In de meeste landen weet de overheid wanneer je geboren bent, wat je burgerservicenummer is, waar je woont, hoeveel je verdient en hoeveel je huis waard is. Zweden is echter een beetje anders. Daar gebruikt de belastingdienst deze informatie niet alleen voor administratieve doeleinden, maar verkoopt ze aan gegevensmakelaars die ze online publiceren. Dit is een schending van de EU-wetgeving. Eerder dit jaar vroeg een Zweedse betrokkene de belastingdienst om te stoppen met de verkoop van zijn gegevens. Het Hooggerechtshof van het land heeft onlangs bepaald dat vrijheid van informatie en privacyrechten tegen elkaar moeten worden afgewogen en dat gegevens als vertrouwelijk moeten worden gemarkeerd als de ontvanger ze waarschijnlijk in strijd met de GDPR zal verwerken. De belastingdienst heeft het verzoek afgewezen en beweert dat het gewoon het Zweedse grondwettelijke principe van transparantie volgt in plaats van de uitspraak van het Hooggerechtshof. noyb daagt de belastingdienst nu voor de rechter.
- noyb beroep (SE)
- Arrest van het Zweedse Hooggerechtshof (SE)
- Uitspraak door de Zweedse Hooggerechtshof (Engelse vertaling)
Persoonlijke gegevens verkocht aan particuliere bedrijven. Het is niet ongebruikelijk dat de overheid van het land waar je woont allerlei gegevens over je heeft. Dit kan informatie zijn zoals je burgerlijke staat, je inkomen, je woonplaats, de waarde van je huis, je burgerservicenummer en je geboortedatum. Deze informatie kan immers nodig zijn om belastingen te innen. Het is echter ongebruikelijk dat in Zweden de belastingdienst deze persoonlijke informatie niet alleen verzamelt, maar ook verkoopt aan externe bedrijven - die ze vervolgens online publiceren zodat iedereen ze kan zien. Hieronder vallen gegevensmakelaars zoals MrKolldie winst maken door de gegevens te verkopen aan iedereen die geïnteresseerd is, zonder enige bescherming of beperking. De Zweedse benadering van "transparantie" gaat dus veel verder dan wat nodig en proportioneel is voor transparantie of journalistieke doeleinden, maar komt neer op volledige toegang voor puur commerciële gegevensmakelaars tot overheidsgegevens.
Joakim Söderberg, advocaat gegevensbescherming bij noyb: "Als ik belasting betaal in mijn eigen land, verwacht ik dat de belastingdienst mijn gegevens precies voor dat doel gebruikt, en niet om commerciële gegevensmakelaars te voeden zodat zij winst kunnen maken. Het publiceren van de belastinggegevens van mensen zodat iedereen ze kan zien, is duidelijk in strijd met het fundamentele recht op gegevensbescherming. De belastingdienst moet na de uitspraak van het Hooggerechtshof zijn praktijken met betrekking tot het delen van gegevens heroverwegen en zo snel mogelijk beginnen met het markeren van dingen als vertrouwelijk."
Zweeds Hooggerechtshof eist "evenwicht". Gelukkig voor consumenten zijn er duidelijke wettelijke uitzonderingen op het delen van deze gegevens. Het Zweedse Hooggerechtshof heeft onlangs een uitspraak gedaan over het conflict tussen de Zweedse wet op vrijheid van informatie en de EU-wet op gegevensbescherming. Het Hooggerechtshof concludeerde dat deze conflicterende rechten tegen elkaar afgewogen moeten worden. Als het waarschijnlijk is dat gegevens in strijd met de GDPR worden verwerkt, moeten ze als vertrouwelijk worden gemarkeerd. Deze vertrouwelijkheid moet datamakelaars verbieden om persoonlijke gegevens te verkrijgen van mensen die in Zweden wonen. Tenminste, als de belastingdienst de uitspraak van de rechtbank zou volgen. Op dit moment is dat helaas niet het geval.
Verzoek om gegevensverkoop op te schorten afgewezen. Eerder dit jaar verzocht een betrokkene de Zweedse belastingdienst om te stoppen met de verkoop van zijn gegevens, met als argument dat de verwerking illegaal is en daarom beperkt zou moeten worden. De belastingdienst wees het verzoek botweg af met het argument dat het alleen maar zijn overheidsbevoegdheid uitoefende door zijn persoonlijke gegevens te verstrekken aan bedrijven die op winst uit waren. De belastingdienst beheert het statens personadressregister (persoonlijk adresregister van de Zweedse staat), dat de persoonsgegevens bevat van alle mensen die in Zweden wonen. Volgens de nationale wetgeving hebben bedrijven toegang tot de persoonlijke gegevens in deze database om "persoonlijke gegevens bij te werken, aan te vullen en te verifiëren of namen en adressen te selecteren voor direct marketing, openbare aankondigingen of andere vergelijkbare activiteiten".
Hier zijn een paar voorbeelden van bevestigde ontvangers van gegevens van de belastingdienst: Dun and Bradstreet beheert expliciet een database die wordt onderhouden met gegevens uit het adressenregister van de staat - en wordt gebruikt om andere bedrijven te helpen hun eigen database op te bouwen met persoonlijke gegevens van mensen. Een bedrijf genaamd Kalenderförlagetdaarentegen publiceert een zogenaamde belastingkalender met gegevens over het inkomen van alle mensen in Zweden. Zo ook, "De Inlichtingendienst" verklaart dat het toegang heeft tot de gegevens van alle Zweedse inwoners ouder dan 15 jaar - en dat deze gegevens afkomstig zijn van de belastingdienst. Dat zij ontvangers zijn van gegevens van de belastingdienst kunnen gemakkelijk geverifieerd worden door iedereen met een E-ID.
Joakim Söderberg, advocaat gegevensbescherming bij noyb: "Het is niet logisch dat bedrijven als Dun and Bradstreet, de Intelligence Company en Kalenderförlaget toegang hebben tot de belastinggegevens van alle Zweden. Zweden gaat er prat op een land te zijn waar mensenrechten hoog op de agenda staan, maar blijkbaar respecteert de regering het fundamentele recht op privacy en gegevensbescherming niet.
Beroep aangetekend bij Zweedse rechtbank. noyb heeft daarom beroep aangetekend bij de administratieve rechtbank van Stockholm, met het verzoek aan de belastingdienst om het delen van persoonlijke gegevens van de betrokkene met derden te beperken. De beslissing van het Hooggerechtshof maakt duidelijk dat het delen van al deze gegevens met gegevensmakelaars verboden moet worden, omdat het duidelijk is dat zij gegevens zullen verwerken in strijd met de GDPR. Het verkopen van de persoonlijke gegevens van miljoenen Zweden aan iedereen die geïnteresseerd is, ontneemt mensen hun fundamentele recht op privacy. Bovendien stelt het doelbindingsprincipe van de GDPR dat "persoonlijke gegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden". Gegevensmakelaars die de gegevens online verkopen, voldoen duidelijk niet aan deze regels.
