Sakens bakgrunn
En journalist i Adresseavisen ba om innsyn i valutaregisteret i alle transaksjoner mellom kr 50 og kr 400 sendt fra Norge til Filippinene for årene 2014–2018. Skatteetaten ved juridisk stab avslo kravet, og Skattedirektoratet opprettholdt avslaget 30. januar 2019. Direktoratet la i vedtaket til grunn at opplysningene i uttrekket fra valutaregisteret er taushetsbelagte etter skatteforvaltningsloven § 3‑1. Om faren for å avsløre taushetsbelagt informasjon ved å koble informasjonen med informasjon som er tilgjengelig andre steder (koblingsfare), skrev direktoratet:
«Forholdet i dag er at det ikke kan utelukkes at de beløp innsynsbegjæringen gjelder kan være indirekte identifiserbare ved at de samme tall kan være behandlet andre steder som vi ikke har mulighet for å kontrollere. Skattekontoret har her vist til valutaregistreringsloven §§ 4 og 6 vedrørende hvem som har tilgang til registeret. Hvor stor mulighet det er for kryssjekking er således uvisst.
Saken byr derfor på tvil, men i og med at det ikke kan utelukkes at beløpene kan være identifiserende ved krysskobling, er vi kommet til at hensynet til å hindre taushetspliktbrudd må veie tyngre enn hensynet til offentlig innsyn.»
Avslaget ble klaget inn for sivilombudsmannen.
Våre undersøkelser
Ombudsmannen innhentet det aktuelle uttrekket fra valutaregisteret. Uttrekket består av nesten 30.000 rader der hver rad utgjør én transaksjon. Uttrekket har tre kolonner; én der alle verdiene er angitt som U (utgående), én for årstall (2014–2018) og én for beløp.
Vi fant grunn til å undersøke saken nærmere, og i undersøkelsesbrevet herfra stilte vi direktoratet følgende spørsmål:
1. Hvilke hensyn taler for taushetsplikt og hvilke hensyn taler for offentlig innsyn i de aktuelle opplysningene? Hvordan har Skattedirektoratet vektet disse hensynene?
I svarbrevet hit skrev Skattedirektoratet at taushetsbelagte opplysninger skal unntas fra offentlighet, jf. offentleglova § 13, og at det ikke skal foretas noen merinnsynsvurdering for taushetsbelagte opplysninger. Direktoratet kunne derfor ikke se at det er grunnlag for «å vektlegge hensyn til allmennhetens eventuelle ønske om innsyn i opplysninger som er underlagt taushetsplikt».
2. Skattedirektoratet bes redegjøre nærmere for koblingsfaren, herunder hvordan de som har tilgang til valutaregisteret etter valutaregisterloven §§ 4 og 6 øker koblingsfaren.
Til dette svarte direktoratet følgende:
«Beløpene er i utgangspunktet ikke anonyme fordi beløpene og andre tilknyttede opplysninger behandles flere steder hvis de ikke er slettet etter gjeldende rett, se for eksempel valutaregisterloven §§ 1, 4 og 6. Det kan ikke utelukkes at identifisering også er mulig med andre midler. Dette tilsier at det i utgangspunktet er reell risiko for identifisering. Terskelen for når opplysninger, herunder personopplysninger, er anonyme, er svært høy. Vi viser her eksempelvis til forvaltningsloven § 13 a nr. 2 og skatteforvaltningsloven § 3-7 bokstav b. Se videre også personvernforordningen artikkel 4 nr. 1, punkt 26 i fortalen til personvernforordningen samt veilederen fra Datatilsynet om anonymisering av personopplysninger når det gjelder vurdering om opplysninger er personopplysninger eller anonyme opplysninger. Momentene i personvernregelverket om når opplysninger er anonyme er trolig også i stor grad relevante for vurdering om andre opplysninger enn personopplysninger er anonyme.»
3. Blir vurderingen av taushetsplikten, herunder koblingsfaren, den samme for summer som forekommer én eller få ganger per år som for summer som forekommer mange ganger per år?
Direktoratet viste til sin praksis hvor opplysninger i utgangspunktet er ansett anonyme hvis de ikke kan tilknyttes en gruppe på fem eller færre. Videre skrev direktoratet at det kan tenkes unntak hvis det foreligger særlige omstendigheter som fører til økt risiko for identifisering. Hvordan dette utgangspunktet og eventuelt unntaket kom til anvendelse i den aktuelle saken, fremgikk ikke av direktoratets svar.
4. Mener Skattedirektoratet at hele dokumentet kan unntas? Det ble i denne sammenheng vist til at det kun er «opplysninger» som kan unntas etter offentleglova § 13 første ledd.
Til dette svarte direktoratet:
«Beløp i valutaregisteret er i utgangspunktet underlagt taushetsplikt. Taushetsbelagte opplysninger skal unntas fra offentlighet i samsvar med offentleglova § 13, og merinnsyn etter § 11 skal ikke vurderes for slike opplysninger.»
Avslutningsvis opplyste direktoratet at «det er mulig å utarbeide anonyme opplysninger som kan oppfylle behovet for innsyn presseorganet har vist til». At et slikt uttrekk ville oppfylle innsynskravet ble tilbakevist av klager i e-post 3. juni 2019 hit. Vår undersøkelse er derfor basert på det uttrekket ombudsmannen har fått oversendt og Skattedirektoratets vedtak 30. januar 2019.
Ombudsmannens syn på saken
1. Rettslig utgangspunkt
Utgangspunktet er at forvaltningens saksdokumenter er åpne for innsyn, jf. offentleglova § 3. Videre kan alle kreve innsyn i en sammenstilling av opplysninger fra forvaltningsorganets databaser, forutsatt at dette kan gjøres med enkle fremgangsmåter, jf. § 9. Unntak fra retten til innsyn krever hjemmel i lov. Slik hjemmel finnes blant annet i offentleglova § 13 første ledd der det fremgår at «opplysninger» underlagt lovbestemt taushetsplikt, skal unntas.
Det følger av skatteforvaltningsloven § 3‑1 første ledd at «noens formues- eller inntektsforhold eller andre økonomiske, bedriftsmessige eller personlige forhold» er underlagt taushetsplikt. Taushetsplikten er likevel ikke til hinder for at opplysningene brukes når «behovet for beskyttelse må anses varetatt ved at de gis i statistisk form eller ved at individualiserende kjennetegn utelates på annen måte», jf. skatteforvaltningsloven § 3-7 bokstav b. Bestemmelsen tilsvarer forvaltningsloven § 13 a nr. 2, se Prop. 38 L (2015–2016) punkt 9.4.8. Rettskilder knyttet til denne bestemmelsen er derfor relevant ved tolkningen av skatteforvaltningsloven § 3-7 bokstav b.
Det avgjørende for om et dokument som inneholder taushetsbelagte opplysninger kan gis ut i anonymisert form, er om mulighetene for å knytte opplysningene til personen de gjelder, reelt sett er fjernet, jf. bl.a. Frihagen, Taushetsplikt etter forvaltningsloven (1979) side 98. Det må i denne vurderingen både sees hen til om de aktuelle personene kan identifiseres ut fra opplysninger i det aktuelle dokumentet og ut fra den såkalte koblingsfaren – at opplysningene holdes sammen med opplysninger som allerede er kjent eller vil bli kjent senere.
Hvor store krav det skal stilles til anonymitetsvernet, må avhenge av på den ene siden hvor sensitive de aktuelle opplysningene er og hvor sannsynlig det er at noen vil finne ut av hvem de gjelder, og på den andre siden hvor sterke legitime interesser det er for at de aktuelle forholdene blir kjent, se Bernt, Norsk lovkommentar, note 311 til forvaltningsloven (sist hovedrevidert 6. desember 2017). Selv om det ikke skal vurderes merinnsyn i taushetsbelagte opplysninger, slik Skattedirektoratet har påpekt, kommer hensynet til offentlighetens legitime interesse i innsyn altså likevel inn som en del av taushetspliktvurderingen.
Ved vurderingen av taushetspliktens grenser etter skatteforvaltningsloven § 3‑7 bokstav b bør det også legges vekt på at Skatteetaten er avhengig av informasjon fra de skattepliktige selv og fra tredjeparter. Tilliten til at Skatteetaten overholder taushetsplikten er en viktig forutsetning for personers og virksomheters frivillige innrapportering, se Prop. 38 L (2015–2016) punkt 9.4.8.
Det er ikke slik at enhver teoretisk mulighet for å kunne identifisere hvem de anonymiserte opplysningene knytter seg til, innebærer at opplysningene ikke er tilstrekkelig anonymisert, slik Skattedirektoratet synes å ha lagt til grunn. Personvernforordningen (Europaparlaments- og rådsforordning (EU) 2016/679 (GDPR)) gjelder som norsk lov, jf. personopplysningsloven § 1. I fortalen til forordningen er det blant annet angitt hva som skal til for å anse en fysisk person som tilstrekkelig anonymisert. Tilsvarende momenter må være relevante for vurderingen av anonymisering også etter forvaltningsloven § 13 a nr. 2 og skatteforvaltningsloven § 3‑7 bokstav b. I fortalen til personvernforordningen, punkt 26 heter det:
«Når det skal fastslås om en fysisk person er identifiserbar, bør det tas hensyn til alle midler som det med rimelighet kan tenkes at den behandlingsansvarlige eller en annen person kan ta i bruk for å identifisere vedkommende direkte eller indirekte, f.eks. utpeking. For å fastslå om midler med rimelighet kan tenkes å bli tatt bruk for å identifisere den fysiske personen bør det tas hensyn til alle objektive faktorer, f.eks. kostnadene for og tiden som er nødvendig for å foreta identifikasjonen, idet det tas hensyn til teknologien som er tilgjengelig på behandlingstidspunktet, samt den teknologiske utvikling. Prinsippene om vern av personopplysninger bør derfor ikke få anvendelse på anonyme opplysninger, nærmere bestemt opplysninger som ikke kan knyttes til en identifisert eller identifiserbar fysisk person, eller personopplysninger som er blitt anonymisert på en slik måte at den registrerte ikke lenger kan identifiseres.»
2. Nærmere om taushetspliktvurderingen
Beløpene i uttrekket viser at noen har overført penger av en viss sum fra Norge til Filippinene i et gitt år. Dette sier noe om vedkommendes «økonomiske … forhold», og er derfor i utgangspunktet omfattet av taushetsplikten etter skatteforvaltningsloven § 3‑1 første ledd. Spørsmålet er om uttrekket er tilstrekkelig anonymisert slik at opplysningene likevel ikke er taushetsbelagt, jf. skatteforvaltningsloven § 3‑7 bokstav b.
Uttrekket i seg selv inneholder ingen opplysninger om identiteten til personene eller virksomhetene som har foretatt overføringene. Videre er innsynskravet begrenset til transaksjoner i størrelsesorden kr 50 til kr 400. Den viser derfor ikke særlige små eller særlig store transaksjoner, som kunne vært egnet til å identifisere en virksomhet eller en person. Det er heller ikke oppgitt dato eller tidspunkt for når transaksjonen er gjennomført ut over årstall, og ikke geografisk oppholdssted til den som har foretatt overføringen. Ombudsmannen kan vanskelig se at et årstall og transaksjonens størrelse i seg selv kan avsløre hvem transaksjonen knytter seg til. Opplysningene i uttrekket må derfor i utgangspunktet anses tilstrekkelig anonymisert. Spørsmålet blir om opplysningene i uttrekket sammenholdt med opplysninger tilgjengelig andre steder, kan avsløre taushetsbelagt informasjon. Ved denne vurderingen skal det ses hen til midler som det med rimelighet kan tenkes at noen tar i bruk for å identifisere personer eller virksomheter.
Skattedirektoratet har i vedtaket 30. januar 2019 og i svarbrevet hit vist til at «beløpene og andre tilknyttede opplysninger behandles flere steder hvis de ikke er slettet etter gjeldende rett», og vist til valutaregisterloven §§ 1, 4 og 6. Direktoratet har også pekt på at det ikke kan «utelukkes at identifisering også er mulig med andre midler», uten at dette er presisert nærmere.
I valutaregisterloven § 1 angis formålet med loven, som blant annet er å forebygge og bekjempe kriminalitet og å bidra til riktig skatte- og avgiftsbetaling. Dette skal gjøres ved at kontroll- og etterforskningsorganene får tilgang til opplysninger om valutavekslinger og overføringer inn og ut av Norge. I § 4 fremgår det at foretak som kan drive valutavirksomhet, plikter å innrapportere overføringer inn og ut av Norge. Videre er det i § 6 angitt hvem som har tilgang til opplysningene i registeret. Dette er politiet, skatteetaten, toll- og avgiftsetaten, Arbeids- og velferdsdirektoratet, Finanstilsynet, Norges Bank, Utenriksdepartementet og bostyrer i konkursbo. Tilgangen er begrenset til organets behov. Direktoratet har ikke konkretisert hvilket eller hvilke organer det er sannsynlig at noen vil kunne innhente informasjon fra, eller hva slags informasjon som eventuelt kan innhentes fra organene som kan bidra til å identifisere hvem som står bak enkelttransaksjoner i det uttrekket denne saken gjelder.
Både de som rapporterer til valutaregisteret etter valutaregisterloven § 4 og de som har tilgang til registeret etter § 6, har taushetsplikt – enten etter den alminnelige bestemmelsen i forvaltningsloven § 13 eller etter særlovgivning. Den taushetsbelagte informasjonen disse aktørene sender til eller innhenter fra valutaregisteret, kan derfor ikke anses alminnelig tilgjengelig. Dersom det overhodet er mulig, krever det betydelig innsats å sammenstille opplysninger fra det uttrekket denne saken gjelder med opplysninger fra en eller flere av disse aktørene på en slik måte at det kan identifisere personene eller virksomhetene transaksjonene knytter seg til. Etter ombudsmannens syn trekker dette i retning av at opplysningene i uttrekket er tilstrekkelig anonymisert. Det samme gjør det forhold at de fleste beløpene i uttrekket forekommer et betydelig antall ganger per år – enkelte summer opp mot 400 ganger per år. Selv om man skulle ha andre identifiserbare opplysninger tilgjengelig, kan ombudsmannen vanskelig se hvordan disse skulle kunne knyttes til de enkelte transaksjonene i det uttrekket denne saken gjelder.
Det å overføre små beløp fra Norge til Filippinene er ikke i seg selv særlig sensitivt. Selv om formålet med innsynskravet i denne saken var å kartlegge transaksjoner knyttet til overgrep mot barn, vil ikke det aktuelle uttrekket si noe om hvilke transaksjoner som eventuelt kan knyttes til dette. På denne bakgrunn er sannsynligheten liten for at noen vil ta arbeidet med å prøve å finne ut hvem de enkelte transaksjonene knytter seg til. Det at uttrekket består av svært mange overføringer – nesten 30.000 – tilsier også at sannsynligheten for dette er liten.
Ombudsmannen kan heller ikke se at en offentliggjøring av de aktuelle opplysningene i en slik anonymisert form som i det aktuelle uttrekket, vil svekke tilliten til at skatteetaten overholder taushetsplikten sin.
Opplysningene i uttrekket må etter dette anses tilstrekkelig anonymisert, jf. skatteforvaltningsloven § 3‑7 bokstav b, og er dermed ikke taushetsbelagt. Skattedirektoratet bes behandle innsynskravet på nytt.
Som følge av konklusjonen over har ombudsmannen ikke funnet grunn til å gå nærmere inn på spørsmålet om hele dokumentet kan unntas fra innsyn.
Ombudsmannen har heller ikke vurdert om det er hjemmel for å unnta opplysningene etter andre bestemmelser i offentleglova.
Konklusjon
Taushetsplikt om noens økonomiske forhold er ikke til hinder for å gi ut informasjon i anonymisert form, jf. skatteforvaltningsloven § 3‑7 bokstav b. Opplysningene i det aktuelle uttrekket fra valutaregisteret anses tilstrekkelig anonymisert og er derfor ikke taushetsbelagt. Ombudsmannen ber derfor Skattedirektoratet om å behandle innsynskravet på nytt og sende kopi av den nye vurderingen hit innen 27. august 2019.