Mál númer 2021061262

Skatturinnb.t. Snorra Olsens ríkisskattstjóraLaugavegi 166105 REYKJAVÍK

Reykjavík, 14. mars 2022

Tilvísun: 2021061262/ÞS

Álit

Hinn 9. mars 2021 samþykkti Persónuvernd svohljóðandi álit í máli nr. 2021061262:

1.

Tildrög máls – Bréfaskipti

Persónuvernd vísar til fyrri bréfaskipta varðandi birtingu á svonefndum válista á vefsíðu Skattsins. Er þar um að ræða kennitölur þeirra, bæði lögaðila og einstaklinga, sem Skatturinn hefur afskráð af virðisaukaskattsskrá þar sem þeir hafa sætt áætlun virðisaukaskatts um tiltekið skeið, sbr. 1. mgr. 27. gr. A í lögum nr. 50/1988 um virðisaukaskatt. Hefur sú afskráning þau réttaráhrif að viðkomandi er óheimilt að innheimta virðisaukaskatt í viðskiptum sínum og skal skila honum í ríkissjóð án þess að eiga rétt á innskatti sem frádrætti þar á móti, sbr. 5. mgr. sömu greinar. Jafnframt geta kaupendur á vörum eða þjónustu af honum ekki átt rétt á endurgreiðslu virðisaukaskatts vegna kaupanna þar sem slíkur réttur er til staðar, sbr. 1. mgr. 16. gr., 12. mgr. 42. gr. og 4. mgr. 43. gr. laganna, svo og XXXIII. grein til bráðabirgða í lögunum.

Í bréfi frá Persónuvernd til Skattsins, dags. 3. júní 2021, vísaði stofnununin til þess að samkvæmt framangreindu eru af því hagsmunir að fyrir liggi hverjir skráðir eru á virðisaukaskattsskrá. Einnig tók stofnunin hins vegar fram að á vefsíðu Skattsins væri með uppflettingum á virðisaukaskattsskrá sem slíkri unnt að komast að því hvort einstaklingar væru þar skráðir. Þá væri ljóst að til afskráningar gæti komið af fleiri ástæðum en þeirri að áætla hefði þurft virðisaukaskatt á skráðan aðila, sbr. 7. mgr. 5. gr. laga nr. 50/1988, svo og að sú afskráning hefði einnig þau réttaráhrif að ekki gæti stofnast til réttar á endurgreiðslu virðisaukaskatts vegna viðskipta. Upplýsingar um viðkomandi aðila væru þá ekki gerðar aðgengilegar á sérstökum válista og væri sérstaklega tekið fram á vefsíðu Skattsins að ekki ræddi þar um tæmandi lista yfir lokuð virðisaukaskattsnúmer heldur aðeins þau sem ríkisskattstjóri hefði úrskurðað af skrá vegna vanskila.

Með vísan til þessa óskaði Persónuvernd skýringa frá Skattinum á því hvaða heimild samkvæmt 9. gr. laga nr. 90/2018 hann teldi standa til vinnslu upplýsinga um einstaklinga, þ. á m. birtingu þeirra, á umræddum válista, svo og hvernig hann teldi vinnsluna samrýmast kröfum 1. og 3. tölul. 1. mgr. 8. gr. laganna um sanngirni og meðalhóf við vinnslu persónuupplýsinga.

Svarað var með bréfi Skattsins, dags. 18. júní 2021. Þar segir að upplýsingar á válista hafi verið fjarlægðar af vef Skattsins og sé engin ummerki um fyrri birtingu þar lengur að finna. Upplýsingar um forsendur afskráningar tiltekinna aðila af virðisaukaskattskrá séu því ekki lengur almenningi aðgengilegar. Einungis sé hægt að kalla fram upplýsingar um breytingu á skráningu aðila á virðisaukaskattskrá, auk tímamarks hennar, með leit í einfaldri leitarvél fyrirtækjaskrár og virðisaukaskattskrár á vefsíðu Skattsins. Sé samkvæmt þessu unnt að meta hvort endurgreiðsluréttur eða innskattsréttur sé til staðar eða hafi verið það á tilteknu tímabili. Eins sé aðilum unnt að sjá hvernig skráningu þeirra hafi verið háttað.

Með svari skattsins fylgdu afrit bréfaskipta milli ríkisskattstjóra og umboðsmanns Alþingis á árunum 2014 og 2015. Hófust þau með bréfi umboðsmanns til ríkisskattstjóra, dags. 11. nóvember 2014, þar sem tekið var fram að réttar upplýsingar um skráningu virðisaukaskattskyldra aðila, þ. á m. um tímamark skráningar og afskráningar, yrðu að vera aðgengilegar. Væri slíkt nauðsynlegt til að kaupendur virðisaukaskattsskyldrar þjónustu gætu sannreynt skráningarstöðu og þar með fyrrgreindan endurgreiðslurétt þegar viðskipti áttu sér stað, en slíkrar sannreyningar gæti meðal annars verði þörf í lok uppgjörstímabils eða ef ágreiningur risi um réttmæti skattskila. Með vísan til þessa var komið á framfæri ábendingu um að úrbætur mætti gera við umrædda skráningu á vefsíðu ríkisskattstjóra. Greint var frá slíkum úrbótum og fyrirætlunum um þær í bréfi ríkisskattstjóra til umboðsmanns, dags. 28. janúar 2015, og lauk umboðsmaður málinu með vísan til þessara úrbóta með bréfi, dags. 24. febrúar s.á.

2.

Álit Persónuverndar

Eins og lýst er í 1. kafla hér að framan voru á svonefndum válista á vefsíðu Skattsins birtar upplýsingar um þá sem afskráðir höfðu verið af virðisaukaskattsskrá þar sem þeir höfðu þurft að sæta áætlun virðisaukaskatts, sbr. það áður segir um afskráningu á þeim grundvelli samkvæmt lögum nr. 55/1988 um virðisaukskatt. Þá liggur fyrir að þeir sem eiga viðskipti við þá sem afskráðir hafa verið geta ekki farið fram á endurgreiðslu virðisaukaskatts vegna þeirra viðskipta í samræmi við þau ákvæði þar að lútandi sem fyrr greinir.

Hvað snertir upplýsingar um einstaklinga sem birtar voru á framangreindum forsendum gilda lög nr. 90/2018 um persónuvernd og meðferð persónuupplýsinga, svo og reglugerð (ESB) 2016/679, sbr. 1. mgr. 4. gr. og 2. tölul. 3. gr. laganna og 1. mgr. 2. gr. og 1. tölul. 4. gr. reglugerðarinnar um efnislegt gildissvið lögjafarinnar og hugtakið persónuupplýsingar. Svo að vinna megi með slíkar upplýsingar þarf ávallt að vera fullnægt einhverju af skilyrðum 9. gr. laganna og 1. mgr. 6. gr. reglugerðarinnar, en einkum reynir hér á 5. tölul. ákvæðis laganna og e-lið ákvæðis reglugerðarinnar, þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með.

Auk heimildar samkvæmt framangreindu þarf hins vegar einnig að vera farið að öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018 og 1. mgr. 5. gr. reglugerðar (ESB) 2016/679 þegar unnið er með persónuupplýsingar, þ. á m. þeirri kröfu að slíkar upplýsingar skuli unnar með sanngjörnum hætti gagnvart hinum skráða (1. tölul. ákvæðis laganna og a-liður ákvæðis reglugerðarinnar); þeirri kröfu að upplýsingar skuli fengnar í skýrt tilgreindum og lögmætum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. ákvæðis laganna og b-liður ákvæðis reglugerðarinnar); svo og kröfunni um meðalhóf, þ.e. um að upplýsingar skuli vera nægilegar, viðeigandi og takmarkast við það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul. ákvæðis laganna og c-liður ákvæðis reglugerðarinnar).

Fyrir liggur að á vefsíðu Skattsins er með uppflettingum í virðisaukaskattsskrá sem slíkri unnt að komast að því hvort einstaklingar séu þar skráðir. Þá er ljóst að til afskráningar getur komið af fleiri ástæðum en þeirri að áætla hafi þurft virðisaukaskatt á skráðan aðila, sbr. 7. mgr. 5. gr. laga nr. 50/1988, svo og að sú afskráning hefur einnig þau réttaráhrif að ekki getur stofnast til réttar á endurgreiðslu virðisaukaskatts vegna viðskipta. Upplýsingar um viðkomandi aðila hafa þá ekki verið gerðar aðgengilegar á sérstökum válista og var ekki sérstaklega tekið fram á vefsíðu Skattsins að ekki ræddi þar um tæmandi lista yfir lokuð virðisaukaskattsnúmer heldur aðeins þau sem ríkisskattstjóri hefði úrskurðað af skrá vegna vanskila.

Með vísan til framangreinds telur Persónuvernd birtingu umrædds válista ekki hafa byggst á fullnægjandi heimild samkvæmt lögum nr. 90/2018 og reglugerð (ESB) 2016/679, auk þess sem ekki hafi verið farið að áðurnefndum kröfum laganna og reglugerðarinnar um sanngirni, skýrt tilgreindan, lögmætan tilgang og meðalhóf við vinnslu persónuupplýsinga. Af skýringum Skattsins verður ráðið að listinn hafi verið álitinn eiga erindi við almenning, m.a. í ljósi samskipta við umboðsmann Alþingis. Persónuvernd telur að með birtingunni hafi verið gengið lengra en þau samskipti gáfu tilefni til og raunverulega var þörf á. Í ljósi þessa aðdraganda birtingarinnar, svo og þess að listinn er nú ekki lengur birtur á vefsíðu Skattsins, verður hins vegar ekki talið tilefni til sérstakra aðgerða af hálfu Persónuverndar, en stofnunin minnir á mikilvægi þess að öll vinnsla persónuupplýsinga samrýmist persónuverndarlöggjöf.

F.h. Persónuverndar,

Þórður Sveinsson Gyða Ragnheiður Bergsdóttir