplysninger til andre formål enn de er samlet inn for. Lengre og mer omfattende lagring medfører også en større risiko for at opplysninger kommer på avveie.

Datatilsynet har ingen innvendinger mot at oppbevaringstiden etter bokføringslovens § 13 reduseres. Tilsynet er tvert i mot av den oppfatning at personvernhensyn tilsier en slik redusert lagringstid.

Øvrige endringer i bokføringsloven og bokføringsforskriften

Datatilsynet registrerer at det flere steder i høringsforslaget legges opp til en økt elektronisk lagring. En overgang fra papirbasert til elektronisk registrering, vil også medføre en økt elektronisk lagring av personopplysninger, jf. personopplysningslovens § 2 nr. 1.

Tilsynet viser i denne forbindelse til personopplysningslovens § 13, hvor det fremgår at den behandlingsansvarlige gjennom planlagte og systematiske tiltak skal sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger. Kravene utdypes i personopplysningsforskriftens kapittel 2.

Datatilsynet har i det øvrige ingen konkrete merknader til høringsforslaget.
  

 

datatilsynet.pdf