Oversendelse av klagesak - tollvesenets behandling av personopplysninger i forbindelse med etterkontroll av enkeltpersoners vareførsel

Personvernnemnda Postboks 423 3201 SANDEFJORD Deres referanse Vår referanse (bes oppgitt ved svar) Dato 10/00491-20/CBR 26. oktober 2011 Oversendelse av klagesak - tollvesenets behandling av personopplysninger i forbindelse med etterkontroll av enkeltpersoners vareførsel Kort om sakens bakgrunn Den 28. april 2010 mottok Datatilsynet en henvendelse fra en privatperson, med spørsmål om hvorvidt tollvesenet har adgang til å hente informasjon fra valutaregisteret, i forbindelse med toll- og avgiftsrevisjon av privatpersoner. Henvendelsen kom som følge av at klager hadde mottatt et brev fra etterkontrollkontor 1 ved Tollregion Oslo og Akershus, benevnt som Varsel om toll og avgiftsrevisjon 1. I brevet legger tollvesenet frem opplysninger om tretten transaksjoner foretatt i utlandet, i klagers navn, i perioden 2006 2009. Opplysningene om transaksjonene var hentett fra valutaregisteret. Tollvesenet ba klager om å redegjøre for hvilke varer transaksjonene knyttet seg til, og hvorvidt disse var deklarert for tollvesenet. Han ble videre bedt om å leggee frem kvitteringer eller annen dokumentasjon knyttet til kjøpet, og å opplyse om eventuelle andre varer som er importert. Tollvesenet viste til tollovens 13-4 som hjemmelsgrunnlag for sin henvendelse. Den rettslige problemstillingen har behandlingen rettslig grunnlag? Klager ba Datatilsynet ta stilling til om tollvesenets innhenting av personopplysninger, som beskrevet overfor, er lovlig. Datatilsynet vurderte hvorvidt behandlingen har rettslig grunnlag, i tråd med kravene i personopplysningslovens 11 litra a, jf 8 og 9. Da tilsynet fant at det ikke forelå rettslig grunnlag, fant det heller ikke grunn til å vurdere hvorvidt de øvrige grunnkravene til behandling av personopplysninger var oppfylt, jf 11 litra b flg. Kravet om rettslig grunnlag faller i to underpunkter. For det første må det vurderes hvilket rettslig grunnlag som kreves for den aktuelle behandlingen, jf opplistingen i 8 og 9. Dernest må det vurderes hvorvidt et slikt rettslig grunnlag faktisk foreligger. 1 Vedlegg til sakens dok 1 Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 0034 OSLO Hjemmeside: www.datatilsynet.no

Datatilsynets varsel og påfølgende vedtak Etter å ha innhentet uttalelser om tolloven og valutaregisterloven fra både distriktstollstedet, Toll- og avgiftsdirektoratet og Finansdepartementet 2, fant Datatilsynet at den aktuelle opplysningsinnhentingen ikke hadde rettslig grunnlag etter personopplysningslovens 8 jf 11 litra a. Den 17. mars 2011 ga tilsynet følgende varsel om vedtak 3 : Toll og avgiftsdirektoratet skal snarest, og senest innen 1.mai 2011, gjennomgå etatens rutiner for kontroll av privatpersoner, for å sikre at fremtidig kontrollvirksomhet ikke går utover de fullmakter som lovgiver uttrykkelig har gitt i lovs form. Herunder skal direktoratet - sørge for at etatens praksis med å be privatpersoner om å gi opplysninger og legge frem dokumentasjon i kontrolløyemed opphører, med mindre tollovens hjemler for personkontroll kommer til anvendelse, og - sørge for at etatens praksis med å gjennomføres søk vedrørende privatpersoner i valutaregisteret i kontrolløyemed opphører, med mindre tollovens hjemler for personkontroll kommer til anvendelse. Direktoratet ga sitt tilsvar til varselet 9. juni 2011 4. Datatilsynet fant ikke at det fremkom opplysninger som medførte endringer i tilsynets vurderinger, og fattet vedtak i tråd med varselet den 23. juni 2011 5. Toll- og avgiftsdirektoratets anførsler og Datatilsynets vurderinger Toll- og avgiftsdirektoratet (heretter direktoratet) har i brev av 29. august 2011 klaget på Datatilsynets vedtak 6. I tillegg har Datatilsynet mottatt to brev fra Finansdepartementet, hvor departementet delvis støtter direktoratets vurderinger 7. I klagen anføres det at det ikke kan utledes et krav om at den aktuelle behandlingen må ha hjemmel i lov. Dernest anføres det at det uansett foreligger klar lovhjemmel. Disse anførslene vil bli kommentert i det følgende. Hvilket rettslig grunnlag kreves for den aktuelle behandlingen? Personopplysningslovens 8 og 9 8 opplister en rekke rettslige grunnlag for behandling av personopplysninger. Når man skal fastslå hvilket av de opplistede grunnlagene en behandling skal eller kan bygge på, vil legalitetsprinsippet tjene som tolkningsprinsipp. 2 Sakens dok 2, 5 og 8 3 Sakens dok 9 4 Sakens dok 14 5 Sakens dok sakens dok 13 6 Sakens dok 17 og 21 7 Sakens dok 18 8 I dette tilfellet har Datatilsynet lagt til grunn at det normalt ikke behandles sensitive personopplysninger i innhentingsfasen av en etterkontroll, at det derved bare er 8 som er relevant i denne saken. 2

I henhold til legalitetsprinsippet skal det gjøres en forholdmessighetsvurdering: Jo mer inngripende en konkret behandlingen er, desto sterkere og klarere må det rettslige grunnlaget være. Ved vurderingen av hvor inngripende behandlingen er må det blant annet ses hen til behandlingens omfang, opplysningenes art, hvem som er behandlingsansvarlig og behandlingens formål. Datatilsynet har i sitt vedtak lagt til grunn at den aktuelle innhentingen av personopplysninger krever hjemmel i lov, jf personopplysningslovens 8 annet alternativ. Dette gjelder både for oppslag i valutaregisteret og ved innhenting fra den registrerte selv. Ved vurderingen er det lagt stor vekt på at behandlingen pålegges den registrerte, har et kontrollformål som retter seg mot privatpersoner, og er initiert av offentlig myndighet 9. I klagen anfører direktoratet at behandlingene kan hjemles i nødvendighetsalternativene i 8 litra e og f. Når det gjelder innhenting av opplysninger fra den registrerte selv, anføres det i klagen at dette ikke er en egentlig kontroll, og at lovhjemmel derfor ikke er et nødvendig rettsgrunnlag. Direktoratet viser til at tollvesenet kun har anmodet den registrerte om at opplysningene legges frem. I forbindelse med vedtaket har Datatilsynet lagt vekt på at det er det objektive formålet med innhentingen som er avgjørende, ikke hvordan formålet blir forstått av den registrerte. I dette tilfellet er det klart at tollvesenets formål med innhentingen var å gjennomføre kontroll av den enkeltes eventuelle vareførsel. Tilsynet vil uansett bemerke at henvendelsen fra tollvesenet til den registrerte er formulert slik at det også rent subjektivt vil kunne oppleves som en kontroll: tollvesenet viser til tollovens kontrollhjemler, brevet kommer fra distriktets Etterkontrollkontor, og overskriften mer enn antyder et en revisjon er på trappene. Datatilsynet fastholder at den aktuelle behandlingen krever hjemmel i lov. Finnes det lovhjemmel for den aktuelle behandlingen? Det er flere lovbestemmelser som er aktuelle i denne saken, nemlig valutaregisterloven 6, tolloven 13-1 og 13-4, og merverdiavgiftsloven 15-11. Datatilsynet har i sitt vedtak lagt til grunn at den aktuelle innhentingen av personopplysninger ikke har tilstrekkelig klar hjemmel i nevnte lover, jf personopplysningslovens 8 annet alternativ. Dette gjelder både for oppslag i valutaregisteret og ved innhenting fra den registrerte selv. I henhold til legalitetsprinsippet skal det også her gjøres en forholdmessighetsvurdering: Jo mer inngripende en konkret behandlingen er, desto sterkere og klarere må lovhjemmelen være. Legalitetsprinsippet brukes altså som et tolkningsprinsipp, når den enkelte hjemmelen skal vurderes. 9 Det vises til tilsynets varsel og vedtak, for en nærmere vurdering. 3

Ved vurderingen har tilsynet lagt stor vekt på at behandlingen pålegges den registrerte, har et kontrollformål som retter seg mot privatpersoner, og er initiert av offentlig myndighet. Disse forholdene tilsier at bestemmelsene skal tolkes relativt strengt. 1 Om valutaregisterloven 6 første ledd Datatilsynet har i vedtaket lagt til grunn at valutaregisterloven 6 første ledd ikke gir hjemmel for tollvesenets innhenting av personopplysninger fra registeret i tråd med kravet i personopplysningslovens 8. Direktoratet klager på Datatilsynets lovtolkning, idet det vises særlig til lovgivers intensjoner med opprettelse av valutaregisteret. Bestemmelsen lyder som følger: 6 Tilgang til opplysninger i registeret Politiet, skattetaten, toll- og avgiftsetaten, Arbeids- og velferdsdirektoratet og Finanstilsynet skal ha elektronisk tilgang til opplysningene i registeret. Søk i registeret skal kun skje ut fra disse etatenes behov for opplysninger i forbindelse med forebygging og bekjempelse av kriminalitet, kontrollvirksomhet og tilsyn. Valutaregisterloven ble etablert blant annet for å gi nærmere behandlingsregler for opplysningene i valutaregisteret. Denne konkrete bestemmelsen regulerer hvem som skal ha tilgang til opplysningene, og på hvilken måte tilgangen skal gis. I tillegg begrenser bestemmelsen hvilke formål opplysningene kan behandles for. Datatilsynet forstår det slik at ordet kontrollvirksomhet er brukt for å begrense bruken av opplysningene i registeret mot annen virksomhet som etatene har, ikke for å etablere kontrollkompetanse hos den enkelte etat. Det vises her til at bestemmelsen ikke gir noen veiledning i spørsmålet om når de ulike etatene kan gjennomføre en kontroll, og hvordan kontrollen eventuelt kan gjennomføres. Dette er spørsmål som må løses med bakgrunn i annet regelverk. I motsatt tilfelle vil tollvesenets, og de øvrige etatenes, kontrollkompetanse være nærmest ubegrenset. Det må sies å ha formodningen mot seg. Datatilsynet finner støtte for sitt syn i lovens forarbeider. Det fremgår klart at intensjonen med valutaregisteret er å gi enkelte etater et nytt elektronisk verktøy for forenkle deres kontrollvirksomhet 10. Det fremkommer ikke opplysninger som at man samtidig søker å utvide kontrolladgangen i forhold til det som gjaldt før loven ble vedtatt. Tvert imot vises det til at opplysningene skal brukes i etatenes alminnelige kontrollvirksomhet, uten at dette konkretiseres nærmere. Departementet uttaler også at de aktuelle etatene skal søke i registrene i samsvar med de saksbehandlingsregler som gjelder for etaten 11. Datatilsynet ser på dette som en bekreftelse på at valutaregisterloven må leses i lys av annet regelverk. At valutaregisterloven ikke 10 Ot.prp. nr 35 (2003-04) 11 Ot prp nr 35 (2003-2004) kapittel 7.4 4

inneholder egne saksbehandlingsbestemmelser innebærer selvsagt ikke at det ikke stilles krav til saksbehandlingen som gjøres i den forbindelse. Valutaregisterloven er etter Datatilsynets vurdering dårlig egnet til å regulere kontrollkompetansen for de offentlige etatene som er nevnt. Loven inneholder fellesbestemmelser for en rekke etater som på hvert sitt område har høyst ulik kompetanse. Det er naturlig at kompetansen reguleres i særlovgivningen knyttet til den enkelte etat, for eksempel tolloven, folketrygdloven, ligningsloven osv. Datatilsynet fastholder etter dette at valutaregisterloven 6 i seg selv ikke etablerer en kontrolladgang for tollvesenet. Hvorvidt tollvesenet kan hente inn opplysningene for kontrollformål må vurderes ut fra annet regelverk som regulerer tollvesenets kontrollvirksomhet: først når kontrollhjemlene gir adgang til det, kan tollvesenet hente inn opplysninger fra valutaregisteret i tråd med valutaregisterlovens 6. Tilsynet fastholder at valutaregisterloven ikke er tilstrekkelig rettslig grunnlag for at tollvesenet kan hente inn personopplysninger fra valutaregisteret, for det formål å gjennomføre en kontroll av privatpersoners vareførsel, med mindre det foreliggeren kontrolladgang etter andre bestemmelser. 2 Merverdiavgiftsloven 15-11 første ledd Datatilsynet har i vedtaket lagt til grunn at merverdiavgiftsloven 15-11 ikke gir hjemmel for tollvesenets innhenting av personopplysninger fra valutaregisteret og den registrerte selv, i tråd med kravet i personopplysningslovens 8.. Bestemmelsen lyder som følger: 15-11 Opplysnings- og bistandsplikt Et avgiftssubjekt skal uten opphold legge frem, utlevere eller sende inn registrerte og dokumenterte regnskapsopplysninger, regnskapsmateriale og andre dokumenter av betydning for avgiftskontrollen, når avgiftsmyndighetene krever det. Med dokumenter menes også elektronisk lagrede dokumenter. Pliktene gjelder også elektroniske programmer og programsystemer. Avgiftssunbjektet plikter å gi fullstendige opplysninger om forhold som myndighetene finner kan ha betydning for kontrollen. Det samme gjelder den som e ansvarlig for merverdiavgift ved innførsel av varer, samt den som er pålagt regnskapsplikt etter bokføringslovens 2 tredje ledd. Fjerde punktum gjelder tilsvarende for tilbyder i forenklet registreringsordning Datatilsynet har lagt til grunn at det normalt ikke er tilstrekkelig for å etablere kontrollkompetanse for en offentlig etat at det at det foreligger en lovhjemmel som pålegger en plikt eller oppstiller et forbud for den enkelte borger. Det må kreves at det i tillegg foreligger en lovhjemmel som gir etaten kompetanse til å gjennomføre tiltak rettet mot den enkelte for avdekke om loven etterleves, og eventuelt på hvilke vilkår slik kompetanse 5

oppstår 12. En klar kompetansehjemmel er etter tilsynets vurdering nødvendig både for å sikre forutberegnlighet for borgere, og for å sikre at forholdsmessighetsvurderingen har skjedd med bakgrunn i en demokratisk lovprosess. I henhold til ordlyden i merverdiavgiftslovens 15-11 i regulerer bestemmelsen avgiftssubjekters og avgiftspliktiges plikt til å gi opplysninger og å yte bistand i forbindelse med en avgiftskontroll. Tilsynet kan imidlertid ikke se at den etablerer kompetanse for Tollvesenet til å rette kontrolltiltak mot enkeltpersoner, selv om den klart forutsetter at tollvesenet har kontrollkompetanse. Det vises her til at bestemmelsen ikke gir noen veiledning i spørsmålet om når tollvesenet kan gjennomføre en kontroll, og hvordan kontrollen eventuelt kan gjennomføres. Dette er spørsmål som må løses med bakgrunn i annet regelverk. I motsatt tilfelle vil tollvesenets kontrollkompetanse være nærmest ubegrenset, hvilket må sies å ha formodningen mot seg. Datatilsynet vil også vise til at avgiftsmyndighetene i lovens forstand omfatter både tollvesenet og skatteetaten 13. Det er to etater som forutsettes å skulle ha ulik kompetanse, med bakgrunn i det oppdraget den enkelte etat har. Dette taler for et deres kompetanse er regulert særskilt i det regelverk som ellers regulerer etatenes virksomhet, henholdsvis for eksempel tolloven og ligningsloven. Tilsynet fastholder at merverdiavgiftsloven 15-11 ikke gir tilstrekkelig rettslig grunnlag for at tollvesenet kan hente inn personopplysninger, for det formål å gjennomføre en kontroll av privatpersoners vareførsel, med mindre det foreligger en kontrolladgang etter andre bestemmelser. Datatilsynet vil i tillegg bemerke følgende: Det kan uansett stilles spørsmål ved om merverdiavgiftslovens 15-11 tilstrekkelig klart etablerer opplysnings- og bistandsplikt for privatpersoner. Datatilsynet ser at uttrykket den som er ansvarlig for merverdiavgift ved innførsel rent språklig også omfatter privatpersoner som innfører merverdiavgiftspliktige varer. De pliktene som konkretiseres både i første ledd og bestemmelsen for øvrig, er imidlertid av en slik art at de vanskelig kan oppfylles av privatpersoner: de synes å være knyttet til virksomheter som sådan. Det er etter tilsynets vurdering ikke gitt at privatpersoner vil forstå at bestemmelsen retter seg mot dem, og det kan stilles spørsmål ved om loven derved er klar nok til å skape forutberegnlighet for den enkelte. Opplysnings- og bistandsplikten oppstår bare for den som er å anse som avgiftspliktig i lovens forstand. I henhold til det alminnelige beviskravet i forvaltningsretten må det foreligge sannsynlighetsovervekt for at vedkommende er å anse som avgiftspliktig, for at bestemmelsen kommer til anvendelse. Det innebærer at man i det minste må kunne kreves at tollvesenet har klare holdepunkter for å legge til grunn at en privatperson er avgiftspliktig og derved omfattet 12 En kompetansebestemmelse har gjerne følgende ordlyd Tollvesenet kan. eller Tollvesenet skal. Som eksempel vises det til bestemmelsene i kapittel 13 i tolloven, som inneholder alminnelige bestemmelser om tollkontroll 13 Jf Mval kap 12 6

av opplysnings- og bistandsplikten. Datatilsynet kan vanskelig se at det forhold at en privatperson har hatt transaksjoner i utlandet alene etablerer en sannsynlighetsovervekt for avgiftsplikt, slik at tollvesenet derved kan forholde seg til vedkommende som avgiftspliktig. Poenget med kontrollen er jo nettopp å avklare hvorvidt vedkommende er avgiftspliktig eller ikke. 3 Tolloven Det er særlig to bestemmelser i tolloven som er aktuelle i denne saken. Begge bestemmelsene er klare kompetansebestemmelser, som gir tollvesenet adgang til å gjennomføre kontrollhandlinger på nærmere fastsatte vilkår. 3.1 Tollovens 13-4 Tollvesenet viste opprinnelig til tollovens 13-4 som hjemmel for sin kontroll, og som rettslig grunnlag for å behandle personopplysninger i den forbindelse 14. I en avklaringsrunde uttaler imidlertid Finansdepartementet følgende: Tolloven 13-4 gjelder kontroll hos virksomheter, og kan etter departementets syn ikke benyttes som hjemmel for å kreve opplysninger og fremleggelse av dokumentasjon fra privatpersoner 15 Med bakgrunn i denne uttalelsen har Datatilsynet i sitt vedtak lagt til grunn at tolloven 13 4 ikke gir tilstrekkelig hjemmel for tollvesenets kontroll av privatpersoner, og derved ikke er å anse som rettslig grunnlag etter personopplysningslovens 8 for den behandling av personopplysninger som finner sted i den forbindelse. Datatilsynets lovforståelse er ikke påklaget, og tilsynet fastholder sin vurdering. 3.2 Tollovens 13-1 Datatilsynet har i sitt vedtak lagt til grunn at heller ikke tollovens 13 1, litra e hjemler etterkontroll av privatpersoners vareførsel, idet kontrollen ble gjennomført flere år etter grensepassering og/eller antatt vareførsel. Bestemmelsen lyder som følger: For å bringe på det rene om en vare er eller søkes unndratt fra tollmyndighetenes kontroll, kan tollmyndighetene foreta undersøkelser (.) e. på person som 1 ferdes til eller fra grensen for tollområdet 2 befinner seg i, eller underveis fra eller til, transportmiddel som er underveis fra eller til grensen for tollområdet 3 forlater lagringsplasser for ufortollede varer 14 Jf brevet til klager (vedlegg til dok 1) og uttalelse fra Toll- og avgiftsdirektoratet (dok 5) 15 Jf sakens dok 8 7

4 befinner seg på, eller underveis fra eller til, anløpssted for fartøy eller landingsplass for luftfartøy i utenlands trafikk 5 befinner seg på sted og under forhold hvor tollmyndighetene kan foreta undersøkelse etter bokstav a til c, og som mistenkes for å unndra vare fra kontroll Datatilsynet har i vedtaket lagt til grunn at bestemmelsen har et situasjonsbestemt virkeområde, som begrenser kontrolladgangen i tid og rom: En tollkontroll rettet mot en privatperson kan bare finne sted i rimelig tilknytning til en grensepassering (eller til opphold på steder hvor ufortollede varer kan befinne seg, dvs tollager, flyplasser med utenlandstrafikk med mer). Jo lenger man i tid og rom har kommet fra grensepasseringen, desto svakere må kontrolladgangen antas å være. Ved vurderingen er det lagt vekt på at tollvesenet har en relativt vid kontrolladgang etter nevnte bestemmelser: Tollvesenet kan uten krav til mistanke undersøke den kontrollertes klær, unntatt ordinær truse og bh. Ved konkret mistanke kan det i tillegg iverksettes inngripende undersøkelser, som fullstendig avkledning med mer. Det må anses å ha formodningen mot seg at Tollvesenet skal ha en gå vid kontrolladgang utover i umiddelbar tilknytning til en slik situasjon som beskrevet i bestemmelsen. Datatilsynet har videre lagt til grunn at det må vurderes konkret hvor langt hjemmelen rekker i tid og rom. Ved vurderingen må det tas hensyn til hvor inngripende den aktuelle kontrollen er. Datatilsynet har ikke tatt nøyaktig stilling til hvor langt i tid hjemmelen kan benyttes i forbindelse med brevlig etterkontroll. Tilsynet har allikevel lagt til grunn at hjemmelen neppe kan hjemle en etterkontroll flere år etter grensepassering/antatt vareførsel, slik tilfellet var i denne konkrete saken.. Datatilsynet fastholder at tolloven kun gir hjemmel for å gjennomføre kontroller av enkeltpersoner i rimelig tilknytning til en grensepassering, og ikke kan hjemle en etterkontroll flere år etter den aktuelle grensepasseringen. Selv om dette ikke er avgjørende forutfallet av denne saken, vil tilsynet allikevel bemerke følgende: Det kan stilles spørsmål ved om bestemmelsen overhode hjemler den type dokumentkontroller eller etterkontroller som denne saken gjelder. Det vises til at bestemmelsen etter sin ordlyd regulerer undersøkelser på person. En ren dokumentkontroll vanskelig kan sies å være omfattet av dette begrepet. Det vises også til forskrift til tolloven 13-1-1, som utdyper hvilke kontrollhandlinger som kan gjennomføres med hjemmel i denne bestemmelsen. Forskriften omhandler kun kroppslige undersøkelser. Tilsynet vil her vise til Finansdepartementets brev av 31. august 2011 16, hvor departementet uttaler: Det kan anses som en mangel ved tolloven at ikke også den har hjemmel for opplysningspålegg overfor privatpersoner i etterkant av en grensepassering. Departementet vil vurdere et lovforslag som retter opp denne mangelen. 16 Jf dok 18 8

Datatilsynet forstår departementets uttalelse dit hen at heller ikke tolloven 13-1 gir hjemmel for dokumentkontroll etter grensepassering. Overtredelsesgebyr I varsel om vedtak uttaler Datatilsynet at tollvesenet, ved å gjennomføre kontrolltiltak overfor privatpersoner, uten tilstrekkelig hjemmel i lov, grovt har krenket enkeltpersoners personvern. Datatilsynet besluttet ikke å ilegge overtredelsesgebyr overfor direktoratet ut fra en helhetsvurdering hvor det ble sett på hvilken preventiv virkning et gebyr ville ha, noe vi mente var marginal. Andre instanser som har tilgang til valutaregisteret ville etter vår oppfatning ikke være i samme kategori som Toll- og avgiftsdirektoratet da deres bruk er særlig regulert. Konklusjon Datatilsynet fastholder at tollvesenet ikke kan behandle personopplysninger for det formål å kontrollere enkeltpersoners vareførsel uten klar hjemmel i lov. Tilsynet fastholder at verken valutaregisterlovens 6 eller merverdiavgiftslovens 15-11 gir klar hjemmel for å behandle personopplysninger for nevnte formål. Disse bestemmelsene kommer bare til anvendelse dersom det foreligger kontrolladgang i medhold av andre bestemmelser. Tilsynet fastholder endelig at tollovens kontrollbestemmelser ikke gir klar hjemmel for å gjennomføre kontroller av enkeltpersoner, utover i de situasjoner som er beskrevet i tollovens 13-1 litra e, og stiller for øvrig spørsmål ved om bestemmelsen overhode gir hjemmel for andre kontrollhandlinger enn de som skjer på person. Datatilsynet finner ikke grunnlag for å gjøre om eller oppheve sitt vedtak. Saken oversendes derfor til klagebehandling i Personvernnemnda, i medhold av personopplysningslovens 43. Med hilsen Bjørn Erik Thon Direktør Cecilie L B Rønnevik seniorrådgiver Kopi: Toll- og avgiftsdirektoratet, Postboks 8122 Dep, 0032 OSLO Finansdepartementet, pb 8008 Dep, 0030 OSLO 9