EU-dom: Skatte­myndig­heder skal over­holde GDPR i for­bindelse med kontrol

Den 28. august 2018 fik en internetportal for bilsalg i Letland en henvendelse fra de nationale skattemyndigheder. Skattemyndighederne anmodede portalen om at genoprette myndighedens adgang til oplysninger om alle stelnumre på køretøjer, der var indrykket på portalen, og udbad sig oplysninger om alle annoncer indrykket i perioden 14. juli - 31. august 2018 under rubrikken »Personbiler«. Skattemyndighederne gav en frist til den 3. september 2018 til at efterkomme anmodningen.

De efterspurgte oplysninger var bl.a. et link til selve annoncen, annonceteksten, bilmærket, modellen, stelnummeret og bilens pris samt telefonnummer på sælgeren. Disse oplysninger skulle indgives elektronisk i et format, der gjorde det muligt for myndigheden at filtrere eller udvælge oplysningerne. Formålet var skattekontrol.

Hvis adgang til de oplysninger, der fremgik af de annoncer, der var blevet offentliggjort på den pågældende internetportal, var blevet slettet og ikke kunne genoprettes, blev virksomheden anmodet om at angive begrundelsen herfor og til senest den tredje dag i hver måned at fremsende de relevante oplysninger vedrørende de annoncer, der var blevet indrykket i den foregående måned.

Virksomheden bag internetportalen klagede over anmodningen til ledelsen for skattemyndigheden, som afgjorde sagen til egen fordel, da der var hjemmel i lovgivningen til at udbede sig oplysningerne. Virksomheden indbragte derefter sagen for en forvaltningsdomstol, som også gav skattemyndighederne medhold, og ved appelretten for forvaltningsdomstolen blev en række præjudicielle spørgsmål forelagt for EU-Domstolen.

EU-Domstolen har nu afgjort sagen og har udtalt, at skattemyndighedens indsamling af oplysninger er omfattet af GDPR, herunder artikel 5 om dataminimering og proportionalitet, selvom der er hjemmel i skattelovgivningen til at anmode om indsamlingen.

EU-Domstolen fandt, at myndigheden ikke generelt og udifferentieret må foretage indsamling af personoplysninger, og at myndigheden skal afholde sig fra at indsamle oplysninger, som ikke er strengt nødvendige for at varetage formålene med behandlingen. Skattemyndighederne må også kun indsamle oplysninger for en periode, som ikke overskrider en varighed, der er strengt nødvendig for at varetage formålet.

EU-Domstolen fandt endelig, at en hjemmel i skattelovgivningen ikke kunne indebære en fravigelse af princippet i artikel 5, hvis det ikke var særskilt vedtaget i overensstemmelse med mulighederne for at gøre undtagelse efter artikel 23 i GDPR.

EU-Domstolen lod det derefter være op til den nationale forvaltningsdomstol i Letland at efterprøve, hvorvidt indsamlingen er afgrænset korrekt af de lokale skattemyndigheder ud fra disse retningslinjer.

Vil du vide mere?

Dommen kan læses på dansk i sin fulde længde HER.