§ 7-15 Sammenstilling av personopplysninger og automatiserte avgjørelser

Behandling av personopplysninger er lovlig dersom behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt og fastsatt i nasjonal rett, jf. personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3. Vareførselsloven sammen med vareførselsforskriften vil utgjøre et slikt behandlingsgrunnlag, der detaljene om hvilke opplysninger som kan behandles for en stor del vil følge av forskriftene. Det er uttalt i Prop. 237 L (2020-2021) side 34 at regulering av tollmyndighetenes oppgaver i lov om tollavgift og lov om vareførsel som hovedregel ikke er ment å innebære noen begrensning i adgangen til å bruke opplysninger innhentet for det ene formålet, for eksempel vareførselen, i en sak om eller kontroll av tollavgiften, og viser til at dette som hovedregel vil være samme eller forenlige formål. For øvrig vil det være personvernforordningen art. 6 nr. 4 som regulerer spørsmålet om personopplysninger kan benyttes til andre formål.

Tollmyndighetene innhenter en rekke opplysninger på ulike områder for å utføre sine oppgaver. Størstedelen av opplysningene som innhentes, gjelder næringsvirksomhet, men tollmyndighetene innhenter også personopplysninger, og i noen tilfeller opplysninger som nevnt i personvernforordningen artikkel 9 og 10. Det vil først og fremst være opplysninger ved mistanke om straffbare lovbrudd, og konstaterte brudd på vareførselsloven, tollavgiftsloven eller annet regelverk tollmyndighetene har ansvar for å kontrollere, jf. artikkel 10. I unntakstilfeller vil tollmyndighetene også måtte kunne behandle særskilte kategorier av opplysninger, for eksempel opplysninger om en persons seksuelle orientering ved at de mottar opplysninger om en persons ektefelle/partner eller helseopplysninger ved innførsel av medisinsk cannabis.

Tollmyndighetene kan, som følge av sine myndighetsoppgaver, bruke og sammenstille alle opplysninger de har innhentet, med mindre annet er særskilt fastsatt. De kan i utstrakt grad sammenstille personopplysninger for kontrollformål i medhold av de alminnelige kontrollbestemmelsene, og også uten særskilt hjemmel bruke alminnelige personopplysninger i risikovurderinger for å målrette kontrollen.

I vareførselsloven § 7-15 første ledd første punktum er det særskilt hjemmel for tollmyndighetenes adgang til å sammenstille opplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 og artikkel 10. Bestemmelsen regulerer tollmyndighetenes adgang til å sammenstille personopplysninger, og viderefører med noen endringer tolloven § 13-12 første ledd første punktum. Det er mest aktuelt å bruke opplysninger om straffedommer og konstaterte brudd på vareførselsloven, tollavgiftsloven eller annet regelverk tollmyndighetene har ansvar for å kontrollere, men i unntakstilfeller vil tollmyndighetene også kunne benytte helseopplysninger i sammenstillinger. Tollmyndighetene har ikke adgang til å bruke andre personopplysninger etter personvernforordningen artikkel 9 ved sammenstillinger.

I bestemmelsenes første ledd annet punktum er det også klargjort at sammenstillingsadgangen omfatter profilering som definert i personvernforordningen artikkel 4. Dette er en videreføring av tolloven § 13-12 første ledd, og nærmere omtalt i merknaden til vareførselsloven § 7-15 i Prop. 237 L (2020-2021) side 70/71. Som nevnt i merknadsteksten til vareførselsloven § 7-15 i proposisjonen benytter ikke Tolletaten profilering i personvernforordningens forstand per i dag. Det er gitt forskriftshjemmel i vareførselsloven § 7-15 tredje ledd og tollavgiftsloven § 8-5 tredje ledd, for å kunne regulere de nærmere vilkårene for dette, i tråd med føringene gitt i proposisjonen.

Første ledd tredje punktum bestemmer at graden av personidentifikasjon ikke skal være større enn det som er nødvendig for formålet. Dette er en lovfesting av det grunnleggende personvernrettslige prinsippet om at bruk av personopplysninger skal være begrenset til det som er nødvendig for formålene de behandles for, jf. personvernforordningen artikkel 5 bokstav b.

Annet ledd regulerer tollmyndighetenes adgang til å treffe automatiserte avgjørelser hvor personopplysninger inngår. Det er vurdert i forarbeidene til bestemmelsen at Tolletatens maskinelle behandling av opplysninger i noen grad omfatter personopplysninger, men at tollmyndighetene treffer liten eller ingen grad automatiserte individuelle avgjørelser etter personvernforordningen artikkel 22.

Tollmyndighetenes adgang til å treffe helautomatiserte avgjørelser forutsetter at behandlingen må sikre partens krav til forsvarlig saksbehandling og være forenlig med retten til vern av personopplysninger. Ved automatiserte individuelle avgjørelser skal nasjonal rett fastsette egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser, jf. personvernforordningen artikkel 22 nr. 2 bokstav b. Automatiserte individuelle avgjørelser som er enkeltvedtak vil kunne påklages etter de alminnelige reglene i forvaltningsloven og vil da underlegges manuell behandling. Tollmyndighetene vil også kunne ha behov for å treffe automatiserte individuelle avgjørelser som ikke er enkeltvedtak etter forvaltningsloven. Den registrerte må også i slike tilfelle ha rett til manuell overprøving. Dette er særskilt regulert i annet punktum.

I tredje ledd er det hjemmel for å gi forskrifter om de nærmere vilkårene for automatisert behandling av personopplysninger profilering i tråd med personvernforordningen art. 4 nr. 4 (profilering), og hjemmel til å regulere adgang til å treffe helautomatiserte avgjørelser nærmere ved behov.

Forarbeider

Tidligere bestemmelser og forarbeider