Skatteforvaltningens

Datatilsynet har udtalt alvorlig kritik af Skatteforvaltningens behandling af indsigtsanmodninger efter en klage over forvaltningens sagsbehandlingstid. Datatilsynet indledte af egen drift i november 2024 en sag, som primært angik Skatteforvaltningens generelle sagsbehandlingstid af indsigtsanmodninger. I perioden 2019-2024 havde sagsbehandlingstiden i gennemsnit været ca. 100 dage pr. indsigtsanmodning. Skatteforvaltningen har oplyst, at forvaltningen behandler indsigtsanmodninger efter et forvaltningsretligt lighedsprincip om, at sager behandles i den rækkefølge, som de modtages. Denne praksis har ifølge Skatteforvaltningen medført, at mere komplicerede indsigtsanmodninger har forlænget sagsbehandlingstiden for indsigtsanmodninger, som forvaltningen efterfølgende modtog. Skatteforvaltningen har derudover henvist til en række andre faktorer – herunder frafald af medarbejdere, ny retspraksis, tværgående samarbejde mv. – som havde haft en betydning for sagsbehandlingstiden af indsigtsanmodninger. Efter sagen har været behandlet i Datarådet finder Datatilsynet grundlag for at udtale af, at Skatteforvaltningen i perioden fra 2019-2024 ikke har behandlet en betydelig mængde indsigtsanmodninger i overensstemmelse med fristerne i databeskyttelsesforordningen. Datatilsynet lægger navnlig vægt på, at Skatteforvaltningen som udgangspunkt og/eller som fast praksis ikke kan forlænge sagsbehandlingstiden af konkrete indsigtsanmodninger, jf. databeskyttelsesforordningens artikel 12, stk. 3, med den begrundelse, at forvaltningen behandler indsigtsanmodninger fra andre registrerede. Endvidere lægger Datatilsynet vægt på, at den dataansvarliges prioritering af – eller mangel på – ressourcer, personale, foranstaltninger og lignende som det klare udgangspunkt ikke er omstændigheder, der efter de databeskyttelsesretlige regler kan begrunde sagsbehandlingstider af indsigtsanmodninger af en sådan længde, som det har været tilfældet hos en offentlig myndighed som Skatteforvaltningen i en periode på ca. 6 år.

Datatilsynet har gennemført et skriftligt tilsyn med en af Gældsstyrelsens databehandlere. Udviklings – og Forenklingsstyrelsen (UFST), som henhører under Skatteforvaltningen, har oplyst til Datatilsynet, at Gældsstyrelsen er en del af Skatteforvaltningen, som er én samlet dataansvarlig. Herudover har UFST oplyst, at UFST varetager opgaven med at føre tilsyn med databehandlere. Datatilsynet fandt ikke anledning til at tilsidesætte UFSTs vurdering af, at tilsynet med databehandleren i form af årlig indhentelse af revisionserklæringer efterfulgt af en gennemgang og opfølgning herpå, udgør et passende tilsyn med databehandleren. Det fremgår desuden af Datatilsynets vejledning om tilsyn med databehandlere, at et tilsyn baseret på en erklæring udarbejdet af en uafhængig tredjepart er en måde, hvorpå den dataansvarlige kan føre et passende tilsyn, når databehandleren behandler følsomme eller fortrolige oplysninger om mange registrerede på vegne af den dataansvarlige. 1. Skriftligt tilsyn med Gældsstyrelsens tilsyn med databehandlere Gældsstyrelsen var blandt de myndigheder, som Datatilsynet i efteråret 2021 havde valgt at føre tilsyn med efter databeskyttelsesforordningen Datatilsynets tilsyn var et skriftligt tilsyn, som fokuserede på Gældsstyrelsens tilsyn med databehandlere. Ved brev af 9. november 2021 varslede Datatilsynet tilsynet med Gældsstyrelsen. Datatilsynet anmodede i den forbindelse om at få tilsendt en liste over databehandlere, som Gældsstyrelsen overlader følsomme og/eller fortrolige oplysninger til. Ved brev af 30. november 2021 oplyste Udvikling- og Forenklingsstyrelsen (herefter UFST), at Gældsstyrelsen og Udviklings- og Forenklingsstyrelsen er en del af Skatteforvaltningen, som er én samlet dataansvarlig.