Utdrag av Skattedirektoratets svarbrev av 30. juni 2008 til Datatilsynet, vedrørende oppbevaring av kredittkortopplysninger.

Avklaring om lagring av kredittkortinformasjon – Bokføringsloven (…)

Bakgrunn

I brevet reiser De spørsmål ved om det er krav til lagring av kredittkortopplysninger, identitet og kortreferanse, etter bokføringsloven.

Det vises til at Datatilsynet i den senere tiden har mottatt flere henvendelser om virksomheter som lagrer kredittkortinformasjon etter at en handel er avsluttet og at problemstillingen er særlig relevant ved kjøp via internett. I den siste saken, som er vedlagt brevet til informasjon, hevder virksomheten (X AS) at de lagrer kredittkortopplysninger i tre år i medhold av bokføringsloven § 13. X AS mener at informasjonen er vesentlig for å kunne dokumentere sitt regnskap for blant annet revisor.

Datatilsynet mener at ovennevnte praksis er tvilsom av flere grunner. Tilsynet kan vanskelig forstå at det skal være nødvendig å påvise identiteten til kjøper av et produkt eller tjeneste for revisor. Det anføres videre at

”poenget etter regnskapslovgivningen må vel være at en transaksjon har funnet sted, til hvilken pris og tidspunkt, ikke hvem som forestår kjøpet.”

Tilsynet mener også at det foreligger risiko for at virksomheten, i lagringsperioden, urettmessig kan benytte informasjonen til andre formål, og at praksisen medfører en økt risiko for at kredittkortinformasjon kan komme på avveie og misbrukes. Tilsynet anfører også at det er vanskelig å se at det er større behov for å lagre kjøpers identitet og kortreferanse når det benyttes kort enn når det betales kontant.

Datatilsynet ønsker som et ledd i videre vurdering av problemstillingen å avklare om anførselen fra virksomhetene er relevante, da med henblikk på hvilke bestemmelser Skattedirektoratet mener kan anføres og i hvilke sammenhenger.

Lov og forskriftsbestemmelser

1. Oppbevaring

Bestemmelser om hva som regnes som oppbevaringspliktig regnskapsmateriale og oppbevaringstidens lengde fremgår av bokføringsloven § 13 første og annet ledd.

Bokføringsloven § 13 første ledd nr. 2 og 3 setter krav til oppbevaring av hhv spesifikasjoner av pliktig regnskapsrapportering og dokumentasjon av bokførte opplysninger mv. Slikt regnskapsmateriale skal oppbevares i ti år, jf. § 13 annet ledd.

Bokføringsloven § 13 første ledd nr. 5-8, jf. annet ledd, lister opp hvilke typer dokumentasjon som skal oppbevares i tre år og seks måneder etter regnskapsårets slutt. Dette gjelder bl.a. avtaler som gjelder virksomheten, med unntak av avtaler av mindre betydning, utgående pakksedler eller tilsvarende dokumentasjon som foreligger på papir på leveringstidspunktet, samt korrespondanse som gir vesentlig tilleggsinformasjon i tilknytning til en bokført opplysning.

2. Spesifikasjoner

Bokføringsloven § 5 første ledd nr. 3 og 4, jf. forskrift 1.12.2004 nr. 1558 om bokføring (bokføringsforskriften) § 3-1 nr. 3 og 4 omhandler krav til kunde- og leverandørspesifikasjon. Kunde- og leverandørspesifikasjon skal også omfatte kontante salg og kjøp i visse tilfelle, jf. bokføringsforskriften § 3-1 annet ledd. Det vises til pkt. 3 nedenfor.

3. Dokumentasjon av bokførte opplysninger

Det følger av bokføringsloven § 10 at bokførte opplysninger skal være dokumentert. Dokumentasjonen skal utstedes med et korrekt og fullstendig innhold og vise de bokførte opplyningenes berettigelse. Dokumentasjonen skal ikke endres etter utstedelse og dersom dokumentasjonen består av flere dokumenter, så skal det være referanse fra primærdokumentet til øvrige dokumenter.

Bokføringsforskriften § 5-1 (§§ 5-1-1 til 5-1-8) omhandler nærmere krav til dokumentasjon av salg av varer og tjenester.

Det følger av bokføringsforskriften § 5-1-1 nr. 2 at salgsdokumentet skal inneholde angivelse av partene. Etter bokføringsforskriften § 5-1-2 første ledd skal angivelse av kjøper minst inneholde kjøpers navn, og adresse eller organisasjonsnummer. Selger kan fravike krav om angivelse av kjøper ved kontantsalg fra detaljist.

Dette unntaket gjelder likevel ikke når

• kjøper er bokføringspliktig og varen eller tjenesten er beregnet for videresalg eller som direkte innsatsfaktor i produksjon eller tjenesteleveranse,
• eller der betalingen skjer med kontanter for et beløp på kr 40 000 eller mer inklusive merverdiavgift.

Når det er krav om å angi kjøper, skal salget også føres i kundespesifikasjonen, jf. pkt. 2 ovenfor.

4. Dokumentasjon av betalingstransaksjoner

Dokumentasjon av betalingstransaksjoner som ikke vedrører kontante kjøp og salg, skal vise betaler og mottaker av betalingen, jf. bokføringsforskriften § 5-11.

Med kontantsalg menes salg der kjøpers betalingsforpliktelse overfor selger gjøres opp ved levering, jf. bokføringsforskriften § 5-3-1.

Vurdering

Skattedirektoratet vil innledningsvis presisere at formålet med bokføringsreglene blant annet er å muliggjøre kontroll av og innsyn i løpende transaksjoner og grunnlaget for pliktig regnskapsrapportering. Som pliktig regnskapsrapportering regnes blant annet oppgaver til skattemyndighetene. Opplysninger om transaksjoner mellom bokføringspliktige (næringsdrivende) er sentralt i kontrollsammenheng, og næringsdrivendes opplysningsplikt om mellomværende med andre næringsdrivende er også er nedfelt i skatte- og avgiftslovgivningen, jf. for eksempel ligningsloven § 6-3. Bokføringsreglene stiller konkrete krav til innhold i salgsdokument og til spesifikasjon av transaksjoner i kunde- og leverandørspesifikasjon, noe som bidrar til at bokføringspliktige kan oppfylle sin opplysningsplikt overfor kontrollmyndighetene. I forhold til etterkontroll er det nødvendig å kunne påvise identiteten til en kjøper, både når det gjelder kredittsalg og i kontantsalgstilfeller som omtalt i kulepunktene i pkt. 3 ovenfor.

I vurderingen nedenfor legger Skattedirektoratet til grunn at opplysninger om kortnummer ikke fremgår av salgsdokumentet (regningen på selve salget, utslag fra kassaapparat eller annet likeverdig system), men av annen dokumentasjon. Skattedirektoratet er imidlertid kjent med at mange systemløsninger gjengir deler av kortnummeret (de siste sifrene) og utløpsdato, i salgsdokumentet.  Dersom dette er tilfelle blir også disse opplysningene oppbevaringspliktige. Det vises til bokføringsloven § 10 som forutsetter at dokumentasjonen ikke skal endres etter utstedelse. Utgangspunktet er at kjøpers og selgers dokumentasjon skal inneholde de samme opplysningene, noe som er viktig for å kunne ta stilling til dokumentets ekthet.

Dokumentasjon av bokførte opplysninger - primærdokumentasjon

Et salg skal dokumenteres med salgsdokument. Krav til salgsdokumentets innhold følger av bokføringsforskriften § 5-1-1. I bokføringsforskriften § 5-3 er det i tillegg gitt enkelte særlige regler om dokumentasjon av kontantsalg.

Etter bokføringsforskriften § 5-1-1 nr. 2, jf. § 5-1-2 første ledd skal salgsdokumentet inneholde angivelse av kjøper med navn og adresse. Det er intet krav om at salgsdokumentet skal inneholde kortnummer. Etter Skattedirektoratets syn kan heller ikke kravet til å angi kjøper med navn og adresse i salgsdokumentet erstattes av annen identifikasjon, som for eksempel kortnummer. Det vises i den forbindelse til at det også er et krav til angi kundens navn i kundespesifikasjonen, jf. bokføringsforskriften § 3-1 nr. 3.

Når det gjelder kontantsalg fra detaljister, som for eksempel X AS, er det for øvrig et unntak fra kravet til å angi kjøper, jf. bokføringsforskriften § 5-1-2 annet ledd. Dette unntaket gjelder ikke ved kontantsalg som omtalt i kulepunktene i pkt. 3 ovenfor.   Salg hvor det betales med kort, herunder kredittkort, regnes som kontantsalg i relasjon til bestemmelsene om dokumentasjon av kontantsalg, jf. bokføringsforskriften § 5-3-1.

Skattedirektoratet legger etter dette til grunn at det ikke er krav om å oppbevare kredittkortinformasjon (kortnr.) som følge av kravene til dokumentasjon av salg, med mindre opplysningene er tatt inn i salgsdokumentet.

Dokumentasjon av fordring mot kortselskap - primærdokumentasjon

Ved internetthandel hvor det betales med kredittkort eller faktureringskort, vil forretningsstedet måtte etablere en fordring mot kortselskapet eller annet foretak som har påtatt seg å gjøre opp fordringen. Tilsvarende gjelder i handel fra fast utsalgssted hvor salget regelmessig blir betalt enten med kontanter eller ulike typer kort. Fordringen skal bokføres og dokumenteres, jf. bokføringsloven § 10, og dokumentasjonen skal oppbevares i 10 år, jf. bokføringsloven § 13 første ledd nr. 3, jf. annet ledd.

Skattedirektoratet antar at denne dokumentasjonen, som i praksis vil være ”utskrift” fra kassaapparat/terminal, ikke inneholder opplysninger om fullstendig kortnummer eller kundens identifikasjon. Fordringen vil bestå av en eller flere enkelttransaksjoner. På samme måte som selve salget, vil den bokføringspliktige kunne bokføre fordringen daglig på oppsummert nivå. Hver enkelt fordring må imidlertid, på samme måte som tilhørende salgstransaksjon, være dokumentert. Det må således være mulig å finne tilbake til den enkelte fordring, enten dette skjer via opplysninger registrert på kassaapparatet eller annet likeverdig system (integrerte systemer) eller opplysninger fra den betalingsterminalen som er benyttet.

Dokumentasjon av bokførte opplysninger (betaling) - primærdokumentasjon

Etter bokføringsforskriften § 5-11 skal dokumentasjon vise både betaler og mottaker av betalingen. Bestemmelsen gjelder ikke ved kontantsalg (kontanter / kort), jf. X AS. Etter bokføringsreglene vil det således ikke være krav om å dokumentere hvem som har benyttet et kort.

Når fordringen mot kortselskapene gjøres opp, jf. foregående punkt, må imidlertid innbetalingen dokumenteres. I praksis vil dette være en oppstilling fra kortselskapet eller annet foretak som nevnt. Skattedirektoratet er ikke kjent med at denne dokumentasjonen inneholder opplysninger om kortnummer eller kundens identifikasjon.

Skattedirektoratet legger for øvrig til grunn at det i de tilfeller hvor kontonummer fremgår av oppbevaringspliktig dokumentasjon av betalinger, så skal også denne informasjonen oppbevares, jf. bokføringsloven § 13, jf. § 10.

Skattedirektoratet bemerker for øvrig at selv om bokføringsforskriften § 5-11 kun setter som krav at betalingsdokumentasjonen skal vise betaler og mottaker av betalingen, så ligger det implisitt, jf. bokføringsloven § 10, at dokumentasjonen også må inneholde ytterligere opplysninger. Skattedirektoratet legger til grunn at dokumentasjonen for oppgjør av korttransaksjoner også må vise utbetalt beløp og hvilken dag (dager) beløpet gjelder. Dokumentasjonen skal oppbevares i ti år, jf. bokføringsloven § 13 første ledd nr. 3, jf. annet ledd.

Dokumentasjon av bokførte opplysninger (salg) - sekundærdokumentasjon

Skattedirektoratet er usikker på om X AS lagrer kredittkortinformasjonen som en del av ordreopplysningene, jf. brev fra X AS av 8. oktober 2007.  Dersom dette er tilfelle må kravet til oppbevaring av avtaler vurderes. Avtaler, herunder ordrer, er oppbevaringspliktig etter bokføringsloven § 13 nr. 5, med mindre de er ubetydelige.

I en uttalelse fra Norsk RegnskapsStiftelse (GBS 6 Oppbevaringsplikt for ordresedler mv.) heter det om dette:

Avtaler av mindre betydning vil være levering av virksomhetens ordinære varer og tjenester. Dette vil typisk gjelde avtaler/ordresedler i virksomheter som produserer eller videreformidler varer og tjenester i stort omfang og det er relativ kort tid mellom mottak av ordren og levering av varen eller tjenesten. Varehandel vil som hovedregel omfattes av dette unntaket.

Skattedirektoratet legger etter dette til grunn at ordresedler i virksomheter som X AS ikke vil være oppbevaringspliktig etter bokføringsloven.

Dersom det derimot er slik at opplysningene fremgår av utgående pakkseddel eller tilsvarende dokumentasjon som foreligger på papir på leveringstidspunktet, vil opplysningene være oppbevaringspliktig etter bokføringsloven § 13 første ledd nr. 7. Det er imidlertid intet krav etter bokføringsreglene om å innta slike opplysninger i pakkseddel eller tilsvarende dokumentasjon.

Konklusjon

Skattedirektoratet legger til grunn at kredittkortinformasjon (kortreferanse) i seg selv ikke er oppbevaringspliktig etter bokføringsloven, forutsatt at opplysningene ikke inngår i salgsdokumentet eller annet oppbevaringspliktig regnskapsmateriale, jf. omtale foran.

(…)