7 Konsekvenser av forslaget

7.1 Personvernmessige konsekvenser

7.1.1 Innledning

De to nye lovene, vareførselsloven og tollavgiftsloven, viderefører dagens lov om toll og vareførsel, tolloven. Hoveddelen av tollovens regler gjelder vareførsel, og disse er videreført i vareførselsloven, mens reglene om beregning og fastsetting av tollavgift er inntatt i egen lov. Vareførselsloven gjelder innhenting av opplysninger om og kontroll med varer som føres inn i og ut av tollområdet. Formålet med loven er å sikre riktige og fullstendige opplysninger om varer som inn- og utføres, og å bidra til å beskytte samfunnet mot ulovlig inn- og utførsel av varer. Det er også et formål å sikre at Norge overholder sine forpliktelser etter internasjonale avtaler om grensekryssende vareførsel. Tollavgiftsloven gjelder beregning og fastsetting av tollavgift for varer som innføres til tollområdet. Formålene i de to nye lovene er en klargjøring og presisering av formålet med tolloven.

Departementet uttalte i høringsnotatet at de nye lovene ikke innebærer vesentlige endringer i tollmyndighetenes adgang til å innhente, behandle og utlevere personopplysninger, og at de på enkelte områder vil innebære en klargjøring av tollmyndighetenes oppgaver som vil kunne tydeliggjøre etatens adgang, behov og formål med innhenting av personopplysninger. Departementet mente derfor at det ikke var behov for en ny helhetlig vurdering av de personvernmessige konsekvensene av forslaget.

7.1.2 Høringsinstansenes merknader

Datatilsynet uttaler:

«Begge lovforslagene inneholder til dels likelydende bestemmelser om behandling av personopplysninger. Selv om det i denne høringsuttalelsen kun vises til bestemmelsene i forslag til ny vareførsellov, så gjelder kommentarene også tilsvarende bestemmelser i forslag til tollavgiftslov.

Gjennom sin virksomhet behandler Tolletaten store mengder personopplysninger. Dette burde vært reflektert i lovgivningen på en langt bedre måte.

I nytt personvernregelverk[et] er det synliggjort på en langt tydeligere måte enn tidligere hvilke krav som stilles til [at] nasjonale regler om behandling av personopplysninger. Personvernforordningen artikkel 6 nr. 3 stiller krav til utformingen av nasjonal lovgivning basert på artikkel 6 nr. 1 bokstav e, om oppgave i allmenhetens interesse eller utøve offentlig myndighet, skal og kan omfatte.

…

Lovforslagene inneholder bestemmelser om forskjellige typer behandlinger av personopplysninger, blant annet utlevering av opplysninger, sammenstilling og profilering, lagring, men mangler en helhetlig sammenheng.

Lovforslagene inneholder ikke sentrale elementer som angivelse formål og kategorier av personopplysninger, og forholdet til personvernregelvekt er bare drøftet i begrenset grad i høringsnotatet. Dette mener vi er svakhet ved lovforslaget, særlig siden forslagene åpner for å behandle særlige kategorier av personopplysninger etter art. 9 og 10.

I forslagets 9.2 om personvernrettslige konsekvenser er vist til at de nye lovene i hovedsak er en videreføring av dagens tollov og innebærer ikke vesentlige endringer i tollmyndighetenes adgang til å innhente, behandle og utlevere personopplysninger og det anses ikke behov for en ny helhetlig vurdering av personvernkonsekvensene av forslagene.

Datatilsynet er ikke enig i dette og viser til at forslagets § 7-3 er endret på en slik at det innebærer en betydelig risiko for formålsutglidning.»

Datatilsynet går deretter nærmere inn på forslag til § 7-3 (nå § 7-11), om utlevering av opplysninger til offentlige myndigheter, og uttaler:

«Den nye bestemmelsen åpner etter vårt syn for formålsutglidning.

Med formålsutglidning menes en situasjon der hvor personopplysninger som er innhentet til et bestemt formål senere benyttes til et annet, nytt formål. Et sentralt personvernprinsipp er formålsbegrensningsprinsippet. Prinsippet er todelt. For det første skal personopplysninger samles inn for spesifikke, uttrykkelig angitte og berettigede formål. For det andre skal ikke opplysningene viderebehandles på en måte som er uforenlig med disse formålene. Prinsippet er begrunnet i kravet til forutberegnelighet, åpenhet og tillit.

Selv om det er gitt en hjemmel til å gi forskrifter til å regulere adgangen til utlevering, så er ikke det tilstrekkelig. Problemet er at § 7-3 gir en generell hjemmel for utlevering, som ikke er begrenset til det som er positivt angitt i forskriften.»

Datatilsynet har også merknader til § 8-8 om passasjerlister og de registrertes rettigheter.

Tolldirektoratet viser til at flere av bestemmelsene som hjemler innsamling og registrering av personopplysninger, er formulert på et noe overordnet nivå. Som eksempel viser de til reglene om meldeplikt i vareførselsloven kapittel 2, deklareringsplikt i kapittel 3 og delvis også kapittel 8 om kontroll. Med noen få unntak er det heller ikke i særlig grad gitt supplerende eller utfyllende regler til personopplysningsloven for tollmyndighetenes behandling av personopplysninger. De uttaler at tollmyndighetens virksomhet skiller seg fra andre kontrolletaters virksomhet ved at det er betydelig innslag av maktutøvelse som kan sammenlignes med deler av politiets virksomhet, og mener at det kan tale for en mer presis regulering av innsamling og behandling av personopplysninger i det nye regelverket for toll og vareførsel.

7.1.3 Vurderinger

For å utføre sine oppgaver med innhenting av opplysninger om og kontroll med vareførselen og fastsetting av tollavgift, innhenter tollmyndighetene mange opplysninger på ulike måter. Reglene om dette i forslag til lov om vareførsel og lov om tollavgift viderefører i det alt vesentlige reglene i tolloven.

Vareførselsloven har regler i kapittel 2 om plikt til å gi opplysninger om vareførselen, blant annet om plikt til å forhåndsvarsle og legge frem varer for tollmyndighetene ved ankomst til tollområdet, og etter §§ 5-1 til 5-4 tilsvarende plikter ved utførsel. Videre skal deklaranten (som oftest mottaker eller avsender av varen) gi omfattende opplysninger om varen ved tollbehandlingen etter vareførselsloven kapittel 3 og 4 ved innførsel, og etter §§ 5-5 flg. ved utførsel. Varer som inn- eller utføres skal underlegges en tollprosedyre, og det skal i den forbindelse leveres en deklarasjon tilpasset den aktuelle prosedyren. Innholdet i deklarasjonen fastsettes i forskrift til hver enkelt prosedyre. Ved tollbehandlingen må deklaranten også legge frem tillatelser mv. for varer som er underlagt restriksjoner for inn- eller utførsel. Tollavgiftsloven § 9-2 regulerer plikten til å levere melding om tollavgift som del av deklarasjonen for prosedyren overgang til fri disponering.

Tollmyndighetene innhenter også opplysninger som ledd i kontrollen av vareførselen og fastsatt tollavgift. Dette gjelder både fra dem som har plikt til å gi opplysninger etter vareførselslovens kapittel 2 til 5 og tollavgiftsloven § 9-2, og tredjeparter. For eksempel har tollavgiftspliktige og tredjeparter etter tollavgiftsloven § 10-1 plikt til å gi kontrollopplysninger etter krav fra tollmyndighetene. Vareførselsloven har tilsvarende bestemmelser i §§ 8-10 og 8-11. Tollmyndighetene innhenter også opplysninger fra andre offentlige myndigheter, jf. § 8-14 og § 10-3 i henholdsvis vareførselsloven og tollavgiftsloven.

Tollmyndighetene får også opplysninger fra andre kilder, som tips fra publikum, ved skjult observasjon (spaning) og fra åpne kilder som aviser og nettsider. Videre har tollmyndighetene særskilt hjemmel i vareførselsloven for å innhente opplysninger om grensekryssende trafikk på landeveien og fergeterminaler med utenlands trafikk ved bruk av skiltgjenkjenningssystem, og adgang til å innhente opplysninger fra transportselskap om passasjerer og besetning.

Gjennomgangen viser at tollmyndighetene innhenter en rekke opplysninger på ulike områder for å utføre sine oppgaver. Regelverket er omfattende og detaljene om hvilke opplysninger som skal gis, vil for en stor del følge av forskrift. Størstedelen av opplysningene som innhentes, gjelder næringsvirksomhet, men tollmyndighetene innhenter også personopplysninger, og i noen tilfeller opplysninger som nevnt i personvernforordningen artikkel 9 og 10. Det vil først og fremst være opplysninger ved mistanke om straffbare lovbrudd, og konstaterte brudd på vareførselsloven, tollavgiftsloven eller annet regelverk tollmyndighetene har ansvar for å kontrollere, jf. artikkel 10. I unntakstilfeller vil tollmyndighetene også måtte kunne behandle særskilte kategorier av opplysninger, for eksempel opplysninger om en persons seksuelle orientering ved at de mottar opplysninger om en persons ektefelle/partner eller helseopplysninger ved innførsel av medisinsk cannabis.

Lovbestemmelsene om tollmyndighetenes adgang til å innhente opplysninger er generelle og angir i liten grad formålet med innhentingen, adgangen til lagring, sammenstilling og utlevering. Formålet med innhenting av opplysninger etter vareførselsloven følger av lovens formål som er å sikre riktige og fullstendige opplysninger om varen og bidra til å beskytte samfunnet mot ulovlig inn- og utførsel av varer, samt å sikre at Norge overholder sine forpliktelser etter internasjonale avtaler. Innhenting av opplysninger etter tollavgiftsloven har som formål å fastsette riktig tollavgift.

Enkelte bestemmelser om innhenting av opplysninger har begrensninger i bruken av opplysningene. Passasjeropplysninger innhentet fra transportselskap etter vareførselsloven § 8-8, kan bare brukes for kontroll av varer som passasjerer har med seg på den aktuelle reisen. Det vil si at opplysningene ikke kan lagres for å brukes til sammenstilling for målretting av fremtidige kontroller. Det er også egne hjemler for bruk av personopplysninger ved utvikling og testing av IT-systemer i begge lover.

Det følger av personvernforordningen artikkel 5 nr. 1 bokstav c om dataminimering og bokstav e om lagringsbegrensninger, at personopplysninger ikke skal lagres lenger enn det som er nødvendig ut ifra formålet med behandlingen. Dette er også inntatt i vareførselsloven § 7-16 første ledd. Departementet ser ikke behov for at det reguleres særskilt i tollavgiftsloven. Tollmyndighetene må ha rutiner for sletting i samsvar med kriteriene i personvernforordningen eller systematisk gjennomgå opplysninger med sikte på sletting. Etter vareførselsloven § 7-16 annet ledd kan opplysninger innhentet ved bruk av skiltgjenkjenningssystem etter § 8-9, lagres i inntil seks måneder.

Departementet legger til grunn at tollmyndighetene, som følge av sine myndighetsoppgaver, kan bruke og sammenstille alle opplysninger de har innhentet, med mindre annet er særskilt fastsatt. De kan i utstrakt grad sammenstille personopplysninger for kontrollformål i medhold av de alminnelige kontrollbestemmelsene, og også uten særskilt hjemmel bruke personopplysninger i risikovurderinger for å målrette kontrollen. I vareførselsloven § 7-15 er det særskilt hjemmel for tollmyndighetenes adgang til å sammenstille opplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 og artikkel 10, og det klargjøres at adgangen til å sammenstille opplysninger omfatter profilering etter personvernforordningen artikkel 4 nummer 4. Videre er det hjemmel for å bruke personopplysninger i automatiserte avgjørelser. Tilsvarende bestemmelse er gitt i tollavgiftsloven § 8-5.

Vareførselsloven og tollavgiftsloven har i henholdsvis §§ 7-10 og 7-11 og §§ 8-1 og 8-2, regler om taushetsplikt og utlevering av opplysninger til offentlige myndigheter. Taushetspliktbestemmelsene i vareførselsloven § 7-10 og tollavgiftsloven § 8-1 viderefører tollovens bestemmelse, mens adgangen til å utlevere opplysninger til offentlige myndigheter er endret i tråd med bestemmelsen i skatteforvaltningsloven.

Departementet holder fast ved at forslaget til ny vareførselslov og tollavgiftslov ikke innebærer vesentlige endringer i tollmyndighetenes adgang til å innhente, behandle og utlevere personopplysninger. Fordeling av regelverket på to lover innebærer derimot at tollmyndighetenes oppgaver blir tydeligere, noe som gjør at etatens adgang til, behov for og formål med å innhente personopplysninger blir klarere. Departementet fastholder derfor at forslaget til nye lover ikke foranlediger en ny helhetlig vurdering av personvernmessige forhold knyttet til tollmyndighetenes virksomhet. Det gjelder selv om reglene for når tollmyndighetene kan utlevere taushetsbelagte opplysninger til offentlige myndigheter er endret.

Opplysningene som tollmyndighetene innhenter, er i hovedsak knyttet til næringsvirksomhet, men noen opplysninger kan også knyttes til personer. Etaten må behandle opplysninger de innhenter slik at de kan tilby god og effektiv oppgaveløsning innenfor sitt ansvarsområde. Samtidig må etatens behandling av personopplysninger ivareta rettssikkerheten og personvernet til dem opplysningene gjelder.

Retten til privatliv er beskyttet i Grunnloven § 102 og EMK artikkel 8. Både Grunnloven § 102 første ledd første punktum og EMK artikkel 8 oppstiller tre vilkår for at inngrep i retten til privatliv skal være tillatt. Inngrepet må ha et legitimt formål, det må ha tilstrekkelig hjemmel og det må være forholdsmessig. Grunnloven § 102 første ledd første punktum slår videre fast at «[e]nhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon». Når man skal avgjøre om en lov som griper inn i noens privat- og familieliv, hjem eller kommunikasjon, er i samsvar med Grunnloven § 102, må man vurdere om loven er tilstrekkelig klar, har et legitimt formål og er forholdsmessig.

EUs personvernforordning gjelder som norsk rett etter personopplysningsloven § 1. Med personopplysninger menes opplysninger som direkte eller indirekte gjelder identifiserbare enkeltpersoner. Personvernforordningen gir rammer for tollmyndighetenes bruk av personopplysninger. Det innebærer blant annet at behandlingen av opplysninger må følge de grunnleggende prinsippene i forordningen artikkel 5, og at det må foreligge et behandlingsgrunnlag etter artikkel 6. Det følger av personvernforordningen artikkel 6 nr. 1 bokstav e at behandling av personopplysninger er lovlig dersom behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Etter artikkel 6 nr. 3 bokstav b må grunnlaget for slik behandling fastsettes i medlemsstatenes nasjonale rett. For tollmyndighetene er det supplerende rettsgrunnlaget i dag tolloven, som videreføres i vareførselsloven og tollavgiftsloven.

Etter departementets vurdering er det vanskelig å unngå at lovhjemlene for tollmyndighetenes behandling av personopplysninger, herunder formål og kategorisering av opplysninger, i stor grad er av overordnet og generell karakter. Vareførselsloven gjelder innhenting av opplysninger om og kontroll med alle varer som føres over grensen. Aktørene i vareførselen er hovedsakelig næringsdrivende, og disse inn- og utfører varer av ulike slag, i ulike kvanta og ved bruk av ulike transportmidler. I tillegg omfattes private aktørers inn- og utførsel av varer, som ofte skjer i forbindelse med egne reiser, men i økende grad ved netthandel. Regelverket for å innhente opplysninger om vareførselen er omfattende og må for en stor del reguleres i forskrift. Kontrollhjemlene er også generelle, men på områder som innhenting av passasjeropplysninger og innhenting av opplysninger ved bruk av skiltgjenkjenningssystem, er de mer detaljerte. Opplysninger som innhentes og behandles etter tollavgiftsloven, skal sikre riktig beregning og fastsetting av tollavgift ved innførsel av varer, og gjelder i hovedsak økonomiske forhold. Etter departementets vurdering er vareførselsloven og tollavgiftsloven i utgangspunktet tilstrekkelig som grunnlag for de behandlingsaktiviteter som er nødvendige for at tollmyndighetene skal kunne utføre sine oppgaver. Tollmyndighetene må kunne behandle personopplysninger selv om behandlingsaktiviteten ikke fremgår klart og direkte av en enkelt lovbestemmelse. Til støtte for sitt syn viser departementet til Justis- og beredskapsdepartementets drøftelse i Prop. 56 LS (2017–2018) punkt 6.3.2, hvor det blant annet uttales:

«Samlet sett taler altså ordlyden i artikkel 6 nr. 3 for at det må påvises et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, men at det ikke er nødvendig at det supplerende rettsgrunnlaget uttrykkelig regulerer behandling av personopplysninger. Departementet viser i denne forbindelse også til artikkel 35 nr. 10, hvor det forutsetningsvis fremgår at det rettslige grunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e ikke behøver å spesifikt regulere behandlingsaktivitetene.

Heller ikke forordningens fortale gir støtte for et ubetinget krav om at behandlingen av personopplysninger må være regulert uttrykkelig i det supplerende rettsgrunnlaget. Fortalepunkt 45 gir uttrykk for at behandlingen i disse tilfellene bør «ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett», men at det ikke kreves «en særlig lovbestemmelse for hver enkelt behandling».

Dersom behandlingen av personopplysninger utgjør et inngrep i retten til privatliv etter Grunnloven § 102 eller EMK artikkel 8, kan det imidlertid være nødvendig med et mer spesifikt rettslig grunnlag for behandlingen enn det ordlyden i forordningen kan tilsi. Det følger også uttrykkelig av fortalepunkt 41 at et rettslig grunnlag bør være «tydelig og presist, og anvendelsen av det bør være forutsigbar for personer som omfattes av det, i samsvar med rettspraksisen til Den europeiske unions domstol («Domstolen») og Den europeiske menneskerettighetsdomstol». Med andre ord må forordningens krav om supplerende rettsgrunnlag for behandlingen tolkes og anvendes i tråd med de menneskerettslige kravene til rettsgrunnlag for inngrep i retten til privatliv. Dette innebærer at det må foretas en nærmere vurdering av rettsgrunnlaget og behandlingen, hvor det blant annet må legges vekt på hvor inngripende behandlingen er. Etter omstendighetene kan utfallet av en slik vurdering bli at det kreves et mer spesifikt grunnlag enn det som kan synes å være minimumskravene etter ordlyden i forordningen.»

Datatilsynet mener at forslaget i vareførselsloven § 7-3, nå § 7-11, om utlevering av opplysninger til offentlige myndigheter, innebærer en betydelig risiko for formålsutglidning. Departementet viser til merknaden til bestemmelsen der det fremgår at den er utformet i tråd med tilsvarende bestemmelse i skatteforvaltningsloven. Etter § 8-8 har imidlertid tollmyndighetene for kontrollformål adgang til å innhente opplysninger fra transportselskaper om passasjerer de transporterer over grensen, og etter § 8-9 til å innhente opplysninger om all grensekryssende trafikk ved bruk av skiltgjenkjenningssystem. Departementet har kommet til at det er behov for å regulere utlevering av slike opplysninger til andre offentlige myndigheter særskilt, og at dette gjøres i forskrift. Det vises til nærmere omtale i merknader til de aktuelle bestemmelsene.

Regulering av tollmyndighetenes oppgaver i lov om tollavgift og lov om vareførsel er ikke ment å innebære noen begrensning i adgangen til å bruke opplysninger innhentet for det ene formålet, for eksempel vareførselen, i en sak om eller kontroll av tollavgiften. Begrensningen i adgang til bruk av opplysninger innhentet for ett formål, må vurderes med utgangspunkt i personvernlovgivningens krav til formålsbegrensning. Det følger av EUs personvernforordning artikkel 5 nr. 1 bokstav b at opplysninger skal samles inn for spesifikke, uttrykkelig angitte formål, og ikke videreformidles på en måte som er uforenlige med disse formålene. Etter departementets vurdering er det så nær sammenheng mellom opplysninger innhentet etter vareførselsloven og etter tollavgiftsloven, at de fleste opplysninger må anses innsamlet for samme eller forenelige formål. Tollmyndighetene må ved tvil vurdere om det er hjemmel for at personopplysninger som er innhentet med hjemmel i vareførselsloven, benyttes ved utøvelse av myndighet etter tollavgiftsloven, og omvendt.

7.2 Administrative og økonomiske konsekvenser

Etter departementets vurdering vil en deling av regelverket for tollavgift og vareførsel i to lover legge til rette for at reglene på hvert av områdene kan få en bedre struktur og bli mer oversiktlige. Det vil igjen gjøre reglene mer tilgjengelig for brukerne. Det vil også lette arbeidet med regelverksendringer og gjøre det enklere å rendyrke regelverket ut fra formålet med reglene. Lovforslagene innebærer ikke materielle endringer av betydning for de næringsdrivende, og deres administrative kostnader antas derfor å være små. Tolletatens engangskostnader til endringer i etatens IT-systemer, opplæring av ansatte og endring av veiledninger, informasjonsmateriell mv. vil kunne dekkes innenfor etatens ordinære bevilgning.