Formålet med lov 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) er å beskytte den enkelte mot at personvernet vert krenka gjennom behandling av personopplysningar. Som personopplysningar reknast opplysningar og vurderingar som kan bli knytt til ein enkeltperson, jf. § 2 nr. 1.

Justis- og politidepartementet og Datatilsynet meiner at departementet tolkar personopplysningslova feil når det i høyringsnotatet er lagt til grunn at opplysningane som skal bli henta inn frå innløysaren, medrekna mellom anna kortnummer og brukarstad, ikkje er personopplysningar. Desse instansane viser til at etter førearbeida til personopplysningslova § 2 nr. 1 vil også slik indirekte identifikasjon av ein person omfattast av lova. Departementet har etter ei ny vurdering slutta seg til at opplysningane som vert motteke frå innløysarane må sjåast på som personopplysningar etter § 2 nr. 1. Dette betyr at innhenting av opplysningar frå innløysarane må vere i samsvar med personopplysningslova. I denne samanhengen har Datatilsynet uttalt at ei samla utlevering frå innløysarane av all kortbruk som er knytt til utanlandske kort vil komme i konflikt med personopplysningslova § 11 bokstav d, fordi det vert utlevert overskotsinformasjon sett i høve til det formålet skattesstyresmaktene skal nytte opplysningane til. Tilsynet peikar på at personvernulempene ved slik utlevering av overskotsinformasjon må vege tyngre enn at belastninga for innløysaren vert større.

Departementet meiner at ei samla utlevering frå innløysarane ikkje ville vere i strid med personopplysningslova § 11. Etter § 11 er det mellom anna eit krav om at personopplysningar som er innhenta berre skal bli nytta til uttrykkeleg angitte formål som er sakleg grunna i den behandlingsansvarlege si verksemd, og at opplysningane er tilstrekkelege og relevante for formålet med behandlinga. Bakgrunnen for Datatilsynet sitt standpunkt synest å vere at dei har lagt til grunn ei for snever oppfatning av kva som er formålet med innhentinga av opplysningar og dermed kva som vil vere relevante opplysningar. Som nemnt ovanfor så er formålet med å innhente opplysningar om bruken av utanlandske betalingskort i Noreg å sikre rett skattlegging av norske skattytarar som har inntekt og formue i utlandet, samt å avdekke personar som reelt sett oppheld seg i Noreg og som skulle skatta hit, men som hevdar å opphalde seg i utlandet. Departementet er av den oppfatning at dette er eit uttrykkelig angitt formål som er sakleg grunna i verksemda til likningsstyresmaktene.

Departementet har vurdert om alle opplysningane som likningsstyresmaktene skal innhente hos innløysarane kan sjåast på som tilstrekkelige og relevante for formålet med behandlinga. Det har i denne samanhengen vore vurdert, etter innspel frå Fornyings- og administrasjonsdepartementet, om det ved innhenting av opplysningar frå innløysarane kan innførast mellom anna beløpsgrenser eller former for anonymisering. Det har også vore vurdert om innhenting av opplysningar frå innløysarane i første omgang ikkje skulle innehalde namnet på brukarstadene, noe som ville gjort at opplysningane ikkje er personopplysningar, men at likningsstyresmaktene etter ei sortering av opplysningane kan innhente namnet på dei brukarstadene som vil vere aktuelle for den vidare kontrollen. Departementet er kome til at dette ikkje kan gjennomførast da dette i betydeleg grad vil svekke kontrollmoglegheitene for likningsstyresmaktene. For at likningsstyresmaktene skal kunne oppnå formålet med innhentinga, er det naudsynt at alle opplysningane leverast samla. På tidspunktet for innhentinga er all kortbruk knytt til utanlandske betalingskort aktuell for vidare kontroll. Det er berre gjennom eit samla bilete av transaksjonane at likningsstyresmaktene kan sjå kor lenge eit kort har vore brukt, kor store beløp som er brukt, forbindelsar mellom forskjellige kort, brukarstader osv., som igjen gir grunnlag for å sortere ut dei transaksjonane som er aktuelle for vidare kontroll. På det neste stadiet, etter ei sortering av opplysningane, da likningsstyresmaktene innhentar opplysningar frå brukarstadene, vil nok berre ein liten del av opplysningane verte sett på som relevante. Det er som nemnt likevel slik at på tidspunktet for innhentinga frå innløysarane, så er alle opplysningar naudsynte og relevante i forhold til formålet. Etter departementet sin meining må dette vere avgjerande i forhold til personopplysningslova. Departementet vil understreke at når det gjeld opplysningar som ikkje vert brukt i den vidare kontrollen så vil desse bli behandla forsvarleg etter rutinar utarbeidd av Skattedirektoratet. Departementet vil her også peike på at likningsstyremaktene sin kontrollverksemd regulerast av strenge teiepliktsføresegner, jf. likningslova § 3-13. Etter likningslova § 3-13 nr. 1 plikter dei tilsette i likningsetaten å hindre at uvedkomande får tilgang til eller kjennskap til det vedkomande får "vite om noens formues- eller inntektsforhold eller andre økonomiske, bedriftsmessige eller personlige forhold".

Datatilsynet stiller spørsmål ved om fødselsnummer kan leverast ut til likningsstyresmaktene med heimel i personopplysningslova § 12. Departementet vil her peike på at opplysningar frå innløysarane ikkje inneheld fødselsnummer eller andre eintydige identifikasjonsmidlar. Det er bakgrunnen for at likningsstyresmaktene må kontakte brukarstadene for å identifisere kortinnehavarane. Dei opplysningane som likningsstyresmaktene kan innhente hos brukarstadene kan innehalde fødselsnummer, men dette vil avhenge av korleis den enkelte brukarstaden registrerar opplysningar. Dersom brukarstaden har fødselsnummer, så må likningsstyresmaktene gjere ei konkret vurdering etter personopplysningslova § 12 om det er naudsynt å innhente fødselsnummer for å oppnå ein sikker identifisering.

Justis- og politidepartementet har stilt spørsmål ved om kontrolloppgåvene brukarstadene og innløysarane vert pålagte er underlagt meldeplikt etter personopplysningslova § 31. Departementet meiner at så lenge ikkje brukarstadene og innløysarane opprettar eit nytt registar eller liknande i samband med utlevering av dei aktuelle opplysningane til likningsstyresmaktene, så vil dei ikkje vere behandlingsansvarlege for opplysningane og dermed ikkje meldepliktige.