Årsmelding 1996
En person ansatt i et rederi ble på sin feriereise "tatt i tollen". Disse opplysningene ble rapportert fra Tollvesenet til vedkommendes arbeidsgiver.
Personalavdelingen hos den aktuelle arbeidsgiveren videreformidlet personopplysningene til øvrige ansatte på arbeidsstedet. Resultatet for personen som ble "angitt", var avskjedigelse. Dette til tross for at overtredelsen fant sted i forbindelse med vedkommendes private feriereise.
Saken ble slått stort opp i flere medier. Det kom blant annet fram at det forelå en muntlig avtale mellom Tollvesenet og rederiene om å rapportere ansatte som blir tatt for å smugle tollfrie varer. Datatilsynet tok kontakt med Toll- og avgiftsdirektoratet for å få belyst saken, Tollvesenets praksis og spørsmålet om utleveringen var forenlig med taushetspliktbestemmelsene i tolloven.
Spørsmålene ble ikke endelig avklart i meldingsåret. Toll- og avgiftsdirektoratet har blant annet gitt ulike tolkninger av taushetspliktbestemmelsene i sitt tilsvar. Datatilsynet har derfor bedt om at Finansdepartementet som Tollvesenets overordnede etat, avgir en uttalelse i saken.
I forhold til personregisterlovens forskrifter konkluderte Datatilsynet med at personalavdelingens videreformidling av opplysninger til de andre ansatte i rederiet er i strid med reglene om utlevering (§ 2-1 i forskriftene) av personopplysninger til utenforstående.
Etter Datatilsynets oppfatning reiser saken alvorlige betenkeligheter i forhold til avtaler mellom offentlig myndighet (Tollvesenet) og privat virksomhet (rederiet) om rapportering av ansatte. Det kan stilles spørsmål ved om slike avtaler er i overensstemmelse med taushetspliktbestemmelser, og om dette representerer et tillitsbrudd mellom offentlig myndighet og privatpersoner.
NYTT SENTRALT EDB-STØTTET SYSTEM I TOLLVESENET
Datatilsynet har hatt flere møter med Toll- og avgiftsdirektoratet i forbindelse med etatens omlegging av edb-løsninger i 1996. Det er positivt at direktoratet har trukket blant annet Datatilsynet med i en tidlig planleggingsfase av så omfattende systemer. Det bidrar til at sikringen av personopplysningene blir grundig vurdert og planlagt.
Fornyelsesprogrammet går under betegnelsen TVIST 2000. For Datatilsynet er det personunderretningssystemet (PUS) i Kontrollavdelingen i direktoratet som har størst betydning. Tidligere har informasjon i forbindelse med personkontroller blitt registrert ved de forskjellige tollstedene. Omleggingen vil føre til at etaten samler alle disse registrene i ett register.
Personopplysninger skal registreres adskilt
For personunderretningssystemet planlegger direktoratet at personinformasjonen som registreres ikke skal ligge på samme server som etatens øvrige registre, men føres i et adskilt system. Datatilsynet mener dette er svært fornuftig ettersom Tollvesenets arbeidsoppgaver spenner over et så vidt felt at nesten hele Norges befolkning vil ha et "kundeforhold" til etaten. Det er derfor svært viktig å holde personopplysninger adskilt i forhold til etatens andre oppgaver.
Datatilsynet er også opptatt av at det må fastsettes sletteregler for personopplysningene.
Datatilsynet har mottatt flere henvendelser fra personer som stadig er utsatt for kontroll fra Tollvesenets side. Mange opplever det som svært belastende å bli konfrontert med Tollvesenets kontroller.
Hvem skal ha tilgang til hva?
Sentralt i Tollvesenets omlegging av edb-løsninger er også spørsmålet om hvem i etaten som skal ha tilgang til hvilken informasjon. Med et så stort informasjonstilfang som etatens sammenslåing av registre representerer, er faren for sammenblanding av funksjoner tilstede. Faren for at det kan dannes "profiler" over de registrerte er også tilstede. Opplysningene må derfor i stor utstrekning skjermes innen etaten.
I tillegg er det naturlig å innføre begrensninger i forhold til antall oppslag i de registrene som inneholder sensitiv informasjon. Dette kan løses ved at ansatte som har saklig behov for opplysninger i sitt arbeid får et begrenset antall oppslag pr uke. I tillegg bør alle oppslag og innlegging av informasjon loggføres. På denne måten kan etaten til en viss grad sikre seg mot oppslag i registrene som ikke har tilknytning til oppgaven som skal utføres.
Datatilsynet er opptatt av at registrering i ett register ikke må få konsekvenser for andre forhold innenfor Toll- og avgiftsdirektoratets myndighetsområde.