Toll- og avgiftsdirektoratet
Postboks 8122 Dep
0032 OSLO
Vi viser til Deres brev av 08.06.04 der det bes om eventuelle merknader til høringsnotat vedrørende utkast til forskriftsbestemmelser til valutaregisterloven. I det følgende vil vi først gi våre kommentarer til reguleringsopplegget generelt, deretter våre kommentarer til de enkelte paragrafer i forskriftsutkastet. Ettersom reguleringen i praksis i stor grad vil følge av innholdet i de retningslinjer som skal fastsettes etter § 7 i forskriftsutkastet, finner vi det naturlig å også gi enkelte kommentarer til innholdet i "Retningslinjer for rapportering til valutaregisteret, versjon 1.0, datert 09.06.04.
Generelle merknader til reguleringen og oppstart
Innledningsvis vil vi beklage at Finansdepartementet og Toll- og avgiftsdirektoratet under arbeidet med etableringen av valutaregisteret i liten grad har vært innstilt på å lytte til faglige råd vedrørende muligheten for å etablere et nytt system til langt lavere kostnader enn hva som vil bli resultatet av det system som nå er under etablering.
Vi har tidligere tatt til orde for at norsk regulering på området må sees i sammenheng med tilsvarende regulering i andre land som det er naturlig å sammenligne seg med. Vi har spesielt vist til hvordan en har løst tilsvarende problemstilling i Sverige, der kontrolletatene fikk overta det system som den svenske sentralbanken tidligere drev. Transaksjoner rapporteres der bare når de er større enn SEK 150.000,-. I Danmark rapporteres i dag transaksjoner over DKK 250.000,-. Denne rapporteringen vil imidlertid opphøre fra årsskiftet. Etter dette vil en i Danmark, som i Finland, rapportere bare ved mistanke om ”hvitvasking”.
Kravene og rapporteringsrutinene må heller ikke utformes slik at de virker konkurransevridende innenlands, basert på bankenes størrelse eller bruk av kanaler for videreformidling av transaksjoner. Vi er av den oppfatning at forslag til forskrift og retningslinjer slik de i dag er utformet, slår spesielt uheldig ut for mindre banker der kostnadene knyttet til etablering og oppfølging av nødvendig programvare og rutiner relativt sett vil bli størst, siden krav nå legges på banker som i dag ikke foretar BRAVO-rapportering med unntak av ved kjøp/salg av valuta i kontanter.
Videre må det påregnes "hull" i rapporteringen av transaksjoner fra utlandet som videreformidles som ordinære innenlandske transaksjoner gjennom den norske betalingsinfrastrukturen. Dette forhold ble også tatt opp i vårt høringssvar til lovforslaget, datert 01.09.2003. Generelt vil det bli en stor utfordring at "valutarapporteringskrav" nå også legges på banker som ikke har innrettet sin virksomhet mot valutaprodukter og -tjenester.
Selv om det nå bare er få måneder til valutaregisterloven trer i kraft, er det heller ikke gitt signaler som tyder på at departementet og direktoratet har til hensikt å følge opp den forutsetning Stortingets Finanskomité la til grunn vedrørende oppstart og overgangsordninger, jf. følgende formuleringer i innst. O .nr. 61 (2003-2004): "Komiteen er imidlertid opptatt av at det legges opp til en smidig start for de rapporteringspliktige slik at de ikke pålegges urimelige kostnader i oppstartsfasen" og "(...) legger til grunn at departementet sikrer at finansnæringen, i forbindelse med etableringen av registeret, ikke blir pålagt urinelige byrder".
Vår opplevelse er derimot at direktoratet legger opp til et oppstartsopplegg som er stikk i strid med Finanskomiteens eksplisitt uttalte ønske. Vi viser i denne sammenheng til retningslinjene for rapportering, versjon 1.0, der det på side 35 heter: "Alle rapporteringspliktige må godkjennes før de får levere data til valutaregisterets produksjonsmiljø (...). I perioden 07.11.2004 til 30.11.2004 vil de rapporteringspliktige ha mulighet til å gjennomføre en godkjenningsprosedyre". I praksis betyr dette etter vår forståelse at direktoratet forkorteren allerede i utgangspunktet for kort implementeringsfrist.
Behovet for en lengre implementeringstid er gjentatte ganger tatt opp med direktoratet, blant annet i brev datert 15.01.04 og i påfølgende møte 16.02.04. Rapporteringen til valutaregisteret vil kreve betydelige endringer i forhold til dagens BRAVO-rapportering, og det er behov for god tid til omprogrammering, testing og godkjenning av systemene. Det er mange systemer som skal tilpasses ut fra de krav som nå foreligger, jf. teknisk spesifikasjon mottatt 13.08.04, og den aktuelle forskrift er fortsatt ikke fastsatt. Det er generelt betenkelig at bankene må innhente tilbud fra sine leverandører ut fra ”foreløpige krav”. Videre mener vi at prinsippet om at myndighetspålegg ikke skal innebære at unødvendige ekstraordinære kostnader påføres banknæringen ikke er innfridd. Kravet om rapportering fra og med 01.01.05 innebærer at endringer i forretningsapplikasjoner må skje gjennom ekstraordinære oppdateringer. Implementeringskostnadene ville blitt langt lavere om implementeringstiden tillot at endringene kunne vært tatt som en del av planlagte oppdateringer. Dette gjelder generelt for samtlige banker, og spesielt for alle de bankene som er i ferd med å skifte valutasystemer eller dataleverandør (Dette gjelder blant annet bankene i Terra-gruppen). Det må, med spesiell hensvisning til Finanskomiteens innstilling, anses som helt uaktuelt å pålegge disse bankene doble kostnader, ved å tilrettelegge for rapporteringen fra systemer som skal tas ut av bruk.
Vi vil på dette grunnlag understreke at det er svært lite sannsynlig at samtlige banker vil kunne ha sine rapporteringsrutiner på plass innen 01.01.05, og langt mindre innen fristen for godkjenning, 30.11.04. Videre må det ventes at den rapportering som faktisk vil kunne skje fra 1. januar neste år vil bli mangelfull i forhold til de krav som stilles til innhold.
Vi vil derfor igjen på det innstendigste be om at Direktoratet setter nye tidsfrister som i større grad tar hensyn til at detaljene i reguleringen faktisk fortsatt ikke er vedtatt. Basert på de forhold som er nevnt over, bør oppstart utsettes til 01.01.06. Langt færre vil da ha problemer med å få de nødvendige rutiner og systemer på plass i rett tid. Direktoratet må uansett vise stor grad av imøtekommenhet når det gjelder søknader om utsatt eller forenklet rapporteringsoppstart, som helt sikkert vil komme.
Ellers finner vi det positivt at flere av høringsinstansenes innvendinger til lovforslagets personvernsider er tatt til etterretning.
Kommentarer til forskriftsforslaget generelt
Rapporteringen til valutaregisteret vil innebære løpende kostnader for bankene, og ekstra kostnader vil påløpe ved eventuelle endringer i rapporteringskravene. Endringer vil ofte også kreve bruk av interne, begrensede ressurser. Det er derfor viktig at eventuelle fremtidige endringer i rapporteringskravene meddeles rapportørene i god tid før iverksettelse, og at rapportørene blir trukket inn i vurderingsprosessen før beslutninger fattes. Slikt sett er vi godt tilfreds med at kravene til hva som skal rapporteres nedfelles i detalj i forskriften. Etter forvaltningslovens regler vil en da sikre at rapportørene gis anledning til å uttale seg før endringer vedtas, samtidig som en sikrer at det til en hver tid er tilgjengelig for allmennheten hvilken informasjon som innhentes om den enkelte.
Også endringer i hvordanrapporteringen skal skje har konsekvenser for rapportørene. Vi vil derfor understreke viktigheten av at Direktoratet ved endringer i dokumentet "Retningslinjer for rapportering til valutaregisteret" følger tilsvarende administrative prosedyrer som ved endringer i forskriften.
Offentlige krav til når bankene skal kreve legitimasjon av identitet følger i dag av hvitvaskingslovens § 5 og Forskrift om melde- og rapporteringsplikt til Norges Bank om betalinger mellom innlendinger og utlendinger mv, § 3. Sistnevnte gir valutabankene ved betaling mellom innlending og utlending plikt til å forvisse seg om også tilfeldige kunders identitet, selv om angjeldende transaksjon er mindre enn det som utløser identitetskontroll etter hvitvaskingsloven. Vi kan ikke se at Valutaregisterloven eller utkastet til forskrift viderefører tilsvarende krav når det gjelder grensekryssende betalinger generelt. Regelverket inneholder heller ingen eksplisitt plikt for kundene til å gi de opplysninger som er nødvendig for rapporteringen til valutaregisteret. Det går heller ikke klart frem at rapportørene kan avvise kunder ved manglende eller mangelfull legitimasjon, jf. i denne sammenheng hvitvaskingslovens § 9.
Gjennomgående er det krav om at opplysninger om person-, organisasjons- eller D-nummer skal følge transaksjonsrapporteringen. Vi vil i denne sammenheng minne om at det ikke alltid er slik at betalingsavsender eller -mottaker har slikt nummer. Dette gjelder spesielt turister i Norge. Etter hva vi kjenner til har en rekke banker valgt å slutte med å tilby grensekryssende betalingstjenester overfor kunder som ikke allerede har et etablert kundeforhold til banken. Vi er redd for at de krav som nå nedfelles i forbindelse med valutaregisterloven vil forsterke denne utviklingen. Bankene kan videre ikke kreve fødselsnummer eller D-nummer av alle som etablerer kundeforhold, selv om de oppfyller vilkårene for å få tildelt slike nummer. Dette gjelder for eksempel ambassadepersonell med diplomatisk immunitet og NATO-personell. Vi viser også til vår kommentar til § 10 i forslaget.
For øvrig vil vi peke på at innhentingen av kortnummer for internasjonale betalingskort sammen med relativt detaljerte personopplysninger medfører at det må stilles særlig strenge krav til sikkerheten i de systemer som behandler og oppbevarer opplysningene. Direktoratet må i denne sammenheng akseptere det økonomiske ansvar som vil kunne følge av sikkerhetsbrudd. Blant annet er såkalte identitetstyverier etter hvert blitt et stadig større problem internasjonalt, og vi ser også stadig flere tilfeller i de nordiske land. Generelt kan vi ikke se at informasjon om kortnummer skulle ha særlig relevans for myndighetene. For kort utstedt i Norge burde de øvrige person- /organisasjonsopplysninger være mer enn tilstrekkelig.
Kommentarer til de enkelte paragrafene i forskriftsforslaget
§ 3
Vi foreslår at paragrafen utvides med en presisering med utgangspunkt i følgende formulering fra høringsnotats kapittel 3: "Mottakerne av opplysninger fra valutaregisteret, i dette tilfellet etater som får tilgang i henhold til valutaregisterloven § 6, er selv ansvarlige for å ha tilstrekkelig rettslig grunnlag for egen behandling av personopplysningene etter at de er hentet ut av valutaregisteret". Det bør ikke være nødvendig å gå til "forskriftsforarbeidene" for å finne denne presiseringen.
§ 5
Vi ber om at første setning omformuleres for å ta hensyn til at rapportørene ikke kan gjøres ansvarlig for at informasjon som mottas fra kunde er korrekt, for eksempel til som følger: "De rapporteringspliktige er ansvarlig for at opplysningene de rapporterer inn er korrekte i forhold til det kunde har opplyst."
§ 7
Dokumentet "Retningslinjer for rapportering til valutaregisteret" vil måtte kunne endres. § 7 bør inneholde noe om prosedyrer i denne sammenheng, blant annet for å gi de rapporteringspliktige anledning til å kommentere endringsforslag, og tilstrekkelig tid til implementering i egne systemer. Jf. også våre kommentarer til forskriftsforslaget generelt.
I annet ledd er det først vist til "virkedager", deretter til "dager". Vi antar at dette skyldes en skrivefeil, og at det korrekte skal være "virkedager" begge steder.
Av høringsnotatet fremgår det at hyppigheten på rapportering av "0-transaksjoner" skal fastsettes i retningslinjene. Etter vår vurdering må det uansett legges til rette for at det skal være tilstrekkelig med én "nulltransaksjon" pr. rapportør, og ikke en for hver rapporttype.
§ 10
Vedrørende krav om informasjon i første ledd, må en ta høyde for at avsender/mottaker i Norge faktisk ikke trenger å ha fødselsnummer, D-nummer eller org. nummer. Et eksempel i så måte er en turist som mottar/sender penger fra/til utlandet. Dette forholdet er forsøkt tatt hensyn til i §§ 17 og 18, om hhv. manuell valutaveksling og inn- utførsel av kontanter, ved at passnummer aksepteres som alternativ. Det må imidlertid da også tas høyde for at turister i Norge ikke til enhver tid har med seg pass, og heller ikke medbringer slikt til Norge. Vi tenker i denne sammenheng på borgere fra stater som deltar i Schengen-samarbeidet. Dette er antakeligvis ikke noe stort problem når det gjelder §§ 17 og 18, der beløpsgrensene er satt høyere enn typiske småtransaksjoner. Rapporteringen etter § 10 skal imidlertid skje for samtlige transaksjoner, fra første krone. Vi legger derfor til grunn at også andre identitetsbevis enn pass må kunne godtas i slike tilfeller.
Til fjerde ledd vil vi opplyse at det ikke finnes noen "bankvesenets" unike identifikasjon for den enkelte overføring. Referanse må derfor være "den enkelte banks" unike identifikasjon.
I siste ledd stilles det krav om informasjon om hva overføringen gjelder, uavhengig av beløpsstørrelse, når den som overfører penger til utlandet selv forestår registreringen av data. Hovedtyngden av de grensekryssende transaksjonene registreres i dag av bedriftene selv, gjennom bankenes bedriftsterminalløsninger. Kravet innebærer således, i praksis, spesifikasjon av en meget stor del av slike transaksjoner. Vi har vanskelig å se behovet for større grad av spesifikasjon i valutaregisteret bare fordi kunden selv forestår registreringen. Andre behov ivaretas gjennom øvrig lovverk. Vi tenker i denne sammenheng blant annet på at hvitvaskingsregelverket, som fra 1. januar neste år pålegger bankene å ha elektroniske overvåkingssystemer som skal ha til formål å identifisere mistanke om at transaksjoner kan ha tilknytning til utbytte fra straffbare handlinger, uavhengig av om transaksjonene er grensekryssende eller ikke. Vi mener på dette grunnlag at beløpsgrensen for spesifikasjon også må gjøres gjeldende for kunderegistrerte transaksjoner. Beløpsgrensen for rapportering av hva beløpet gjelder bør videre heves betraktelig i forhold til den 100.000-kronersgrense som er foreslått i utkastet. Vi viser i denne sammenheng også til vår omtale av reguleringen generelt innledningsvis.
I samme ledd heter det at "Elementer for rapportering av hva overføringen gjelder vil både være fritekst og en forhåndsdefinert artsliste som beskrevet nærmere i "Retningslinjer for ...". Formuleringen kan gi inntrykk av at det vil være krav både omart og fritekst for hver transaksjon. Vi antar at dette ikke er riktig, og vil videre presisere at bankene bare vil kunne avvise transaksjoner som mangler utfylt forhåndsdefinert art. Direktoratet må selv følge opp de transaksjoner der en kunde åpenbart har lagt inn feil art, eller der innholdet i fritekst ikke er tilfredsstillende.
§§ 12-15
Det kreves i § 12, 13 og 14 informasjon om "korttype", mens det i retningslinjene for rapportering fremgår at det egentlig spørres etter kortselskapets navn. Samtidig bes det i §§ 12, 14 og 15 eksplisitt om informasjon om kortselskap. Det synes derfor uklart hva som egentlig menes med "korttype" i forskriften.
§ 12
Vi vil anbefale at kravet om rapportering av kortnummer for norskutstedte kort tas ut. Rapporteringskravene er allerede tilstrekkelige til å avdekke kortholders identitet. Vi viser i denne sammenheng til våre kommentarer til forskriften generelt. Det må videre påpekes at utenlandske brukersteders, navn, adresse osv. bare kan rapporteres i den grad informasjonen faktisk blir opplyst fra brukerstedene. Her varierer praksis.
§ 13
Rapporteringen av kortnummer for norskutstedte kort bør tas ut, jf. kommentar til § 12.
Annet ledd bør reformuleres slik at det klarere, som i retningslinjene, fremgår at opplysningene om antall transaksjoner også er pr. land.
§ 14
Kortholder kan identifiseres med kortnummer, men ikke med korttype og land. Dette er informasjon som transaksjonsinnsamlerne (acquirerne) ikke nødvendigvis har tilgang til. Også informasjon om brukersted betinger tilgjengelige opplysninger, jf. kommentar til § 12. Brukerstedets organisasjonsnummer blir for minibanker bankens eget organisasjonsnummer.
Rapporteringen av kortnummer for norskutstedte kort bør tas ut, jf. kommentar til § 12.
§ 15
Jf. kommentar til § 14 vedrørende identifisering av kortholder.
§ 16
Informasjon om brukersted betinger tilgjengelige opplysninger, jf. kommentar til § 12. Brukerstedets organisasjonsnummer blir for minibanker bankens eget organisasjonsnummer.
§ 17
Ved valutakjøp ved bruk av innenlandske betalingskort i minibank, er det banken som har utplassert automaten som forestår vekslingen. Den transaksjon som mottas i kontobank fremstår og behandles på samme måte som en hver annen innenlandsk kronetransaksjon. At det dreier seg om valutakjøp fremgår bare av den "fritekstinformasjon" som følger med til kunden (kortholder). Det synes svært vanskelig og kostnadskrevende å etablere automatiserte rutiner som søker gjennom og tolker fritekstfelt for å bringe på det rene om enkelttransaksjoner dreier seg om valutakjøp. Vi vil derfor, også som tidligere meddelt direktoratet, anbefale at rapporteringsplikten for valutakjøp i minibanker legges på den bank som faktisk forestår vekslingen.
I annet ledd kreves det informasjon om "automatnummer". Også her stiller vi spørsmål ved det reelle behovet for informasjon. Gjennomgående legges det opp til en svært detaljert sporing av enkeltindividers adferd.
§ 20
Vi viser til våre kommentarer gitt til reguleringen generelt og oppstart.
Kommentarer til Retningslinjer for rapportering til valutaregisteret, versjon 1.0
Kapittel 2
Generelt finner vi det bra at retningslinjene inneholder en presisering av sentrale ord og uttrykk, og at oversikten er sortert alfabetisk. Vi gjør i denne sammenheng oppmerksom på at "Forsendelsesdato" er plassert for langt ned i oversikten. For øvrig vil vi gi følgende kommentarer:
- ”Brukersted”er ikke et sted som tilbyr elektroniske betalingsterminaler, men et sted som tilbyr kundene å betale ved bruk av elektronisk betalingsterminal
- ”D-nummer”er ikke definert som midlertidig fødselsnummer, jf. forskrift om D-nummer (1995-02-14 nr 125)
- Når ”landkode” er definert, bør også ”valutakode”defineres.
- Begrepet "bokføringsdato" benyttes også i andre sammenhenger. Den dato som transaksjonen registreres hos den rapporeringspliktige bør derfor kalles "registreringsdato".
Kapittel 5 generelt
Forslag til definisjoner av betalingsarter er gitt i bilag 1. Vi ber om at det blir vurdert om en kan benytte de samme betalingsarter som i dag benyttes av bankene i BRAVO-rapporteringen.
Kapittel 5.2.5
Vi finner formuleringen litt uklar.
Kapittel 5.3
Det stilles krav til å melde både norsk og utenlandsk part også for reisesjekker. Vi vil i denne sammenheng gjøre oppmerksom på at det ved innløsning og salg av reisesjekker bare vil være én part. Reisesjekken er et produkt som i utgangspunktet er sidestilt med kontanter, og bør derfor rapporteres etter forskriftens § 17, som kontant veksling.
Kapittel 5.4.2 og 6.2
Det legges opp til å benytte bankregisternummer. Vi gjør oppmerksom på at bankregisternummersystemet er etablert av bankene, at de fleste banker har flere slike nummer og at det tidvis skjer endringer. Vi vil derfor anbefale at en i denne sammenheng gjennomgående forholder seg til bankens organisasjonsnummer, og tar ut kravet om bankregisternummer.
Kapittel 6.3
Jf. vår kommentar til forskriftens § 10, om at det ikke er alle som har fødsels-, organisasjons- eller D-nummer. Videre må det tas hensyn til at det ikke alltid finnes kontonummer til utenlandsk part for utgående betalinger. For øvrig vil vi anta at det under transaksjonsdata må være liten "m" når det gjelder "Beløp VAL", gitt at utfylling betinger at beløpet er i valuta.
Kapittel 7
Kravet om spesifisering av varekjøp, kontantuttak og ATM (minibank) må anses som umulig å innfri når det gjelder bruken av norske kort i utlandet. Jf. for øvrig våre kommentarer til forskriftens §§ 12 -16.
Kapittel 8
Vi viser til vår kommentar til forskriftsforslagets § 17, vedrørende rapporteringsplikt og vekslingssted.
Avslutningsvis vil vi, når det gjelder den tekniske spesifikasjonen, oppfordre Direktoratet om å legge til rette for at kommunikasjon mot rapportørene i størst mulig grad kan skje uavhengig av systemteknisk plattform. For eksempel er dette ikke oppfylt når det gjelder kravet til automatisk filoverføring, ved bruk av SecureCopyProtocol eller SecureFileTransferProtocol. Kravet vil for flere av rapportørene virke fordyrende driftsmessig, blant annet fordi løsningene ikke vil kunne fullautomatiseres, men må suppleres med manuelle inngrep/rutiner.
Eventuelle spørsmål bes rettet til Per Erik Stokstad, Sparebankforeningen (tlf.: 22 98 65 34), eller Trond Bakkerud, FNH (tlf.: 23 28 43 53).
Med hilsen
for Finansnæringens Hovedorganisasjon for Sparebankforeningen i Norge
Trond Bakkerud Per Erik Stokstad
Kontorsjef Ass. Direktør
Kopi: Finansdepartementet