Texti greinar sem birtist í Kjarnanum.
—–
Spurt hefur verið hvort starfsemi vefjarins tekjur.is sé eðlileg og í samræmi við lög og reglur. Þar má finna skatttekjur einstaklinga á árinu 2016 gegn gjaldi. Útgáfuaðili er óþekktur, en Ríkisskattstjóri afhenti honum gögnin á pappírsformi. Persónuvernd hefur haft málið til skoðunar, en sýslumaðurinn á Höfuðborgarsvæðinu hafnaði lögbanni á vefinn.
Það er alltaf hætt við því að svona mál verði mjög lögfræðilegt og vinnist á lagatúlkunum. Hér vil ég reyna að greina málið sem stjórnsýslufræðingur og vona að lögfræðin hjá mér sé eftir atvikum byggð á aðalatriðum málsins.
Almannahagsmunir og persónuvernd
Í málinu takast í aðalatriðum á almannahagsmunir og persónuvernd, sjá 9. gr. laga um persónuvernd nr. 90/2018. Það er að nokkru leyti huglægt mat hvernig þessi stóru hugtök standa hvort gagnvart öðru og getur verið breytilegt frá einum tíma til annars og einum stað til annars. En almennt er talið á Norðurlöndum að skattar og uppgefnar tekjur til skatts varði alla í samfélaginu. Og tekjur eru ekki „viðkvæmar persónuupplýsingar“ eins og þær eru skilgreindar í persónuverndarlöggjöfinni. Hagsmunir einstaklinga í málinu takmarkast af því að hér er um afmarkaðan hluta af fjármálum þeirra að ræða sem ekki gefur endilega heildarmynd af fjárhagslegum aðstæðum þeirra. Því er sennilegt að framtakið mæti að öðru jöfnu almennum skilyrðum um persónuvernd.
Ríkisskattstjóri
Í 98. gr. laga um tekjuskatt nr. 90/2003 er fjallað um birtingu upplýsinga úr skattskrá. Þar segir meðal annars að skattskrá skuli liggja frammi á „hentugum stað“ í tvær vikur á ári. Síðar í sömu mgr. segir: „Heimil er opinber birting á þeim upplýsingum um álagða skatta, sem fram koma í skattskrá, svo og útgáfa þeirra upplýsinga í heild eða að hluta.“
Hér er ekki endilega um ótvíræða heimild til samfelldrar dreifingar í tíma að ræða. Það má spyrja sig hvort seinna ákvæðið eigi bara við um birtinguna í tvær vikur eða hvort túlka eigi það vítt og þá þannig að almennt megi gefa skattskrána út í heild. Seinna ákvæðið virðist heimila dreifingu rafrænna gagna til útgáfu og þá hjá útgáfuaðilum, en ekki í öðrum tilgangi. Þótt útgáfuform hafi breyst (netið í stað pappírs) hefur eðli útgáfu ekki gert það og útgáfuheimildin ætti að vera í fullu gildi af þeim sökum. Til tveggja vikna eða allt árið eftir því hvernig það er túlkað. Svo er líka spurning hvað er hentugur staður.
Þegar Ríkisskattstjóri túlkar þessar heimildir sínar skiptir þó meginmáli hvaða hagsmunir takast á: almannahagur eða hagsmunir einstaklinga.
Annað sem skiptir Ríkisskattstjóra máli eru ný lög um endurnot opinberra upplýsinga, nr. 45/2018. Samkvæmt þeim ber opinberum stofnunum að dreifa gögnum sínum til einkaaðila og til notkunar í öðrum tilgangi en þeirra var aflað til að uppfylltum eðlilegum skilyrðum. Þessi lög eru tímanna tákn og í takt við hugmyndir um „big data“. Gjaldfærslan fyrir það verk má síðan ekki vera nema fyrir kostnaðinum sem hlýst af þessari dreifingu sérstaklega, sjá 10. gr. laganna. Í ESB tilskipuninni 2013/37/ESB sem innleidd var með þeim lögum er talað um jaðarkostnað (e. marginal costs).
Ef skattstjóri dreifir gögnunum á pappír er það einkennileg stjórnsýsla og mögulega ólögleg, hún getur brotið meginreglur svo sem um réttmæti og jafnvel meðalhóf. Þá fellur til kostnaður við innslátt og yfirlestur sem almenningur hefur þegar greitt fyrir.
Persónuverndarsjónarmið
Nokkur atriði varða persónuvernd. Fyrst og fremst virðist líklegt að starfsemi tekjur.is sé leyfisskyld. Reikna má með að leyfi Persónuverndar fyrir vinnslu sem gengur svona nærri einstaklingum sé háð ýmsum skilyrðum.
Mjög sennilegt er að af ákvæðum um gagnsæi og um réttindi þess sem upplýsingarnar varðar leiði að sérhver skattgreiðandi eigi að geta séð upplýsingar um sig sér að kostnaðarlausu. Hér er þá meðal annars vísað í 17. gr. persónuverndarlaganna. Gjaldfærsla fyrir eigin upplýsingar kemur væntanlega ekki til greina.
Þá þarf gagnsæið að ganga í báðar áttir og er þá átt við að skattgreiðendur geti á vefnum séð hverjir hafa flett þeim upp og fengið tilkynningu um það. Slíkt kerfi mun vera í bígerð eða komið í loftið hjá skattayfirvöldum í Noregi. Virðist mega leiða líkur að því að lagaskylda standi til þessarar framkvæmdar samkvæmt persónuverndarlögunum.
Þá komum við að praktískum málum sem gætu varðað leyfið, sem eru meðal annars þau að ekki eru til nein þjóðarnetföng eða aðrir augljósir tilkynningamöguleikar opnir. Þó safnar Ríkisskattstjóri netföngum skattgreiðenda, en spurning hvort skilyrða þurfi vinnsluna því að netfang eða símanúmer skattgreiðenda liggi fyrir þannig að mögulegt sé að tilkynna honum um vinnslu.
Þá er mjög óeðlilegt að vinnsla svona upplýsinga á samfélagslegum forsendum, í þágu almannahags, sé kostnaðarsöm fyrir íbúana. Spurning er hvort Persónuvernd getur sett skilyrði um rekstrarform aðila, til dæmis að það sé „not-for-profit“. Það hefur hún ekki gert varðandi aðrar skrá, svo sem fyrirtækjaskrá.
Vinnsluaðilinn
Svo virðist sem vinnsluaðili tekjur.is hafi ekki uppfyllt eðlileg skilyrði á sviði persónuverndar. Ef svo er þá er það mjög ámælisvert þar sem þessar upplýsingar ganga óneitanlega nærri skattgreiðendum og þeir eiga rétt á ítrustu vernd sem persónuverndarlöggjöfin veitir.
Ef vinnsluaðilinn hefur hafnað því að gefa upplýsingar um hvað margir hafa keypt þjónustu hans eða að veita aðrar upplýsingar um tölfræði vinnslu sinnar er það væntanlega ólöglegt. Hann verður óhjákvæmilega að virða meginreglur um gagnsæi.
Hvað ber að gera?
Birting skattskrár á netinu allt árið er sennilega komin til þess að vera og er í takt við meginhugmyndir um lýðræðislegt hlutverk upplýsinga í nútíma lýðræðisþjóðfélagi, þótt illa hafi tekist til í þetta skiptið. Hún mun þó alltaf verða umdeild, enda er þá gengið nær íbúunum en áður hefur verið gert.
Ekki er ósennilegt að Alþingi bregðist tiltölulega hratt við og taki af vafa um lögmæti birtingarinnar. Sennilegast er að þingið miði við framkvæmd svona mála á hinum Norðurlöndunum og þá ekki síst við norsku framkvæmdina. Það myndi þýða að birting yrði leyfð með þröngum skilyrðum.
Þá reikna ég með að starfsemi tekjur.is verði úrskurðuð ólögmæt þar sem hún byggir ekki á ótvíræðum lagaákvæðum sem vinnsla svona persónuupplýsinga þarf að gera og uppfyllir ekki skilyrði persónuverndarlaga. Ef slíkri starfsemi yrði komið á fót aftur myndi hún verða að uppfylla ný lög frá Alþingi, en núverandi starfsemi byggir eðlilega á þeim lagaákvæðum sem fyrir lágu þegar hún var opnuð.
Þá er eðlilegast að Ríkisskattstjóri framkvæmi birtingu skattskrár eins og hefð er fyrir og búi til þess sérstakt kerfi svipað og hann hefur gert við birtingu annarra skráa.