Tolletatens personvernerklæring

Om personvernerklæringen

I denne personvernerklæringen kan du lese om når og hvordan Tolletaten behandler personopplysninger. Du kan også finne informasjon om hvem som er ansvarlig for håndteringen av opplysninger om deg, når vi gjør det, hvordan vi gjør det, samt hvilke rettigheter du har.

Hva er en personopplysning?

Personopplysninger er alle former for opplysninger, informasjon, data og vurderinger som kan knyttes til en fysisk person.

Det avgjørende for om en opplysning er en personopplysning er om opplysningene direkte eller indirekte kan identifisere en konkret person, for eksempel navn, bosted, telefonnummer, e-postadresse eller IP-adresse, bilde eller registreringsnummer på kjøretøy.

Hvorfor behandler Tolletaten personopplysninger?

Tolletaten har en rekke plikter i samfunnet som følger av lover som regulerer Tolletatens virksomhet. For å oppfylle samfunnsoppdraget og formålene som følger av dette, har Tolletaten lov til å samle inn informasjon om enkeltpersoner, virksomheter og berørte parter. Informasjonen kommer fra de Tolletaten er i kontakt med, fra Tolletaten selv og fra offentlige registre og samarbeidsparter.

Tolletaten må følge personopplysningsloven, forvaltningsloven, arkivloven og offentlighetsloven, slik at alle personopplysninger blir behandlet på en lovlig måte. Vi skal ikke innhente flere opplysninger om deg enn det som er nødvendig, og opplysningene som hentes inn skal bare brukes til det formålet de er innhentet for, med mindre vi har lovlig grunnlag til å bruke dem til andre formål.

Tolletatens oppgaver etter tollovgivningen

• Sikre riktige og fullstendige opplysninger om varer som inn- og utføres, som grunnlag for fastsetting av avgifter og til bruk for kartlegging og statistikk
  
  
• Bidra til å beskytte samfunnet mot ulovlig inn- og utførsel av varer ved å sikre at restriksjoner gitt av hensyn til blant annet samfunnssikkerhet, beskyttelse av menneskers liv og helse, dyrevelferd, plantevern og miljøvern overholdes
  
  
• Sikre at Norge overholder sine forpliktelser etter internasjonale avtaler om grensekryssende vareførsel
  
  
• Samarbeide med andre myndigheter og organisasjoner både nasjonalt og internasjonalt i oppgaver som berører Tolletatens virkefelt i samsvar med regler gitt i eller i medhold av lov
  
  
• Utføre oppgave på vegne av andre offentlige myndigheter og samarbeidsparter blant annet ved inn- og utførsel av varer når Tolletaten bistår andre myndigheter med å kontrollere etter deres regelverk. Vi kontrollerer etterlevelse av regelverk på vegne av for eksempel Mattilsynet, Landbruksforvaltningen, Direktoratet for medisinske produkter (DMP)  og Skatteetaten. Dette gjelder blant annet lovgivning knyttet til skatter og avgifter, mat og næringsmidler, narkotika, alkohol, tobakk, legemidler, våpen, farlige stoffer, dyr, miljø, avfall og såkalte immaterielle rettigheter. På disse områdene samarbeider vi også med andre lands tollmyndigheter.
  
  
• Vi behandler også personopplysninger i tilfeller hvor andre offentlige myndigheter er avhengige av informasjon fra Tolletaten for å kunne utføre sine lovpålagte oppgaver på en trygg og forsvarlig måte. Eksempelvis er Tolletaten pliktig å gi informasjon fra tolldeklarasjoner til SSB for utarbeidelse av handelsstatistikk, og til Skatteetaten for beregning og oppkreving av avgifter. Vi behandler også personopplysninger for å vurdere om varer som skal føres inn i EU/EØS utgjør en trussel mot sikkerhet og trygghet, folkehelsen, miljøet eller forbrukerne.

Forvaltningsmessige oppgaver, saksbehandling, henvendelser og administrative oppgaver

• Saksbehandling
• Veiledning av innbyggere og næringsliv
• Jobbsøknader eller oppdrag for Tolletaten
• Besøksregistrering og deltakelse på arrangementer
• Kameraovervåkning på lokasjoner for å ivareta sikkerhet
• Behandle varsler fra eksterne i varslingsaker

Rettslig grunnlag og eksempler

Om det rettslige grunnlaget for Tolletatens behandling

Hvilket regelverk som regulerer hvordan Tolletaten kan behandle personopplysninger, avhenger av hvilke oppgaver Tolletaten skal utføre og til hvilket formål Tolletaten behandler opplysningene.

Tolletatens behandling av personopplysninger er først og fremst hjemlet i lov med forskrifter, som for eksempel:

• Vareførselsloven
• Tollavgiftsloven
• Forvaltningsloven
• Offentleglova
• Skatteforvaltningsloven
• Vegtrafikkloven
• Legemiddelloven

For mer informasjon kan du lese om vareførselsloven og tollavgiftsloven på Lovdata, eller bla deg frem i Tolletatens utfyllende kommentarer til vareførselsloven og tollavgiftsloven: Håndbøker - Tolletaten

Norge har bistandsavtaler om gjensidig assistanse i tollsaker med flere land og med EU. Dessuten inneholder mange av handelsavtalene regler om konfidensialitet hvor også forholdet til personvern blir omtalt. Gjennom en sikkerhetsavtale med EU har Norge forpliktet seg til å bidra til risikovurdering av varer som skal føres inn i EU/EØS.

Tolletaten har i tillegg en berettiget interesse i å ivareta ansatte og publikums sikkerhet i forbindelse med gjennomføring av kontroll på våre tollsteder, og for å sikre våre bygninger. Vi har derfor kameraovervåkning på tollstasjonene og i våre kontorbygg.

Behandling av personopplysninger i forbindelse med vareførselen

Melde- og opplysning er en prosess som innebærer at informasjon om varestrømmen og transport knyttet til vareførselen sendes inn til Tolletaten og behandles før grensepassering med formål om å oppfylle melde- og opplysningsplikten i vareførselsloven § 2-3 med forskrifter. I denne forbindelse behandles det personopplysninger om fører, transportør, tollrepresentant, avsender og mottaker ifølge fraktavtalen og avgiver av informasjon for oppfyllelse av melde- og opplysningsplikten.

Personopplysningene behandles for å identifisere korrekt pliktsubjekt av melde- og opplysningsplikten. Opplysningene brukes som utgangspunkt for å håndtere grensepasseringen, jf. vareførselslovens formålsbestemmelse § 1-1, men brukes også for å avdekke og sanksjonere lovovertredelser, jf. vareførselsloven kapittel 12.

Med hjemmel i vareførselsloven kapittel 4 og tollavgiftsloven kapittel 6 behandles personopplysninger for å behandle søknader om tillatelser og tollfritak.

Tollavgiftsloven § 8-5 gir oss hjemmel til å sammenstille innhentede personopplysninger, også helseopplysninger som nevnt i GDPR art. 9 nr. 1 og personopplysninger som nevnt i GDPR art. 10 om straffedommer, når det er nødvendig for kontroll med tollavgift.

Behandling av personopplysninger for gjennomføring av kontroll med vareførselen

Vareførselsloven kapittel 8 inneholder regler som regulerer tollmyndighetenes innsamling av opplysninger ved kontroll. Dette gjelder både ved kontroller av varer som kommer inn eller forlater tollområdet, og ved kontroller av dokumenter og lignende i etterkant.

Tollmyndighetene har et særskilt rettsgrunnlag for å samle inn og lagre informasjon om trafikk (skiltgjenkjenning av kjøretøy) som krysser grensen på landeveier og fergeterminaler med utenlandstrafikk, som angitt i vareførselsloven § 8-9. Vi har også hjemmel til å innhente passasjeropplysninger fra transportmidler som er på reise til eller fra tollområdet, se vareførselsloven § 8-8.

Vi har lov til å sammenstille innsamlede personopplysninger og treffe beslutninger som utelukkende baserer seg på automatisert behandling, når det er nødvendig for kontroll av innførsel og utførsel av varer, herunder etterretning. Kontrollopplysningene som vi innhenter, blir sammenholdt med opplysninger som vi tidligere har innhentet om varer og lignende i samsvar med reglene i vareførselsloven kapittel 2 til 5. Graden av personidentifikasjon skal ikke være større enn det som er nødvendig for formålet.

Behandling av personopplysninger i forbindelse med administrative oppgaver

Behandling av opplysninger om ansatte og andre som utfører oppgaver for Tolletaten

Tolletaten behandler personopplysninger om de som arbeider i og for Tolletaten, jf. personvernforordningen artikkel 6 nr. 1 bokstav b for å oppfylle arbeidsavtalen, og artikkel 6 nr. f når behandlingen er nødvendig for formål knyttet til våre berettigede interesser når vi ikke opptrer som offentlig myndighet.

Behandling av opplysninger om de som søker jobb i Tolletaten

Når jobbsøkere søker en stilling hos Tolletaten, er vårt rettslige grunnlag for behandling av personopplysninger personvernforordningen artikkel 6 nr. 1 bokstav b.

For søkere som oppgir å ha en funksjonsnedsettelse, hull i CV-en eller innvandrerbakgrunn, er det personvernforordningen artikkel 6 nr. 1 bokstav c, at behandlingen er nødvendig for å etterleve en rettslig forpliktelse, jf. artikkel 9 nr. 2 bokstav b, at behandlingen er nødvendig for at vi kan oppfylle våre forpliktelser på området arbeidsrett i tråd med loven, som er det rettslige grunnlaget for at vi kan behandle opplysningene.

Det benyttes SEMAC bakgrunnssjekk på de som skal tilbys stilling for Tolletaten. Det rettslige grunnlaget er GDPR artikkel 6 nr. 1 bokstav f, berettiget interesse.

Behandling av opplysninger i forbindelse med anskaffelser og forvaltning av avtaler

Det rettslige grunnlaget for behandling av personopplysninger i forbindelse med anskaffelser er GDPR artikkel 6 nr. 1 bokstav c, rettslig forpliktelse. Den rettslige forpliktelsen følger av forskrift for offentlige anskaffelser.

I forbindelse med oppfølging av avtaler hvor Tolletaten er direkte part, leveranser og fakturering er det rettslige grunnlaget GDPR art. 6 nr. 1 bokstav b, avtale.

Behandling av personopplysninger om saksbehandling og veiledning

Behandling av personopplysninger i forbindelse med Tolletatens saksbehandling og veiledning

Når Tolletaten har saker til behandling, for eksempel klagesaksbehandling av vedtak, behandler vi personopplysninger for å kunne ivareta våre oppgaver. Behandlingsgrunnlaget for denne behandlingen er GDPR artikkel 6 nr. 1 bokstav e, som tillater oss å behandle opplysninger som er nødvendig for utøvelse av offentlig myndighet, jf. også forvaltningsloven §§ 17 og 11.

Behandling av personopplysninger i chat og chatbot

Opplysninger om deg behandles med rettslig grunnlag i ditt samtykke, som du gir dersom du tar i bruk chatboten.

• Spørsmålene du stiller i chatboten lagres i 30 dager.
• Dialogen med svar og veivalg lagres ikke.
• Alt av tall i chatboten blir anonymisert. Det betyr at hvis du f.eks. skriver inn fødselsnummer, blir dette slettet i chatboten.

Aktivitetslogger

I forbindelse med bruk og forvaltning av aktivitetslogger om brukere (ansatte og oppdragstakere), vil det også kunne fremgå personopplysninger om andre kategorier registrerte. Personopplysningene ble opprinnelig samlet inn på bakgrunn av kontrollhjemlene i vareførselsloven- og forskrift, og tollavgiftsloven- og forskrift. Ved bruk og forvaltning av aktivitetslogger behandles de samme personopplysningene som et tiltak for å sikre at Tolletaten kan forebygge og avdekke bruk uten tjenstlige behov som gir innsyn i personopplysninger. Personopplysningene viderebehandles for å beskytte de registrertes personvern. Dette er dermed en viderebehandling forenlig med de formålene personopplysningene opprinnelig ble samlet inn for, jf. art. 6 nr. 4.

I tillegg til interne brukere fanger aktivitetsloggene opp aktiviteten til to grupper eksterne som har tilgang til våre fagsystemer:

• Brukere fra næringslivet som bruker Tolletatens fagsystemer for å etterleve pliktene i regelverket.
• Brukere fra andre offentlige virksomheter, som bruker fagsystemene som ledd i at deres virksomhet skal kunne utøve sine egne oppgaver.

Det rettslige grunnlaget for denne loggingen er artikkel 6 nr. 1 bokstav f «berettiget interesse», som er begrunnet i Tolletaten sitt behov for å ivareta informasjonssikkerhet, herunder integritet, tilgjengelighet og konfidensialitet.

Behandling av personopplysninger

Hvilke personopplysninger kan Tolletaten behandle?

Hvilke konkrete personopplysninger det er behov for, er avhengig av oppgaven Tolletaten skal løse.

Tolletaten behandler personopplysninger som blant annet:

• Opplysninger om identitet (navn, fødselsdato, kjønn, statsborgerskap) og kontaktinformasjon (postadresse, bostedsadresse, e-postadresse, telefonnummer) og relasjoner til andre (ektefelle, barn, samboer, etc.)
  
  
• Opplysninger fra vareførselen (hvem som er avsender og mottaker av varene, varenes verdi, varebeskrivelse, opplysninger om varer som er betinget av særlig tillatelse, for eksempel tillatelse til å innføre våpen eller å medbringe legemidler).
  
  
• Opplysninger som er nødvendige for å planlegge, målrette og gjennomføre kontroller (tidligere overtredelser av tollovgivningen, økonomiske transaksjoner foretatt til og i utlandet som fremkommer av valutaregisteret, trafikk- og adferdsmønster, navn og kontaktopplysninger, opplysninger om inn- og utførsel av varer, transportmiddel og økonomi)
  
  
• Opplysninger om grensekryssende trafikk ved landevei og fergeterminaler (registreringsnummer til bil, kjøretøysretning, tid og sted for passering, hvem som er eier av kjøretøy)
  
  
• Bilder av personer, registreringsnummer på kjøretøy, reisemønstre og medbrakte varer kan fremkomme på kameraovervåking på tollstasjonene
  
  
• Bilder av forbipasserende og besøkende, tid og sted kan fremkomme på kameraovervåking i våre kontorbygg

Hvordan får Tolletaten personopplysningene?

Tolletaten bruker informasjon fra en rekke ulike kilder. Her er noen eksempler:

• Opplysninger fra importør/eksportør/transportør/speditør. Ved inn- og utførsel av varer må det gis opplysninger til Tolletaten i forbindelse med grensepassering og ved tollbehandling av varene. Dette gjelder både for privatpersoner som har kjøpt varer fra utlandet, og for næringsdrivende som driver med ervervsmessig import, eksport eller transport av varer inn og ut av landet.
  
  
• Opplysninger fra andre offentlige registre, for eksempel folkeregisteret og valutaregisteret (Skatteetaten), kjøretøysregisteret (Statens Vegvesen) og enhetsregisteret (Brønnøysundregistrene)
  
  
• Tollmyndigheter i andre land som vi har avtaler med
  
  
• EUs fellestjeneste for innførsel (ICS2 Common Repository), vareførselsforskriften § 2-1-1
  
  
• NCTS (et elektronisk system for utveksling av transitteringsinformasjon mellom næringslivet og Tolletaten, og for forhåndsvarsling av varer direkte til og fra tredjeland) og andre internasjonale registre som EUs bedriftsregister, og EUs systemer for opprinnelse slik som REX (Registrert Eksportørsystem), mat, og markedstilsyn slik som RAPEX (Rapid alert system for dangerous goods) og TRACES (Trade Control and Expert System).
  
  
• Tips og varsler fra publikum
  
  
• Opplysninger fremkommet gjennom kontrollaktiviteter utført av Tolletaten selv eller fra andre offentlige myndigheter
  
  
• Opplysninger fra offentlig tilgjengelige kilder, eksempelvis åpne nettsider
  
  
• Opplysninger om grensekryssende trafikk på landeveien og fergeterminaler fra vårt skiltgjenkjenningssystem (ANPR)
  
  
• Passasjeropplysninger fra transportselskaper
  
  
• Kameraovervåkning på tollstasjonene
  
  
• Kameraovervåkning i våre kontorbygg

Hvor behandler Tolletaten personopplysninger?

Personopplysninger behandles i Tolletatens ulike registre og systemer, for eksempel:

• Deklarasjonsbehandlingssystemet TVINN
• Tolletatens kunderegister
• Vårt arkiv- og saksbehandlingssystem Public360
• Våre etterretnings- og analysesystemer.

Varsler behandles etter disse retningslinjene: https://www.arbeidstilsynet.no/globalassets/nyheter/2019/retningslinjer-varsling-offentlige-myndigheter.pdf

Når det er nødvendig for arbeidet med å planlegge, målrette og gjennomføre kontrollaktiviteter, sammenstiller og analyserer Tolletaten også personopplysninger fra ulike kilder og informasjonssystemer som vi har tilgang til.

Hvem har tilgang og hvordan tar Tolletaten vare på opplysningene?

Tolletatens ansatte og innleide ressurser behandler dine personopplysninger kun når dette er nødvendig for at etaten skal kunne utføre sine arbeidsoppgaver.

Våre IT-systemer tilgangsstyres ut fra et prinsipp om at den enkelte medarbeider skal ha et tjenstlig behov for tilgang til de lagrede opplysningene, og vi beskytter opplysningene i våre IT-systemer gjennom blant annet brannmurer.

Alle medarbeidere i Tolletaten og aktører som utfører oppdrag på vegne av Tolletaten har taushetsplikt om formues- og inntektsforhold, samt andre økonomiske, bedriftsmessige og personlige forhold som de måtte få tilgang til gjennom arbeidet sitt.

Vi jobber kontinuerlig med å påse at eksisterende IT-systemer har god informasjonssikkerhet og fungerer slik de skal.

Bruk av databehandlere

Noen av personopplysningene Tolletaten er ansvarlig for, blir behandlet av aktører utenfor Tolletaten, på vegne av Tolletaten. Slike eksterne aktører er databehandlere for Tolletaten. Ved bruk av databehandlere blir det inngått avtaler med dem, og Tolletaten har ansvar for å kontrollere at databehandlerne behandler opplysningene i henhold til regelverket og avtalen. Våre leverandører kan ikke bruke opplysninger til andre formål enn det de er innhentet til og avklart med oss.

Hvem kan Tolletaten utlevere personopplysninger til?

Tolletaten utleverer kun personopplysninger når det foreligger et gyldig rettslig grunnlag. Dette omfatter blant annet utlevering til:

• Andre offentlige myndigheter, for eksempel Skatteetaten, Landbruksmyndighetene, Politiet eller NAV
• EUs kontrollorganer og tilsyn der dette er regulert i forordning eller direktiv som er inntatt i EØS-avtalen, inkludert EUs fellestjeneste for innførsel (ICS2- Import control system 2- Common Repository) og Tolletatens elektroniske transitteringssystem (NCTS).
• Utenlandske tollmyndigheter vi har en avtale med
• Forskning- og statistikkorganisasjoner, for eksempel SSB
• Riksarkivet etter arkivloven
• Tolletaten bruker eksterne leverandører til drift og vedlikehold av våre IT-tjenester, herunder saksbehandling/arkiv- og videokonferanseløsning. Infrastruktur og data er lokalisert innenfor EU/EØS eller land som oppnår et tilstrekkelig beskyttelsesnivå i henhold til EU-kommisjonens adekvansbeslutning.
• Tolletaten kan i enkelte tilfeller utlevere personopplysninger til databehandlere lokalisert i USA, dersom disse er sertifisert deltaker av EU-US Data Privacy Framework, eller benytter SCC supplert av tilstrekkelige beskyttelsestiltak (kryptering).
  
  

Hvor lenge kan Tolletaten lagre personopplysninger?

Tolletaten oppbevarer personopplysningene dine så lenge de er nødvendige for at vi skal kunne utføre våre lovpålagte oppgaver, og i tråd med gjeldende lovgivning.

Det konkrete behovet for oppbevaring av personopplysninger vil avhenge av hva slags informasjon det gjelder, og hvilke oppgaver vi skal løse.

Personopplysninger vil som hovedregel slettes eller anonymiseres når behovet for oppbevaring faller bort, med mindre vi har en lovpålagt plikt til å oppbevare dem etter annet regelverk, som for eksempel arkivloven eller bokføringsloven.

Personopplysninger som er innhentet ved bruk av skiltgjenkjenningssystem er særskilt regulert i vareførselsloven hvor det fremgår at disse kan lagres i inntil 6 måneder etter at de er innhentet.

Tolletaten mottar opplysninger og tips om ulovlig inn- og utførsel av varer. I slike tilfeller må vi innen 4 måneder avklare om ikke-verifiserte personopplysninger er korrekte og relevante.

Opptak fra kameraovervåkning på tollstasjonene slettes automatisk etter 7 døgn, men lagres unntaksvis opptil 30 dager hvis det er sannsynlig at opptaket vil bli utlevert til politiet i forbindelse med straffbare handlinger eller ulykker.

Ansvar for behandling av personopplysningene

Behandlingsansvarlig

Tolldirektøren er behandlingsansvarlig for all behandling av personopplysninger som skjer i Tolletaten. Dette ansvaret innebærer blant annet å sørge for at personopplysninger brukes og behandles i henhold til regelverket.

Databehandleravtaler

Tolletaten inngår databehandleravtaler med alle virksomheter som behandler personopplysninger på våre vegne. De kan ikke behandle personopplysningene på andre måter enn det som er avtalt med oss, og de har taushetsplikt for de opplysninger de får tilgang til.

Dine rettigheter

Rettigheter ved behandling av personopplysninger

Rett til innsyn

Du kan be om nærmere informasjon om hvordan vi behandler dine personopplysninger, for eksempel hvilke personopplysninger vi har registrert om deg, til hvilke formål de benyttes, hvor de er innhentet fra og hvorvidt de er utlevert til en tredjepart. Du kan også be om en kopi av personopplysningene.

Vi kan imidlertid i enkelte tilfeller nekte deg innsyn dersom dette er nødvendig og vilkårene for det er oppfylt, for eksempel av hensyn til avdekking av brudd på tollovgivning eller av hensyn til vern av andre personer.

Les mer om Rett til innsyn | Datatilsynet

Rett til retting

Du kan be oss rette eller supplere opplysninger om deg som er feilaktige eller misvisende.

Les mer om Rett til retting | Datatilsynet

Rett til sletting

I gitte situasjoner kan du be oss slette opplysninger om deg selv.

Les mer om Rett til sletting | Datatilsynet

Rett til begrensning

I noen situasjoner kan du også be oss begrense behandlingen av opplysninger om deg.

Les mer om Rett til begrensning | Datatilsynet

Rett til å protestere

I noen tilfeller har du rett til å protestere på vår behandling av opplysninger om deg.

Les mer om Rett til å protestere | Datatilsynet

Rett til å klage

Hvis du mener at Tolletaten ikke behandler personopplysningene om deg i samsvar med gjeldende lovgivning, kan du klage til Datatilsynet i Norge.

Les mer om Klage til Datatilsynet | Datatilsynet

Ta kontakt med Tolletaten

Du kan kontakte Tolletaten ved å bruke dette kontaktskjemaet. Av hensyn til personvernet ditt må du ikke sende særlige kategorier personopplysninger som for eksempel helseopplysninger i dette skjemaet.

Kontakt personvernombudet

Du kan også kontakte Tolletatens personvernombud for råd og veiledning generelt om Tolletatens behandling av personopplysninger. Personvernombudet vil kunne hjelpe deg med å ivareta dine personverninteresser, herunder hvordan du kan gå frem for å benytte deg av dine rettigheter. Du kan kontakte ombudet på personvernombud@toll.no