Datatilsynet
Høringssvar | | Finansdepartementet
Høringsuttalelse - Forslag til endring av bokføringsregelverket - delrapport lll
Datatilsynet viser til Finansdepartementets høringsbrev om forslag til endring av bokføringsregelverket, delrapport III, av 8. juni 2009. Høringsfristen er satt til 1. september 2009.
Innledningsvis ønsker Datatilsynet å uttrykke sin forundring over at relevante personvernproblemstillinger heller ikke denne gang er berørt i høringsnotatet. Av Bokføringsstandardstyrets delrapport II fremgikk det at personvernsspørsmål knyttet til hvilke personopplysninger som faktisk kreves lagret i medhold av regnskapslovgivningen skulle behandles i delrapport III. Datatilsynet kan ikke se at verken begrepet personvern eller personopplysning er nevnt en eneste gang i rapporten.
Som nevnt i tilsynets høringsuttalelse av 5. mars i år, fremstår det som svært uklart både for behandlingsansvarlige etter personopplysningsloven og Datatilsynet, hvilke personopplysninger som faktisk må lagres, og således ikke kan kreves slettet med hjemmel i personopplysningslovens § 28.
Datatilsynets merknader til enkelte forslag
Kapittel 9 - dokumentasjon av kontantsalg
Det vises i denne forbindelse til Datatilsynet sak 07/01263 (vår ref), hvor spørsmål om dokumentasjon etter bokføringslovens § 10 jf. bokføringsforskriftens kapittel 5 er tatt opp med Skattedirektoratet. Av denne saken fremgår det at det ikke påhviler noen plikt til å lagre kredittkortdokumentasjon for kontantsalg, med mindre kredittkortinformasjonen fremgår av salgsdokumentet. Datatilsynet anser en slik praksis med lagring av kredittkortnummer som problematisk med tanke på mulighetene for id-tyveri. Vedlagt følger sakens relevante dokumenter.
Datatilsynet ber om at personvernkonsekvensene ved den type registrering som det legges opp til både i dagens regelverk og det nye forslaget, vurderes.
Kapittel 15 - oppbevaring av regnskapsmateriale i utlandet
All den tid regnskapsmateriale vil inneholde personopplysninger, jf. personopplysningslovens § 2 nr. l ), vil oppbevaring av slike opplysninger i utlandet måtte oppfylle personopplysningslovens bestemmelser om overføring av personopplysninger til utlandet, jf. lovens § 29 og § 30. Datatilsynet kan ikke se at disse bestemmelsene er vurdert.
Kapittel 16 - filformatets egenskaper ved elektronisk oppbevaring
Dagtilsynet viser til personopplysningslovens § 13 jf. personopplysningsforskriftens kapittel 2 om informasjonssikkerhet i denne forbindelse. Av forskriftens kapittel 2 fremgår det blant annet at det skal treffes tiltak mot uautorisert innsyn i personopplysninger hvor konfidensialitet er nødvendig (§ 2-11) og at integriteten skal sikres gjennom tiltak mot uautorisert endring av personopplysninger (§ 2-13). Sikkerhetstiltakene etter § 2-13 skal også hindre uautorisert endring av annen informasjon med betydning for informasjonssikkerheten, samt tiltak mot ødeleggende programvare. Datatilsynet kan ikke se at disse bestemmelsens er vurdert i forslaget.
Avsluttende kommentarer
Datatilsynet finner den manglende behandling av forslagenes personvernkonsekvenser svært beklagelig. Det kan i denne forbindelse nevnes at tilsynet, i påvente av delrapport III fra Bokføringsstandardstyret, har utsatt et prosjekt for å kartlegge hvor grensen går mellom personopplysningslovens bestemmelser om sletting og bestemmelser om lagring etter regnskapsloven, bokføringsloven, ligningsloven og annet tilstøtende regelverk. Det vises for øvrig til veileder til utredningsinstruksen av 23. oktober 2008, "Vurdering av personvernkonsekvenser", utarbeidet av Fornyings- og administrasjonsdepartementet.
Vedlegg