sou · GNB3105d2 · 2000-01-01 00:00:00 — Det är emellertid en annan fråga om bestämmelserna i dataskydds- direktivet förhindrar möjligheten att utnyttja uppgifter från en beskatt- ningsdatabas för direkt reklamändamål. Enligt dataskyddsdirektivets ar- tikel 7, punkt 1 b, är ett grundläggande krav för att personu ppgifter alls skall få samlas in, att ändamålet med behand lingen är berättigat. Enligt samma bestämmelse i direktivet får senare behandling, t.ex. utlämnande, inte vara oförenligt med det ändamål för vilket upp gifterna samlades in (se mer om detta i avsnitt 6.6.1). Några särskilda bestämmelser som rör frågan om det berättigade i att blanda helt disparata ändamål för behandling av personuppgifter – i detta fallet beskattning och direkt- reklam – finns inte i dataskyddsdirektivet. Tvärtom har som sin åsikt framfört att det inte finns några hinder mot att ange flera ändamål när uppgifter samlas in (SOU 1997:39 s. 350). Det är även svårt att se EG-rättsliga implikationer i ett mellanled som inne- bär att uppgifter först samlas in till ett statligt dataregister för att där- efter lämnas ut till ett annat statligt reglerat register, från vilket uppgifter lämnas över till tredje man för att användas i direktreklam. Under för ut- sättning att det finns tydliga bestämmelser som anger att beskattnings- uppgifter får användas i SPAR, dvs. att det kan utläsas att direkt reklam är ett ändamål med de aktuella skatteuppgifterna, torde det vara möjligt att utan konflikt med EG-rätten utnyttja uppgifter från beskattningsdata- basen för urvals dragningar enligt lagen om det statliga personadress- registret. Sådana bestämmelser finns i den sist nämn da lagen. 9.1.3Integritetsaspekter på användningen av skatte- uppgifter i SPAR Det finns andra aspekter på användningen av skatteuppgifter i SPAR än de EG-rättsliga. Förfarandet att för direktreklamändamål utnyttja infor ma- tion som baseras på uppgifter som enskilda är skyldiga att lämna till skattemyndigheterna kan onekligen ifrågasättas från integritets synpunkt. Det är enligt vår uppfattning principiellt betänkligt att personuppgifter som lämnas av enskilda under tvång för ett bestämt syfte an vänds för ändamål för vilka uppgifterna aldrig hade kunnat samlas in annat än på 368 Särskilda frågor SOU 1999:105 Vi känner således en allmän tvek samhet inför att skatte - uppgifter används för urvalsdragningar i SPAR. Å andra sidan kan det vara positivt för upprätt hållandet av ett högt integritetsskydd att urvalsdragningar sker under statligt kontrollerade former när det handlar om t.ex. skatteuppgifter. Det torde nämligen inte finnas några hinder i dataskyddsdirektivet eller personuppgiftslagen för företag eller andra en skilda att upprätta register för direkt reklamändamål som innehåller motsvarande uppgifter som SPAR. De skatteuppgifter det rör sig om är som vi nämnt tidigare offentliga, vilket innebär att de kan samlas in och registreras i privata register. I detta sammanhang kan nämnas att antog en rekommendation om skydd för personuppgifter använda för direkt reklamändamål (Recommendation No. R[85] 20). Bland annat anges i rekommendationen att om det inte finns hinder i nationell lagstiftning kan vem som helst samla person- uppgifter för di rektreklamändamål från offentliga register. Den registrerade skall dock ha rätt att motsätta sig att uppgifter om honom registreras i marknadsföringsförteckningar eller att upp gifterna lämnas ut till tredje man. Alternativt skall den registrerade ha rätt att få per- sonuppgifter strukna ur för teckningarna. Vad som enligt vår uppfattning sannolikt är avgörande för om icke offentliga register för för säljning av uppgifter genom urvalsdragningar m.m. skulle komma att inrättas om möjligheten att ta del av infor ma- tionen genom SPAR försvann, är det behov som finns i samhället av de aktuella uppgifterna för direktreklam ändamål. Om behovet är stort torde det vara svårt att förhindra en sådan utveck ling. Hur det förhåller sig med det är omöjligt att ha någon bestämd uppfattning om utan till gång till ett bredare underlag som vi inom ramen för vårt u ppdrag inte har möjlighet att prestera. Det kan även på principiell grund sättas i fråga om tillhandahållandet av personuppgifter för direkt reklamändamål är en uppgift som bör hand has av staten, dvs. om det bör vara ett offent ligt åtagande. Inte heller den frågan anser vi oss ha möjlighet att utreda närmare. Det bör i detta sammanhang nämnas att frågor om framtiden för SPAR behandlas såväl av Statens person adress- registernämnd som inom . Trots vår tveksamhet till att använda skatteuppgifter i SPAR, lämnar vi därför inga för slag till åtgärder. 9.2Behandling av personuppgifter vid taxeringsrevisioner m.m. Vårt föreslag till lag om behandling av uppgifter i skatteförvaltning- ens beskattningsverksamhet utgör enligt vår bedömning tillräck ligt skydd för enskildas personliga integritet, när automatiserad behand- ling används vid taxeringsrevisioner m.m. 9.2.1Den tidigare regleringen och personuppgifts- lagen, m.m. Vi redogör i avsnitt 3.1.6 för den tidigare regleringen av skatte myn- digheternas användande av automatisk databehandling vid taxerings- revisioner m.m. I korthet innebar den följande. För att skattemyndig heter vid revisioner skulle kunna granska skattskyldigas personregister med hjälp av myndighetens eller den registrerades tekniska utrustning, behövdes regler som kompletterade datalagen. skulle nämligen inte enligt den lagen bli registeransvarig och därför inte heller vara bunden av villkor som avser den registeransvariges, dvs. den revi- derades, användning av registren. Genom lagen (1987:1231) om automa- tisk databehandling vid taxeringsrevision, m.m. – och därtill anknytande förordning – kompletterades därför datalagens bestäm melser på så sätt att Datainspektionen gavs möjlighet att meddela före skrifter om bl.a. vilka personuppgifter som får användas och om utlämnande eller annan användning av personuppgifter. Datainspektionen har meddelat sådana föreskrifter. Utöver personuppgiftslagen finns även andra bestämmelser om skydd för elektroniskt lagrad information. Taxeringslagen (1990:324), la gen (1984:151) om punktskatter och prisregleringsavgifter samt skatte- betalningslagen (1997:483) m.fl. för fattningar innehåller bestämmelser om hur revision och annan kontroll får genomföras . Som exempel kan nämnas att vid granskning av en upptagning för automatisk data be- handling, får endast de tekniska hjälpmedel och sökbegrepp användas som behövs för att tillgodose än damålet med revisionen. Om den revi- derade anser att en viss upptagning bör undantas från gransk ning har han dessutom möjlighet att få frågan prövad i allmän förvalt ningsdom- stol. Även lagen (1994:466) om särskilda tvångsåtgärder i beskatt nings- förfarandet innehåller – vid si dan av grundläggande regler om att tvångsåtgärder får vidtas endast om skälen för åtgärden upp väger det intrång eller men i övrigt som åt gärden innebär för den enskilde – ett 370 Särskilda frågor SOU 1999:105 antal skyddsregler för att säker ställa att materialet vid verkställigheten av ett beslut om åtgärd med anledning av revision eller annan kontroll inte behandlas på ett otillbörligt sätt. Det finns således vid sidan av personuppgiftslagens bestämmelser en rättslig reglering av förfarandet vid revisioner m.m. som innefattar domstolsprövning i vissa fall. I samband med införandet av personuppgiftslagen fann regeringen att det inte längre fanns något direkt behov av en särskild reglering av ADB-revisioner m.m. (prop. 1998/99:34 s. 68 ff.). Anledningen till det var främst skillnaden i definitionen av begreppen personuppgiftsansvarig enligt personuppgiftslagen respektive registeransvarig enligt datalagen. Enligt personuppgiftslagen tillkommer ansvaret den som ensam eller tillsammans med andra bestämmer ändamålet med och med len för behandlingen av personuppgifter. Vid en revision är det skattemyndighe- ten som bestämmer ändamålet med den aktuella behandlingen, och det är därför myndigheten som blir personuppgiftsansvarig. Det innebär att myndigheten direkt åläggs de skyldigheter som enligt personuppgifts- lagen åligger den personuppgiftsansvarige. Regeringen fann vidare att personuppgiftslagens regler och övriga regler om skydd för elektroniskt lagrad information var tillräckliga för att tillgodose den enskildes behov av skydd. Det fanns enligt regeringen inte heller i övrigt behov av att införa särskilda regler för ADB- revisioner, men regeringen hänvisade ändå till Registerförfattnings ut- redningen med påpekande om att slutlig bedömning av behovet av sär- regler inte kunde göras förrän vid beredningen av vårt förslag. Rege- ringens promemoria "ADB-revision" – som föregick ovan nämnda pro- position – remissbehandlades särskilt (Fi98/1915) och samtliga remiss- instanser tillstyrkte eller hade inget att erinra mot förslaget att upphäva lagen om automatisk databehandling vid taxeringsrevision, m.m. Flera remissinstanser påpekade dock att det vore värdefullt från integritets syn- punkt att det hos skattemyndigheterna inrättas personuppgiftsombud. Det förekom även påpekanden om att andra skyddsåtgärder kunde behövas, t.ex. i fråga om s.k. överskottsinformation. Med överskotts in- formation avses uppgifter om tredje man som revisorn får del av vid revisionen och som sedan skulle kunna användas i ett annat syfte. Det bör påpekas att vad som sägs ovan om automatiserad behand ling vid taxeringsrevisioner även är tillämpligt på viss behandling av material, t.ex. kontrolluppgifter, som eller skattemyn- digheterna får in på medium för automatisk databehandling efter be gäran hos annan myndighet eller föreläggande till enskild enligt taxe ringslagen, lagen (1990:325) om självdeklaration och kontrolluppgifter m.fl. författ- ningar. Det saknar betydelse om uppgifterna erhållits på medium för automatisk databehandling eller om skatteförvaltningen själv registrerar uppgifterna. De förslag som vi lämnar i detta betänkande innebär att det för myn- dighetsverksamhet bl.a. inom skatteförvaltningen och hos skall finnas särreglering avseende behandling av personuppgifter vid sidan av eller utöver de bestämmelser som gäller enligt personupp gifts- lagen. Enligt våra för slag till lagar om behandling av uppgifter i skatte- förvaltningens beskattningsverksamhet respektive verksam- het skall särskilda bestämmelser gälla för auto matiserad behandling av personuppgifter och andra uppgifter (se 5–7 kap. samt avsnitt 8.1 och 8.5). När vi i redovisningen nedan talar om skatteförvaltningens revi- sionsverksamhet m.m., avser vi i tillämpliga delar även motsvarande funktioner hos . Genomförandet av taxeringsrevisioner m.m. är en del av skatte för- valtningens beskattningsverksamhet, och användandet av automatiserad behandling av personuppgifter vid sådana revisioner kommer alltså att omfattas av bestämmelserna i vårt lagförslag. Personuppgiftsansvarig för behandling vid en revision blir den myndighet som behandlar upp- gifterna. Det saknar därvid betydelse om behandlingen sker med hjälp av skattemyndighetens eller den skattskyldiges tekniska utrustning, liksom om de program som används vid revisionen tillhör myndigheten eller den skattskyldige. Det grundläggande är alltså att behandlingen ut gör ett led i beskattningsverksamheten. Revision kan avse kontroll av att en skattskyldig fullgjort sin egen deklarations- och uppgiftsskyldighet eller inhämtande av uppgifter för kontroll av annan än den reviderade (tredjemansrevision). I båda fallen behandlas personuppgifter på automatiserad väg, bl.a. i särskilda ana lys- program. Förutom kontroll av ett företags datorbaserade ekonomi system med stöd av automatiserad behandling (ADB-revision), kan en revision omfatta behandling av personuppgifter genom att revisorn själv upprättar olika register, t.ex. genom att innehållet i pappersdokument förs över till elektronisk form, eller genom sambearbetningar av oli ka personregister, exempelvis när uppgifter från centrala skatteregistret och ett register som hämtats in från ett reviderat företag jäm förs maskinellt. Även i samband med urval av kontrollvärda objekt kan behandling av personuppgifter förekomma. Exempel på sådana behand lingar är bearbetningar av uppgifter erhållna på medium för automa tiserad behandling i samband med tredjemansförelägganden eller efter be gäran från andra myndigheter, upprättande av egna register samt olika sam- bearbetningar. Med den definition av begreppet databas som vi föreslår kommer den behandling som sker vid revision och annan kontroll inte att omfattas av de bestämmelser som gäller för databaser (se avsnitt 6.1). För den behandling som utförs kommer således till lämpliga bestäm- melser i personuppgiftslagen samt övriga av oss före slagna allmänna bestämmelser att tillämpas. De allmänna bestämmelser som vi fö reslår anser vi vara tillräckliga för att garantera att person uppgifter som be- handlas i samband med revisioner och andra kontrollåtgärder inte be- handlas på ett otillbörligt sätt. En fråga som det finns skäl att kommentera närmare nedan är be- varandet av den information som hämtas in vid skattekontroll. Som framgår av avsnitt 5.3.2 föreslår vi att uppgifter som inte behandlas i beskattningsdatabasen skall gallras senast efter det att ärendet har avslutats. När det gäller viss information som har erhållits i samband med skattekontroll kan dock i vissa fall vara för lång. För uppgifter om revision som behandlas i beskattningsdatabasen har vi å andra sidan föreslagit att upp gifterna skall gallras först . Då en revision är avslutad skall revisionsdokumentationen arkiveras. Inom skatteförvaltningen har vägledande instruktioner utarbetats i frå ga om vilken information som skall arkiveras. Den revisionsdokumentation som arkiveras i ärendet är endast uppgifter som är direkt hän förliga till det aktuella ärendet. skrivs normalt allt elektroniskt lagrat material ut på papper när revisionen avslutas. Endast i den mån uppgifterna kan antas behöva presenteras eller på annat sätt användas direkt från medium för automatiserad behandling i den fortsatta handläggningen sparas en kopia av upptagningen på sådant medium. Den reviderade kan exempelvis i samband med en process ifrågasätta resultatet av revisorns bearbetningar av materialet. Behov kan därför finnas att låta den reviderade göra om beräkningarna. är det möjligt att arkivering även av den övriga revisionsdokumentationen kommer att göras på me- dium för automatiserad behandling. Det är enligt vår mening väsentligt att all dokumentation från revi- sioner som bevaras eller kommer att bevaras på medium för au tomatisk databehandling, kan göras tillgänglig i läsbar form som nuvarande gallringsregler föreskriver, dvs. Något behov av särskild reglering för att möjliggöra detta kan dock en ligt vår mening inte anses föreligga. De allmänna bestämmelserna kom mer att gälla endast revisionen eller kontrollen genomförs. För de uppgifter som skall bevaras och användas gemensamt i beskattnings- verksamheten kommer i stället de särskilda bestämmelserna om be- handling av personuppgifter i databaser att bli tillämpliga. Detta innebär att i de fall hela eller delar av dokumentationen, efter en avslutad re- vision, sparas på medium för automatiserad behandling skall de gall ras (se avsnitt 8.1.5). SOU 1999:105 Särskilda frågor 373 Redogörelsen ovan om arkivering av revisionsdokumentation gäller information som erhållits i det syfte som revisionen eller granskningen avsett. När en skattemyndighet genomför revision för att kontrollera deklarations- eller uppgiftsskyldigheten hos en skattskyldig kan den emellertid också komma att få tillgång till an nan information (över- skottsinformation), t.ex. avseende företagets kun der eller andra affärs- kontakter. Även vid en tredjemansrevision kan re visorn få del av upp- gifter som omfattar andra personer än den eller de som revisionen avser. Den överskottsinformation som bedöms int ressant avskiljs av granskaren för att bli föremål för åtgärd i ett annat ären de. Informationen kan vara av sådan art att den direkt leder till en utredning, men den kan också vara sådan att den inte bedöms som så intressant att den direkt initierar en utredning. En särskild fara med elektroniskt lagrad information som har samlats in vid exempelvis revisioner är att det finns risk för att det med ti den uppstår omfattande uppgiftssamlingar om skattesubjekt hos skattemyn- digheterna. För att förhindra att uppgifter bevaras som inte anses till - räckligt intressanta för att direkt initiera en utredning, har Riks- skatteverket utfärdat särskilda föreskrifter som begränsar hanteringen av överskottsinformation. Enligt föreskrifter om revi sion m.m. (RSFS 1998:19) skall en uppgift som inte tillförs revisions ärendet förstöras senast när revisionen avslutas. Detta gäller dock inte om granskning av den som uppgifterna avser har påbörjats. Detta inne bär att överskotts information inte får sparas för att eventuellt kunna an- vändas . Information som har lett till att en kontroll påbör jats bevaras i den berörde personens akt. Sådan överskottsinformation bevaras inte elektroniskt utan skrivs ut på papper. Det kan dock förutsättas att denna typ av information kommer att bevaras i elektroniskt form i allt större utsträckning. Den ordning som gäller för bevarande och gallring av upp gifter om tredje man som erhållits i samband med en revision av en annan skattskyldig ger enligt vår mening ett bra skydd för den en skilde. Det är väsentligt att överskottsinformation som inte leder till åt gärd gallras så fort som möjligt. Den av oss föreslagna gallringsregeln om att uppgifter som inte behandlas i beskattningsdatabasen skall gallras senast efter det att ärendet avslutats, innebär emellertid att uppgifter i dessa fall skulle kunna bevaras än vad som gäller . En ligt vår mening bör överskottsinformation inte beva ras som utan att granskning påbörjats av den som upp gifterna avser. Uppgifterna bör därför gallras senast när revi sionen eller annat ärende är avslutad om någon granskning av den som uppgifterna avser inte har Som vi konstaterar tidigare bör man undvika att i lag ställa upp alltför detaljerade gallringsregler. Något behov av att reglera gall- ringen av överskottsinformation direkt i den av oss föreslagna lagen finns enligt vår mening inte, utan en sådan bestämmelse bör i stäl let be- slutas av regeringen eller den myndighet som regeringen bestämmer. Tredjemansuppgifter som hämtats in genom revision m.m. En annan fråga rör behandlingen av uppgifter som hämtas in i syfte att granska någon annan än den reviderade eller förelagda personen. Så dana uppgifter kan dels hämtas in genom tredjemansrevision eller tredje- mansföreläggande, dels genom begäran från andra myndigheter. kan vara begränsad till en eller ett fåtal personer eller rättshandlingar men kan också vara mycket omfattande. I de fall insam- lingen är omfattande görs detta oftast i någon form av urvals- eller kon- trollprojekt. Uppgifterna skrivs i vissa fall ut på papper och hänförs direkt till den skattskyldige som berörs av uppgifterna. Det förekommer också, framför allt när materialet är omfattande, att bearbetningar av uppgifterna fortsätter, t.ex. genom samkörning med det centrala skatte- registret eller andra register. Sådana automatiserade bearbetningar har som främsta syfte att få fram underlag för en bedömning av om kontroll skall företas eller inte avseende den som uppgiften avser (urvalsprocess). Det är inte ovanligt att en urvalsprocess görs i flera steg. Exem pelvis kan den skattemyndighet som hämtat in uppgifterna göra ett första grovurval. Övriga skattemyndigheter gör sedan det slutliga urvalet av intressanta kontrollobjekt. Vidare kan det förekomma att ett register som ursprungligen upprättats för ett kontrollprojek t delas upp i ytterligare ett eller flera olika register, dvs. nya kontrollprojekt bildas. Skälet till så- dana uppdelningar är ofta att andelen kontrollvärda objekt är så om- fattande att mer än ett projekt måste genomföras. Behovet att bevara uppgifterna på medium för automatiserad behand- ling varierar bl.a. beroende på hur länge urvalsprocessen pågår. In går uppgifterna i ett kontrollprojekt, t.ex. granskning av en bransch eller en företeelse, kan uppgifterna behövas så länge som projektet på går och inte bara under själva urvalsprocessen. Registret fungerar i så dana fall även som ett administrativt stöd för projektledaren. Exem pelvis kan det av registret framgå när och till vem en viss företagsakt sänts för utredning. När urvalsprocessen eller ett kontrollprojekt avslutas, för - varas uppgifter som skall bevaras normalt inte i elektronisk form utan utskrifter görs för respektive skattskyldig. För den behandling som utförs i en urvalsprocess eller i ett kon- trollprojekt blir de allmänna bestämmelserna i vårt förslag till lag om behandling av uppgifter i skatteförvaltningen beskattningsverksamhet Detta innebär att uppgifterna skall gallras senast efter det att ärendet har avslutats. Revisionsärendet, dvs. inhämtandet av upp - gifterna anses normalt avslutat så snart uppgifterna kommit in till myndigheten. Som nämns ovan är det heller inte ovanligt att en urvals- process görs i flera steg och att ett register som upprättats för ett kon- trollprojekt delas upp i ett eller flera nya register. Den av oss före slagna ettårsregeln kan därför bli svår att tillämpa, eftersom den är knuten till när ett ärende är avslutat. För att syftet med ett projekt eller en ur vals- process skall kunna tillgodoses måste de för kontrollen aktuella upp- gifterna enligt vår mening få bevaras under hela den tid som kontrollen pågår. Om t.ex. de uppgifter som hämtas in skulle behöva gall ras efter inhämtandet, skulle detta innebära att skattemyndigheterna var tvungna att begära in dessa uppgifter . Det skulle inne bära merarbete för såväl de skattskyldiga som skattemyndig heterna. Särskilda regler bör därför införas för dessa kontroller. Som vi konstaterar tidigare bör man undvika att i lag ställa upp allt för detaljerade gallringsregler. Att i lagen reglera de olika tidpunkter för gallring av uppgifter, som kan bli aktuella i samband med skattekontroll, skulle innebära att lagen liksom den nuvarande blir alltför de taljerad och därmed också svår att tillämpa. Det bör enligt vår mening över lämnas till regeringen eller den myndighet regeringen bestämmer att närmare utforma sådana regler. Det bör dock framhållas att när den slut liga urvalsprocessen eller ett kontrollprojekt är avslutat, dvs. när syftet med kontrollen inte längre består, bör uppgifterna enligt vår me ning gallras. Det finns i regel inte skäl att medge att uppgifterna bevaras som efter det att urvalsprocessen eller kontrollprojektet avslutats med mindre än att granskning har påbörjats av den som uppgifterna avser. Att en granskning har påbörjats innebär att det vidtagits någon åtgärd som ett led i en fördjupad kontroll. De skyddsåtgärder för enskildas integritet som samlat sätts upp genom bestämmelserna i våra förslag till lagar om behandling av uppgifter i skat- teförvaltningens beskattningsverksamhet respektive verksamhet samt i personuppgiftslagen och taxeringslagen m.fl. lagar, anser vi vara till- räckliga för att garantera att personuppgifter som samlas in i skatte för- valtningens eller verksamheter med revisioner och andra kon- trollåtgärder inte behandlas på ett otillbörligt sätt. Härtill kommer att de uppgifter som behandlas omfattas av absolut sekretess hos skattemyndig- heterna enligt 9 kap. 1 och 2 §§ sekretesslagen. Även hos gäller enligt samma paragrafer sträng sekretess (omvänt skaderekvisit). Bruttoavisering som metod för att tillhandahålla folkbokförings upp- gifter inom statsför valtningen strider enligt vår uppfattning inte mot dataskyddsdirektivet, under förutsättning att fråga är om regel mässigt och frekvent återkommande aviseringar som avser en betydande andel av befolkningen. 9.3.1Vad är bruttoavisering?