En journalist fikk innsyn i sammenstillinger av flere opplysninger i valutaregisteret. Opplysningene gjaldt transaksjoner i årene 2015-2020 mellom Norge og syv andre land. Skattekontoret utga opplysninger om type transaksjon, land, år, beløp og om transaksjonen var inngående eller utgående, men avslo innsyn i opplysninger om dato og om avsender/mottaker i Norge var en enkeltperson eller et foretak. Skattedirektoratet stadfestet avslaget med den begrunnelse at disse opplysningene var taushetspliktige etter forvaltningsloven § 13 første ledd.
Ombudsmannen er kommet til at det er begrunnet tvil om transaksjonsopplysningene er taushetspliktige etter § 13 første ledd nr. 1 og nr. 2. Taushetspliktvurderingene er mangelfulle. Direktoratet har ikke vurdert konkret eller begrunnet nærmere hvorfor opplysningene er taushetspliktige. Direktoratet bes om å behandle denne delen av saken på nytt.
Gitt at transaksjonsopplysningene er taushetspliktige, kan ombudsmannen vanskelig se at opplysningene om dato og om avsender/mottaker i Norge er en enkeltperson/foretak i seg selv, eller sammenholdt med de øvrige opplysningene i uttrekket, kan avsløre hvilken person/foretak transaksjonene knytter seg til. Det er videre begrunnet tvil om opplysningene kan kobles sammen med opplysninger som er tilgjengelig andre steder, og på den måten røpe taushetsbelagt informasjon. Direktoratet har ikke begrunnet konkret hvorfor eller på hvilken måte det foreligger reell koblingsfare. Ombudsmannen ber direktoratet vurdere på nytt om opplysningene er tilstrekkelig anonymiserte, jf. forvaltningsloven § 13 a nr. 2.
Sakens bakgrunn
Journalist A i Dagbladet fikk i januar 2020 innsyn i sammenstillinger av flere opplysninger i valutaregisteret. Opplysningene gjaldt transaksjoner i perioden 2015 til 2020 mellom Norge og henholdsvis Saudi-Arabia, Syria, Iran, De forente arabiske emirater, Qatar og Kuwait. Skattekontoret utga opplysninger om årstall, beløp og destinasjon, både for transaksjoner via bank og transaksjoner via andre betalingsforetak enn banker, som Western Union, MoneyGram etc. Krav om innsyn i tilsvarende opplysninger i valutaregisteret forut for 2015 ble avslått, under henvisning til at opplysningene var slettet, jf. valutaregisterloven § 7.
Etter å ha mottatt opplysningene var journalisten i dialog med skattekontoret om muligheten for ytterligere innsyn. Som følge av dialogen ga skattekontoret ut opplysninger som viste dato for transaksjonene og om avsender/mottaker i Norge var en enkeltperson eller et foretak, men kun for banktransaksjoner. Journalisten ba deretter om innsyn i tilsvarende opplysninger også for transaksjoner til/fra Tyrkia.
Skattekontoret tok 27. januar 2020 kontakt med journalisten og opplyste at enkelte av opplysningene det var gitt innsyn i var taushetspliktige, og dermed ikke skulle vært utgitt. Dette gjaldt opplysningene om dato og om avsender/mottaker i Norge var en enkeltperson eller et foretak. Slike opplysninger ville derfor ikke bli utgitt for transaksjoner via andre betalingsforetak enn banker, eller for banktransaksjoner til/fra Tyrkia. Journalisten fremsatte samme dag krav om innsyn i følgende opplysninger i valutaregisteret:
«Alle transaksjoner fra 2010-2020 mellom Norge og følgende land. Vi ønsker tall både fra banktransaksjoner, og Western Union/Forex/lignende tjenester – fordelt på hvorvidt sender/mottaker i Norge var et foretak eller en enkeltperson, og oppgitt med dato:
-
- Tyrkia
- Saudi-Arabia
- Syria
- Iran
- De forente arabiske emirater
- Qatar
- Kuwait»
Skattekontoret avslo innsynskravet 30. januar 2020. Etter klage ble avslaget stadfestet av Skattedirektoratet i avgjørelse 4. mai 2020. Direktoratet la til grunn at opplysningene i uttrekket fra valutaregisteret som viste dato for de etterspurte transaksjonene og om avsender/mottaker i Norge var en enkeltperson eller et foretak, måtte unntas som taushetspliktige, jf. offentleglova § 13 første ledd, jf. forvaltningsloven § 13 første ledd.
Journalist A og journalist B, også i Dagbladet, brakte saken inn for ombudsmannen. I klagen presiserte journalistene at de ikke hadde bedt om innsyn i opplysninger om hvem som var involvert i transaksjonene. Tvert om hadde journalistene i sin dialog med Skatteetaten vært klare på at de kun ønsket anonymiserte opplysninger. Det var journalistenes syn at de etterspurte opplysningene var tilstrekkelig anonymiserte, og at opplysningene dermed kunne utgis uten hinder av taushetsplikten.
Våre undersøkelser
Vi fant grunn til å undersøke saken nærmere. I undersøkelsesbrevet ba vi blant annet Skattedirektoratet begrunne nærmere hvorfor taushetsplikten var ansett regulert av forvaltningsloven, og ikke av skatteforvaltningsloven. Gitt at direktoratet fastholdt at taushetsplikten var regulert av forvaltningsloven § 13 første ledd, ba vi om en utdypende taushetspliktvurdering etter denne bestemmelsen. Herunder spurte vi om direktoratet mente at enkeltpersoners økonomiske transaksjoner falt inn under «noens personlige forhold», jf. § 13 første ledd nr. 1, og om dette alternativet også var ansett anvendbart for transaksjoner til/fra foretak.
Skattedirektoratet ble bedt om å svare på om datoene for transaksjonene og/eller om avsender/mottaker i Norge var en enkeltperson eller et foretak, bidro til identifisering av enkeltpersoner og/eller foretak. Videre ba vi om en nærmere begrunnelse for hvorfor og på hvilken måte det forelå reell koblingsfare. Herunder spurte vi hvilke andre tilgjengelige opplysninger som kunne kobles sammen med de aktuelle opplysningene i valutaregisteret, hvilke taushetsbelagte opplysninger denne koblingen kunne avsløre, og vi ba om konkrete eksempler. Direktoratet ble også bedt om å svare på hvilke hensyn som talte for taushetsplikt, hvilke hensyn som talte for offentlig innsyn, og hvordan disse hensynene var vektet mot hverandre ved vurderingen av om det forelå reell koblingsfare. Avslutningsvis spurte vi om taushetspliktvurderingen, herunder koblingsfaren, ville være den samme (1) dersom det ble gitt innsyn i både datoer og om avsender/mottaker i Norge var en enkeltperson eller et foretak, (2) dersom det ble gitt innsyn bare i datoer og (3) dersom det ble gitt innsyn bare i om avsender/mottaker i Norge var en enkeltperson eller et foretak.
I svarbrevet fastholdt Skattedirektoratet at taushetsplikten var regulert av forvaltningsloven, og ikke av skatteforvaltningsloven. Som begrunnelse ble det vist til at innsynskravet relaterte seg til Skatteetatens oppgaver som behandlingsansvarlig for valutaregisteret, og at disse oppgavene falt utenfor skatteforvaltningslovens virkeområde, jf. lovens § 1-1 bokstav a til k.
Direktoratet mente at forvaltningsloven § 13 første ledd nr. 1 om taushetsplikt for noens personlige forhold var dekkende for transaksjoner utført av enkeltpersoner. Når det gjaldt foretak skrev direktoratet at transaksjonene kunne gjelde forretningsmessige forhold, som det var av konkurransemessig betydning å hemmeligholde av hensyn til den opplysningen angår. Transaksjonene ville i så fall være taushetspliktige etter § 13 første ledd nr. 2. Hvorvidt den enkelte transaksjon var taushetspliktig etter denne bestemmelsen eller ikke, fordret en selvstendig vurdering av hver enkelt transaksjon. Om dette skrev direktoratet:
«En slik begjæring vil medføre uforholdsmessig bebyrdende arbeid for Skatteetaten som i så fall må gå gjennom tusenvis av enkeltelementer manuelt, og vil derfor ikke etterkommes etter offentleglova § 9, ettersom sammenstillingen ikke kan ’gjerast med enkle fremgangsmåtar’, jf. SOM 2016-2789.»
Direktoratet understreket at også opplysninger om hvilke betalingsforetak som hadde vært involvert i transaksjonene, kunne være taushetspliktige etter § 13 første ledd nr. 2. Eksempelvis kunne opplysninger om at Forex Bank hadde gjennomført et visst antall transaksjoner i Kuwait i en gitt periode, med angivelse av mottakerbank, dato og beløp, ha konkurransemessig betydning for andre banker som utførte tilsvarende tjenester.
Om den konkrete koblingsfaren skrev direktoratet:
«Det er bedt om innsyn i en sammenstilling av grunnlagsdata hvor journalistene har en klar intensjon om å koble opplysningene til enkelthendelser. Enkelte transaksjonsbeløp, opplysninger om sted, tidspunkt, hvilke finansinstitusjoner som er involvert i transaksjonen, sammenholdt med øvrige opplysninger fra åpne kilder og som journalister klarer å skaffe til veie, vil gjøre koblingen relativt lett. Dette gjelder spesielt for visse valutaformidlingsforetak som kun har filialer ett sted i landet. Større transaksjoner foretatt ved bruk av finansforetak på mindre befolkede steder vil kunne lett identifiseres. Det foreligger dermed en klar reell fare for at journalistene, medarbeidere i finansinstitusjonene, eller leserne kan koble opplysningene Dagbladet har bedt om med enkeltpersoner eller foretak».
Ifølge direktoratet måtte forvaltningsloven § 13 a nr. 2 om anonymisering tolkes i lys av personvernforordningen. Det var direktoratets syn at det etter bestemmelsen ikke skulle foretas en vekting av ulike interesser. Taushetspliktvernet måtte ha samme størrelse uavhengig av opplysningenes karakter. Til spørsmålet om taushetspliktvurderingen ville være den samme i de tre tilfellene, skrev direktoratet at dette vanskelig kunnes besvares uten konkrete sikkerhetsanalyser. Koblingsfaren ville imidlertid øke proporsjonalt med informasjonsmengden.
Etter en gjennomgang av svarbrevet, besluttet vi å be Finansdepartementet ‒ som ansvarlig departementet for valutaregisterloven og skatteforvaltningsloven ‒ om å svare på enkelte generelle spørsmål om det rettslige grunnlaget for Skatteetatens taushetsplikt for opplysninger i valutaregisteret. Departementet svarte 15. september 2020. I svaret ‒ som er nærmere omtalt nedenfor ‒ la departementet til grunn at taushetsplikten reguleres av forvaltningsloven når Skatteetaten utfører oppgaver som behandlingsansvarlig for registeret.
Journalistene har fått tilsendt kopi av Skattedirektoratets og Finansdepartementets svarbrev, og har kommet med merknader. Direktoratet har fått tilsendt merknadene, men har ikke kommet tilbake til saken.
Ombudsmannens syn på saken
- Innledning
Hovedregelen etter offentleglova § 3 er at forvaltningens saksdokumenter er offentlige. Videre kan alle kreve innsyn i en sammenstilling av opplysninger fra forvaltningsorganets databaser, forutsatt at dette kan gjøres med enkle fremgangsmåter, jf. § 9. Unntak fra innsynsretten krever hjemmel i lov eller forskrift gitt med hjemmel i lov. Etter offentleglova § 13 første ledd er opplysninger underlagt lovbestemt taushetsplikt unntatt fra innsyn.
Skattedirektoratet har oversendt sakens dokumenter, herunder et uttrekk (sammenstilling) av opplysninger i valutaregisteret. Uttrekket viser banktransaksjoner i perioden 2015 til 2020 mellom Norge og henholdsvis Tyrkia, Saudi-Arabia, Syria, Iran, De forente arabiske emirater, Qatar og Kuwait. Uttrekket er på 4 063 sider. Med unntak av én side, inneholder hver av sidene 50 rader, der hver rad utgjør én transaksjon. Uttrekket har syv kolonner: én for type transaksjon (her «BANK»), én for land, én for år, én for dato, én for kunde (person eller foretak), én for beløp og én for inngående eller utgående (I/U) transaksjon.
Ombudsmannen har ikke mottatt et tilsvarende uttrekk for transaksjoner via andre betalingsforetak enn banker. Direktoratet har imidlertid opplyst at dette uttrekket vil se likt ut, og at sammenstillingen vil etableres dersom det som følge av behandlingen her skulle bli aktuelt å innvilge mer innsyn. Ombudsmannen legger dette til grunn. Når det i det følgende refereres til «uttrekket» menes derfor både det uttrekket ombudsmannen har mottatt kopi av og et tilsvarende uttrekk for transaksjoner via andre betalingsforetak enn banker.
Spørsmålet er om opplysningene i uttrekket som viser dato for transaksjonene og om avsender/mottaker i Norge er en enkeltperson eller et foretak er taushetsbelagte, og dermed skal unntas innsyn, jf. offentleglova § 13 første ledd. Det bemerkes for ordens skyld at journalistene allerede er innvilget innsyn i de øvrige opplysningene i uttrekket, altså om type transaksjon, land, år, beløp og om transaksjonen er inngående eller utgående.
- Hvilken lov regulerer taushetsplikten
Skattedirektoratet har både i avgjørelsen 4. mai 2020 og i svarbrevet hit lagt til grunn at taushetsplikten i denne saken reguleres av forvaltningsloven, idet innsynskravet relaterer seg til Skatteetatens oppgaver som behandlingsansvarlig for valutaregisteret. At det er forvaltningsloven, og ikke skatteforvaltningsloven, som regulerer taushetsplikten i slike tilfeller, er også lagt til grunn av Finansdepartementet i brevet 15. september 2020 hit. Standpunktet bygger på at arbeidet som behandlingsansvarlig for valutaregisteret ikke omfattes av skatteforvaltningsloven § 1-1 bokstav a til k, som angir lovens virkeområde. Ifølge departementet er standpunktet i samsvar med forarbeidene til valutaregisterloven, Ot.prp. nr. 35 (2003-2004). Departementet har videre opplyst at forståelsen synes å være lagt til grunn siden 2016, da Skatteetaten overtok ansvaret som behandlingsansvarlig.
Det er på det rene at innsynskravet 27. januar 2020 relaterer seg til Skatteetatens oppgaver som behandlingsansvarlig for valutaregisteret. Ombudsmannen er enig i at disse oppgavene faller utenfor skatteforvaltningsloven § 1-1 bokstav a til k om lovens virkeområde. Etter ombudsmannens vurdering er dette avgjørende for at taushetsplikten i denne saken ikke reguleres av skatteforvaltningsloven. Ombudsmannen finner derfor ikke grunn til å vurdere nærmere om dette standpunktet fullt ut samsvarer med forarbeidene til valutaregisterloven, slik departementet har lagt til grunn. Når taushetsplikten ikke er regulert i særlovgivningen, er det de alminnelige taushetspliktreglene i forvaltningsloven som kommer til anvendelse.
- Taushetsplikt om opplysninger om personlige forhold
Etter forvaltningsloven § 13 første ledd nr. 1 har «[e]nhver som utfører tjeneste eller arbeid for et forvaltningsorgan» taushetsplikt om «noens personlige forhold». Bestemmelsen gjelder kun opplysninger knyttet til fysiske personer. Foretakstransaksjoner er følgelig ikke taushetspliktige etter denne bestemmelsen. Om bestemmelsen pålegger taushetsplikt for opplysninger om transaksjoner til/fra enkeltpersoner i Norge, beror på om transaksjonene i seg selv eller de opplysningene transaksjonene røper, gjelder «noens personlige forhold».
Ordlyden «noens personlige forhold» gir ikke et klart svar på hvilke opplysninger som er underlagt taushetsplikt. Begrepet må forstås som en rettslig standard, der innholdet kan endres og utvikles over tid i samsvar med behovet for beskyttelse av personlige opplysninger. Generelt kan sies at bestemmelsen omfatter opplysninger som knytter seg til bestemte personer og som det er vanlig å ville holde for seg selv. Dette er likevel ikke mer enn et utgangspunkt. Spørsmålet om en opplysning gjelder noens personlige forhold, og dermed er taushetsbelagt, beror på en konkret helhetsvurdering. I denne vurderingen er det også relevant å se hen til om opplysningene ‒ enten alene eller sammenholdt med andre tilgjengelige opplysninger ‒ kan bidra til å skade eller utlevere en person i allmenhetens øyne, om opplysningene er gitt i noe som minner om et betroelsesforehold og om utlevering av opplysningene kan skade tillitsforholdet til forvaltningen, jf. bestemmelsens forarbeider, Ot.prp. nr. 3 (1976-1977) s. 13-15. Det må også sees hen til i hvilken grad allmenheten har en berettiget interesse i å gjøre seg kjent med opplysningene, jf. NOU 2003: 30 s. 229 og Justis- og beredskapsdepartementets Rettleiar til offentleglova, G-2009-419, s. 79. På s. 14 i proposisjonen heter det bl.a. følgende om hvilke opplysninger som skal anses «personlige»:
«Som typisk personlige nevnes opplysninger om slektskaps-, familie- og hjemforhold, fysisk og psykisk helse, karakter og følelsesliv. Ellers må det trolig legges til grunn en mer tradisjonell oppfatning av hva som hører personligheten og privatlivet til, i motsetning til f.eks. utadrettet politisk og forretningsmessig virksomhet. Det pekes på at det er naturlig å karakterisere som personlige en rekke opplysninger om den enkeltes utdanning og arbeid og om hans økonomiske situasjon, men ikke opplysninger om eiendomsrett og bruksrett. Heller ikke opplysninger om en persons private næringsdrift kan anses som personlige.»
Det fremgår videre på s. 15 at opplysninger om enkeltpersoners økonomi som «hovedregel bør anses som personlige». På samme sted uttrykkes det at det likevel går en nedre grense for hva som omfattes, idet enkelte opplysninger vil være «svært lite følsomme».
Ombudsmannen kan vanskelig se at uttalelsene i proposisjonen gir grunnlag for å slutte at alle slags opplysninger om transaksjoner til/fra enkeltpersoner i Norge, er taushetsbelagte. Selv om en «rekke opplysninger om [den enkeltes] … økonomiske situasjon» må regnes som personlige, er det ikke nærmere angitt hvilke opplysninger det siktes til. At opplysninger om enkeltpersoners økonomi som «hovedregel» er taushetsbelagte, er heller ikke ensbetydende med at alle transaksjoner utført av enkeltpersoner skal unntas som taushetspliktige. For å fastslå om enkeltpersoners økonomiske transaksjoner røper opplysninger «om noens personlige forhold», må det følgelig etter omstendighetene vurderes nærmere om opplysningene ‒ enten alene eller sammen med andre tilgjengelige opplysninger ‒ er tilstrekkelig sensitive, herunder i hvilken grad det i dagens samfunn vil kunne være skadelig eller utleverende for den enkelte om opplysningene ble gjort kjent. At lite sensitive opplysninger om privatpersoners økonomiske forhold faller utenfor taushetsplikten, er også lagt til grunn i NOU 2019: 5 s. 285, Graver, Alminnelig forvaltningsrett, (5. utg. 2019) s. 369 og Justis- og beredskapsdepartementets Rettleiar s. 80.
I denne saken er det tale om en oversikt over enkeltpersoners økonomiske transaksjoner over fem år til syv bestemte land. Selv om den enkelte transaksjonsopplysning isolert sett ikke nødvendigvis trenger å være særlig følsom, vil innsyn kunne medføre at opplysninger registrert for å ivareta offentlige formål kan gi andre mulighet til å kartlegge enkeltpersoners økonomiske virksomhet i bestemte land over tid. Dette kan tale for beskyttelse. Videre er hovedformålet med offentlighetsprinsippet å sikre borgerne mulighet for innsyn og kontroll med det offentliges virksomhet, og ikke private enkeltpersoners virksomhet. Den berettigede interessen i å gjøre seg kjent med opplysningene kan dermed hevdes å være relativt svak. Samtidig er formålet med den konkrete innsynsbegjæringen å avdekke særlig terrorfinansiering. Dette kan spille inn i vurderingen av allmennhetens berettigede interesse i å gjøre seg kjent med opplysningene. Ettersom taushetsplikten ikke er begrunnet nærmere, er det imidlertid uklart om uttrekket inneholder opplysninger av et visst omfang, en viss regelmessighet eller av en viss karakter som kan bidra til en kartlegging av enkeltpersoners økonomiske virksomhet over tid.
Skattedirektoratet har ikke begrunnet nærmere standpunktet om at opplysningene om transaksjonene til/fra enkeltpersoner i Norge, herunder opplysninger som transaksjonene røper, er taushetspliktige etter forvaltningsloven § 13 første ledd nr. 1. Uten en nærmere vurdering og begrunnelse fremstår det usikkert om opplysningene gjelder «noens personlige forhold». Ombudsmannen ber direktoratet om å vurdere taushetspliktspørsmålet for disse opplysningene på nytt.
- Taushetsplikt om næringsopplysninger
For at en opplysning skal være vernet av bestemmelsen om taushetsplikt i forvaltningsloven § 13 første ledd nr. 2 må det (1) dreie seg om opplysninger som kan karakteriseres som næringsopplysninger, og (2) det må være av konkurransemessig betydning å hemmeligholde opplysningen av hensyn til den som opplysningen angår. Det stilles følgelig krav både til arten av opplysningene og virkningen av en eventuell offentliggjøring av opplysningene.
Skattedirektoratet har ikke vurdert eller tatt konkret stilling til om vilkårene i § 13 første ledd nr. 2 er oppfylt for opplysningene i uttrekket om transaksjonene til/fra foretak i Norge. Det er følgelig usikkert om transaksjonene, herunder opplysninger som transaksjonene røper, er taushetspliktige, og dermed skal unntas innsyn. Unntak fra innsynsretten krever en klar hjemmel. Det er ikke tilstrekkelig å unnta opplysninger på bakgrunn av en antagelse av at opplysningene, eller noen av opplysningene, kan være taushetsbelagte.
Under henvisning til offentleglova § 9 har direktoratet varslet at det ikke vil bli vurdert nærmere om opplysningene om transaksjonene til/fra foretak er taushetspliktige, idet en slik vurdering vil medføre uforholdsmessig bebyrdende arbeid for Skatteetaten. Direktoratet synes her å legge til grunn en uriktig forståelse av offentleglova § 9. Bestemmelsen angir vilkårene for at et forvaltningsorgan har plikt til å etablere en sammenstilling av opplysninger fra organets databaser, og slår bl.a. fast at dette skal kunne gjøres med enkle fremgangsmåter. Vilkåret om enkle fremgangsmåter relaterer seg til selve etableringen av sammenstillingen, og ikke til hvilke undersøkelser som eventuelt må gjøres etter at sammenstillingen er etablert for å avklare om det er begrensninger i allmennhetens innsynsrett. Det vises til Ot.prp. nr. 102 (2004-2005) s. 127, ombudsmannens uttalelse 11. februar 2015 (SOM-2014-2291) og Justis- og beredskapsdepartementets Rettleiar s. 44. Et forvaltningsorgan kan følgelig ikke i medhold av bestemmelsen unnlate å undersøke om opplysninger i en allerede etablert sammenstilling, eller i en sammenstilling som kan etableres med enkle fremgangsmåter, er taushetsbelagte, og dermed unntatt innsyn.
Direktoratet har anført at også opplysninger om hvilke institusjoner som er involvert i transaksjonene kan være taushetspliktige etter § 13 første ledd nr. 2. Ombudsmannen bestrider ikke at slike opplysninger etter omstendighetene kan være taushetspliktige, men kan vanskelig se relevansen av dette i denne saken. Journalistene har presisert at de kun ønsker anonymiserte opplysninger. Innsynskravet kan dermed vanskelig forstås annerledes enn at det ikke er bedt om opplysninger om hvilke banker/betalingsforetak som er involvert i transaksjonene. Slike opplysninger kan heller ikke sees å fremgå av sakens dokumenter. I det uttrekket ombudsmannen har mottatt er banktransaksjoner angitt som «BANK», uten en nærmere spesifisering av hvilke banker som er involvert i transaksjonene. Direktoratet har opplyst at uttrekket for andre betalingsforetak vil se tilsvarende ut. I skattekontorets uttrekk til journalistene, som ombudsmannen har mottatt kopier av, er transaksjoner via andre betalingsforetak enn banker angitt som «TRAN». Det er vanskelig å se hvorfor opplysninger om «BANK» og «TRAN» skulle være taushetspliktige etter § 13 første ledd nr. 2 på det grunnlaget direktoratet viser til. Dette må i så fall grunngis nærmere fra direktoratets side.
På denne bakgrunn er det ombudsmannens syn at direktoratets taushetspliktvurdering for opplysningene om transaksjonene til/fra foretak i Norge er mangelfull. Det fremstår usikkert om transaksjonene er taushetspliktige etter § 13 første ledd nr. 2, og dermed skal unntas innsyn, jf. offentleglova § 13 første ledd. Dersom direktoratet er i tvil eller ikke vet om opplysningene er taushetsbelagte, har direktoratet et selvstendig ansvar for å få avklart dette forholdet, jf. offentleglova § 32 tredje ledd, jf. forvaltningsloven § 33. Ombudsmannen ber om at spørsmålet om taushetsplikt for disse opplysningene vurderes på nytt.
- Begrensninger i taushetsplikten
Forutsatt at opplysningene om transaksjonene, herunder opplysninger som transaksjonene røper, er taushetspliktige etter forvaltningsloven § 13, må det vurderes om det gjelder begrensninger i taushetsplikten. Det følger av § 13 a nr. 2 at taushetsplikten ikke er til hinder for at opplysningene brukes når behovet for beskyttelse må anses varetatt ved at de gis ut i statistisk form eller ved at individualiserende kjennetent utelates på annen måte.
Det avgjørende for om et dokument som inneholder taushetsbelagte opplysninger kan gis ut i anonymisert form, er om mulighetene for å knytte opplysningene til den personen eller den virksomheten opplysningene gjelder reelt er fjernet, jf. Frihagen, Taushetsplikt etter forvaltningsloven (1979) s. 98. I vurderingen må det både sees hen til om personene/virksomhetene kan identifiseres ut fra opplysninger i det aktuelle dokumentet, og ut fra den såkalte koblingsfaren ‒ at opplysningene holdes sammen med informasjon som er gjort kjent andre steder. Hvorvidt det også skal tas hensyn til opplysninger som vil kunne publiseres senere, er omtalt i Justisdepartementets lovavdelingsuttalelse 20. november 2011, JDLOV-2001-3181. Lovavdelingen kom der til at det i første rekke vil være aktuelt å vurdere koblingsfaren mot opplysninger som allerede er kjent. Fremtidige opplysninger kan likevel vektlegges, dersom det er sikkert at disse vil foreligge i nær fremtid.
I juridisk teori er det lagt til grunn at hvor store krav det skal stilles til anonymitetsvernet vil bero på en konkret vurdering. Avgjørende er hvor sensitive opplysningene er, hvor sannsynlig det er at noen vil ta arbeidet med å finne ut hvem de gjelder og hvor sterke legitime interesser det er for at de gjøres kjent, se Jan Fridtjof Bernt, Norsk lovkommentar (Gyldendal rettsdata), note 311 til forvaltningsloven (sist hovedrevidert 6. desember 2017).
Den teknologiske utviklingen har medført et stort tilfang av offentlig tilgjengelig opplysninger. I tillegg utvikles det stadig med treffsikre analyseverktøy. Dette har igjen økt faren for re-identifisering og gjort anonymisering krevende. Utfordringen er omtalt i Personvernforordningen (Europaparlaments- og rådsforordning (EU) 2016/679 (GDPR)), som gjennom personopplysningsloven § 1 er gjort til norsk lov. I fortalen nr. 26, heter det:
«Når det skal fastslås om en fysisk person er identifiserbar, bør det tas hensyn til alle midler som det med rimelighet kan tenkes at den behandlingsansvarlige eller en annen person kan ta i bruk for å identifisere vedkommende direkte eller indirekte, f.eks. utpeking. For å fastslå om midler med rimelighet kan tenkes å bli tatt bruk for å identifisere den fysiske personen bør det tas hensyn til alle objektive faktorer, f.eks. kostnadene for og tiden som er nødvendig for å foreta identifikasjonen, idet det tas hensyn til teknologien som er tilgjengelig på behandlingstidspunktet, samt den teknologiske utvikling.»
Uttalelsen knytter seg til personopplysningsloven. Momentene som nevnes vil likevel kunne være relevante også ved anvendelsen av forvaltningsloven § 13 a. I henhold til fortalen er det ikke slik at enhver teoretisk mulighet for identifikasjon innebærer at opplysningene ikke er tilstrekkelig anonymisert. I vurderingen må det ses hen til hvilke midler som med rimelighet kan tenkes å bli brukt i identifiseringen. Det vises for øvrig til ombudsmannens uttalelse 28. august 2019 (SOM-2019-1142), der tilsvarende er lagt til grunn.
Som nevnt i punkt 1, inneholder uttrekket opplysninger om type transaksjon, land, år, dato, kunde (person/foretak), beløp og om transaksjonen var inngående eller utgående. Uttrekket viser dermed at en enkeltperson eller et foretak i Norge på en bestemt dag i et bestemt år fra 2015 til 2020 overførte eller mottok et bestemt beløp i norske kroner via bank eller andre betalingsforetak til/fra enten Tyrkia, Saudi-Arabia, Syria, Iran, De forente arabiske emirater, Qatar eller Kuwait. Uttrekket i seg selv inneholder ikke opplysninger om identiteten til de enkeltpersonene eller de foretakene som har overført eller mottatt penger. Videre fremkommer det ikke opplysninger om geografisk oppholdssted, utover at opplysningene gjelder enkeltpersoner/foretak i Norge. Det går heller ikke frem hvilke banker eller hvilke betalingsforetak som har vært involvert i transaksjonene, se punkt 4. Ombudsmannen kan vanskelig se at opplysningene om dato og om avsender/mottaker i Norge er en enkeltperson eller et foretak i seg selv, eller sammenholdt med de øvrige opplysningene i uttrekket, kan avsløre hvilken person eller hvilket foretak den enkelte transaksjon knytter seg til. Opplysningene i uttrekket må derfor i utgangspunktet anses tilstrekkelig anonymiserte. Spørsmålet er om opplysningene i uttrekket kan kobles sammen med opplysninger som er tilgjengelig andre steder, og på den måten røpe taushetsbelagt informasjon.
I svarbrevet hit har Skattedirektoratet anført at «[e]nkelte transaksjonsbeløp, opplysninger om sted, tidspunkt, hvilke finansinstitusjoner som er involvert i transaksjonen, sammenholdt med øvrige opplysninger fra åpne kilder og som journalister klarer å skaffe til veie, vil gjøre koblingen relativt lett». Direktoratet har imidlertid ikke angitt eller begrunnet nærmere hvilke «opplysninger fra åpne kilder» som kan kobles sammen med opplysningene i uttrekket fra valutaregisteret, hvilke taushetsbelagte opplysninger denne koblingen vil avsløre, eller kommet med konkrete eksempler, slik ombudsmannen har bedt om. Dette fremgår heller ikke av avgjørelsen 4. mai 2020. Ut fra den begrunnelsen direktoratet har gitt fremstår det usikkert om og eventuelt på hvilken måte det foreligger en reell koblingsfare. Direktoratets svar på spørsmålene om koblingsfare herfra etterlater dessuten inntrykk av at uttrekket inneholder opplysninger om hvilke banker/betalingsforetak som er involvert i transaksjonene, og kanskje også opplysninger om nærmere geografisk oppholdssted for finansinstitusjonene. Som påpekt i punkt 4, inneholder ikke uttrekket slike opplysninger. Slike opplysninger kan heller ikke sees å være omfattet av innsynskravet 27. januar 2020.
På denne bakgrunn fremstår det uklart for ombudsmannen om, på hvilket grunnlag og i hvilken grad innsyn i opplysningene i uttrekket fra valutaregisteret kan bidra til å identifisere taushetsbelagte opplysninger om enkeltpersoner eller foretak. Direktoratet har ikke begrunnet konkret hvorfor og på hvilken måte det foreligger reell koblingsfare, herunder hvilke andre tilgjengelige opplysninger som kan kobles sammen med opplysningene i uttrekket slik at det røper taushetsbelagt informasjon. Ombudsmannen må derfor be om at dette spørsmålet undergis en fornyet vurdering.
Konklusjon
Ombudsmannen er kommet til at det er begrunnet tvil om transaksjonsopplysningene, herunder opplysninger som transaksjonene røper, er taushetspliktige etter forvaltningsloven § 13 første ledd nr. 1 og nr. 2. Taushetspliktvurderingene er mangelfulle. Direktoratet har ikke vurdert konkret eller begrunnet nærmere hvorfor opplysningene er taushetspliktige. Direktoratet bes om å behandle denne delen av saken på nytt.
Gitt at transaksjonsopplysningene er taushetspliktige, kan ombudsmannen vanskelig se at opplysningene om dato og om avsender/mottaker i Norge er en enkeltperson eller et foretak i seg selv, eller sammenholdt med de øvrige opplysningene i uttrekket, kan avsløre hvilken person eller hvilket foretak transaksjonene knytter seg til. Videre er det begrunnet tvil om opplysningene i uttrekket kan kobles sammen med opplysninger som er tilgjengelig andre steder, og på den måten røpe taushetsbelagt informasjon. Direktoratet har ikke begrunnet konkret hvorfor og på hvilken måte det foreligger reell koblingsfare. Ombudsmannen ber derfor direktoratet vurdere på nytt om opplysningene er tilstrekkelig anonymiserte, slik at de kan utgis uten hinder av taushetsplikten, jf. forvaltningsloven § 13 a nr. 2.
Ombudsmannen ber om å bli holdt orientert om direktoratets nye vurdering av saken. En orientering imøtesees innen 22. desember 2020.