Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om to lovgivningsforslag vedrørende bekæmpelse af momssvig

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2019/C 140/04)

Resumé

Med denne udtalelse, der er afgivet i henhold til artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (1), fremsætter den tilsynsførende henstillinger, som har til formål at minimere konsekvenserne af to forslag fra Kommissionen om bekæmpelse af momssvig i forbindelse med »e-handel«, for den grundlæggende ret til privatlivets fred og til beskyttelse af personoplysninger og således sikre overholdelse af den gældende lovgivningsramme for databeskyttelse.

Den tilsynsførende understreger herved behovet for nøje at begrænse de behandlingsaktiviteter, der foreslås i forslagene, til formålet om at bekæmpe skattesvig og at begrænse indsamlingen og anvendelsen af personoplysninger til, hvad der er nødvendigt og forholdsmæssigt til dette formål. Vi peger navnlig på, at de oplysninger, der behandles, i forbindelse med disse forslag ikke bør vedrøre forbrugerne (betalerne), men kun onlinevirksomhederne (betalingsmodtagerne). Dette vil begrænse risikoen for, at oplysningerne anvendes til andre formål såsom til kontrol af forbrugernes indkøbsvaner. Vi påskønner, at Kommissionen fulgte denne tilgang, og vi anbefaler kraftigt, at denne tilgang fastholdes under forhandlingerne med medlovgiverne forud for den endelige godkendelse af forslagene.

Endvidere understreges det, at den tilsynsførende i henhold til artikel 42, stk. 1, i forordning (EU) 2018/1725 forventer at blive hørt om den gennemførelsesretsakt, der i fremtiden vil fastlægge standardformatet til fremsendelse af oplysninger fra betalingstjenesteudbyderne til den nationale skattemyndighed, inden den vedtages af Kommissionen.

Eftersom der på grundlag af forslagene — foruden de nationale databaser — vil blive oprettet en central elektronisk database (CESOP), som skal udvikles, vedligeholdes, hostes og drives af Kommissionen, minder den tilsynsførende om sine retningslinjer for IT-ledelse og -forvaltning. Den tilsynsførende vil følge op på oprettelsen af dette informationssystem som kompetent tilsynsmyndighed i henhold til forordning (EU) 2018/1725.

Endelig indeholder denne udtalelse retningslinjer for betingelserne og begrænsningerne for lovlige og passende begrænsninger for registreredes rettigheder i overensstemmelse med den generelle forordning om databeskyttelse og forordning (EU) 2018/1725.

I. INDLEDNING OG BAGGRUND

1.1. Baggrunden for forslagene

1. Den 10. september 2018 blev den tilsynsførende hørt uformelt af Europa-Kommissionen om følgende udkast til forslag: udkast til forslag til Rådets direktiv om ændring af direktiv 2006/112/EF for så vidt angår gennemførelsen af visse krav til betalingstjenesteudbydere, udkast til forslag til Rådets gennemførelsesforordning om ændring af forordning (EU) nr. 282/2011 for så vidt angår visse momsforpligtelser i forbindelse med visse afgiftspligtige personer, udkast til forslag til Rådets forordning om ændring af forordning (EU) nr. 904/2010 for så vidt angår foranstaltninger til styrkelse af det administrative samarbejde med henblik på bekæmpelse af momssvig i forbindelse med »e-handel«. Den tilsynsførende fremsatte uformelle bemærkninger den 18. september 2018. I denne henseende bekræfter den tilsynsførende, at han bifalder muligheden for at udveksle synspunkter med Kommissionen tidligt i den politiske beslutningsproces med henblik på at minimere forslagenes konsekvenser for retten til privatlivets fred og til databeskyttelse ( 2 )

2. Den 12. december 2018 offentliggjorde Europa-Kommissionen et forslag til Rådets direktiv om ændring af direktiv 2006/112/EF for så vidt angår gennemførelsen af visse krav til betalingstjenesteudbydere ( 3 ) (herefter »forslaget til Rådets direktiv«) og et forslag til Rådets forordning om ændring af forordning (EU) nr. 904/2010 for så vidt angår foranstaltninger til styrkelse af det administrative samarbejde med henblik på bekæmpelse af momssvig ( 4 ) (herefter »forslaget til Rådets forordning«), herefter under ét benævnt »forslagene«.

3. Den 14. januar 2019 hørte Kommissionen den tilsynsførende i henhold til artikel 42, stk. 1, i forordning (EU) 2018/1725.

4. Den tilsynsførende peger ligeledes på, at den foreslåede forordning og det foreslåede direktiv — som yderligere fremhævet i denne udtalelse — vil medføre databehandlingsaktiviteter, hvor Kommissionen vil være den dataansvarlige i henhold til forordning (EU) 2018/1725. Vi minder derfor om, at den tilsynsførende er den kompetente tilsynsmyndighed med hensyn til en sådan behandling.

1.2. Indholdet af forslagene

5. Den tilsynsførende bemærker, at forslagene, som er ledsaget af en konsekvensanalyse ( 5 ) , har til formål at løse problemet med momssvig i forbindelse med »e-handel« ved at styrke samarbejdet mellem skattemyndigheder og betalingstjenesteudbyderne.

6. Navnlig i henhold til forslaget til Rådets direktiv skal medlemsstaterne vedtage lovgivning, der sikrer, at betalingstjenesteudbyderne fører registre over grænseoverskridende betalingstransaktioner for at gøre det muligt for skattemyndighederne at afsløre momssvig. Forslaget til Rådets forordning supplerer rækken af foranstaltninger til bekæmpelse af svig ved at: a) kræve, at medlemsstaternes kompetente myndigheder skal indsamle, udveksle og analysere de oplysninger om betalingstransaktioner, der er anført i forslaget til Rådets direktiv, og b) oprette et centralt elektronisk informationssystem (»CESOP«), hvor medlemsstaterne videregiver de oplysninger, der er lagret på nationalt plan. CESOP vil så være tilgængeligt for Eurofisc-forbindelsesembedsmænd med henblik på at analysere de oplysninger, der er lagret i systemet, med det formål at undersøge skattesvig.

7. Den tilsynsførende anerkender formålene med forslagene og navnlig behovet for at regulere dette spørgsmål ved at fastsætte foranstaltninger til bekæmpelse af svig i forbindelse med e-handelsaktiviteter. Denne udtalelse søger at yde pragmatisk rådgivning om, hvordan det er muligt at minimere de konsekvenser for behandlingen af personoplysninger, der udløses af forslagene, og sikre overholdelse af den gældende databeskyttelseslovgivning.

IV. KONKLUSIONER

17. På baggrund af ovenstående fremsætter den tilsynsførende følgende henstillinger: — Betragtning 11 i forslaget til Rådets direktiv og betragtning 17 i Rådets forordning om gældende databeskyttelseslovgivning bør ændres som anført i afsnit 2.1 i denne udtalelse — herunder præcisering af formål, jf. betragtning 11 i Rådets direktiv og betragtning 17 i Rådets forordning, i retsaktens dispositive del i både Rådets direktiv og Rådets forordning — under henvisning til den centrale database »CESOP« skal Kommissionen sikre overholdelse af bestemmelserne om sikkerhed i forbindelse med behandling i henhold til forordning (EU) 2018/1725, navnlig på grundlag af den tilsynsførendes retningslinjer for beskyttelse af personoplysninger i forbindelse med IT-ledelse og -forvaltning i EU-institutioner — vedrørende mulige begrænsninger for registreredes rettigheder: i) ændring af ordlyden af forordning (EU) nr. 904/2010, som ændret ved Rådets forordning (EU) 2018/1541, i henhold til artikel 23 i den generelle forordning om databeskyttelse, og enten overlade muligheden for at vedtage begrænsninger til medlemsstaterne (ved at erstatte ordet »begrænser« med »kan begrænse«), eller for så vidt som begrænsninger er nødvendige, fastsætte dem direkte i forordning (EU) nr. 904/2010 ii) i artikel 24e i Rådets forordning — blandt de elementer, der skal fastlægges nærmere af Kommissionen i en fremtidig gennemførelsesretsakt — indføje de mulige begrænsninger for registreredes rettigheder i henhold til artikel 25 i forordning (EU) 2018/1725 og de retningslinjer, som den tilsynsførende har udstedt om dette spørgsmål (»retningslinjer vedrørende artikel 25 i den nye forordning og interne regler«) — Kommissionen skal i henhold til artikel 42, stk. 1, i forordning (EU) 2018/1725 høre den tilsynsførende om gennemførelsesretsakten med hensyn til det elektroniske standardformat til betalingstjenesteudbydernes fremsendelse af oplysninger til den kompetente skattemyndighed i den medlemsstat, hvor betalingstjenesteudbyderen er etableret, inden den vedtages af Kommissionen.

Bruxelles, den 14. marts 2019. Wojciech Rafał WIEWIÓROWSKI Den Europæiske Tilsynsførende for Databeskyttelse

(1) EUT L 295 af 21.11.2018, s. 39.

(2) Jf. betragtning 60 i forordning (EU) 2018/1725: »Med henblik på at sikre sammenhæng mellem databeskyttelsesreglerne i hele Unionen bør Kommissionen, når den udarbejder forslag eller henstillinger, bestræbe sig på at høre Den Europæiske Tilsynsførende for Databeskyttelse. Det bør være obligatorisk at høre Kommissionen efter vedtagelsen af lovgivningsmæssige retsakter eller under udarbejdelsen af delegerede retsakter og gennemførelsesretsakter som defineret i artikel 289, 290 og 291 i TEUF og efter vedtagelsen af henstillinger og forslag vedrørende aftaler med tredjelande og internationale organisationer som omhandlet i artikel 218 i TEUF, der har konsekvenser for retten til beskyttelse af personoplysninger. I sådanne tilfælde bør Kommissionen have pligt til at høre Den Europæiske Tilsynsførende for Databeskyttelse, undtagen hvor forordning (EU) 2016/679 foreskriver obligatorisk høring af Det Europæiske Databeskyttelsesråd, f.eks. om afgørelser om tilstrækkeligheden af beskyttelsesniveauet eller delegerede retsakter om standardiserede ikoner og krav til certificeringsmekanismer.«

(3) Forslag til Rådets direktiv om ændring af direktiv 2006/112/EF for så vidt angår gennemførelsen af visse krav til betalingstjenesteudbydere, COM(2018) 812 final, proc. 2018/0412 (CNS).

(4) Forslag til Rådets forordning om ændring af forordning (EU) nr. 904/2010 for så vidt angår foranstaltninger til styrkelse af det administrative samarbejde med henblik på bekæmpelse af momssvig, COM(2018) 813 final, proc. 2018/0413 (CNS).

(5) Arbejdsdokument fra Kommissionens tjenestegrene, konsekvensanalyse, der ledsager forslaget til Rådets direktiv, Rådets gennemførelsesforordning og Rådets forordning om obligatorisk fremsendelse og udveksling af momsrelaterede betalingsdata.