Journalnummer: 2024-432-0039.
Resumé
Datatilsynet indledte af egen drift i november 2024 en sag, som primært angik Skatteforvaltningens generelle sagsbehandlingstid af indsigtsanmodninger. I perioden 2019-2024 havde sagsbehandlingstiden i gennemsnit været ca. 100 dage pr. indsigtsanmodning.
Skatteforvaltningens forklaring
Skatteforvaltningen har oplyst, at forvaltningen behandler indsigtsanmodninger efter et forvaltningsretligt lighedsprincip om, at sager behandles i den rækkefølge, som de modtages. Denne praksis har ifølge Skatteforvaltningen medført, at mere komplicerede indsigtsanmodninger har forlænget sagsbehandlingstiden for indsigtsanmodninger, som forvaltningen efterfølgende modtog.
Skatteforvaltningen har derudover henvist til en række andre faktorer – herunder frafald af medarbejdere, ny retspraksis, tværgående samarbejde mv. – som havde haft en betydning for sagsbehandlingstiden af indsigtsanmodninger.
Datatilsynets vurdering
Efter sagen har været behandlet i Datarådet finder Datatilsynet grundlag for at udtale alvorlig kritik af, at Skatteforvaltningen i perioden fra 2019-2024 ikke har behandlet en betydelig mængde indsigtsanmodninger i overensstemmelse med fristerne i databeskyttelsesforordningen.
Datatilsynet lægger navnlig vægt på, at Skatteforvaltningen som udgangspunkt og/eller som fast praksis ikke kan forlænge sagsbehandlingstiden af konkrete indsigtsanmodninger, jf. databeskyttelsesforordningens artikel 12, stk. 3, med den begrundelse, at forvaltningen behandler indsigtsanmodninger fra andre registrerede.
Endvidere lægger Datatilsynet vægt på, at den dataansvarliges prioritering af – eller mangel på – ressourcer, personale, foranstaltninger og lignende som det klare udgangspunkt ikke er omstændigheder, der efter de databeskyttelsesretlige regler kan begrunde sagsbehandlingstider af indsigtsanmodninger af en sådan længde, som det har været tilfældet hos en offentlig myndighed som Skatteforvaltningen i en periode på ca. 6 år.
Som dataansvarlig er man forpligtet til at sikre, at rettighedsanmodninger fra registrerede behandles inden for de tidsfrister, der er fastsat i databeskyttelsesforordningen.
Redegørelse i 2026
I afgørelsen anmoder Datatilsynet i øvrigt om, at Skatteforvaltningen i januar 2026 skal sende en redegørelse til tilsynet for Skatteforvaltningens sagsbehandlingstider af indsigtsanmodninger i 2025.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor tilsynet den 14. november 2024 på baggrund af en klage besluttede at indlede en undersøgelse af Skatteforvaltningens håndtering af indsigtsanmodninger efter databeskyttelsesforordningens artikel 15.
Datatilsynet bemærker, at tilsynet med denne afgørelse ikke har taget stilling til den konkrete klage, som tilsynets undersøgelse udspringer af.
Datatilsynet skal også bemærke, at Udviklings- og Forenklingsstyrelsen har oplyst, at styrelsen varetager sagsbehandlingen af indsigtsanmodninger for den samlede skatteforvaltning med undtagelse af de selvstændige myndigheder i Skatteministeriets koncern, der varetager egne indsigtssager. De afgivne udtalelser fra Udviklings- og Forenklingsstyrelsen er således gældende for Skatteforvaltningen som helhed – med undtagelse af førnævnte selvstændige koncernmyndigheder – hvorfor bemærkningerne afgivet af Udviklings- og Forenklingsstyrelsen derfor betragtes som værende afgivet af Skatteforvaltningen.
1. Afgørelse
Efter en gennemgang af sagen – og efter at sagen har været behandlet i Datarådet – finder Datatilsynet, at der grundlag for at udtale alvorlig kritik af, at Skatteforvaltningen ikke har behandlet en betydelig mængde indsigtsanmodninger, jf. databeskyttelsesforordningens[1] artikel 15, i overensstemmelse med fristerne i databeskyttelsesforordningens artikel 12, stk. 3.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Datatilsynet modtog den 2. september 2024 en mundtlig klage fra en borger vedrørende Skatteforvaltningens behandling af borgerens indsigtsanmodning. Efter at have oplyst klagesagen blev Datatilsynet bl.a. bekendt med, at borgerens indsigtsanmodning hos Skatteforvaltningen på daværende tidspunkt havde været under behandling i tre måneder.
På den baggrund valgte Datatilsynet at indlede en undersøgelse af egen drift af Skatteforvaltningens generelle håndtering af indsigtsanmodninger fra registrerede.
Datatilsynet sendte i den forbindelse spørgsmål til Skatteforvaltningen den 14. november 2024 og 16. januar 2025. Skatteforvaltningen sendte to udtalelser til Datatilsynet henholdsvis den 16. december 2024 og 13. marts 2025.
Det fremgår af sagens oplysninger, at Skatteforvaltningen i perioden 2019-2024 har behandlet 297 indsigtsanmodninger, hvoraf 145 anmodninger havde været under behandling i mere end 30 dage, 93 anmodninger havde været under behandling i mere end 90 dage, og at den gennemsnitlige sagsbehandlingstid har udgjort 100,66 dage pr. sag. Det fremgår videre, at den indsigtsanmodning, der havde været under behandling i længst tid, havde været under behandling i 328 dage.
Det fremgår i øvrigt af Skatteforvaltningens retningslinjer for behandling af rettighedsanmodninger, der var gældende for den pågældende periode, at indsigtsanmodninger skulle behandles uden unødig forsinkelse, og senest en måned efter modtagelsen, medmindre fristen i helt særlige tilfælde kunne forlænges med op til to måneder.
2.1. Skatteforvaltningens bemærkninger
2.1.1. Generelt
Skatteforvaltningen har generelt bemærket, at alle indsigtsanmodninger er behandlet efter ledelsesgodkendte etablerede retningslinjer og procedurer for håndtering af indsigtsanmodninger, og at den gennemsnitlige sagsbehandlingstid af indsigtsanmodninger skyldtes en kombination af uklare anmodninger, yderst komplicerede sager og udefrakommende komplikationer.
Herudover anfører Skatteforvaltningen, at alle indsigtsanmodninger er behandlet efter et forvaltningsretligt lighedsprincip om, at sager behandles i den rækkefølge, som de modtages. I de tilfælde, hvor Skatteforvaltningen har modtaget en kompliceret indsigtsanmodning, har forvaltningen anført, at behandlingen af en sådan sag har forlænget sagsbehandlingstiden af efterfølgende indsigtsanmodninger, uanset om de har været komplicerede eller ej.
Skatteforvaltningen har uddybende forklaret, at den gennemsnitlige sagsbehandlingstid for indsigtsanmodninger også har været påvirket af omfattende sager med et stort antal dokumenter, der i visse tilfælde har været mellem 5 og 20 år gamle.
Skatteforvaltningen har endvidere oplyst, at anmodninger af denne karakter forlænger sagsbehandlingstider, da det ofte er nødvendigt at foretage en fysisk gennemgang af mere end 10.000 akter med henblik på at sikre korrekt håndtering af personoplysninger, ligesom det kan være nødvendigt af foretage en udvidet vurdering af hvilke dokumenter, der eventuelt skal undtages mv.
Skatteforvaltningen har også bemærket, at der i forbindelse med behandlingen af nogle af de komplekse sager er behov for tværgående afklaringer – herunder om kompetencefordeling og om der er tale om en indsigtsanmodning eller aktindsigtsanmodning – som ofte indebærer behov for koordinering med flere styrelser i forvaltningen og/eller koordinering og involvering af eksterne myndigheder og fagfolk, hvilket medfører øget sagsbehandlingstid. Herudover bemærker Skatteforvaltningen, at behovet for entydig identifikation af registrerede og yderligere præcisering af indsigtsanmodninger kan medføre længere sagsbehandlingstid.
Skatteforvaltningen bemærker videre, at indsigt i logdata i medfør af EU-Domstolens dom i sag C-579/21 (”Pankki-dommen”) havde og har en indflydelse på den gennemsnitlige sagsbehandlingstid, og at implementering af nødvendige organisatoriske foranstaltninger til at give indsigt i logdata har været tidskrævende, fordi det har været nødvendigt at inddrage ekstern advokatbistand til at foretage juridiske vurderinger af indsigtsanmodninger i forhold til EU-Domstolens dom. Dommen har ifølge Skatteforvaltningen i øvrigt også indebåret et stigende antal indsigtssager vedrørende logdata.
Herudover har Skatteforvaltningen anført, at almen forsinkelse som følge af sager, der viste sig ikke at være indsigtsanmodninger alligevel, indsigtsanmodninger som følge af brud på persondatasikkerheden, anmodninger om indsigt i AI-systemer og anmodning om indsigt i oplysninger, der er overdraget til Rigsarkivet, også har haft betydning for den gennemsnitlige sagsbehandlingstid af indsigtsanmodninger.
Skatteforvaltningen har endvidere bemærket, at man løbende har forsøgt at nedbringe den gennemsnitlige sagsbehandlingstid med organisatoriske tiltag, ligesom man løbende har været i dialog med borgerne og eventuelle partsrepræsentanter, og at der på nuværende tidspunkt er iværksat flere tekniske og organisatoriske foranstaltninger for at nedbringe den gennemsnitlige sagsbehandlingstid.
2.1.2. Sagsbehandlingen i perioden 2018-2019
Skatteforvaltningen har i forhold til sagsbehandlingen i perioden fra 2018-19 konkret bemærket, at denne periode var præget af at være en opstartsperiode efter, at databeskyttelsesforordningens begyndte at finde anvendelse, hvor der pågik arbejde med kortlægning af sagsområder og etablering af procedurer. Der blev i den forbindelse modtaget en del indsigtsanmodninger, som løbende blev behandlet. I maj 2019 blev der endvidere sendt et brev til ledelsen i Skatteforvaltningen, hvor udfordringer forbundet med at overholde tidsfristerne for både aktindsigt og indsigt blev beskrevet. Den gennemsnitlige sagsbehandlingstid for indsigtsanmodninger var 203 dage i 2019.
2.1.3. Sagsbehandlingen i perioden 2020-2022
Skatteforvaltningen har oplyst, at der i perioden fra 2020 til 2022 blev arbejdet på en ny praksis for behandling af indsigtssager, men at sagsbehandlingsperioden (og dermed sagsbehandlingstiden) i øvrigt var præget af hjemsendelse og corona-tiltag. Den gennemsnitlig sagsbehandlingstid var 46 dage i perioden fra 2020 til 2022.
2.1.4. Sagsbehandlingen i 2023
Skatteforvaltningen har anført, at den gennemsnitlige sagsbehandlingstid i perioden fra 1. januar 2023 til 31. december 2023 blev forlænget grundet flere udefrakommende faktorer, herunder ”Pankki-dommen”. Dommen medførte ifølge Skatteforvaltningen en del ændringer af forvaltningens daværende praksis for håndtering af indsigtsanmodninger, og dommen medførte også, at enkelte ældre indsigtsanmodninger blev genfremsat af de registrerede, hvorefter sagerne blev genbehandlet, hvilket forøgede sagsbehandlingstiden betragteligt. Den gennemsnitlige sagsbehandlingstid var 79 dage i perioden 2023.
2.1.5. Sagsbehandlingen i 2024
I perioden fra 1. januar til 31. december 2024 har Skatteforvaltningen bemærket, at to nøgleressourcer uforudset blev utilgængelige, hvilket medførte, at ledelsen allokerede nye medarbejdere til området, som ikke havde erfaring med indsigtsområdet og samtidigt varetog andre større og komplicerede arbejdsopgaver.
Grundet nøglepersonernes fravær blev disse medarbejdere alene oplært ved hjælp af eksisterende procedurebeskrivelser. Medarbejdernes oplæring og manglende adgang til de systemer, der var nødvendige for at varetage opgaven med besvarelse af indsigtsanmodninger, indebar herefter yderligere forlængede sagsbehandlingstider.
De to nøgleressourcer vendte delvist tilbage til deres arbejdsfunktioner i april 2024, og der blev på samme tidspunkt igangsat et samarbejde med interne udviklere, som skulle bistå Skatteforvaltningen med enkelte opgaver og lette arbejdsgange, hvilket samlet set nedsatte den gennemsnitlige sagsbehandlingsti
I maj 2024 indledtes endvidere et samarbejde med et eksternt advokatkontor, der skulle bistå med den nærmere afklaring af ”Pankki-dommens” betydning for indsigtsområdet, herunder dommens konkrete betydning for Skatteforvaltningen.
Skatteforvaltningen har hertil bemærket, at der fordelt mellem de syv forvaltninger er over 200 systemer, hvori der potentielt er logdata omfattet af indsigtsretten, og at arbejdet forlængede sagsbehandlingstiderne for de sager, hvor der var blevet anmodet om indsigt i logdata.
I maj 2024 blev der allokeret yderligere medarbejdere til indsigtsområdet.
Fra juni 2024 blev sagsbehandlingstiden ifølge Skatteforvaltningen forbedret betydeligt, fordi de nye medarbejdere nu var blevet oplært. Skatteforvaltningen oplyser hertil, at man siden juni 2024 havde været løbende i kontakt med de indsigtssøgende borgere/disse borgeres partsrepræsentanter. Den gennemsnitlige sagsbehandlingstid for indsigtsanmodninger i 2024 var 184 dage.
3. Begrundelse for Datatilsynets afgørelse
Det følger af databeskyttelsesforordningens artikel 15, stk. 1, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og øvrig information, som fremgår af bestemmelsens litra a-h. Herudover har den registrerede ret til at modtage en kopi af de personoplysninger, som behandles af den dataansvarlige, jf. artikel 15, stk. 3. Efter omstændighederne har den registrerede også ret til at modtage indsigt i logdata, hvis disse data indeholder personoplysninger om en registreret, f.eks. logdata om søgninger i vedkommendes oplysninger og datoerne for samt formålet med disse søgninger. Den registrerede kan også have ret til at få oplyst, hvem der har foretaget søgningerne, når denne information er nødvendig for, at den registrerede effektivt kan udøve sine rettigheder.
Efter databeskyttelsesforordningens artikel 12, stk. 3, skal indsigtsanmodninger – og øvrige rettighedsanmodninger fra de registrerede efter forordningens kapitel III – som udgangspunkt håndteres uden unødig forsinkelse og senest inden en måned fra modtagelsestidspunktet for anmodningen. Denne periode kan forlænges med to måneder, hvis det er nødvendigt, under hensyntagen til anmodningernes kompleksitet og antal.
Det er i den forbindelse Datatilsynets opfattelse, at de forhold, der kan begrunde en forlængelse af behandlingstiden, kun gør sig gældende i forhold til den enkelte anmodning, hvilket understøttes af forordningens præambelbetragtning nr. 59, hvor det fremgår, hvordan den dataansvarlige bør være forpligtet til at besvare anmodninger fra en registreret uden unødig forsinkelse og senest inden for en måned. Rettighedsanmodninger fra en registreret bør således behandles særskilt og uafhængigt af andre modtagne anmodninger.
Den dataansvarlige kan efter Datatilsynets opfattelse derfor ikke udskyde behandlingen af konkrete indsigtsanmodninger med den begrundelse, at den dataansvarlige behandler andre anmodninger fra øvrige registrerede, uanset disse andre anmodningers kompleksitet, antal og modtagelsestidspunkt.
Den dataansvarlige skal i øvrigt teknisk og organisatorisk indrette sin behandling af personoplysninger på en måde, der muliggør imødekommelse af indsigtsanmodninger uden unødig forsinkelse og senest indenfor en måned, medmindre det er nødvendigt at forlænge svarfristen, jf. ovenfor.
Efter en gennemgang af sagen – og efter at sagen har været behandlet i Datarådet – finder Datatilsynet, at der grundlag for at udtale alvorlig kritik af, at Skatteforvaltningen – ved i mange tilfælde at have brugt mere end henholdsvis 30 og 90 dage på at behandle indsigtsanmodninger fra registrerede, selvom de konkrete indsigtsanmodningers karakter ikke nødvendiggjorde forlænget sagsbehandlingstid – ikke har behandlet en betydelig mængde indsigtsanmodninger, jf. databeskyttelsesforordningens artikel 15, i overensstemmelse med fristerne i databeskyttelsesforordningens artikel 12, stk. 3, i perioden fra 2019 til 2024.
Datatilsynet lægger i den forbindelse navnlig vægt på, at det er tilsynets vurdering, at Skatteforvaltningen som udgangspunkt og/eller som fast praksis ikke kan forlænge sagsbehandlingstiden af konkrete indsigtsanmodninger, jf. databeskyttelsesforordningens artikel 12, stk. 3, med den begrundelse, at forvaltningen behandler indsigtsanmodninger fra andre registrerede.
Endvidere lægger Datatilsynet vægt på, at den dataansvarliges prioritering af – eller mangel på – ressourcer, personale, foranstaltninger og lignende som det klare udgangspunkt ikke er omstændigheder, der efter de databeskyttelsesretlige regler kan begrunde sagsbehandlingstider af indsigtsanmodninger af en sådan længde, som det har været tilfældet hos en offentlig myndighed som Skatteforvaltningen i en periode på ca. 6 år.
Det er i forlængelse heraf tilsynets vurdering, at en dataansvarlig er forpligtet til at allokere tilstrækkelige ressourcer til at behandle rettighedsanmodninger fra registrerede inden for de tidsfrister, der er fastsat i databeskyttelsesforordningen, uanset om retstilstanden ændres, eller der f.eks. sker uventet bortfald af nøgleressourcer eller lignende.
Datatilsynet har noteret sig, at Skatteforvaltningen løbende har iværksat flere tekniske og organisatoriske foranstaltninger for at nedbringe sagsbehandlingstiden for indsigtsanmodninger, og at Skatteforvaltningen fremadrettet vil tilrettelægge sin behandling af indsigtsanmodninger på sådan en måde, at anmodningerne behandles i overensstemmende med fristerne i databeskyttelsesforordningens artikel 12, stk. 3.
I den forbindelse anmoder Datatilsynet om, at Skatteforvaltningen senest den 19. januar 2026 sender en redegørelse til Datatilsynet om forvaltningens sagsbehandling af indsigtsanmodninger i perioden fra 1. januar 2025 til 31. december 2025. Redegørelsen skal være tilsvarende den, som Datatilsynet modtog fra Skatteforvaltningen den 13. marts 2025 vedrørende sagsbehandling af indsigtsanmodninger i perioden fra 2019-2024.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).