Journalnummer:  2021-32-2645

Resume

Datatilsynet har truffet afgørelse i en sag, hvor en borger klagede over, at Skattestyrelsen havde delt oplysninger om vedkommende, bl.a. oplysninger om arv, med Gældsstyrelsen. Begge myndigheder er en del af Skatteforvaltningen.

Tilsynet fandt, at den pågældende deling af oplysninger internt i Skatteforvaltningen var sket inden for rammerne af databeskyttelsesforordningen – herunder princippet om formålsbegrænsning.

Datatilsynet lagde til grund, at såvel Skattestyrelsen som Gældsstyrelsen har hjemmel i bl.a.  skattekontrolloven og gældsinddrivelsesloven til at foretage deres respektive myndighedsopgaver, herunder skatteansættelse og gældsinddrivelse. Skattestyrelsen og Gældsstyrelsen kunne derfor hver især behandle de omhandlede oplysninger inden for rammerne af databeskyttelsesforordningen.

Tilsynet vurderede endvidere, at den interne deling af personoplysninger mellem de pågældende myndigheder, som begge er en del af Skatteforvaltningen, ikke skete til uforenelige formål.

Datatilsynet lagde i den forbindelse vægt på bl.a., at der er en betydelig sammenhæng mellem de to forvaltningers opgaver (formål), idet de for begges vedkommende angår statens ”provenu”. Datatilsynet bemærkede i den forbindelse, at den registrerede – i dette tilfælde klager – med rimelighed burde forvente, at oplysninger om indtægter i form af (kommende) arv holdes op imod oplysninger om gæld til det offentlige.

Endvidere fandt Datatilsynet, at der ikke var grundlag for at tilsidesætte det Gældsstyrelsen anførte om, at den pågældende deling ikke var sket i strid med reglerne i forvaltningslovens § 32.

Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor du som repræsentant for [X] (klager) den 27. september og 17. november 2021 har rettet henvendelse til tilsynet om Skatteforvaltningens behandling af oplysninger om klager.

Datatilsynet har forstået din henvendelse som en klage over, at Skattestyrelsen, som fra Skifteretten har modtaget oplysninger om klager, herunder om arv, har delt disse oplysninger med Gældsstyrelsen.

Datatilsynet bemærker for god ordens skyld, at tilsynet alene kan tage stilling til databeskyttelsesretlige forhold. Datatilsynet kan derfor ikke tage stilling til andre forhold, som ikke vedrører databeskyttelse.

1. Afgørelse

Datatilsynet finder, at den pågældende behandling af oplysninger om klager er sket inden for rammerne af reglerne i databeskyttelsesforordningen^[1].

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at Skattestyrelsen, som har modtaget oplysninger fra Skifteretten, herunder om klagers arv, har delt disse oplysninger med Gældsstyrelsen, som herefter har søgt at inddrive klagers gæld til det offentlige. 

2.1. Dine bemærkninger

Du har overordnet anført, at Gældsstyrelsens fremgangsmåde i forbindelse med gældsinddrivelsen er ulovlig.

Du har i den forbindelse anført, at Skifteretten kun sender meddelelse til Skattestyrelsen om arvinger i et dødsbo med det formål at sikre, at der sker en korrekt skatteansættelse af afdøde og af boet.

Det er din opfattelse, at oplysninger, der er indhentet med et formål, ikke må deles til andre formål, f.eks. inddrivelse af gæld, der er afdøde og dødsboet uvedkommende.

2.2. Gældsstyrelsens bemærkninger

Gældsstyrelsen har anført, at Skattestyrelsen og Gældsstyrelsen er styrelser inden for den samme myndighed, Skatteforvaltningen. Intern videregivelse (deling) af oplysninger er omfattet af de almindelige regler herom i forvaltningsloven og databeskyttelsesloven.

Gældsstyrelsen har i den forbindelse anført, at det følger af databeskyttelsesforordningens artikel 6, stk. 1, litra e, at offentlige myndigheders behandling af personoplysninger er lovlig, hvis behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

Denne bestemmelse hjemler således deling af personoplysninger, når en anden myndighed har brug for oplysningerne som led i deres behandling af en sag.

Efter forvaltningsloven må den, der virker inden for den offentlige forvaltning, ikke skaffe sig fortrolige oplysninger, som ikke er af betydning for udførelsen af den pågældendes opgaver. Bestemmelsen sætter således grænser for, hvem der inden for en forvaltningsmyndighed kan gives adgang til en fortrolig oplysning, jf. forvaltningslovens § 32.

Kompetencen til at afgøre, om en fortrolig oplysning skal deles inden for samme myndighed, tilkommer den, der som følge af sit arbejde har kendskab til oplysningen, her Skattestyrelsen.

Bestemmelsen har til formål at præcisere, at offentligt ansatte ikke må skaffe sig fortrolige oplysninger, som ikke har betydning for det arbejde, som de udfører. Adgangen til oplysningerne om en skyldners arv er således betinget i et arbejdsbetinget/tjenstligt behov.

For at Gældsstyrelsen kan varetage opgaven med inddrivelse af offentlige tilgodehavender, er det afgørende således, at deling af oplysningerne om arv sker inden for samme myndighed, Skatteforvaltningen, og delingen af oplysningen sikrer, at Gældsstyrelsen kan foretage inddrivelse ved enten transport eller udlæg.

3. Begrundelse for Datatilsynets afgørelse

Det fremgår af databeskyttelsesforordningens artikel 6, stk. 1, litra e, at behandling af personoplysninger er lovlig, hvis behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

Efter databeskyttelsesforordningens artikel 6 stk. 3, skal grundlaget for behandling i henhold til forordningens artikel 6, stk. 1, litra e, fremgå af enten EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt. Bestemmelsen indebærer, at behandlingen – for at kunne ske i medfør af 6, stk. 1, litra e – skal fremgå af EU-retten eller medlemsstaternes nationale ret. Det betyder imidlertid ikke, at der skal være en national implementerende hjemmelslovgivning om selve behandlingen.

Datatilsynet lægger til grund, at såvel Skattestyrelsen som Gældsstyrelsen har hjemmel, herunder i bl.a. skattekontrolloven og gældsinddrivelsesloven, til at foretage deres respektive myndighedsopgaver, herunder skatteansættelse og gældsinddrivelse.

Skattestyrelsen og Gældsstyrelsen kan således hver især behandle de omhandlede oplysninger, herunder om arv, inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra e.

Det følger imidlertid af databeskyttelsesforordningens artikel 5, stk. 1, litra b, at personoplysninger skal indsamles til udtrykkeligt angivne og legitime formål og ikke må viderebehandles på en måde, der er uforenelig med disse formål (”formålsbegrænsning”).

Ved vurderingen af, om behandling til et andet formål er forenelig med det formål, som personoplysningerne oprindelig blev indsamlet til, skal der i henhold til databeskyttelsesforordningens artikel 6, stk. 4, tages hensyn til bl.a. de forhold, som nævnes i bestemmelsens litra a-e.

Der er i sagen tale om deling af oplysninger, som alene er omfattet af databeskyttelsesforordningens artikel 6.

Der er endvidere en betydelig sammenhæng mellem de to forvaltningers opgaver (formål), idet de for begges vedkommende angår statens ”provenu”. Hertil bemærkes det, at den registrerede – i dette tilfælde klager – med rimelighed bør forvente, at oplysninger om indtægter i form af (kommende) arv holdes op imod oplysninger om gæld til det offentlige.

Endelig finder Datatilsynet, at der ikke er grundlag for at tilsidesætte det af Gældsstyrelsen anførte om, at den pågældende deling ikke er sket i strid med reglerne i forvaltningslovens § 32.

På baggrund heraf – og en samlet vurdering af sagens omstændigheder i øvrigt – finder Datatilsynet, at den pågældende deling af oplysninger, herunder om arv, internt i Skatteforvaltningen ikke er sket i strid med princippet om formålsbegrænsning.

Datatilsynet finder herefter, at den pågældende behandling af oplysninger om klager er sket inden for rammerne af databeskyttelsesforordningen.

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).