Journalnummer: 2024-432-0039.
Resumé
Datatilsynet indledte (på baggrund af en klage) en sag af egen drift i november 2024, som primært angik Skatteforvaltningens generelle sagsbehandlingstid af anmodninger om indsigt.
Efter sagen havde været behandlet i Datarådet, udtalte Datatilsynet første gang alvorlig kritik i en afgørelse, som tilsynet traf den 30. september 2025 i forhold til Skatteforvaltningens behandling af indsigtsanmodninger i perioden 2019-2024.
For at følge udviklingen i sagsbehandlingstiden, anmodede Datatilsynet samtidig Skatteforvaltningen om primo 2026 at fremsende en redegørelse for forvaltningens behandling af anmodninger om indsigt i perioden 2025.
Redegørelsen viste bl.a., at den gennemsnitlige sagsbehandlingstid i 2025 var ca. 59 dage.
Skatteforvaltningens forklaring
Skatteforvaltningen har oplyst, at sagsbehandlingstiden (igen) har været påvirket af flere forskellige faktorer, herunder bl.a. omfattende sager med et stort antal dokumenter, komplekse sager, der kræver tværgående afklaringer og godkendelser, samt anmodninger, der vedrører logdata. Derudover har Skatteforvaltningen oplyst, at sagsbehandlingstiden generelt har været påvirket af, at medarbejdere i forvaltningen har haft travlt med at behandle tidligere modtagne indsigtsanmodninger.
Skatteforvaltningen har i modsætning til perioden 2019-2024 ikke oplyst, at forvaltningen behandler indsigtsanmodninger efter et princip om, at de skal behandles i den rækkefølge, de modtages, uanset den konkrete anmodnings kompleksitet mv.
Datatilsynets vurdering
Efter sagen har været behandlet i Datarådet, finder Datatilsynet igen grundlag for at udtale alvorlig kritik af, at Skatteforvaltningen i perioden 2025 ikke har behandlet en betydelig mængde anmodninger om indsigt i overensstemmelse med fristerne i databeskyttelsesforordningen.
Datatilsynet har herved – som det også var tilfældet i tilsynets afgørelse af 30. september 2025 – lagt vægt på at den dataansvarliges prioritering af – eller mangel på – ressourcer, personale, foranstaltninger og lignende som det klare udgangspunkt ikke er omstændigheder, der efter de databeskyttelsesretlige regler kan begrunde sagsbehandlingstider af indsigtsanmodninger af en sådan længde, som det igen har været tilfældet hos en offentlig myndighed som Skatteforvaltningen i perioden 2025.
Datatilsynet har i forlængelse heraf lagt vægt på, at en dataansvarlig altid er forpligtet til at allokere tilstrækkelige ressourcer til at behandle konkrete rettighedsanmodninger fra registrerede inden for de tidsfrister, der er fastsat i databeskyttelsesforordningen, uanset om den dataansvarlige i forvejen behandler andre indsigtsanmodninger.
Datatilsynet anerkender imidlertid – og har ved valget af sanktion lagt vægt på – at Skatteforvaltningen har arbejdet med og har haft fokus på behandlingen af indsigtsanmodninger, og at forvaltningen har nedbragt den gennemsnitlige sagsbehandlingstid fra ca. 100 dage i perioden 2019-2024 til ca. 59 dage i 2025.
Redegørelse i 2027
I afgørelsen anmoder Datatilsynet om, at Skatteforvaltningen i januar 2027 skal fremsende en redegørelse til tilsynet for forvaltningens sagsbehandlingstider i 2026, så tilsynet fortsat kan påse, at sagsbehandlingstiderne nedbringes yderligere.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor tilsynet den 14. november 2024 på baggrund af en klage besluttede at indlede en undersøgelse af Skatteforvaltningens håndtering af indsigtsanmodninger efter databeskyttelsesforordningens artikel 15.
Datatilsynet traf – efter sagen havde været behandlet i Datarådet – første gang afgørelse[1] i sagen den 30. september 2025 i forhold til Skatteforvaltningens behandling af indsigtsanmodninger i perioden 2019-2024, hvor tilsynet udtalte alvorlig kritik af, at Skatteforvaltningen ikke havde behandlet en betydelig mængde indsigtsanmodninger, jf. databeskyttelsesforordningens artikel 15, i overensstemmelse med fristerne i databeskyttelsesforordningens artikel 12, stk. 3. I afgørelsen anmodede Datatilsynet samtidig Skatteforvaltningen om at fremsende en redegørelse for forvaltningens behandling af indsigtsanmodninger for perioden 1. januar til 31. december 2025, så tilsynet kunne påse, om sagsbehandlingstiden blev nedbragt.
Denne afgørelse angår således Skatteforvaltningens behandling af indsigtsanmodninger i 2025.
1. Afgørelse
Efter en gennemgang af sagen – og efter at sagen har været behandlet i Datarådet – finder Datatilsynet, at der igen er grundlag for at udtale alvorlig kritik af, at Skatteforvaltningen ikke har behandlet en betydelig mængde indsigtsanmodninger, jf. databeskyttelsesforordningens[2] artikel 15, i overensstemmelse med fristerne i databeskyttelsesforordningens artikel 12, stk. 3.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Datatilsynet modtog den 4. februar 2026 den redegørelse over Skatteforvaltningens behandling af indsigtsanmodninger i 2025, som tilsynet havde anmodet om i sin afgørelse af 30. september 2025.
Datatilsynet stillede efterfølgende den 6. februar 2026 en række opfølgende spørgsmål til Skatteforvaltningen, som forvaltningen besvarede ad to omgange den 25. februar og 10. marts 2026.
Det fremgår af sagens oplysninger, at Skatteforvaltningen modtog 152 indsigtsanmodninger i 2025, hvoraf 62 anmodninger havde været under behandling i mere end 30 dage, 44 anmodninger havde været under behandling i mere end 60 dage, 23 anmodninger havde været under behandling i mere end 90 dage, og den gennemsnitlige sagsbehandlingstid udgjorde 59,05 dage. Den indsigtsanmodning, der havde været under behandling i længst tid, havde været under behandling i 189 dage.
Endvidere fremgår det af sagens oplysninger, at Skatteforvaltningen – for så vidt angår behandlingen af indsigtsanmodninger i 2025 i modsætning til behandlingen af indsigtsanmodninger i perioden 2019-2024 – ikke længere anfører, at forvaltningen behandler anmodningerne ud fra et fast princip om, at de skal behandles i den rækkefølge, de er modtaget.
2.1. Skatteforvaltningens bemærkninger
Overordnet bemærker Skatteforvaltningen, at forvaltningen i 2025 havde fokus på behandlingen af indsigtsanmodninger, og at området fik tilført yderligere ressourcer. Derudover har Skatteforvaltningen generelt bemærket, at sagsbehandlingstiden – som det også var tilfældet i perioden 2019-2024 – har været påvirket af en kombination af uklare anmodninger, yderst komplicerede sager og udefrakommende komplikationer.
Konkret har Skatteforvaltningen anført følgende årsager, der har haft betydning for sagsbehandlingstiden i 2025:
Omfattende sager med et stort antal dokumenter
Behandling af indsigtsanmodninger, der omfatter indsigt i personoplysninger, der går mellem fem og 20 år og tilbage i tiden, hvor det ofte er nødvendigt at foretage en fysisk gennemgang af mere end 10.000 akter, herunder foretage vurdering af eventuelle undtagelser og begrænsninger i retten til indsigt.
Komplekse sager, der kræver tværgående afklaringer og godkendelser
Indsigtsanmodninger, der indebærer behov for koordinering med og/eller godkendelser fra andre myndigheder og/eller andre styrelser i Skatteforvaltningen. Hertil hører også tidsforbruget forbundet med korrekt, entydig identificering af den, der anmoder om indsigt, samt eventuel præcisering og afgrænsning af anmodningen, der typisk foregår i dialog med den person, der anmoder om indsigt, hvilket også kan have betydning for sagsbehandlingstiden.
Anmodninger vedrørende logdata
Skatteforvaltningen anfører, at det har været tidskrævende at implementere en passende proces for håndtering af indsigtsanmodninger, der omfatter logdata, hvilket har haft betydning for sagsbehandlingstiden, ligesom selve behandlingen af indsigtsanmodningerne er tidskrævende.
Almen forsinkelse
Påvirkning af den generelle sagsbehandlingstid forbundet med, at medarbejdere i Skatteforvaltningen har behandlet igangværende og/eller tidligere anmodninger.
Anmodninger, der viser sig ikke at handle om indsigt
Tidsforbruget forbundet med visiteringen af anmodninger, der efterfølgende viser sig ikke at være databeskyttelsesretlige indsigtsanmodninger.
Indsigtsanmodninger som følge af brud på persondatasikkerheden
Tværgående (intern og juridisk) afklaring i samarbejde med eksterne parter vedrørende spørgsmål om, at et navn på en utilsigtet modtager af personoplysninger skal oplyses til den, der anmoder om indsigt.
Ud over ovenstående har Skatteforvaltningen også anført, at sagsbehandlingstiden har været påvirket af perioder med ekstraordinært sagspres, herunder som følge af generel stigning i antallet af indsigtsanmodninger.
3. Begrundelse for Datatilsynets afgørelse
Datatilsynet lægger indledningsvis til grund, at Skatteforvaltningen – som det også var tilfældet for perioden 2019-2024 – behandler indsigtsanmodninger efter ledelsesgodkendte etablerede retningslinjer og procedurer.
Det følger af databeskyttelsesforordningens artikel 15, stk. 1, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og øvrig information, som fremgår af bestemmelsens litra a-h. Herudover har den registrerede ret til at modtage en kopi af de personoplysninger, som behandles af den dataansvarlige, jf. artikel 15, stk. 3.
Efter omstændighederne har den registrerede også ret til at modtage indsigt i logdata, hvis disse data indeholder personoplysninger om en registreret, f.eks. logdata om søgninger i vedkommendes oplysninger og datoerne for samt formålet med disse søgninger. Den registrerede kan også have ret til at få oplyst, hvem der har foretaget søgningerne, når denne information er nødvendig for, at den registrerede effektivt kan udøve sine rettigheder.
Efter databeskyttelsesforordningens artikel 12, stk. 3, skal indsigtsanmodninger – og øvrige rettighedsanmodninger fra de registrerede efter forordningens kapitel III – som udgangspunkt håndteres uden unødig forsinkelse og senest inden en måned fra modtagelsestidspunktet for anmodningen. Denne periode kan forlænges med to måneder, hvis det er nødvendigt, under hensyntagen til anmodningernes kompleksitet og antal.
Det er i den forbindelse Datatilsynets opfattelse, at de forhold, der kan begrunde en forlængelse af behandlingstiden, kun gør sig gældende i forhold til den enkelte anmodning, hvilket understøttes af forordningens præambelbetragtning nr. 59, hvor det fremgår, hvordan den dataansvarlige bør være forpligtet til at besvare anmodninger fra en registreret uden unødig forsinkelse og senest inden for en måned. Rettighedsanmodninger fra en registreret bør således behandles særskilt og uafhængigt af andre modtagne anmodninger.
Den dataansvarlige kan efter Datatilsynets opfattelse derfor ikke forlænge behandlingen af konkrete indsigtsanmodninger med den begrundelse, at den dataansvarlige behandler andre anmodninger fra øvrige registrerede, uanset disse andre anmodningers kompleksitet, antal og modtagelsestidspunkt.
Den dataansvarlige skal i øvrigt teknisk og organisatorisk indrette sin behandling af personoplysninger på en måde, der muliggør imødekommelse af indsigtsanmodninger – herunder også indsigtsanmodninger, der kan betragtes som værende omfangsrige og/eller komplicerede – uden unødig forsinkelse og senest indenfor en måned, medmindre det er nødvendigt at forlænge svarfristen, jf. ovenfor.
Efter en gennemgang af sagen – og efter at sagen har været behandlet i Datarådet – finder Datatilsynet, at der igen er grundlag for at udtale alvorlig kritik af, at Skatteforvaltningen – ved i flere tilfælde at have brugt mere end henholdsvis 30 og 90 dage på at behandle indsigtsanmodninger fra registrerede, selvom de konkrete indsigtsanmodningers karakter ikke nødvendigvis retfærdiggjorde forlænget sagsbehandlingstid – ikke har behandlet en betydelig mængde indsigtsanmodninger, jf. databeskyttelsesforordningens artikel 15, i overensstemmelse med fristerne i databeskyttelsesforordningens artikel 12, stk. 3, i perioden fra 1. januar til 31. december 2025.
Datatilsynet har herved lagt vægt på – som det også var tilfældet i tilsynets afgørelse af 30. september 2025 – at den dataansvarliges prioritering af – eller mangel på – ressourcer, personale, foranstaltninger og lignende som det klare udgangspunkt ikke er omstændigheder, der efter de databeskyttelsesretlige regler kan begrunde sagsbehandlingstider af indsigtsanmodninger af en sådan længde, som det igen har været tilfældet hos en offentlig myndighed som Skatteforvaltningen i perioden 1. januar til 31. december 2025, uanset de omstændigheder, som forvaltningen har anført har haft betydning for sagsbehandlingstiderne, jf. ovenfor under afsnit 2.1.
Endvidere lægger Datatilsynet vægt på, at det er tilsynets vurdering, at Skatteforvaltningen navnlig ikke kan begrunde forlængede sagsbehandlingstider af konkrete indsigtsanmodninger, jf. databeskyttelsesforordningens artikel 12, stk. 3, med begrundelsen ”almen forsinkelse”.
Datatilsynet har i forlængelse heraf lagt vægt på, at en dataansvarlig altid er forpligtet til at allokere tilstrækkelige ressourcer til at behandle konkrete rettighedsanmodninger fra registrerede inden for de tidsfrister, der er fastsat i databeskyttelsesforordningen, uanset om den dataansvarlige i forvejen behandler andre indsigtsanmodninger.
Datatilsynet anerkender imidlertid – og har ved valget af sanktion lagt vægt på – at Skatteforvaltningen har arbejdet med og har haft fokus på behandlingen af indsigtsanmodninger, og at forvaltningen har nedbragt den gennemsnitlige sagsbehandlingstid fra ca. 100 dage i perioden 2019-2024 til ca. 59 dage i 2025.
Endvidere anerkender Datatilsynet, at Skatteforvaltningen i flere tilfælde kan modtage omfangsrige og komplicerede indsigtsanmodninger, men det er uanset – jf. ovenfor – tilsynets opfattelse, at dette ikke retfærdiggør sagsbehandlingstider af den længde, som det var tilfældet i 2025 (og i perioden 2019-2024).
Datatilsynet skal derfor anmode om, at Skatteforvaltningen senest den 11. januar 2027 sender en redegørelse til tilsynet over forvaltningens sagsbehandling af indsigtsanmodninger i perioden fra 1. januar 2026 til 31. december 2026, så tilsynet kan påse, at sagsbehandlingstiderne nedbringes yderligere. Redegørelsen skal være tilsvarende den, som Datatilsynet modtog fra Skatteforvaltningen den 10. marts 2026 vedrørende sagsbehandling af indsigtsanmodninger i 2025.
Bilag: Retsgrundlag
Uddrag af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
Artikel 12. Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.
Stk. 2. Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 15-22. I de tilfælde, der er omhandlet i artikel 11, stk. 2, må den dataansvarlige ikke afvise at efterkomme den registreredes anmodning om at udøve sine rettigheder i henhold til artikel 15-22, medmindre den dataansvarlige påviser, at vedkommende ikke er i stand til at identificere den registrerede.
Stk. 3. Den dataansvarlige oplyser uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til artikel 15-22. Denne periode kan forlænges med to måneder, hvis det er nødvendigt, under hensyntagen til anmodningernes kompleksitet og antal. Den dataansvarlige underretter den registrerede om enhver sådan forlængelse senest en måned efter modtagelsen af anmodningen sammen med begrundelsen for forsinkelsen. Hvis den registrerede indgiver en anmodning elektronisk, meddeles oplysningerne så vidt muligt elektronisk, medmindre den registrerede anmoder om andet.
Stk. 4. Hvis den dataansvarlige ikke træffer foranstaltninger i anledning af den registreredes anmodning, underretter den dataansvarlige straks og senest en måned efter modtagelsen af anmodningen den registrerede om årsagen hertil og om muligheden for at indgive en klage til en tilsynsmyndighed og indbringe sagen for en retsinstans.
Stk. 5. Oplysninger, der gives i henhold til artikel 13 og 14, og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 15-22 og 34, er gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige enten:
a) opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger ved at give oplysninger eller meddelelser eller træffe den ønskede foranstaltning, eller
b) afvise at efterkomme anmodningen.
Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.
Stk. 6. Uden at det berører artikel 11 kan den dataansvarlige, hvis der hersker rimelig tvivl om identiteten af den fysiske person, der fremsætter en anmodning som omhandlet i artikel 15-21, anmode om yderligere oplysninger, der er nødvendige for at bekræfte den registreredes identitet.
Artikel 15. Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:
a) formålene med behandlingen
b) de berørte kategorier af personoplysninger
c) de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer
d) om muligt det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum
e) retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling
f) retten til at indgive en klage til en tilsynsmyndighed
g) enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede
h) forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
Stk. 2. Hvis personoplysningerne overføres til et tredjeland eller en international organisation, har den registrerede ret til at blive underrettet om de fornødne garantier i medfør af artikel 46 i forbindelse med overførslen.
Stk. 3. Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.
Stk. 4. Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.
[2] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).