Justis- og beredskapsdepartementet (JD) på Gullhaug Torg 4A i Nydalen, Oslo. (Foto: Lise Åserud / NTB)
Ikke fritt fram for digital innhenting av kontoinformasjon i sanntid
Som et ledd i et stort digitaliseringsprosjekt av offentlige tjenester og etater, har Nav, Skatteetaten og Politiet samarbeidet med finansnæringen om utvikling av en teknologisk løsning som gir de nevnte myndighetene automatisk tilgang til kontoinformasjon om privatpersoner og bedrifter. Dette systemet er noe de offentlige etatene svært gjerne vil ha på plass, da det vil effektivisere og forenkle arbeidet deres i kampen mot økonomisk kriminalitet, skattesnytere og trygdesvindel.
Denne typen informasjon har både Skatteetaten, Politiet og Nav også tilgang til i dag. Men da gjennom manuelle forespørsler, som er konkrete og avgrensede, for eksempel i form av hvilke konti og tidsperioder.
Det automatiserte systemet − som har fått det klingende navnet «DSOP kontrollinformasjon» − vil, slik det foreligger, gi de offentlige etatene automatisk tilgang på nærmest alle bankdata, og dermed er sjansen stor for at de får tak i mye mer informasjon enn de strengt tatt trenger.
Dog kan man også «stille inn» det automatiske systemet slik at man for eksempel begrenser tidsperioden for informasjonen eller på andre måter innskrenker mengde og type informasjon. Men dette krever at bankene selv gjør en slik jobb i sin «ende» av prosessen.
Spørsmålet er uansett om systemet er i tråd med eksisterende lovgivning.
DSOP kontrollinformasjon
Dette er hva de offentlige myndighetene «ved et tastetrykk» kan få tak i om folk de ønsker å kontrollere nærmere gjennom DSOP kontrollinformasjon:
- Kontoliste: Oversikt over alle kontoer for en spesifisert tidsperiode som en person eller foretak er eier eller disponent for.
- Kontodetaljer: Detaljer om den enkelte konto inkludert saldo.
- Transaksjonshistorikk: Detaljerte opplysninger om alle transaksjoner knyttet til en konto, herunder opplysninger om beløp, mottaker/avsender, tidspunkt og brukersted (hvor betaling fant sted). Opplysninger opp til 10 ar tilbake i tid er tilgjengelig.
- Kort: Informasjon om kortene knyttet til en gitt konto.
- Roller: Oversikt over alle parter som har eller har hatt en rolle knyttet til en gitt konto.
«Betydelig tvil om lovligheten»
Dagens Perspektiv skrev om de juridiske utfordringene ved DSOP kontrollinformasjon allerede i mars i fjor.
Dette har gjort at både Datatilsynet og bankene har uttrykt bekymring over lovligheten av denne typen automatiserte informasjonsinnhenting. Datatilsynet hadde blant annet følgende bekymring så tidlig som i mars 2021:
«Etter vårt syn er dette en meget prinsipiell sak. Det er en betydelig forskjell på å utlevere opplysninger etter en manuell behandling, og å gi etatene direkte tilgang på å hente ut opplysninger fra bankenes systemer».
Dagens Perspektiv skrev om denne problemstillingen allerede i mars 2021, da implementeringen av den teknisk sett ferdige løsningen var «rett rundt hjørnet».
Senere har denne bekymringen vokst seg større, og i oktober 2021 skrev Finans Norge et brev til både Justis- og Finansdepartementet der de ba om at Justisdepartementets lovavdeling avklarte «det rettslige grunnlaget» for en eventuell utrulling av DSOP kontrollinformasjon.
«Det er ingen uenighet mellom partene i DSOP-samarbeidet om etatenes hjemler for å be om informasjon som er nødvendig for å oppfylle en rettslig forpliktelse og som behandles manuelt. DSOP Kontrollinformasjon er imidlertid en løsning som vil hente ut data informasjon uten en manuell behandling eller kontroll, og som krever juridisk avklaring», skriver Finans Norge i brevet, som er undertegnet av administrerende direktør Idar Kreutzer.
Det er altså lovligheten av denne typen innhenting av informasjon, finansbransjen er bekymret for. I brevet heter det:
«Den rettslige uklarheten som gjør at det oppstår betydelig tvil knyttet til lovligheten, er knyttet til at verken ordlyden i de ulike bestemmelsene eller forarbeidene til de aktuelle lovene* i særlig grad støtter oppunder en slik direkte tilgang og automatisert innsamling/utlevering som API-løsningen** tilrettelegger for. API-løsningen er også vanskelig å forene med de rettsikkerhetsgarantier som ligger i gjeldende regler knyttet til a kunne motsette seg utleveringspålegg og klage eller kreve rettslig prøving/anke. Disse forhold gjør at det må stilles spørsmål ved om det verktøy for informasjonstilgang som API-løsningen i realiteten er, har den nødvendige forankringen i lov».
* de aktuelle lovene er bl.a. til Skatteforvaltningsloven, Folketrygdloven, Straffeprosessloven, Hvitvaskingsloven og andre lover som danner hjemmelsgrunnlaget for innhenting av denne typen kontrollinformasjon.
** API-løsningen er den tekniske løsningen som gjør det mulig å innhente denne typen informasjon automatisk og digitalt.
Svaret fra departementet har latt vente på seg. Som svar på en henvendelse om status i saken fra Finans Norge i mars i år, svarte departementet at de «jobber med saken i tråd med opplegget».
Lovavdelingen er skeptisk
Og endelig, sist uke kom svaret fra Justisdepartementets lovavdeling:
Den digitale løsningen for automatisk innhenting av kontrollinformasjon kan være i strid med Straffeprosessloven. Den skaper utfordringer for personvernet og «privatlivets fred», slik dette er beskrevet i Grunnloven.
«Etter vårt syn er det en viss tvil knyttet til om straffeprosessloven åpner for at utleveringen det her er snakk om, kan skje ved at politiet selv henter ut opplysninger fra finansinstitusjonenes systemer gjennom en automatisert oppslagstjeneste. I alle tilfeller oppstår spørsmålet om bestemmelsene oppfyller kravene som stilles til rettsgrunnlagets «kvalitet» etter personvernforordningen, Grunnloven § 102 og EMK (Den europeiske menneskerettighetskonvensjonen)», skriver juristene i Justisdepartementet.
«Samlet mener vi at en ordning hvor politiet selv kan hente ut detaljerte finansopplysninger gjennom en automatisert oppslagstjeneste, vil kunne utgjøre et betydelig inngrep i retten til respekt for privatlivet etter Grunnloven § 102 og EMK artikkel 8», heter det den rettslige vurderingen fra departementet, som konkluderer med følgende:
«Vår samlede vurdering er på denne bakgrunn, om enn under noe tvil, at kravene etter Grunnloven § 102, EMK artikkel 8 og personvernforordningen antakelig ikke fullt ut er oppfylt».
Departementet mener at det trengs ytterligere reguleringer, dersom den digitale informasjonsinnhentingen skal kunne tas i bruk fullt ut. Enten gjennom en lovendring, som da må behandles i Stortinget, eller gjennom nye forskrifter til eksisterende lovverk.
Å gjøre løsningen «mindre automatisk» − ved at man «legger inn manuelle kontrollposter på veien», kan også være en mulig løsning.
Uansett, situasjonen nå er at denne teknisk helt ferdigutviklede digitale løsningen ennå ikke kan tas i bruk, da den utfordrer lovverket slik det fungerer i dag.
Vi ser altså et typisk eksempel på at ny teknologi krasjer i møtet med «gamle lover».
Dette er DSOP
DSOP er navnet på det prestisjefylte og megastore digitaliseringsprosjektet i det offentlige. I 2016 innledet Skatteetaten, Brønnøysundregistrene og finansnæringen et samarbeid som fikk navnet Digital Samhandling Offentlig Privat (DSOP). Senere er også Nav og Politiet blitt med på dette samarbeidet.
Samtidig vil samarbeidet bidra til den videre digitaliseringen av Norge. DSOP-prosjektet består av en lang rekke delprosjekt, og som innbygger i Norge har du høyst sannsynlig hatt glede av noen av dem allerede. For eksempel «samtykkebasert lånesøknad» eller «digital samhandling ved eiendomshandel». Til sammen vil de ulike digitaliseringsprosjektene som DSOP-samarbeidet har utkrystallisert spare samfunnet for milliarder av kroner hvert eneste år.
Tjenester som allerede er rullet ut
- Samtykkebasert lånesøknad (SBL). Legge til rette for at banker, med lånsøkers samtykke, kan innhente informasjon digitalt fra Skatteetaten om lånsøkers inntekt og formue/gjeld.
- Maskinell kontroll av signaturrett og prokura. Effektiviserer hverdagen for aktørene gjennom maskinell løsning for oppslag og kontroll av hvem som kan forplikte et foretak. Redusere behov for manuelle oppslag og validering av signatur/prokura (en tjeneste fra Brønnøysundregistrene).
- Saldo på studielån i nett- og mobilbank. Øke folks bevissthet om egen totaløkonomi gjennom å vise saldo fra Lånekassen i nettbanken. Dette vil gjøre folk i stand til å planlegge egen økonomi bedre, og redusere tilfeller av ubehagelige overraskelser og eventuelle mislighold.
- Syke- og uføreopplysninger fra NAV (uførevedtak og arbeidsavklaringspenger). Dele informasjon fra NAV om at det er fattet et uførevedtak og/eller vedtak om arbeidsavklaringspenger, med forsikringsselskaper, basert på digitalt samtykke fra den enkelte bruker. Dette bidrar til at behandlingstiden for søknader om ytelser kuttes dramatisk, samtidig som personvernet (sensitive helseopplysninger) styrkes.
- Oversikt over kundeforhold. Skape en digitalisert prosess som sikrer at offentlige myndigheter kun henvender seg til relevante finansforetak hvor en konkret person eller virksomhet har eller har hatt et kundeforhold.
- Konkursbehandling. Gi bankene løpende varsler om konkurser digitalt (pushvarsel) slik at bankkonti kan stenges automatisk. Gi bostyrer oversikt over boets bankforbindelser, saldo og transaksjoner via bosiden.
- Offentlig-Privat Samarbeid – Antihvitvasking og Terrorfinansiering (OPS AT). Legge til rette for utveksling av informasjon og erfaringer om risiko knyttet til hvitvasking og terrorfinansiering.
- Digital samhandling ved eiendomshandel. Digitalisere hele boligkjøpsprosessen og all dialog som går mellom bank og megler i forbindelse med en bolighandel.
- Anti-hvitvasking – PEP-liste. Bidra til å effektivisere det viktige arbeidet med å bekjempe hvitvasking ved å lage et offisielt register over politisk eksponerte personer i Norge.
Prosjekter som er i sluttfasen
- Kontrollinformasjon. Legge til rette for at saksbehandlere i Skatteetaten, NAV og politiet som jobber med etterforskning og kontroll- virksomhet, raskere får oversikt over alle bankforbindelser, saldoer og transaksjoner for dem som kontrolleres.
- Altinn dødsbo. Forenkle den administrative byrden som de etterlatte blir pålagt etter et dødsfall – herunder å få oversikt over verdiene og gjelden i boet.
- Digital prosess for transportløyvegarantier. Standardisere og digitalisere informasjonsutvekslingen mellom banker (garantistene) og Statens vegvesen i forbindelse med søknader om transportløyver.
- Selskapsetablering. Effektivisere prosessen for etablering av nye selskaper. Prosjektet ledes av Brønnøysundregistrene.
Kilde: DSOP, årsrapport 2021
