Combating fraud in the field of value added tax

17.3.2010 Europeiska SV unionens officiella tidning C 66/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om förslaget till rådets förordning om administrativt samarbete och kampen mot skatteundandragande i fråga om mervärdesskatt (omarbetning)

(2010/C 66/01)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA har kommissionen dock valt att använda förfarandet med YTTRANDE omarbetning, vilket betyder att rådets förordning (EG) nr 1798/2003 kommer att upphävas om det aktuella förslaget antas av rådet. med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286, 2. I förfarandet med omarbetning är diskussionen om lagstift­ ningen i princip begränsad till de ändringar i sak som föreslås av kommissionen och berör inte de ”oförändrade med beaktande av Europeiska unionens stadga om de grund­ bestämmelserna” ( 5 ). I detta yttrande kommer Europeiska läggande rättigheterna, särskilt artikel 8, datatillsynsmannen (datatillsynsmannen) emellertid att dis­ kutera den nuvarande förordningen och förslagen till inne­ hållsmässiga ändringar av denna i sin helhet. En sådan full­ med beaktande av Europaparlamentets och rådets direktiv ständig analys behövs för att man på ett korrekt sätt ska 95/46/EG av den 24 oktober 1995 om skydd för enskilda kunna bedöma lagstiftningens inverkan på uppgiftsskydd. personer med avseende på behandling av personuppgifter och Datatillsynsmannen kommer att rekommendera justeringar om det fria flödet av sådana uppgifter ( 1 ), som även gäller sådana oförändrade bestämmelser. Datatill­ synsmannen uppmanar lagstiftaren att beakta dessa rekom­ mendationer trots det begränsade tillämpningsområdet för förfarandet med omarbetning. I detta avseende hänvisar med beaktande av Europaparlamentets och rådets förordning datatillsynsmannen till artikel 8 i det interinstitutionella (EG) nr 45/2001 av den 18 december 2000 om skydd för avtalet om ett omarbetningsförfarande enligt vilken det enskilda då gemenskapsinstitutionerna och gemenskapsorganen fastställs en möjlighet att ändra oförändrade bestämmelser. behandlar personuppgifter och om den fria rörligheten för så­ dana uppgifter, särskilt artikel 41 ( 2 ).

3. Förslagets rättsliga grund är artikel 93 i EG-fördraget som gör det möjligt för rådet att anta bestämmelser om indirekt HÄRIGENOM FRAMFÖRS FÖLJANDE. beskattning. Rådet ska besluta enhälligt på förslag av kom­ missionen och efter att ha hört Europaparlamentet och Europeiska ekonomiska och sociala kommittén. Den rätts­ I. INLEDNING liga grunden och det särskilda förfarandet kommer inte att ändras efter ikraftträdandet av Lissabonfördraget.

1. Den 18 augusti 2009 antog kommissionen förslaget till rådets förordning om administrativt samarbete och kampen mot skatteundandragande i fråga om mervärdesskatt (moms) ( 3 ). Förslaget innebär i själva verket en ändring av 4. Datatillsynsmannen har inte hörts enligt kravet i rådets förordning (EG) nr 1798/2003 om administrativt artikel 28.2 i förordning (EG) nr 45/2001. Detta yttrande samarbete i fråga om mervärdesskatt som redan ändrats grundar sig därför på artikel 41.2 i samma förordning. flera gånger ( 4 ). För att texten ska bli klar och överskådlig Datatillsynsmannen rekommenderar att en hänvisning till detta yttrande införs i ingressen i förslaget. ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 5 ) Se det interinstitutionella avtalet av den 28 november 2001 om en ( 3 ) KOM(2009) 427 slutlig av den 18 augusti 2009. mer strukturerad användning av omarbetningstekniken för rättsakter ( 4 ) EUT L 264, 15.10.2003, s. 1. (EGT C 77, 28.3.2002, s. 1). C 66/2 SV Europeiska unionens officiella tidning 17.3.2010

5. Datatillsynsmannen är medveten om vikten av att förbättra för att förbättra bekämpningen av mervärdesskattebedrägeri effektiviteten hos de åtgärder som riktar sig mot gränsöver­ i EU ( 2 ). I meddelandet aviserades flera ändringar av det skridande skattebedrägeri och att uppnå en bättre gräns­ allmänna momsdirektivet 2006/112/EG och även den ak­ överskridande uppbörd av skatter. Även utbytet av uppgif­ tuella omarbetningen av rådets förordning (EG) nr ter, som utgör en del av det administrativa samarbetet och 1798/2003 ( 3 ). kampen mot skatteundandragande i fråga om moms, i hu­ vudsak gäller uppgifter om juridiska personer är det klart att uppgifter som rör fysiska personer också behandlas. Datatillsynsmannen inser att det är nödvändigt att behandla 10. Referensförordningen om administrativt samarbete i fråga personuppgifter för att uppnå dessa mål. Datatillsynsman­ om mervärdesskatt har hittills varit rådets förordning (EG) nen betonar dock att behandlingen av sådana uppgifter nr 1798/2003. Enligt en undersökning som nyligen ge­ måste vara förenlig med gemenskapsbestämmelserna om nomfördes av kommissionen och som offentliggjordes dataskydd. den 18 augusti 2009, samma dag som det aktuella försla­ get, ansågs intensiteten i det administrativa samarbetet mel­ lan medlemsstaterna otillfredsställande för att bemästra ge­ menskapsinternt momsundandragande och momsbedrä­ geri ( 4 ). Huvudsyftet med det aktuella förslaget är därför

6. Situationer som innebär gränsöverskridande utbyte av per­ att anpassa rådets förordning (EG) nr 1798/2003 på ett sonuppgifter inom EU kräver en särskild uppmärksamhet sådant sätt att man uppnår en effektivare bekämpning av eftersom de medför en ökning av omfattningen av upp­ gränsöverskridande bedrägeri och en bättre momsskat­ giftsbehandlingen vilket med nödvändighet leder till rätts- teuppbörd i gränsöverskridande situationer. osäkerhet för de registrerade: aktörer från alla andra med­ lemsstater kan vara berörda, de nationella lagarna i dessa andra medlemsstater kan vara tillämpliga och kan eventuellt något avvika från de lagar de registrerade är vana vid eller II.2 Det nuvarande samarbetssystemet: Rådets förord­ vara tillämpliga i ett rättsligt system som är obekant för ning (EG) nr 1798/2003 den registrerade.

11. Genom rådets förordning (EG) nr 1798/2003 införde EU ett gemensamt system för administrativt samarbete och informationsutbyte mellan medlemsstaternas behöriga myndigheter för att göra det möjligt för dem att korrekt fastställa mervärdesskatten. Förordningen innehåller en för­ 7. Efter att ha analyserat den rättsliga ramen som har sitt teckning över behöriga myndigheter och ålägger medlems­ ursprung i förordning (EG) nr 1798/2003 och de ändringar staterna att utse ett enda centralt kontaktkontor, som ska som nu föreslås konstaterar datatillsynsmannen, trots att ha ansvaret för kontakterna med övriga medlemsstater i vissa positiva inslag ingår, att alla krav i gemenskaps­ fråga om administrativt samarbete. bestämmelserna om dataskydd inte uppfylls.

12. Informationsutbytet mellan behöriga myndigheter ska äga rum i tre typer av fall: utbyte av information på begäran, 8. Innan datatillsynsmannen redogör för denna synpunkt mer utbyte av information utan föregående begäran (spontant i detalj i del III (gällande dataskyddsbestämmelser) och del informationsutbyte) och lagring av information i en elek­ IV (detaljerad analys av förlaget) kommer han i följande del tronisk databas i varje medlemsstat, varav en del är tillgäng­ att först beskriva det aktuella förslagets bakgrund, den be­ lig genom direktåtkomst för de övriga medlemsstaternas fintliga rättsliga ramen och de föreslagna ändringarna. behöriga myndigheter.

13. I rådets förordning (EG) nr 1798/2003 åläggs vidare med­ II. EU-SAMARBETE PÅ OMRÅDET FÖR MERVÄRDES­ lemsstaterna att se till att personer som berörs av gemen­ SKATT skapsinterna leveranser av varor eller gemenskapsinternt tillhandahållande av tjänster har möjlighet att få bekräftelse II.1 Bakgrund på giltigheten av registreringsnumret för mervärdesskatt för varje angiven person. Det system som gör det möjligt för 9. Det aktuella förslaget är resultatet av en diskussion på EUdessa personer att få detta kallas systemet för utbyte av nivå som officiellt inleddes i maj 2006 genom ett medde­ information om mervärdesskatt (Vies). lande från kommissionen om kampen mot skattebedrägeri på den inre marknaden ( 1 ). Kommissionen offentliggjorde i ( 2 ) Se rådets slutsatser av den 4 december 2007 och den 7 oktober december 2008 på rådets och Europaparlamentets upp­ 2008 samt Europaparlamentets resolution av den 2 september 2008 maning ett annat meddelande om en samordnad strategi (2008/2033(INI)). Se meddelande KOM(2008) 807 av den 1 december 2008. ( 1 ) Meddelande KOM(2006) 254 av den 31 maj 2006 om behovet av ( 3 ) EUT L 347, 11.12.2006, s. 1. att utarbeta en samordnad strategi för att förbättra kampen mot ( 4 ) Rapport KOM(2009) 428 av den 18 augusti 2009 om tillämpningen 17.3.2010 Europeiska SV unionens officiella tidning C 66/3

14. I förordningen föreskrivs generellt om att informations­ 18. Samstämmigheten i de uppgifter som är tillgänglig i de utbytet bör ske på elektronisk väg. Kommissionen ansvarar elektroniska databaserna förbättras genom att man anger därigenom för utvecklingen av Gemensamma kommunika­ vilken typ av information som medlemsstaterna är skyldiga tionsnätet/Gemensamma systemgränssnittet (CCN/CSI) i att föra in i sina nationella databas. Genom förslaget utökas den utsträckning som behövs för att informationen ska vidare ett direkt och automatiskt tillträde för övriga med­ kunna utbytas mellan medlemsstaterna. Medlemsstaterna lemsstaters behöriga myndigheter till de elektroniska data­ ansvarar för utvecklingen av sina nationella system i den baserna. De uppgifter som är tillgängliga för andra beskatt­ utsträckning som behövs för att informationen ska kunna ningsbara personer via Vies-databasen kompletteras med utbytas genom CCN/CSI. Förordningen innehåller ytterli­ namn och adress för den person om är registrerad med gare bestämmelser om förbindelserna med kommissionen, ett momsregistreringsnummer. samtidiga kontroller och utbyte av information som kom­ mer från tredjeländer.

19. Förslaget fastställer vidare när medlemsstaterna får och måste utföra multilaterala kontroller. Dessutom skapas det en rättslig grund för inrättandet av en gemensam operativ 15. Den typ av information som kan vara föremål för utbyte struktur för det multilaterala samarbetet (Eurofisc). Detta mellan behöriga myndigheter på begäran eller spontant har system bör möjliggöra ett snabbt utbyte av riktad infor­ inte definierats. I artikel 1 i rådets förordning (EG) nr mation mellan samtliga medlemsstater och ett upprättande 1798/2003 hänvisas det endast till ”all information” som av gemensamma riskanalyser och strategiska analyser. kan göra det möjligt för de behöriga myndigheterna att korrekt fastställa mervärdesskatten. Den elektroniska data­ basen innehåller de sammanställningar som görs för varje beskattningsbar person som är registrerad till mervärdes­ skatt i enlighet med det allmänna momsdirektivet. Dessa sammanställningar innehåller registreringsnummer för mer­ 20. Genom förslaget införs slutligen en skyldighet till återkopp­ värdesskatt för personer de olika berörda beskattningsbara ling som gör det möjligt för medlemsstaterna att bedöma personerna och det sammanlagda beloppet för de leveran­ hur effektivt informationsutbytet är. ser av varor som utförts av den beskattningsbara personen. Vies gör det endast möjligt att bekräfta giltigheten av ett registreringsnummer för mervärdesskatt.

21. Ett antal frågor kommer att behandlas ytterligare i enlighet med ett kommittéförfarande, exempelvis de standardformu­ lär som används när de behöriga myndigheterna begär upp­ II.3 Allmänt om de planerade förbättringarna gifter, det sätt på vilket återkopplingskravet kommer att utformas samt de kriterier som ska användas för att avgöra 16. Kommissionens avsikt med det aktuella förslaget är att för­ huruvida ändringar ska göras i uppgifter som lagras i den bättra effektiviteten i det befintliga samarbetet genom att elektroniska databasen och för att inrätta Eurofisc. göra de behöriga myndigheterna gemensamt ansvariga för skyddet av samtliga medlemsstaters momsinkomster, ge­ nom att intensifiera informationsutbytet mellan de behöriga myndigheterna och genom att förbättra kvaliteten och en­ hetligheten i denna information ( 1 ).

22. När personuppgifter behandlas bör gemenskapslagstift­ ningen om dataskydd respekteras. I lagstiftningen om dataskydd definieras ”personuppgifter” i vid mening som ”varje upplysning som avser en identifierad eller identifierbar fy­ 17. Förbättringen av informationsutbytet mellan medlemssta­ sisk person” ( 3 ). Som tidigare konstaterats riktas infor­ terna uppnås genom att man fastställer i vilka fall de be­ mationsutbytet i nuläget i huvudsak till juridiska personer. höriga myndigheterna inte får vägra att svara på en begäran Det kommer dock även att innehålla uppgifter i samband om information eller om en administrativ utredning och i 2 med fysiska personer. Begreppet ”all information” i vilka fall information måste utbytas spontant ( ). Genom artikel 1.1 i förslaget till rådets förordning verkar även förslaget införs dessutom striktare tidsfrister och lägger innefatta ytterligare uppgifter om fysiska personer som ar­ större vikt vid användningen av elektroniska hjälpmedel. betar för eller som på något sätt har anknytning till de juridiska personerna (se även punkt 31 nedan). ( 1 ) Förslaget omfattar de ändringar i förordning (EG) nr 1798/2003 som avses i rådets förordning (EG) nr 143/2008 och som kommer att tillämpas från och med den 1 januari 2015 (EUT L 44, ( 3 ) Se artikel 2 a i direktiv 95/46/EG och artikel 2 a i förordning (EG) 20.2.2008, s. 1). Genom dessa ändringar införs bestämmelser om nr 45/2001. Se yttrande 4/2007 från Artikel 29-gruppen för upp­ platsen för tillhandahållande av tjänster, de särskilda ordningarna giftsskydd om begreppet personuppgifter av den 20 juni 2007 (till­ och förfarandet för återbetalning av mervärdesskatt. gängligt på http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/ ( 2 ) Se motiveringen till förslaget på sidan 4. 2007/wp136_en.pdf). C 66/4 SV Europeiska unionens officiella tidning 17.3.2010

23. När det gäller medlemsstaternas uppgiftsbehandling är de sionen har ansvar för CCN/CSI-nätets underhåll och säker­ nationella bestämmelserna för genomförandet av direktiv het ( 2 ). För att undanröja varje tvivel om ansvaret för att 95/46/EG tillämpliga. En hänvisning till direktiv 95/46/EG säkerställa en sådan konfidentialitet och säkerhet uppmanar görs två gånger i rådets nuvarande förordning (EG) nr datatillsynsmannen lagstiftaren att tydligare ange kommis­ 1798/2003, dvs. i skäl 17 och artikel 41. Datatillsynsman­ sionens ansvar i detta sammanhang, att betona medlems­ nen noterar att det i dessa bestämmelser endast hänvisas till staternas skyldigheter och att föra fram detta mot bakgrund direktiv 95/46/EG i samband med möjligheten att begränsa av kraven i direktiv 95/46/EG och förordning (EG) nr vissa rättigheter som garanteras i direktivet. Detta skäl och 45/2001. denna artikel återfinns i kommissionens förslag (som skäl 35 och artikel 57) men kommer att genomgå vissa föränd­ ringar som kommer att diskuteras mer ingående i punkt 49 och därefter. I detta skede är det av betydelse att påpeka att kommissionen föreslår ett införande av en allmän formu­ lering i artikel 41 (den nya artikel 57) i vilken det uttalas att ”Lagring eller utbyte av information enligt denna för­ 27. Att åstadkomma klarhet om vem som ansvarar för efter­ ordning ska omfattas av bestämmelserna för att genomföra levnaden av dataskyddsbestämmelserna (i enlighet med da­ direktiv 95/46/EG”. Datatillsynsmannen välkomnar detta taskyddsterminologin registeransvarig ( 3 )) är även viktigt tillägg och uppmanar lagstiftaren att införa ett sådant ut­ med tanke på inrättandet av Eurofisc. I artikel 35 förklaras talande även i skälet. det att Eurofisc kommer att bestå av behöriga tjänstemän som utses av medlemsstaternas behöriga myndigheter. Kommissionen kommer att ge Eurofisc tekniskt, administrativt och driftsmässigt stöd. Förslaget till struktur väcker frågor om den tillämpliga dataskyddslagen (direktiv 95/46/EG eller förordning (EG) nr 45/2001) och om an­ svaret för att dessa bestämmelser följs. Avser kommissionen 24. Även om kommissionen inte deltar direkt i uppgiftsutbytet att hålla medlemsstaterna ansvariga antingen ensamma eller mellan de behöriga myndigheterna visar artikel 51.2 att tillsammans med kommissionen, eller kommer Eurofisc kommissionen kommer att erhålla ”all tillgänglig infor­ självt och eventuellt tillsammans med kommissionen att mation om hur denna förordning tillämpas”, ”statistikupp­ vara den ansvariga myndigheten? Datatillsynsmannen upp­ gifter” och ”all annan information” som kan göra det möj­ manar lagstiftaren att klargöra dessa frågor och se till att ligt att korrekt fastställa mervärdesskatten enligt ansvarsområdena tilldelas på ett tydligt sätt. artikel 1 ( 1 ). Som tidigare nämndes i punkt 14 ska kom­ missionen vidare ansvara för den eventuella utveckling av CCN/CSI som behövs för att denna information ska kunna utbytas mellan medlemsstaterna (artikel 55). Som framgår av artikel 57.2 får detta ansvar på vissa villkor innebära tillgång till uppgifter som utbyts via systemet. IV. NÄRMARE ANALYS AV FÖRSLAGET IV.1 Angivande av uppgifter och ändamål och säker­ ställande av nödvändigheten av databehandling

28. Datatillsynsmannen noterar att det inte anges i tillräcklig grad i förslaget vilket slag av uppgifter som utbyts och för 25. Det följer av det ovan anförda att kommissionen även vilka ändamål uppgifterna utbyts. Dessutom garanterar för­ kommer att behandla personuppgifter. Den är därigenom slaget inte tillräckligt väl att personuppgifter endast ska bunden av de dataskyddsbestämmelser som gäller EU-insti­ utbytas vid behov. Allt detta framgår av artikel 1.1 i för­ tutioner och organ som anges i förordning (EG) nr 45/2001 och som omfattas av datatillsynsmannens över­ slaget till rådets förordning. vakning. För att skapa större klarhet och undanröja alla tvivel om tillämpningen av förordningen uppmanar data­ tillsynsmannen lagstiftaren att införa en hänvisning till för­ ordningen både i skälen och i artikeldelen.

29. Artikel 1.1 innehåller förordningens övergripande syfte vil­ ket är att säkerställa överensstämmelse med nationell momslagstiftning. Detta måste uppnås genom samarbete mellan medlemsstaterna och utbyte av all information mel­ 26. När personuppgifter behandlas krävs det i artiklarna 16 och lan medlemsstaternas behöriga myndigheter som kan göra 17 i direktiv 95/46/EG och artiklarna 21 och 22 i förord­ ning (EG) nr 45/2001 att konfidentialiteten och säkerheten ( 2 ) För relevanta synpunkter se även datatillsynsmannens yttrande av vid uppgiftsbehandlingen säkerställs. Det framgår inte rik­ den 16 september 2008 om förslaget till rådets beslut om inrättande av Europeiska informationssystemet för utbyte av uppgifter ur kri­ tigt klart av den just citerade artikel 55 huruvida kommis­ minalregister (ECRIS) (EUT C 42, 20.2.2009, s. 1), punkt 23 m.fl. ( 3 ) Se artikel 2 d i direktiv 95/46/EG och artikel 2 d i förordning (EG) ( 1 ) Se även punkt 28 och längre fram. I resten av detta yttrande avser nr 45/2001. Båda bestämmelserna omfattar möjligheten av en enda alla hänvisningar till skäl och artiklar de som ingår i förslaget, om kontroll och gemensam kontroll (”… ensamt eller tillsammans med inte annat anges. andra …”). 17.3.2010 Europeiska SV unionens officiella tidning C 66/5 det möjligt att korrekt fastställa mervärdesskatten, säker­ bästa fall endast delvis föreskrivs. Datatillsynsmannen kom­ ställa en korrekt tillämpning av mervärdesskatten, särskilt mer nedan att utveckla denna synpunkt ytterligare. En åt­ för gemenskapsinterna transaktioner, och bekämpa mervär­ skillnad kommer att göras mellan olika former av uppgifts­ desskattebedrägeri. behandling: utbyte av information på begäran, spontant informationsutbyte, tillträde till uppgifter genom den elek­ troniska databasen för behöriga myndigheter, information som är tillgänglig för andra momsregistrerade personer (Vies-databasen) och Eurofiscs uppgiftsbehandling. 30. Som sådan skulle artikel 1.1 inte uppfylla kraven i gemen­ skapsbestämmelserna om dataskydd eftersom den har en alltför vid formulering och ger alltför stort utrymme för fri bedömning. Detta skapar en risk för en betydande bris­ tande efterlevnad av gällande dataskyddsbestämmelser i Information på begäran praktiken. 36. I fråga om information på begäran finns det inte något närmare angivande om vilken slags information som utbyts eller för vilka ändamål utbytet äger rum. I artikel 7 hänvisas 31. För det första är begreppet ”all information” mycket brett det till ”den information som avses i artikel 1” och fastställs och medför en risk för oproportionerligt informations­ att detta inbegriper ”information som gäller ett eller flera utbyte. Det verkar, som sagt, att inbegripa ytterligare upp­ enskilda fall”. En begäran om information kan leda till att gifter om fysiska personer som arbetar för eller som på en administrativ utredning kommer att genomföras. I något sätt har anknytning till juridiska personer. I detta artikel 9 hänvisas det vidare till en överföring av ”all rele­ avseende vill datatillsynsmannen peka på de bestämmelser vant information”. Det klargörs inte vilken slags infor­ som handlar om särskilda uppgiftskategorier och som in­ mation detta innebär. De ändamål för vilka uppgifterna nehåller särskilda och strängare bestämmelser för uppgifter får behandlas anges inte närmare och kravet på nödvändig­ i samband med brott, brottmålsdomar, administrativa sank­ het nämns inte. tioner eller avgöranden i tvistemål ( 1 ).

32. För det andra är de ändamål för vilka informationen kan 37. Datatillsynsmannen uppmanar lagstiftaren att närmare ange utbytas mycket allmänna, vilket strider mot kravet att än­ vilken slags information som kan utbytas, begränsa de än­ damålen måste vara särskilda och uttryckligt angivna ( 2 ). damål för vilka personuppgifter kan utbytas och bedöma nödvändigheten av överföringen, eller åtminstone se till att nödvändighetsprincipen iakttas.

33. För det tredje kan informationen enligt artikel 1.1 utbytas när den ”kan göra det möjligt att [...]” för den behöriga myndigheten i en annan medlemsstat. Om personuppgifter Spontant informationsutbyte ingår skulle detta strida mot kravet att uppgifterna endast behandlas i den utsträckning som detta är nödvändigt för 38. När det gäller det spontana informationsutbytet har det att uppnå det angivna syftet ( 3 ). Utan en noggrann kunskap fastställts i vilka fall medlemsstaterna ska överlämna infor­ av vilket slag av personuppgifter det gäller och utan när­ mationen till en annan behörig myndighet. När det gäller mare angivande av ändamålen är det i varje fall omöjligt att vilket slag av information som ska utbytas hänvisas det bedöma nödvändigheten av utbytet. återigen till artikel 1.1. I artikel 14.1 nämns följande fall:

34. Ett närmare angivande av ändamålet och den information som kan eller kommer att utbytas - åtminstone i stora drag 1. Om beskattningen anses äga rum i destinationsmed­ eller enligt olika kategorier – behövs därför för att uppgifts­ lemsstaten och den information som tillhandahålls av utbytet ska följa kraven på dataskydd. Samtidigt bör man ursprungsmedlemsstaten är nödvändig för kontrollsyste­ även försäkra sig om att nödvändighetsprincipen iakttas. mets effektivitet i destinationsmedlemsstaten.

35. När datatillsynsmannen betraktar rådets förordning (EG) nr

2. Om en medlemsstat har skäl att tro att ett brott mot 1798/2003 i sin helhet och de föreslagna ändringarna no­ mervärdesskattelagstiftningen har begåtts eller sannolikt terar han att något närmare angivande inte föreskrivs eller i har begåtts i den andra medlemsstaten. C 66/6 SV Europeiska unionens officiella tidning 17.3.2010 Även om särskilt den andra och tredje situationen fort­ gör sina skattemässiga skyldigheter, till exempel om för farande är brett definierade skulle dessa tre fall i princip sent inlämnade deklarationer eller skatteskulder förekom­ kunna betraktas som närmare angivande av ändamålen för mer (se artikel 18.3). vilka uppgifter ska utbytas. I den första situationen ingår även nödvändighetsprincipen. Spontant informationsutbyte begränsas dock inte till dessa tre situationer. I artikel 15 anges det att all information som avses i artikel 1 som de behöriga myndigheterna är medveten om och som kan vara användbar för de behöriga myndigheterna i andra med­ 43. Enligt artikel 22 är medlemsstaterna skyldiga att bevilja de lemsstater även ska överlämnas spontant. övriga medlemsstaternas behöriga myndigheter automatiskt tillträde till uppgifter i den elektroniska databasen. De än­ damål för vilka de behöriga myndigheterna kommer att kunna konsultera databasen anges inte närmare. Detta är en ändring i den befintliga förordningstexten i vilken det föreskrivs att den behöriga myndigheten kan ha direkt till­ gång till en begränsad del av uppgifterna och ”uteslutande 39. I själva verket utvidgas de gällande bestämmelserna genom för att förhindra överträdelse av mervärdesskattelagstift­ de föreslagna ändringarna. I artikel 18 i förordning (EG) nr ningen” och ”när den finner detta nödvändigt för att kon- 1798/2003 föreskrivs det att de exakta kategorierna av in­ trollera gemenskapsinterna förvärv av varor eller gemen­ formation som ska utbytas måste fastställas i enlighet med skapsinternt tillhandahållande av tjänster” (se nuvarande kommittéförfarandet. Kommissionen föreslår nu en stryk­ artikel 24). ning av denna bestämmelse.

44. Genom att utvidga möjligheten för de behöriga myndighe­ 40. Datatillsynsmannen uppmanar åter lagstiftaren att närmare terna att ha tillträde till databasen ökas riskerna för data­ ange vilket slag av personuppgifter som kan utbytas, be­ skyddet genom förslaget. Om emellertid antalet områden gränsa de ändamål för vilka personuppgifter kan utbytas med personuppgifter som lagras i den elektroniska databa­ och bedöma nödvändigheten av överföringen, eller åtmin­ sen är så begränsat som möjligt, behöver detta inte utgöra stone se till att nödvändighetsprincipen iakttas. ett problem ur ett dataskyddsperspektiv. I detta avseende välkomnar datatillsynsmannen den närmare angivelsen av de uppgifter som finns i databasen. I förslaget anges dock endast vilka uppgifter medlemsstaterna är skyldiga att lagra i databasen och förbigår med tystnad huruvida även några andra uppgifter kan lagras i databasen samt huruvida dessa Tillträde till uppgifter genom den elektroniska databasen uppgifter kan vara tillgängliga för andra behöriga myndig­ heter. Därför rekommenderar datatillsynsmannen lagstifta­ 41. När det gäller information som genom den elektroniska ren att uttryckligen ange att när det gäller personuppgifter databasen är tillgänglig för behöriga myndigheter anges ska inga andra uppgifter införas i databasen eller att åtmin­ det i detalj i förslaget vilken slags information som ska stone se till att det automatiska tillträdet begränsas till de ingå i databasen. I artikel 18 fastställs en förteckning över nämnda kategorierna av uppgifter. Datatillsynsmannen uppgifter som ska lagras och behandlas i den elektroniska uppmanar lagstiftaren att begränsa de ändamål för vilka databasen. Det gäller information som insamlats i enlighet det ges direkt tillgång till personuppgifter och se till att med det allmänna momsdirektivet 2006/112/EG, som är nödvändighetsprincipen iakttas. information som insamlats genom sammanställningar och information som insamlats av nationella myndigheter för registrering av icke-etablerade beskattningsbara personer som tillhandahåller elektroniska tjänster till andra icke be­ skattningsbara personer. Andra uppgifter i databasen gäller identitet, verksamhet eller organisation i fråga om personer 45. Avsnittet om utbyte av uppgifter genom elektroniska data­ som tilldelats ett registreringsnummer för mervärdesskatt baser innehåller även bestämmelser som gäller uppgifternas samt tidigare utbyten av information på begäran eller spon­ kvalitet. I artikel 20 anges det att medlemsstaterna ska tant i fråga om dessa personer. Förteckningen över och säkerställa att deras databaser hålls aktuella, kompletta närmare detaljer om de uppgifter som inte har insamlats och korrekta. I artikel 23 föreskrivs det regelbundna kon­ i enlighet med momsdirektivet ska antas enligt kommitté­ troller av informationen för att garantera kvaliteten och förfarandet. tillförlitligheten avseende denna i databasen Dessa krav lig­ ger helt i linje med kraven på uppgifternas kvalitet i artikel 6.1 d i direktiv 95/46/EG och artikel 4.1 d i förord­ ning (EG) nr 45/2001. I artikel 20 anges det dessutom att kriterier för att avgöra vilka ändringar av databasen som inte är relevanta, väsentliga eller ändamålsenliga och som 42. Från och med den 1 januari 2015 kommer även infor­ därför inte behöver göras ska fastställas genom kommitté­ mation om personer som tillhandahåller tjänster att föras förfarandet. Datatillsynsmannen betonar att dessa kriterier in i databasen, bl.a. uppgifter om omsättning för dessa bör överensstämma med kraven på dataskydd (se även personer och information om huruvida dessa personer full­ punkterna 57–59 nedan). 17.3.2010 Europeiska SV unionens officiella tidning C 66/7

46. I artikel 19 föreskrivs det att informationen i den elektro­ behandlar de praktiska detaljerna som rör informations­ niska databasen ska lagras i minst fem år efter utgången av utbytet. En artikel är av särskilt intresse ur dataskyddssyn­ det första kalenderåret under vilket tillgång till informatio­ punkt, nämligen artikel 57. I den stadgas att personer som nen ska ges. Det ges ingen motivering för en sådan lag­ behandlar information som utbytts enligt förordningen är ringsperiod. Om personuppgifter berörs strider ett faststäl­ bundna av tystnadsplikt. Trots att det i den 5 punkt hän­ lande av en minimiperiod utan hänvisning till nödvändig­ visas till direktiv 95/46/EG (se nedan) sätts tystnadsplikten hetsprincipen mot kravet i lagstiftningen om skydd av per­ inte i samband med dataskyddsreglerna. Datatillsynsman­ sonuppgifter att uppgifter inte bör lagras under en längre nen rekommenderar lagstiftaren att i punkt 1 även lägga tid än vad som är nödvändigt. Datatillsynsmannen upp­ till en hänvisning till dataskyddslagstiftningen. manar därför till att man omprövar denna bestämmelse mot bakgrund av skyldigheten i artikel 6.1 e i direktiv 95/46/EG och artikel 4.1 e i förordning (EG) nr 45/2001 och att man fastställer en maximal lagringstid, om personuppgifter berörs, med eventuella undantag endast under exceptionella omständigheter. 50. I artikel 57.1 förefaller det införas användning av uppgifter för andra ändamål än dem som det tidigare hänvisats till i förordningen. I punkt 3 tillåts uttryckligen användning av information ”för andra ändamål” om, enligt lagstiftningen i den tillfrågade myndighetens medlemsstat, informationen Information som är tillgänglig via Vies-databasen får användas för liknande ändamål. I detta avseende pekar datatillsynsmannen på principen om ändamålsbegränsning 47. Kapitel IX i förslaget gäller information som är tillgänglig som föreskrivs i artikel 6.1 b i direktiv 95/46/EG och för beskattningsbara personer. Enligt förklaringen i punkt artikel 4.1 b i förordning (EG) nr 45/2001. Datatillsyns­ 13 ovan ger Vies för närvarande möjlighet för beskattnings­ mannen betonar att om personuppgifter berörs kan dessa bara personer att få bekräftelse på giltigheten av det regi­ uppgifter i princip inte användas för andra ändamål än det streringsnummer för mervärdesskatt under vilket en person för vilket de insamlades, om inte strikta villkor är uppfyllda har utfört eller mottagit en gemenskapsintern leverans av enligt artikel 13.1 i direktivet eller artikel 20.1 i förord­ varor eller ett gemenskapsinternt tillhandahållande av tjäns­ ningen (se också punkterna 51-53 nedan). Datatillsynsman­ ter. Kommissionen föreslår att en mening ska läggas till i nen begär därför att lagstiftaren omprövar denna bestäm­ vilken det anges att en sådan bekräftelse efterfrågas för melse mot bakgrund av principen om ändamålsbegränsning sådana transaktioner och vidare för att ge den sökande som föreskrivs i artikel 6.1 b i direktiv 95/46/EG och det namn och den adress som hör samman med registre­ artikel 4.1 b i förordning (EG) nr 45/2001. ringsnumret för mervärdesskatt. Datatillsynsmannen anser att dessa bestämmelser är i överensstämmelse med kraven på dataskydd. Artikel 57.5 begränsning av vissa specifika dataskyddsrättigheter Eurofisc och skyldigheter

48. Kommissionens förslag skapar en rättslig grund för inrät­ 51. I skäl 35 anges att i denna förordning bör begränsningar av tandet av en gemensam operativ struktur för det multilate­ vissa rättigheter och skyldigheter enligt Europaparlamentets rala samarbetet (Eurofisc). Tanken bakom denna struktur att och rådets direktiv 95/46/EG övervägas. Det hänvisas till möjliggöra ett snabbt utbyte av riktad information mellan artikel 13.1 e i direktivet enligt vilken sådana begränsningar samtliga medlemsstater. Syftet med denna struktur är göra tillåts. I förslaget görs tillägget till detta skäl att med hänsyn det möjligt att genomföra riskanalyser och strategiska ana­ till medlemsstaternas potentiella inkomstbortfall och dessa lyser på grundval av vilka multilateralt informationsutbyte uppgifters centrala betydelse för en effektiv bedrägeribe­ främjas. I artikel 36.2 anges det att villkoren för utbyte av kämpning är denna begränsning nödvändig och proportio­ information för denna struktur ska fastställas i enlighet med nerlig. kommittéförfarandet. I det kapitel enligt vilket strukturen bör inrättas finns det ingen hänvisning till några krav på dataskydd. Datatillsynsmannen vill betona att – vid sidan av tillämplig lag som diskuteras i del III ovan – bör det slag av personuppgifter som används specificeras, måste de ända­ mål för vilka personuppgifter kommer att utbytas begränsas 52. Skälet utvecklas i artikel 57.5. Efter att det angivits att och bör en garanti lämnas om att nödvändighetsprincipen lagring eller utbyte av information enligt denna förordning iakttas. ska omfattas av bestämmelserna för att genomföra direktiv 95/46/EG (se punkt 23 ovan) fortsätter artikeln med följande formulering: ”Medlemsstaterna ska emellertid, för en korrekt tillämpning av denna förordning, begränsa räckvidden för de skyldigheter och rättigheter som avses i IV.2 Andra delar med relevans för dataskydd artikel 10 och artikel 11.1 samt artiklarna 12 och 21 i Artikel 57: principen om ändamåls begränsning direktiv 95/46/EG i den utsträckning det behövs för att skydda de intressen som avses i artikel 13 e i det direkti­ 49. I kapitel XV i förslaget behandlas de villkor som styr infor­ vet”. I dessa artiklar anges skyldigheten för den register­ mationsutbytet. Detta kapitel innehåller bestämmelser som ansvarige att informera den registrerade (artiklarna 10 och C 66/8 SV Europeiska unionens officiella tidning 17.3.2010 11), rätten till tillgång till sina egna uppgifter (artikel 12) gande av dessas nationella bestämmelser för överföring av och skyldigheten för den nationella dataskyddsmyndigheten personuppgifter till tredje land”. Datatillsynsmannen kon­ att föra ett offentligt register över de behandlingar som staterar med tillfredsställelse att lagstiftaren är medveten utförs (artikel 21). om de särskilda regler som är tillämpliga på utbyte av personuppgifter med länder utanför EU. För tydlighetens skull skulle en uttrycklig hänvisning till direktiv 95/46/EG kunna införas i texten med angivande av att en sådan överföring bör överensstämma med de inhemska reglerna för tillämpning av kapitel IV i direktiv 95/46/EG som be­ 53. Datatillsynsmannen betonar att artikel 13 e i direktiv handlar överföring av personuppgifter till tredjeland. 95/46/EG möjliggör undantag från vissa bestämmelser i direktivet och måste tillämpas strikt. Datatillsynsmannen erkänner att under vissa förhållanden skulle det kunna an­ ses vara nödvändigt att i syfte att förebygga och upptäcka skattebedrägeri tillfälligt åsidosätta skyldigheten att i förväg informera den registrerade och rätten att få tillgång till 56. I förslaget hänvisas endast till medlemsstaternas behöriga uppgifterna. Emellertid krävs det i artikel 13 i direktiv myndigheter. Det är oklart huruvida något utbyte av per­ 95/46/EG att 1) en sådan begränsning föreskrivs i en ”lagsonuppgifter med tredjeland också planeras på europeisk stiftningsåtgärd” och att 2) begränsningen ”är en nödvändig nivå. Detta har nära samband med de frågor som tas upp åtgärd med hänsyn till” ett av de intressen som förtecknas. i del III ovan om tillämplig lag på genomförandet av Eu­ Den nuvarande texten till den föreslagna artikel 57.5 av­ rofisc. En överföring av personuppgifter till ett tredjeland speglar inte det första kravet eftersom ingen hänvisning från gemenskapens institutioner eller organ måste överens­ görs till den lagliga grund som krävs. Datatillsynsmannan stämma med artikel 9 i förordning (EG) nr 45/2001. Data­ uppmanar därför lagstiftaren att inbegripa detta krav i tillsynsmannen begär att lagstiftaren klargör detta. artikel 57.5. Det andra kravet kan tolkas in i lydelsen ”i den utsträckning som det behövs”. Av konsekvensskäl re­ kommenderar emellertid datatillsynsmannen att denna for­ mulering ersätts av ”om det är en nödvändig åtgärd”. Data­ tillsynsmannen uppmanar vidare lagstiftaren att stryka den föreslagna ytterligare meningen i skäl 35 där det anges att begränsningarna är nödvändiga och proportionerliga, efter­ Kommittéförfarande som denna mening är alltför allmän och inte har något 57. Såsom framgår av analysen ovan finns det flera frågor av juridiskt mervärde. relevans för dataskyddet som behöver utvecklas ytterligare i de regler som antas enligt kommittéförfarandet såsom fö­ reskrivs i artikel 60 i förslaget (se punkterna 41, 45 och 48 ovan). Även om datatillsynsmannen förstår det praktiska behovet av att använda ett sådant förfarande önskar han betona att de huvudsakliga hänvisningarna och garantierna Öppenhet och insyn avseende dataskydd bör föreskrivas i den grundläggande 54. Enligt artiklarna 10 och 11 i direktiv 95/46/EG är den lagstiftningen. registeransvarige skyldig att informera den registrerade in­ nan uppgifterna samlas in eller, om uppgifterna inte samlas in från den registrerade, vid tiden för registreringen av uppgifterna. Dessa bestämmelser kan anses vara en utveck­ ling av den allmänna principen om insyn som är en del av den korrekta behandling som krävs i artikel 6.1 a i direktiv 58. Datatillsynsmannen önskar betona att om ytterligare regler 95/46/EG. Datatillsynsmannen har noterat att förslaget inte diskuteras genom kommittéförfarandet bör detta göras med innehåller några ytterligare bestämmelser som behandlar de dataskyddskrav som härrör från direktiv 95/46/EG och principen om öppenhet och insyn, exempelvis om hur all­ förordning (EG) nr 45/2001 i åtanke. Datatillsynsmannen mänheten informeras om systemet eller hur registrerade uppmanar vidare kommissionen att involvera datatillsyns­ kommer att informeras om behandlingen av uppgifter. Da­ mannen och rådfråga honom om ytterligare regler med tatillsynsmannen uppmanar därför lagstiftaren att anta en relevans för dataskyddet diskuteras. Detta skulle exempelvis bestämmelse i vilken insynen i samarbetet och stödsyste­ vara fallet med inrättandet av Eurofisc (se punkt 48 ovan). men behandlas. Artikel 52: Informationsutbyte med tredjeländer 59. För att säkerställa datatillsynsmannens deltagande när ytter­ ligare regler med relevans för dataskyddet antas på grundval 55. I artikel 52 föreskrivs möjligheten till informationsutbyte av kommittéförfarandet rekommenderar datatillsynsmannen med tredjeland. Det stadgas att ”information som erhållits lagstiftaren att i artikel 60 införa en tredje punkt där föl­ genom tillämpning av denna förordning [får] vidarebeford­ jande anges: ”När genomförandeåtgärder rör behandling av ras till detta tredje land, med samtycke från de behöriga personuppgifter ska Europeiska datatillsynsmannen konsul­ myndigheter som lämnat informationen och med iaktta­ teras”. 17.3.2010 Europeiska SV unionens officiella tidning C 66/9 V. SLUTSATSER OCH REKOMMENDATIONER — När det gäller artikel 57 (och skäl 35)

60. Datatillsynsmannen är medveten om vikten av att förbättra — att i punkt 1 lägga till en hänvisning till gemen­ effektiviteten hos de åtgärder som riktar sig mot gränsöver­ skapslagstiftningen om dataskydd, skridande skattebedrägeri och att uppnå en bättre gräns­ överskridande uppbörd av mervärdesskatt. Datatillsynsman­ — att ompröva denna bestämmelse mot bakgrund av nen erkänner vidare att för att uppnå dessa syften är det principen om ändamålsbegränsning enligt oundvikligt att personuppgifter behandlas. Datatillsynsman­ artikel 6.1 b i direktiv 95/46/EG och artikel 4.1 b nen betonar dock att behandlingen av sådana uppgifter i förordning (EG) nr 45/2001, måste vara förenlig med gemenskapsbestämmelserna om dataskydd. — att i punkt 5 inbegripa kravet i artikel 13 i direktiv 95/46/EG om att en begränsning av de skyldigheter 61. Efter en analys av den rättsliga ram som har sitt ursprung i och rättigheter som nämns bör föreskrivas i en lagförordning (EG) nr 1798/2003 och de ändringar som nu stiftningsåtgärd, föreslås drog datatillsynsmannen slutsatsen att, trots att flera positiva inslag ingår, uppfylls inte alla krav i gemen­ skapsbestämmelserna om dataskydd. — att i punkt 5 ersätta orden ”i den utsträckning som behövs” med ”om det är en nödvändig åtgärd”

62. I föreliggande yttrande har datatillsynsmannen gett lagstif­ — att stryka den föreslagna mening som lagts till i taren följande råd: skäl 35. — Att, när det gäller frågan om tillämplig gemenskapslag- — Att, med beaktande av principen om öppenhet och stiftning om dataskydd, klargöra medlemsstaternas, insyn, anta en bestämmelse i vilken insynen i samarbe­ kommissionens och Eurofiscs respektive ansvarsområ­ tet och stödsystemen behandlas. den när det gäller efterlevnaden av dessa regler. — Att, när det gäller utbyte av uppgifter med tredjeland, — Att, när det gäller utbytet av uppgifter mellan behöriga införa en uttrycklig hänvisning till kapitel IV i direktiv myndigheter på begäran eller spontant, närmare ange 95/46/EG i artikel 52 och att klargöra huruvida något vilket slag av uppgifter som kan utbytas, begränsa de utbyte av personuppgifter med tredjeland planeras av ändamål för vilka personuppgifter kan utbytas samt kommissionen och/eller Eurofisc. bedöma huruvida överföringen är nödvändig, eller åt­ minstone se till att nödvändighetsprincipen iakttas. — Att, avseende de regler som antas på grundval av kom­ mittéförfarandet, lägga till en tredje punkt i artikel 60 — Att, när det gäller utbytet av uppgifter genom direkt där följande anges: ”När genomförandeåtgärder rör be­ åtkomst till de elektroniska databaserna, uttryckligen handling av personuppgifter ska Europeiska datatillsyns­ ange att när det gäller personuppgifter ska inga andra mannen konsulteras”. uppgifter införas i databasen eller att åtminstone se till att den automatiska åtkomsten begränsas till de nämnda kategorierna av uppgifter. Att dessutom be­ gränsa de ändamål för vilka det finns direkt tillgång Utfärdat i Bryssel den 30 oktober 2009. till personuppgifter och se till att nödvändighetsprinci­ pen iakttas samt att fastställa en maximal lagringstid för Peter HUSTINX personuppgifter i databasen, med eventuella undantag endast under exceptionella omständigheter. Europeiska datatillsynsmannen