Høringsuttalelse - modernisering av regelverket for innkreving
Datatilsynet viser til brev av 17.04.2023, med oversendelse til høring to høringsnotater med forslag til modernisering av regelverket for innkreving, henholdsvis
- etablering av ett utleggstrekk og modernisering av utleggsprosessen i tvangsfullbyrdelsesloven og
- lov om innkreving av statlige krav mv. (innkrevingsloven).
Flere av forslagene som fremgår av de to høringsnotatene er, slik Datatilsynet forstår det, begrunnet i et ønske om modernisering og forenkling av dagens regelverk og beskriver et mål om økt digitalisering av prosesser for å oppnå dette på. Vi registrerer imidlertid at dette på flere områder også medfører økt informasjonsinnhenting og informasjonsflyt. På generelt og prinsipielt grunnlag er Datatilsynet svært skeptiske til at et mål om digitalisering skal begrunne økt informasjonsflyt. All digitalisering av eksisterende prosesser må, slik vi ser det, skje på bakgrunn av og tilpasses det eksisterende personvernregelverket.
Det er også en gjennomgående svakhet ved de to forslagene at personvernkonsekvensene ikke er tilstrekkelig drøftet og vurdert. Datatilsynet anerkjenner at alle offentlige oppgaver som utgangspunkt er viktige. Det kan likevel ikke bety at personvernhensyn alltid må vike. Vi mener at flere av forslagene ikke i tilstrekkelig grad vurderer og drøfter personvernulempene og at dette må gjøres før forslagene eventuelt vedtas. I dagens digitale samfunn er det svært viktig at hensynet til effektivitet i forvaltningen ikke går på bekostning av grunnleggende personvernhensyn.
Under følger vår høringsuttalelse. Vi vil kommentere de delene av forslaget som angår behandling av personopplysninger.
1. Etablering av ett utleggstrekk og modernisering av utleggsprosessen i tvangsfullbyrdelsesloven
I høringsnotatet, fremgår det at formålet med de foreslåtte lovendringene er å tilrettelegge for effektiv informasjonsforvaltning og automatiserte saksbehandlingsprosesser i forbindelse med Skatteetatens innkrevingsvirksomhet.
Som ledd i dette, foreslår Finansdepartementet at reglene for Skatteetatens innkrevingsoppgaver samles i innkrevingsloven, under én innkrevingsmyndighet som skal betegnes Innkrevingsmyndigheten. Personvernregelverket vil gjelde for den nye Innkrevingsmyndigheten.
Etter forslaget, legges det opp til en høy grad av felles systemløsninger og stor informasjonsutveksling mellom namsmannen og Innkrevingsmyndigheten. Regelverkene vil derfor måtte samsvare i stor grad.
Retten til privatliv slik den fremgår av Den europeiske menneskerettskonvensjonen (EMK) artikkel 8 og Grunnloven § 102 vil i alle tilfeller sette de ytre rammene for hvilke inngrep som kan gjøres i skyldneres og eventuelle tredjepersoners personvern.
1.1 Informasjon om andre krav i utleggstrekket
Departementet foreslår at namsmannen skal opplyse saksøkeren (kreditor) om størrelsen på krav som har lik eller bedre prioritet sammenlignet med saksøkerens krav samt opplyse om størrelsen på disse kravene.
Datatilsynet forstår dette som en utvidelse fra tidligere i adgangen til å dele personopplysninger om skyldneren. Vi kan ikke se at personvernkonsekvensene av forslaget – altså de negative følgene for skyldner – er drøftet i høringsnotatet. Det er også uklart for oss hva oppsiden ved dette konkrete forslaget vil være, ut over en noe større grad av forutsigbarhet for saksøker. Vi legger til grunn at departementet i det videre lovarbeidet utreder personvernkonsekvensene av denne delen av forslaget.
Videre foreslår departementet at kun partene skal få gjenpart av namsboken, slik at den trekkpliktige ikke lenger skal få utskrift av namsboken. Denne endringen begrunnes i at namsboken inneholder overskuddsinformasjon og hensynet til skyldnerens behov for vern av personlige opplysninger. Det foreslås at departementet kan gi nærmere regler i forskrift om den trekkpliktiges plikt til å innhente opplysninger om trekket m.v.
Datatilsynet ser på dette som en positiv regelverksendring. Vi skulle likevel gjerne sett at klare rammer for den trekkpliktiges adgang til å innhente nødvendig informasjon ble fastsatt i innkrevingsloven fremfor i forskrift.
1.2 Namsmannens innhenting av personopplysninger
Departementet foreslår å samle reglene om namsmannens adgang til å pålegge partene og andre en opplysnings- og dokumentasjonsplikt i en ny § 5-7 i tvangsfullbyrdelsesloven. Bestemmelsen foreslås å gjelde for alle typer tvangsfullbyrdelse og på alle stadier av namsmannens behandling av saken. Departementet mener at namsmannen bør ha adgang til å innhente den aktuelle informasjonen selv – selv om partene fortsatt skal ha hovedansvaret for å opplyse saken.
Bakgrunnen for forslaget er at en del av de automatiserte prosessene som høringsforslaget legger opp til fordrer at namsmannen allerede fra mottak av en begjæring får tilgang til en del opplysninger som er av betydning for saken. Departementet angir at en tidlig innhenting av opplysninger vil bidra til å opplyse saken og styrke saksøktes rett til kontradiksjon.
Datatilsynet forstår dette slik at namsmannen skal kunne pålegge en bred opplysnings- og dokumentasjonsplikt, også overfor tredjeparter, på grunn av et ønske om digitalisering og automatiserte prosesser.
Vi er skeptiske til at et mål om digitalisering skal begrunne økt informasjonsflyt. Digitalisering bør etter vår mening skje på bakgrunn av og tilpasses eksisterende regler som blant annet hjemler behandling av personopplysninger. Datatilsynet kan ikke se at et ønske om automatisering av namsmannens virksomhet er en god begrunnelse for å gjøre inngrep i skyldnernes personvern.
Departementet anfører at partene vil kunne oppleve det som en forenkling dersom namsmannen selv opplyser saken gjennom allerede tilgjengelig informasjon, enten via sine egne datasystemer eller ved oppslag mot andre databaser, registre m.v. Departementet viser til at mange opplysninger allerede ligger lagret som strukturerte data hos offentlige organer, banker, forsikringsselskaper og andre tjenestetilbydere som partene har et kunde- eller brukerforhold til, eller i partenes egne datasystemer. Det anføres at det vil være mer effektivt å la namsmannen innhente opplysningene direkte. Departementet angir også at det å la namsmannen selv innhente opplysningene, for eksempel gjennom tilgangsstyrt uthenting av opplysninger fra et register, vil kunne være et mindre inngripende virkemidler enn opplysningsplikt.
Datatilsynet forstår at det vil være effektivt å gi namsmannen myndighet til å opplyse saken direkte. En slik løsning vil imidlertid være langt mer inngripende, og også mindre forutsigbart, overfor skyldnerne. De registrerte kan ikke sies å ha en berettiget forventning om at namsmannen på eget initiativ skal kunne innhente opplysninger om dem. Særlig gjelder dette dersom opplysninger skal kunne hentes fra private virksomheter, som også vil kunne ha et berettiget ønske om å skjerme kundeinformasjon fra offentlige myndigheter. Dersom opplysningene innhentes fra skyldnerne selv, og skyldnerne informeres om hvilke opplysninger tredjeparter pålegges å utlevere om dem, vil skyldnerne beholde en helt annen kontroll over hvilke personopplysninger namsmannen behandler om dem.
Datatilsynet legger til grunn at personvernkonsekvensene av en slik løsning som her foreslås, utredes grundig før departementet går videre med forslaget.
1.3 Innholdet i opplysningsplikten
I høringsnotatet foreslår departementet at namsmannen skal kunne pålegge opplysningsplikt for opplysninger som «kan ha betydning for tvangsfullbyrdelsen». Kravet var tidligere at opplysningene «er nødvendige». Det angis at automatisering kan bli vanskelig hvis det forut for pålegget må konstateres at den etterspurte opplysningen eller beviset faktisk vil få betydning for tvangsfullbyrdelsen.
Departementet mener at det er klare begrensninger i hvilke opplysninger namsmannen kan innhente, selv om ordlyden kan fremstå som vid. Namsmannen må ha behov for opplysningene ved tvangsfullbyrdelsen. Det vises også til at opplysningene som innhentes i hovedsak vil gjelde skyldnerens økonomiske forhold, men også opplysninger om tredjeparters (typisk ektefelle/samboers) økonomi kan innhentes.
Datatilsynet støtter ikke at det skal stilles lavere bevis- og sannsynlighetskrav enn tidligere. Tvangsfullbyrdelse er allerede en svært inngripende prosess overfor skyldner, og vi mener at det derfor bør stilles særlig strenge krav til hvilke opplysninger namsmannen skal kunne hente inn. Vi kan heller ikke se at konsekvensene for tredjeparters personvern er drøftet tilfredsstillende.
Også her mener vi at departementet forsøker å etablere et regelverk som tilpasses behovet for digitalisering og automatisering, på bekostning av grunnleggende personvernhensyn og -prinsipper, i dette tilfellet dataminimering og transparens, jf. personvernforordningen artikkel 5. En automatisert prosess bidrar til liten grad av gjennomsiktighet og forutsigbarhet, både for skyldner og eventuelle tredjeparter.
Departementet foreslår at forvaltningsorganer og andre som handler på vegne av offentlige myndigheter skal ha plikt til å gi slike opplysninger uten hinder av taushetsplikt. Videre foreslås det en særregulering som gir namsmannen adgang til å innhente opplysninger fra Folkeregisteret. Departementet foreslår ikke å videreføre begrensningen i gjeldende rett om at påleggskompetansen overfor tredjepersoner først kan benyttes etter at utleggsbegjæringen er tatt til følge. Dette innebærer en utvidelse av opplysningsplikten.
Samtidig skal det gjelde en begrensning ved at reglene om bevisforbud og bevisfritak i tvisteloven kapittel 22 (med unntak av § 22-3 om taushetsplikt) skal gjelde tilsvarende.
Datatilsynet kjenner ikke tvistelovens regler eller namsmannens virksomhet godt nok til å mene noe om hvilken betydning reglene om bevisforbud og bevisfritak vil få i praksis. Vi er imidlertid skeptiske til at namsmannen får økt adgang til å innhente taushetsbelagt informasjon.
Taushetsplikten er en bærebjelke i befolkningens tillit til offentlige myndigheter. Dersom taushetsplikten utvannes, vil det kunne påvirke befolkningens ønske om og vilje til å dele opplysninger med offentlige organer. Særlig gjelder dette for taushetsbelagte opplysninger om tredjeparter, som ikke engang er part i tvangsforretningen.
Departementet angir som en forutsetning at de automatiserte prosessene som leder frem til et automatisert pålegg bygger på forhåndsbestemte kriterier for hvilke opplysninger namsmannen skal be om og hvem pålegget skal rettes mot. I den forbindelse har det betydning hvilke garantier mot vilkårlighet og misbruk som foreligger. Departementet viser til at et pålegg om å gi opplysninger kan påklages, at den opplysningene gjelder kan be om innsyn i opplysningene og at opplysninger om noens personlige forhold er underlagt lovbestemt taushetsplikt.
Datatilsynet vil påpeke viktigheten av at et pålegg om opplysningsplikt er tilstrekkelig avgrenset. Vi ser på særlig klageadgangen som en viktig personverngaranti. Retten til innsyn og taushetsplikten inntrer først etter at opplysningene er innhentet, og da har inngrepet i skyldners/tredjeparters personvern allerede skjedd.
1.4 Namsmannens deling av personopplysninger
Departementet foreslår at opplysninger som er innhentet av en namsmann kan gjenbrukes i etterfølgende saker og deles med andre namsmenn, dersom opplysningene er av betydning for saken.
I høringsnotatet, fremgår det også at namsmannen kan ha behov for å dele enkelte opplysninger for å kunne innhente opplysninger fra tredjeparter, slik som andre offentlige instanser, banker eller liknende.
Datatilsynet mener at namsmannen i disse tilfellene bør ha en informasjonsplikt overfor skyldner om at deling har skjedd. Det er viktig at de personopplysningene gjelder får kunnskap om hvilke offentlige myndigheter som behandler opplysninger om dem. Kun på denne måten kan de reelt ivareta sine rettigheter.
Departementet legger til grunn at en forskrift som regulerer namsmannens deling av opplysninger med Innkrevingsmyndigheten vil kunne bli gitt med hjemmel i forvaltningsloven § 13 g. Departementet mener også at tvangsfullbyrdelsesloven § 2-6, jf. domstolloven § 63 a, jf. forvaltningsloven § 13 til 13 e, tilstrekkelig til å dekke namsmannens behov for deling av opplysninger når delingen er begrunnet i namsmannens egen oppgaveløsning.
Ifølge departementet, er det på nåværende tidspunkt noe usikkert hvilke opplysninger det er hensiktsmessig at kreditorene selv skal kunne innhente. Departementet foreslår derfor en forskriftshjemmel, slik at det kan fastsettes nærmere regler om hvilke opplysninger
kreditorene skal ha tilgang til og hvordan tilgangen skal gis.
Datatilsynet vil peke på at lovendringer er undergitt en helt annen demokratisk prosess enn forskrifter, som gjør regelverket mindre forutsigbart for dem opplysningene gjelder. Vi mener at rammene for deling av informasjon bør settes direkte i loven. I alle tilfeller, må fremtidige forskrifter som har betydning for personvernrettigheter sendes på bred høring for å sikre at også skyldnernes og tredjeparters personvern ivaretas i regelverket.
1.5 Automatisert saksbehandling, sammenstilling og profilering
Det fremgår av høringsnotatet at tvangsfullbyrdelsesloven per i dag ikke inneholder bestemmelser som uttrykkelig regulerer automatisert behandling, eller muligheten til å treffe beslutninger basert på automatisert behandling.
Departementet foreslår en ny bestemmelse som gir namsmannen en klar hjemmel for automatisert saksbehandling, der det lovfestes at namsmannen kan sammenstille opplysninger som er innhentet samt at opplysningene kan bli brukt til profilering. Ved profilering, vil personopplysninger bli brukt for å forutberegne adferd eller behov.
Formålet med forslaget er blant annet å legge til rette for en effektiv, enhetlig og korrekt saksbehandling. Systemet vil sørge for at saksbehandlingsreglene følges, og ved automatiserte avgjørelser vil like saker bli behandlet likt. Det er foreslått at partene skal kunne kreve manuell overprøving av avgjørelsene.
Departementet foreslår å presisere at en avgjørelse som utelukkende er basert på automatisert behandling ikke kan bygge på skjønnsmessige vilkår, med mindre avgjørelsen er utvilsom. Departementet ser også at det kan være behov for å presisere det nærmere innholdet i enkelte automatiserte behandlinger i forskrift.
Departementet mener at de samfunnsmessige hensynene ved automatiserte behandlinger av personopplysninger veier tyngre enn personvernhensynene.
Datatilsynet påpeker at slik behandling av personopplysninger i seg selv medfører særlige personvernrisikoer. Det er derfor viktig at adgangen til å fatte helautomatiserte avgjørelser er tydelig regulert i lov.
Vi kan ikke se at mulige ulemper ved automatisert saksbehandling er problematisert. Ved feil i algoritmen, vil også avgjørelsene bli feil. Det er også viktig å unngå skjevhet i materialet algoritmen bygger på. Jo større grad av automatisering, jo viktigere er det å ta inn nødvendige rettssikkerhetsgarantier. Det foreligger ikke i forslaget slik det er formulert nå.
Ved automatiserte beslutninger, kan det være vanskelig å ivareta kravet til åpenhet og forutsigbarhet om hvordan avgjørelsen er fattet. Vi ser derfor retten til manuell overprøving som en viktig garanti.
Videre er det uklart for oss i hvilke tilfeller en avgjørelse som innebærer bruk av skjønn kan anses «utvilsom». Vi legger til grunn at dette er avgjørelsestyper der det kan være aktuelt å regulere behandlingen nærmere i forskrift. Dette vil gi partene en større grad av forutsigbarhet.
Ut fra et personvernperspektiv, er særlig profilering å anse som høyrisiko. Gjennom profilering, vil personer bli plassert i en gitt kategori uten at dette nødvendigvis er kjent for dem, eller at det er forståelig eller forutsigbart for dem hvorfor en slik kategorisering har skjedd. Ofte er det vanskelig å skille årsak/virkning fra tilfeldige variasjoner. Presise, kunnskapsbaserte kriterier vil være særlig viktige dersom det er aktuelt å gjennomføre automatisk profilering.
Datatilsynet vil også bemerke at alle offentlige oppgaver som utgangspunkt er viktige. Det kan likevel ikke bety at personvernhensyn alltid må vike. Vi mener at ulempene ved automatisert behandling av personopplysninger ikke er tilstrekkelig drøftet. Det er viktig at hensynet til effektivitet i forvaltningen ikke går på bekostning av grunnleggende personvernhensyn.
2. Lov om innkreving av statlige krav mv. (innkrevingsloven)
Gjennom lovforslaget, vil reglene for Skatteetatens innkrevingsoppgaver samles i én lov under én innkrevingsmyndighet. I høringsnotatet, fremgår det at hovedformålet med den nye innkrevingsloven er å få en samordnet og moderne lov med et oversiktlig og brukervennlig regelverk for skyldnerne, Innkrevingsmyndigheten og andre brukere. Loven skal også legge til rette for digitale prosesser.
Departementet angir at innkreving av pengekrav innebærer bruk av til dels inngripende virkemidler overfor skyldnerne. Det er derfor svært viktig ivareta skyldnernes interesser på en god måte. Skyldneren skal blant annet ha mulighet til å ivareta sine interesser gjennom for eksempel innsyns-, uttale- og klagerett. Hensynet til skyldners interesser må samtidig balanseres mot hensynet til en effektiv innkreving
Ved utformingen av forskriftshjemler, skal disse i størst mulig grad knyttes opp mot den aktuelle lovbestemmelsen. Departementet tar sikte på at forskriftene som gis i medhold av loven samles i en samleforskrift. Forskriften skal uttømmende angi hvilke krav som omfattes av innkrevingsloven. Forslag til samleforskrift vil sendes på høring senere.
2.1 Innholdet i opplysningsplikten
Departementet angir at skyldners opplysningsplikt etter ny innkrevingslov i det vesentlige bør tilsvare den opplysningsplikten som foreslås i tvangsfullbyrdelsesloven § 5-7. Det innebærer at opplysnings- og dokumentasjonsplikten vil gjelde for opplysninger som «har betydning» for tvangsfullbyrdelsen. Etter departementets vurdering, er det viktig ikke å sette for snevre rammer for skyldners opplysnings- og dokumentasjonsplikt.
Videre foreslås det at enhver tredjepart plikter etter krav å gi opplysninger som kan ha
betydning for innkrevingen. Etter departementets vurdering, vil det være tilnærmet umulig å gi en uttømmende angivelse av hvilke aktører som bør omfattes av opplysningsplikten til enhver tid. Departementet foreslår derfor at opplysningsplikten skal gjelde for enhver tredjepart. Opplysningsplikten er ikke avgrenset til opplysninger om skyldner, men vil også kunne omfatte tredjeparter.
Departementet foreslår at opplysningsplikten som hovedregel skal gjelde etter pålegg fra Innkrevingsmyndigheten, slik den gjør i dag og vil gjøre etter tvangsfullbyrdelsesloven § 5-7, jf. punkt 1.3 over.
Når det gjelder advokater og andre tredjeparter ut over offentlige myndigheter, foreslår departementet at disse etter krav fra Innkrevingsmyndigheten plikter å gi opplysninger om pengeoverføringer, innskudd og hvem som er parter i pengeoverføringene på deres konti tilhørende skyldner. Plikten skal gjelde uten hinder av lovbestemt taushetsplikt.
Videre foreslår departementet at folkeregistermyndigheten etter pålegg og uten hinder av
taushetsplikt skal gi de opplysningene som er nødvendige for Innkrevingsmyndighetens arbeid.
Etter forslaget, vil opplysningsplikten for de fleste kravstyper inntre på et tidligere tidspunkt enn i dag. Departementet mener at dette ikke er nevneverdig mer inngripende overfor skyldner.
Datatilsynet viser til våre kommentarer gitt i punkt 1.3 over, både når det gjelder omfanget av opplysningsplikten og unntakene fra taushetsplikten.
I høringsnotatet er det også foreslått at opplysningsplikten skal omfatte helseopplysninger. Departementet legger til grunn at dette som regel vil være opplysninger skyldner har en klar egeninteresse i å legge frem, for eksempel ved søknad om betalingsutsettelse.
Prinsipielt og prinsipalt mener Datatilsynet at skyldner ikke skal ha plikt til å fremlegge helseopplysninger om seg selv. Dersom dette likevel besluttes, bemerker Datatilsynet at helseopplysninger er en såkalt særlig kategori av personopplysninger, jf. personvernforordningen artikkel 9 og det er viktig at det reguleres tydelig i lov at dette er opplysninger som Innkrevingsmyndigheten har hjemmel til å behandle.
Departementet mener at helseopplysninger kan være relevante for eksempel i forbindelse med en søknad om betalingsutsettelse. Dersom skyldner ikke ønsker å legge frem helseopplysninger, vil det kunne slå ut i hens disfavør. Vi mener likevel at det bør være opp til skyldner å avgjøre om det er ønskelig å legge frem så sensitiv informasjon. Datatilsynet mener derfor at opplysningsplikten ikke bør omfatte helseopplysninger.
Departementet foreslår at det i forskrift kan bestemmes hvilke offentlige myndigheter som skal ha opplysningsplikt uten hinder av taushetsplikt og hvilke opplysninger de plikter å gi.
Datatilsynet ser positivt på en slik forskriftshjemmel, da det vil bidra til noe mer forutsigbarhet rundt hvilke opplysninger som kan kreves fra hvilke organer. Gjennom en høringsrunde, vil også departementet kunne få innspill til best mulige rammer for opplysningsplikten.
Departementet foreslår også en hjemmel til å gi forskrift om ukrevd opplysningsplikt for visse tredjeparter. Departementet peker på målsettingen om at Innkrevingsmyndighetens saksbehandling i størst mulig grad skal automatiseres og digitaliseres. En ukrevd opplysningsplikt vil effektivisere myndighetens arbeid og redusere saksbehandlingstiden. Departementet mener at regelverket bør ta høyde for en slik utvikling. Departementet angir at det er nødvendig at det reguleres nærmere i forskrift hvilke aktører som er underlagt denne plikten og hvilke opplysninger de plikter å gi. NAV og Skatteetaten er nevnt som aktuelle aktører.
Datatilsynet er i utgangspunktet skeptisk til at en vid forskriftshjemmel fastsettes i lov, uten at personvernkonsekvensene av rammebestemmelsen er tilstrekkelig utredet. En ukrevd opplysningsplikt innebærer et stort inngrep i skyldners og eventuelt tredjeparters personvern, og det er lite forutsigbart for de registrerte.
Dersom en slik ukrevd opplysningsplikt skal vedtas, er det er likevel positivt at det skal eksplisitt reguleres hvilke aktører som er omfattet av plikten og hvilke opplysninger de plikter å gi. Ettersom inngrepet i personvernet må anses å være stort, er det viktig at regelverket er tydelig og tilstrekkelig presist.
2.2 Automatisert saksbehandling, sammenstilling og profilering
Som det fremgår i høringsnotatet, tydeliggjorde en lovendring vedtatt 22. desember 2021 Skatteetatens adgang til å sammenstille personopplysninger, gjennomføre profilering og treffe automatiserte avgjørelser. Datatilsynet avga høringsuttalelse til forslaget. [1] Fra vår uttalelse, vil vi gjengi synspunktene om at lovforslaget i liten grad oppfylte personvernforordningens krav til gjennomsiktighet, rimelighet og formålsbestemthet. Vi viser ellers til høringsuttalelsen i sin helhet.
Etter høringsforslaget, skal Innkrevingsmyndigheten kunne sammenstille innhentede personopplysninger når det er nødvendig for deres arbeid, «herunder til kontroll-, veilednings-, analyse- og statistikkformål», jf. forslaget til innkrevingsloven § 11. Dette innebærer også adgang til behandling av personopplysninger som nevnt i personvernforordningen artikkel 9 og 10. Innkrevingsmyndigheten få samme adgang til sammenstilling, profilering og å treffe helautomatiserte avgjørelser som Skatteetaten har i dag. Dette innebærer en utvidelse for enkelte kravstyper.
Datatilsynet vil påpeke at formålsangivelsen nærmest er ubegrenset. Analyse- og statistikkformål vil typisk ikke anses som en spesielt inngripende viderebehandling av personopplysninger. For kontrollformål, er imidlertid utgangspunktet det motsatte. Kontroll- og innkrevingsformål er svært inngripende overfor den registrerte. Datatilsynet er derfor skeptisk til at Innkrevingsmyndigheten skal ha svært vide adganger til å viderebruke og sammenstille opplysninger til denne typen formål.
Departementet foreslår at Innkrevingsmyndigheten kan treffe avgjørelser som utelukkende er
basert på automatisert behandling. Innholdsmessig vil bestemmelsen i all hovedsak tilsvare namsmannens myndighet, jf. punkt 1.5 over. Datatilsynet viser derfor til drøftelsen i punkt 1.5, og merknadene her som vil gjelde tilsvarende.
Når det gjelder profilering, vil Innkrevingsmyndigheten etter forslaget kunne bruke innhentede personopplysninger til profilering når profileringen er nødvendig for å målrette tiltak som fremmer etterlevelse av loven.
Dersom regelverket skal åpne opp for bruk av personopplysninger til profilering, ser Datatilsynet positivt på at lovbestemmelsen inneholder en tydelig formålsangivelse. Vi vil likevel vise til våre kommentarer i punkt 1.5 over.
Departementet foreslår også å videreføre bestemmelsen om bruk av personopplysninger til utvikling og testing av IT-systemer dersom det vil være umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller fiktive opplysninger.
Her vil Datatilsynet igjen vise til vår høringsuttalelse til lovendringen som ble vedtatt 22. desember 2021.
2.3 Innkrevingsmyndighetens utlevering av personopplysninger
I høringsnotatet, fremgår det at det i dag utleveres det en rekke opplysninger mellom de ulike innkrevingsmyndighetene. Etter forslaget, vil behovet for deling av opplysninger bli mindre.
Innkrevingsmyndigheten vil likevel kunne ha behov for å utlevere opplysninger, for eksempel til andre forvaltningsmyndigheter, til domstolsapparatet og til enkelte tredjepersoner.
Departementet angir at det i dag gjelder ulike regler for taushetsplikt for innkrevingsmyndighetene i Skatteetaten. Ifølge departementet, bør gjelde reglene om taushetsplikt gjelde likt uavhengig av hvilke innkrevingstiltak som gjennomføres. Videre er det viktig at reglene ikke åpner for at opplysninger som er underlagt taushetsplikt ved fastsetting av kravet kan gis ut dersom kravet går til innkreving.
Datatilsynet ser positivt på at taushetsplikten sikres gjennom de ulike stadiene av en innkrevingsprosess. Vi ser også at det kan være behov for å harmonisere reglene om taushetsplikt. Dette vil gjøre regelverket mer forutsigbart for partene.
Departementet mener også at regler om utlevering av opplysninger bør tas inn i samleforskriften. Ifølge departementet, vil dette vil redusere behovet for konkrete skjønnsmessige vurderinger knyttet til enkelttilfeller.
Datatilsynet støtter en tydelig regulering av hvilke opplysninger det skal være adgang til å gi ut til hvilke aktører. Vi mener at rammene med fordel kan fastsettes direkte i loven, da lovendringer er gjenstand for en annen demokratisk prosess enn forskrifter.
3. Praktisk informasjon
Dersom noe er uklart, eller dere ønsker våre synspunkter utdypet, kan dere ta kontakt med saksbehandler Susanne Lie ( suli@datatilsynet.no ).
- etablering av ett utleggstrekk og modernisering av utleggsprosessen i tvangsfullbyrdelsesloven og
- lov om innkreving av statlige krav mv. (innkrevingsloven).
Flere av forslagene som fremgår av de to høringsnotatene er, slik Datatilsynet forstår det, begrunnet i et ønske om modernisering og forenkling av dagens regelverk og beskriver et mål om økt digitalisering av prosesser for å oppnå dette på. Vi registrerer imidlertid at dette på flere områder også medfører økt informasjonsinnhenting og informasjonsflyt. På generelt og prinsipielt grunnlag er Datatilsynet svært skeptiske til at et mål om digitalisering skal begrunne økt informasjonsflyt. All digitalisering av eksisterende prosesser må, slik vi ser det, skje på bakgrunn av og tilpasses det eksisterende personvernregelverket.
Det er også en gjennomgående svakhet ved de to forslagene at personvernkonsekvensene ikke er tilstrekkelig drøftet og vurdert. Datatilsynet anerkjenner at alle offentlige oppgaver som utgangspunkt er viktige. Det kan likevel ikke bety at personvernhensyn alltid må vike. Vi mener at flere av forslagene ikke i tilstrekkelig grad vurderer og drøfter personvernulempene og at dette må gjøres før forslagene eventuelt vedtas. I dagens digitale samfunn er det svært viktig at hensynet til effektivitet i forvaltningen ikke går på bekostning av grunnleggende personvernhensyn.
Under følger vår høringsuttalelse. Vi vil kommentere de delene av forslaget som angår behandling av personopplysninger.
1. Etablering av ett utleggstrekk og modernisering av utleggsprosessen i tvangsfullbyrdelsesloven
I høringsnotatet, fremgår det at formålet med de foreslåtte lovendringene er å tilrettelegge for effektiv informasjonsforvaltning og automatiserte saksbehandlingsprosesser i forbindelse med Skatteetatens innkrevingsvirksomhet.
Som ledd i dette, foreslår Finansdepartementet at reglene for Skatteetatens innkrevingsoppgaver samles i innkrevingsloven, under én innkrevingsmyndighet som skal betegnes Innkrevingsmyndigheten. Personvernregelverket vil gjelde for den nye Innkrevingsmyndigheten.
Etter forslaget, legges det opp til en høy grad av felles systemløsninger og stor informasjonsutveksling mellom namsmannen og Innkrevingsmyndigheten. Regelverkene vil derfor måtte samsvare i stor grad.
Retten til privatliv slik den fremgår av Den europeiske menneskerettskonvensjonen (EMK) artikkel 8 og Grunnloven § 102 vil i alle tilfeller sette de ytre rammene for hvilke inngrep som kan gjøres i skyldneres og eventuelle tredjepersoners personvern.
1.1 Informasjon om andre krav i utleggstrekket
Departementet foreslår at namsmannen skal opplyse saksøkeren (kreditor) om størrelsen på krav som har lik eller bedre prioritet sammenlignet med saksøkerens krav samt opplyse om størrelsen på disse kravene.
Datatilsynet forstår dette som en utvidelse fra tidligere i adgangen til å dele personopplysninger om skyldneren. Vi kan ikke se at personvernkonsekvensene av forslaget – altså de negative følgene for skyldner – er drøftet i høringsnotatet. Det er også uklart for oss hva oppsiden ved dette konkrete forslaget vil være, ut over en noe større grad av forutsigbarhet for saksøker. Vi legger til grunn at departementet i det videre lovarbeidet utreder personvernkonsekvensene av denne delen av forslaget.
Videre foreslår departementet at kun partene skal få gjenpart av namsboken, slik at den trekkpliktige ikke lenger skal få utskrift av namsboken. Denne endringen begrunnes i at namsboken inneholder overskuddsinformasjon og hensynet til skyldnerens behov for vern av personlige opplysninger. Det foreslås at departementet kan gi nærmere regler i forskrift om den trekkpliktiges plikt til å innhente opplysninger om trekket m.v.
Datatilsynet ser på dette som en positiv regelverksendring. Vi skulle likevel gjerne sett at klare rammer for den trekkpliktiges adgang til å innhente nødvendig informasjon ble fastsatt i innkrevingsloven fremfor i forskrift.
1.2 Namsmannens innhenting av personopplysninger
Departementet foreslår å samle reglene om namsmannens adgang til å pålegge partene og andre en opplysnings- og dokumentasjonsplikt i en ny § 5-7 i tvangsfullbyrdelsesloven. Bestemmelsen foreslås å gjelde for alle typer tvangsfullbyrdelse og på alle stadier av namsmannens behandling av saken. Departementet mener at namsmannen bør ha adgang til å innhente den aktuelle informasjonen selv – selv om partene fortsatt skal ha hovedansvaret for å opplyse saken.
Bakgrunnen for forslaget er at en del av de automatiserte prosessene som høringsforslaget legger opp til fordrer at namsmannen allerede fra mottak av en begjæring får tilgang til en del opplysninger som er av betydning for saken. Departementet angir at en tidlig innhenting av opplysninger vil bidra til å opplyse saken og styrke saksøktes rett til kontradiksjon.
Datatilsynet forstår dette slik at namsmannen skal kunne pålegge en bred opplysnings- og dokumentasjonsplikt, også overfor tredjeparter, på grunn av et ønske om digitalisering og automatiserte prosesser.
Vi er skeptiske til at et mål om digitalisering skal begrunne økt informasjonsflyt. Digitalisering bør etter vår mening skje på bakgrunn av og tilpasses eksisterende regler som blant annet hjemler behandling av personopplysninger. Datatilsynet kan ikke se at et ønske om automatisering av namsmannens virksomhet er en god begrunnelse for å gjøre inngrep i skyldnernes personvern.
Departementet anfører at partene vil kunne oppleve det som en forenkling dersom namsmannen selv opplyser saken gjennom allerede tilgjengelig informasjon, enten via sine egne datasystemer eller ved oppslag mot andre databaser, registre m.v. Departementet viser til at mange opplysninger allerede ligger lagret som strukturerte data hos offentlige organer, banker, forsikringsselskaper og andre tjenestetilbydere som partene har et kunde- eller brukerforhold til, eller i partenes egne datasystemer. Det anføres at det vil være mer effektivt å la namsmannen innhente opplysningene direkte. Departementet angir også at det å la namsmannen selv innhente opplysningene, for eksempel gjennom tilgangsstyrt uthenting av opplysninger fra et register, vil kunne være et mindre inngripende virkemidler enn opplysningsplikt.
Datatilsynet forstår at det vil være effektivt å gi namsmannen myndighet til å opplyse saken direkte. En slik løsning vil imidlertid være langt mer inngripende, og også mindre forutsigbart, overfor skyldnerne. De registrerte kan ikke sies å ha en berettiget forventning om at namsmannen på eget initiativ skal kunne innhente opplysninger om dem. Særlig gjelder dette dersom opplysninger skal kunne hentes fra private virksomheter, som også vil kunne ha et berettiget ønske om å skjerme kundeinformasjon fra offentlige myndigheter. Dersom opplysningene innhentes fra skyldnerne selv, og skyldnerne informeres om hvilke opplysninger tredjeparter pålegges å utlevere om dem, vil skyldnerne beholde en helt annen kontroll over hvilke personopplysninger namsmannen behandler om dem.
Datatilsynet legger til grunn at personvernkonsekvensene av en slik løsning som her foreslås, utredes grundig før departementet går videre med forslaget.
1.3 Innholdet i opplysningsplikten
I høringsnotatet foreslår departementet at namsmannen skal kunne pålegge opplysningsplikt for opplysninger som «kan ha betydning for tvangsfullbyrdelsen». Kravet var tidligere at opplysningene «er nødvendige». Det angis at automatisering kan bli vanskelig hvis det forut for pålegget må konstateres at den etterspurte opplysningen eller beviset faktisk vil få betydning for tvangsfullbyrdelsen.
Departementet mener at det er klare begrensninger i hvilke opplysninger namsmannen kan innhente, selv om ordlyden kan fremstå som vid. Namsmannen må ha behov for opplysningene ved tvangsfullbyrdelsen. Det vises også til at opplysningene som innhentes i hovedsak vil gjelde skyldnerens økonomiske forhold, men også opplysninger om tredjeparters (typisk ektefelle/samboers) økonomi kan innhentes.
Datatilsynet støtter ikke at det skal stilles lavere bevis- og sannsynlighetskrav enn tidligere. Tvangsfullbyrdelse er allerede en svært inngripende prosess overfor skyldner, og vi mener at det derfor bør stilles særlig strenge krav til hvilke opplysninger namsmannen skal kunne hente inn. Vi kan heller ikke se at konsekvensene for tredjeparters personvern er drøftet tilfredsstillende.
Også her mener vi at departementet forsøker å etablere et regelverk som tilpasses behovet for digitalisering og automatisering, på bekostning av grunnleggende personvernhensyn og -prinsipper, i dette tilfellet dataminimering og transparens, jf. personvernforordningen artikkel 5. En automatisert prosess bidrar til liten grad av gjennomsiktighet og forutsigbarhet, både for skyldner og eventuelle tredjeparter.
Departementet foreslår at forvaltningsorganer og andre som handler på vegne av offentlige myndigheter skal ha plikt til å gi slike opplysninger uten hinder av taushetsplikt. Videre foreslås det en særregulering som gir namsmannen adgang til å innhente opplysninger fra Folkeregisteret. Departementet foreslår ikke å videreføre begrensningen i gjeldende rett om at påleggskompetansen overfor tredjepersoner først kan benyttes etter at utleggsbegjæringen er tatt til følge. Dette innebærer en utvidelse av opplysningsplikten.
Samtidig skal det gjelde en begrensning ved at reglene om bevisforbud og bevisfritak i tvisteloven kapittel 22 (med unntak av § 22-3 om taushetsplikt) skal gjelde tilsvarende.
Datatilsynet kjenner ikke tvistelovens regler eller namsmannens virksomhet godt nok til å mene noe om hvilken betydning reglene om bevisforbud og bevisfritak vil få i praksis. Vi er imidlertid skeptiske til at namsmannen får økt adgang til å innhente taushetsbelagt informasjon.
Taushetsplikten er en bærebjelke i befolkningens tillit til offentlige myndigheter. Dersom taushetsplikten utvannes, vil det kunne påvirke befolkningens ønske om og vilje til å dele opplysninger med offentlige organer. Særlig gjelder dette for taushetsbelagte opplysninger om tredjeparter, som ikke engang er part i tvangsforretningen.
Departementet angir som en forutsetning at de automatiserte prosessene som leder frem til et automatisert pålegg bygger på forhåndsbestemte kriterier for hvilke opplysninger namsmannen skal be om og hvem pålegget skal rettes mot. I den forbindelse har det betydning hvilke garantier mot vilkårlighet og misbruk som foreligger. Departementet viser til at et pålegg om å gi opplysninger kan påklages, at den opplysningene gjelder kan be om innsyn i opplysningene og at opplysninger om noens personlige forhold er underlagt lovbestemt taushetsplikt.
Datatilsynet vil påpeke viktigheten av at et pålegg om opplysningsplikt er tilstrekkelig avgrenset. Vi ser på særlig klageadgangen som en viktig personverngaranti. Retten til innsyn og taushetsplikten inntrer først etter at opplysningene er innhentet, og da har inngrepet i skyldners/tredjeparters personvern allerede skjedd.
1.4 Namsmannens deling av personopplysninger
Departementet foreslår at opplysninger som er innhentet av en namsmann kan gjenbrukes i etterfølgende saker og deles med andre namsmenn, dersom opplysningene er av betydning for saken.
I høringsnotatet, fremgår det også at namsmannen kan ha behov for å dele enkelte opplysninger for å kunne innhente opplysninger fra tredjeparter, slik som andre offentlige instanser, banker eller liknende.
Datatilsynet mener at namsmannen i disse tilfellene bør ha en informasjonsplikt overfor skyldner om at deling har skjedd. Det er viktig at de personopplysningene gjelder får kunnskap om hvilke offentlige myndigheter som behandler opplysninger om dem. Kun på denne måten kan de reelt ivareta sine rettigheter.
Departementet legger til grunn at en forskrift som regulerer namsmannens deling av opplysninger med Innkrevingsmyndigheten vil kunne bli gitt med hjemmel i forvaltningsloven § 13 g. Departementet mener også at tvangsfullbyrdelsesloven § 2-6, jf. domstolloven § 63 a, jf. forvaltningsloven § 13 til 13 e, tilstrekkelig til å dekke namsmannens behov for deling av opplysninger når delingen er begrunnet i namsmannens egen oppgaveløsning.
Ifølge departementet, er det på nåværende tidspunkt noe usikkert hvilke opplysninger det er hensiktsmessig at kreditorene selv skal kunne innhente. Departementet foreslår derfor en forskriftshjemmel, slik at det kan fastsettes nærmere regler om hvilke opplysninger
kreditorene skal ha tilgang til og hvordan tilgangen skal gis.
Datatilsynet vil peke på at lovendringer er undergitt en helt annen demokratisk prosess enn forskrifter, som gjør regelverket mindre forutsigbart for dem opplysningene gjelder. Vi mener at rammene for deling av informasjon bør settes direkte i loven. I alle tilfeller, må fremtidige forskrifter som har betydning for personvernrettigheter sendes på bred høring for å sikre at også skyldnernes og tredjeparters personvern ivaretas i regelverket.
1.5 Automatisert saksbehandling, sammenstilling og profilering
Det fremgår av høringsnotatet at tvangsfullbyrdelsesloven per i dag ikke inneholder bestemmelser som uttrykkelig regulerer automatisert behandling, eller muligheten til å treffe beslutninger basert på automatisert behandling.
Departementet foreslår en ny bestemmelse som gir namsmannen en klar hjemmel for automatisert saksbehandling, der det lovfestes at namsmannen kan sammenstille opplysninger som er innhentet samt at opplysningene kan bli brukt til profilering. Ved profilering, vil personopplysninger bli brukt for å forutberegne adferd eller behov.
Formålet med forslaget er blant annet å legge til rette for en effektiv, enhetlig og korrekt saksbehandling. Systemet vil sørge for at saksbehandlingsreglene følges, og ved automatiserte avgjørelser vil like saker bli behandlet likt. Det er foreslått at partene skal kunne kreve manuell overprøving av avgjørelsene.
Departementet foreslår å presisere at en avgjørelse som utelukkende er basert på automatisert behandling ikke kan bygge på skjønnsmessige vilkår, med mindre avgjørelsen er utvilsom. Departementet ser også at det kan være behov for å presisere det nærmere innholdet i enkelte automatiserte behandlinger i forskrift.
Departementet mener at de samfunnsmessige hensynene ved automatiserte behandlinger av personopplysninger veier tyngre enn personvernhensynene.
Datatilsynet påpeker at slik behandling av personopplysninger i seg selv medfører særlige personvernrisikoer. Det er derfor viktig at adgangen til å fatte helautomatiserte avgjørelser er tydelig regulert i lov.
Vi kan ikke se at mulige ulemper ved automatisert saksbehandling er problematisert. Ved feil i algoritmen, vil også avgjørelsene bli feil. Det er også viktig å unngå skjevhet i materialet algoritmen bygger på. Jo større grad av automatisering, jo viktigere er det å ta inn nødvendige rettssikkerhetsgarantier. Det foreligger ikke i forslaget slik det er formulert nå.
Ved automatiserte beslutninger, kan det være vanskelig å ivareta kravet til åpenhet og forutsigbarhet om hvordan avgjørelsen er fattet. Vi ser derfor retten til manuell overprøving som en viktig garanti.
Videre er det uklart for oss i hvilke tilfeller en avgjørelse som innebærer bruk av skjønn kan anses «utvilsom». Vi legger til grunn at dette er avgjørelsestyper der det kan være aktuelt å regulere behandlingen nærmere i forskrift. Dette vil gi partene en større grad av forutsigbarhet.
Ut fra et personvernperspektiv, er særlig profilering å anse som høyrisiko. Gjennom profilering, vil personer bli plassert i en gitt kategori uten at dette nødvendigvis er kjent for dem, eller at det er forståelig eller forutsigbart for dem hvorfor en slik kategorisering har skjedd. Ofte er det vanskelig å skille årsak/virkning fra tilfeldige variasjoner. Presise, kunnskapsbaserte kriterier vil være særlig viktige dersom det er aktuelt å gjennomføre automatisk profilering.
Datatilsynet vil også bemerke at alle offentlige oppgaver som utgangspunkt er viktige. Det kan likevel ikke bety at personvernhensyn alltid må vike. Vi mener at ulempene ved automatisert behandling av personopplysninger ikke er tilstrekkelig drøftet. Det er viktig at hensynet til effektivitet i forvaltningen ikke går på bekostning av grunnleggende personvernhensyn.
2. Lov om innkreving av statlige krav mv. (innkrevingsloven)
Gjennom lovforslaget, vil reglene for Skatteetatens innkrevingsoppgaver samles i én lov under én innkrevingsmyndighet. I høringsnotatet, fremgår det at hovedformålet med den nye innkrevingsloven er å få en samordnet og moderne lov med et oversiktlig og brukervennlig regelverk for skyldnerne, Innkrevingsmyndigheten og andre brukere. Loven skal også legge til rette for digitale prosesser.
Departementet angir at innkreving av pengekrav innebærer bruk av til dels inngripende virkemidler overfor skyldnerne. Det er derfor svært viktig ivareta skyldnernes interesser på en god måte. Skyldneren skal blant annet ha mulighet til å ivareta sine interesser gjennom for eksempel innsyns-, uttale- og klagerett. Hensynet til skyldners interesser må samtidig balanseres mot hensynet til en effektiv innkreving
Ved utformingen av forskriftshjemler, skal disse i størst mulig grad knyttes opp mot den aktuelle lovbestemmelsen. Departementet tar sikte på at forskriftene som gis i medhold av loven samles i en samleforskrift. Forskriften skal uttømmende angi hvilke krav som omfattes av innkrevingsloven. Forslag til samleforskrift vil sendes på høring senere.
2.1 Innholdet i opplysningsplikten
Departementet angir at skyldners opplysningsplikt etter ny innkrevingslov i det vesentlige bør tilsvare den opplysningsplikten som foreslås i tvangsfullbyrdelsesloven § 5-7. Det innebærer at opplysnings- og dokumentasjonsplikten vil gjelde for opplysninger som «har betydning» for tvangsfullbyrdelsen. Etter departementets vurdering, er det viktig ikke å sette for snevre rammer for skyldners opplysnings- og dokumentasjonsplikt.
Videre foreslås det at enhver tredjepart plikter etter krav å gi opplysninger som kan ha
betydning for innkrevingen. Etter departementets vurdering, vil det være tilnærmet umulig å gi en uttømmende angivelse av hvilke aktører som bør omfattes av opplysningsplikten til enhver tid. Departementet foreslår derfor at opplysningsplikten skal gjelde for enhver tredjepart. Opplysningsplikten er ikke avgrenset til opplysninger om skyldner, men vil også kunne omfatte tredjeparter.
Departementet foreslår at opplysningsplikten som hovedregel skal gjelde etter pålegg fra Innkrevingsmyndigheten, slik den gjør i dag og vil gjøre etter tvangsfullbyrdelsesloven § 5-7, jf. punkt 1.3 over.
Når det gjelder advokater og andre tredjeparter ut over offentlige myndigheter, foreslår departementet at disse etter krav fra Innkrevingsmyndigheten plikter å gi opplysninger om pengeoverføringer, innskudd og hvem som er parter i pengeoverføringene på deres konti tilhørende skyldner. Plikten skal gjelde uten hinder av lovbestemt taushetsplikt.
Videre foreslår departementet at folkeregistermyndigheten etter pålegg og uten hinder av
taushetsplikt skal gi de opplysningene som er nødvendige for Innkrevingsmyndighetens arbeid.
Etter forslaget, vil opplysningsplikten for de fleste kravstyper inntre på et tidligere tidspunkt enn i dag. Departementet mener at dette ikke er nevneverdig mer inngripende overfor skyldner.
Datatilsynet viser til våre kommentarer gitt i punkt 1.3 over, både når det gjelder omfanget av opplysningsplikten og unntakene fra taushetsplikten.
I høringsnotatet er det også foreslått at opplysningsplikten skal omfatte helseopplysninger. Departementet legger til grunn at dette som regel vil være opplysninger skyldner har en klar egeninteresse i å legge frem, for eksempel ved søknad om betalingsutsettelse.
Prinsipielt og prinsipalt mener Datatilsynet at skyldner ikke skal ha plikt til å fremlegge helseopplysninger om seg selv. Dersom dette likevel besluttes, bemerker Datatilsynet at helseopplysninger er en såkalt særlig kategori av personopplysninger, jf. personvernforordningen artikkel 9 og det er viktig at det reguleres tydelig i lov at dette er opplysninger som Innkrevingsmyndigheten har hjemmel til å behandle.
Departementet mener at helseopplysninger kan være relevante for eksempel i forbindelse med en søknad om betalingsutsettelse. Dersom skyldner ikke ønsker å legge frem helseopplysninger, vil det kunne slå ut i hens disfavør. Vi mener likevel at det bør være opp til skyldner å avgjøre om det er ønskelig å legge frem så sensitiv informasjon. Datatilsynet mener derfor at opplysningsplikten ikke bør omfatte helseopplysninger.
Departementet foreslår at det i forskrift kan bestemmes hvilke offentlige myndigheter som skal ha opplysningsplikt uten hinder av taushetsplikt og hvilke opplysninger de plikter å gi.
Datatilsynet ser positivt på en slik forskriftshjemmel, da det vil bidra til noe mer forutsigbarhet rundt hvilke opplysninger som kan kreves fra hvilke organer. Gjennom en høringsrunde, vil også departementet kunne få innspill til best mulige rammer for opplysningsplikten.
Departementet foreslår også en hjemmel til å gi forskrift om ukrevd opplysningsplikt for visse tredjeparter. Departementet peker på målsettingen om at Innkrevingsmyndighetens saksbehandling i størst mulig grad skal automatiseres og digitaliseres. En ukrevd opplysningsplikt vil effektivisere myndighetens arbeid og redusere saksbehandlingstiden. Departementet mener at regelverket bør ta høyde for en slik utvikling. Departementet angir at det er nødvendig at det reguleres nærmere i forskrift hvilke aktører som er underlagt denne plikten og hvilke opplysninger de plikter å gi. NAV og Skatteetaten er nevnt som aktuelle aktører.
Datatilsynet er i utgangspunktet skeptisk til at en vid forskriftshjemmel fastsettes i lov, uten at personvernkonsekvensene av rammebestemmelsen er tilstrekkelig utredet. En ukrevd opplysningsplikt innebærer et stort inngrep i skyldners og eventuelt tredjeparters personvern, og det er lite forutsigbart for de registrerte.
Dersom en slik ukrevd opplysningsplikt skal vedtas, er det er likevel positivt at det skal eksplisitt reguleres hvilke aktører som er omfattet av plikten og hvilke opplysninger de plikter å gi. Ettersom inngrepet i personvernet må anses å være stort, er det viktig at regelverket er tydelig og tilstrekkelig presist.
2.2 Automatisert saksbehandling, sammenstilling og profilering
Som det fremgår i høringsnotatet, tydeliggjorde en lovendring vedtatt 22. desember 2021 Skatteetatens adgang til å sammenstille personopplysninger, gjennomføre profilering og treffe automatiserte avgjørelser. Datatilsynet avga høringsuttalelse til forslaget. [1] Fra vår uttalelse, vil vi gjengi synspunktene om at lovforslaget i liten grad oppfylte personvernforordningens krav til gjennomsiktighet, rimelighet og formålsbestemthet. Vi viser ellers til høringsuttalelsen i sin helhet.
Etter høringsforslaget, skal Innkrevingsmyndigheten kunne sammenstille innhentede personopplysninger når det er nødvendig for deres arbeid, «herunder til kontroll-, veilednings-, analyse- og statistikkformål», jf. forslaget til innkrevingsloven § 11. Dette innebærer også adgang til behandling av personopplysninger som nevnt i personvernforordningen artikkel 9 og 10. Innkrevingsmyndigheten få samme adgang til sammenstilling, profilering og å treffe helautomatiserte avgjørelser som Skatteetaten har i dag. Dette innebærer en utvidelse for enkelte kravstyper.
Datatilsynet vil påpeke at formålsangivelsen nærmest er ubegrenset. Analyse- og statistikkformål vil typisk ikke anses som en spesielt inngripende viderebehandling av personopplysninger. For kontrollformål, er imidlertid utgangspunktet det motsatte. Kontroll- og innkrevingsformål er svært inngripende overfor den registrerte. Datatilsynet er derfor skeptisk til at Innkrevingsmyndigheten skal ha svært vide adganger til å viderebruke og sammenstille opplysninger til denne typen formål.
Departementet foreslår at Innkrevingsmyndigheten kan treffe avgjørelser som utelukkende er
basert på automatisert behandling. Innholdsmessig vil bestemmelsen i all hovedsak tilsvare namsmannens myndighet, jf. punkt 1.5 over. Datatilsynet viser derfor til drøftelsen i punkt 1.5, og merknadene her som vil gjelde tilsvarende.
Når det gjelder profilering, vil Innkrevingsmyndigheten etter forslaget kunne bruke innhentede personopplysninger til profilering når profileringen er nødvendig for å målrette tiltak som fremmer etterlevelse av loven.
Dersom regelverket skal åpne opp for bruk av personopplysninger til profilering, ser Datatilsynet positivt på at lovbestemmelsen inneholder en tydelig formålsangivelse. Vi vil likevel vise til våre kommentarer i punkt 1.5 over.
Departementet foreslår også å videreføre bestemmelsen om bruk av personopplysninger til utvikling og testing av IT-systemer dersom det vil være umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller fiktive opplysninger.
Her vil Datatilsynet igjen vise til vår høringsuttalelse til lovendringen som ble vedtatt 22. desember 2021.
2.3 Innkrevingsmyndighetens utlevering av personopplysninger
I høringsnotatet, fremgår det at det i dag utleveres det en rekke opplysninger mellom de ulike innkrevingsmyndighetene. Etter forslaget, vil behovet for deling av opplysninger bli mindre.
Innkrevingsmyndigheten vil likevel kunne ha behov for å utlevere opplysninger, for eksempel til andre forvaltningsmyndigheter, til domstolsapparatet og til enkelte tredjepersoner.
Departementet angir at det i dag gjelder ulike regler for taushetsplikt for innkrevingsmyndighetene i Skatteetaten. Ifølge departementet, bør gjelde reglene om taushetsplikt gjelde likt uavhengig av hvilke innkrevingstiltak som gjennomføres. Videre er det viktig at reglene ikke åpner for at opplysninger som er underlagt taushetsplikt ved fastsetting av kravet kan gis ut dersom kravet går til innkreving.
Datatilsynet ser positivt på at taushetsplikten sikres gjennom de ulike stadiene av en innkrevingsprosess. Vi ser også at det kan være behov for å harmonisere reglene om taushetsplikt. Dette vil gjøre regelverket mer forutsigbart for partene.
Departementet mener også at regler om utlevering av opplysninger bør tas inn i samleforskriften. Ifølge departementet, vil dette vil redusere behovet for konkrete skjønnsmessige vurderinger knyttet til enkelttilfeller.
Datatilsynet støtter en tydelig regulering av hvilke opplysninger det skal være adgang til å gi ut til hvilke aktører. Vi mener at rammene med fordel kan fastsettes direkte i loven, da lovendringer er gjenstand for en annen demokratisk prosess enn forskrifter.
3. Praktisk informasjon
Dersom noe er uklart, eller dere ønsker våre synspunkter utdypet, kan dere ta kontakt med saksbehandler Susanne Lie ( suli@datatilsynet.no ).
Med vennlig hilsen
Line Coll
Line Coll