Skatteforvaltningen

Datatilsynet har udtalt alvorlig kritik af Skatteforvaltningens håndtering af anmodninger om indsigt i 2025. Tilsynet har tidligere udtalt alvorlig kritik af forvaltningens håndtering af sådanne anmodninger for perioden 2019-2024. Datatilsynet indledte (på baggrund af en klage) en sag af egen drift i november 2024, som primært angik Skatteforvaltningens generelle sagsbehandlingstid af anmodninger om indsigt. udtalte Datatilsynet første gang alvorlig kritik i en afgørelse , som tilsynet traf den 30. september 2025 i forhold til Skatteforvaltningens behandling af indsigtsanmodninger i perioden 2019-2024. For at følge udviklingen i sagsbehandlingstiden, anmodede Datatilsynet samtidig Skatteforvaltningen om primo 2026 at fremsende en redegørelse for forvaltningens behandling af anmodninger om indsigt i perioden 2025. Redegørelsen viste bl.a., at den gennemsnitlige sagsbehandlingstid i 2025 var ca. 59 dage. Skatteforvaltningen har oplyst, at sagsbehandlingstiden (igen) har været påvirket af flere forskellige faktorer, herunder bl.a. omfattende sager med et stort antal dokumenter, komplekse sager, der kræver tværgående afklaringer og godkendelser, samt anmodninger, der vedrører logdata. Derudover har Skatteforvaltningen oplyst, at sagsbehandlingstiden generelt har været påvirket af, at medarbejdere i forvaltningen har haft travlt med at behandle tidligere modtagne indsigtsanmodninger. Skatteforvaltningen har i modsætning til perioden 2019-2024 ikke oplyst, at forvaltningen behandler indsigtsanmodninger efter et princip om, at de skal behandles i den rækkefølge, de modtages, uanset den konkrete anmodnings kompleksitet mv. Efter sagen har været behandlet i Datarådet, finder Datatilsynet igen grundlag for at udtale af, at Skatteforvaltningen i perioden 2025 ikke har behandlet en betydelig mængde anmodninger om indsigt i overensstemmelse med fristerne i databeskyttelsesforordningen.

Datatilsynet har truffet afgørelse i en sag, hvor en borger klagede over, at Skattestyrelsen havde delt oplysninger om vedkommende med Gældsstyrelsen. Tilsynet fandt at delingen var sket inden for rammerne af GDPR. Datatilsynet har truffet afgørelse i en sag, hvor en borger klagede over, at Skattestyrelsen havde delt oplysninger om vedkommende, bl.a. oplysninger om arv, med Gældsstyrelsen. Begge myndigheder er en del af Skatteforvaltningen. Tilsynet fandt, at den pågældende deling af oplysninger internt i Skatteforvaltningen var sket inden for rammerne af databeskyttelsesforordningen – herunder princippet om formålsbegrænsning. Datatilsynet lagde til grund, at såvel Skattestyrelsen som Gældsstyrelsen har hjemmel i bl.a. skattekontrolloven og gældsinddrivelsesloven til at foretage deres respektive myndighedsopgaver, herunder skatteansættelse og gældsinddrivelse. Skattestyrelsen og Gældsstyrelsen kunne derfor hver især behandle de omhandlede oplysninger inden for rammerne af databeskyttelsesforordningen. Tilsynet vurderede endvidere, at den interne deling af personoplysninger mellem de pågældende myndigheder, som begge er en del af Skatteforvaltningen, ikke skete til uforenelige formål. Datatilsynet lagde i den forbindelse vægt på bl.a., at der er en betydelig sammenhæng mellem de to forvaltningers opgaver (formål), idet de for begges vedkommende angår statens ”provenu”. Datatilsynet bemærkede i den forbindelse, at den registrerede – i dette tilfælde klager – med rimelighed burde forvente, at oplysninger om indtægter i form af (kommende) arv holdes op imod oplysninger om gæld til det offentlige. Endvidere fandt Datatilsynet, at der ikke var grundlag for at tilsidesætte det Gældsstyrelsen anførte om, at den pågældende deling ikke var sket i strid med reglerne i forvaltningslovens § 32.

Datatilsynet vender hermed tilbage til sagen, hvor Skatteforvaltningen den 12. juli 2021 har anmeldt et brud på persondatasikkerheden til Datatilsynet. Anmeldelsen har følgende referencenummer: 4ebaba6f9e5136afa27cdd3e3c48ad51366eb6ac. Skatteforvaltningen sendte efterfølgende en opfølgning på anmeldelsen til Datatilsynet. Opfølgningen har følgende referencenummer: 3fbf36f3d582e3555039c234bd278526fb517f10. Datatilsynet har truffet afgørelse i en sag, hvor Skattestyrelsen havde anmeldt et brud på persondatasikkerheden til tilsynet. Af anmeldelsen fremgik, at Skattestyrelsen havde underrettet den borger, der var berørt af bruddet, to dage før, at styrelsen havde anmeldt bruddet til Datatilsynet. Datatilsynet modtog imidlertid en opfølgning på anmeldelsen fra Skattestyrelsen over en måned senere, hvori styrelsen informerede tilsynet om, at der ikke var sket underretning af den registrerede, som beskrevet i den første anmeldelse - men først ca. 40 dage senere. Skattestyrelsen begrundede den for sene underretning med ”ekstraordinære forhold i ferieperioden”. Det er i den forbindelse Datatilsynets opfattelse, at et helt grundlæggende formål med pligten til at underrette registrerede er, at de registrerede skal være i stand til at varetage sine interesser, hvis de er berørt af et sikkerhedsbrud. Dette for at undgå, at deres rettigheder eller frihedsrettigheder krænkes. Det er i forlængelse heraf Datatilsynets opfattelse, at tilsynet skal være i stand til at varetage de registreredes rettigheder, hvis der ikke er sket (korrekt) underretning af de registrerede - f.eks. ved at påbyde den dataansvarlige at underrette de(n) registrerede. Datatilsynet lagde derfor - ved behandlingen af den konkrete sag - særlig vægt på, at hverken den registrerede eller tilsynet var i stand til at varetage den registreredes rettigheder, hvis den registrerede ikke var blevet underrettet om bruddet på persondatasikkerheden.