Skatteindberetningsloven § 23a

Den foreslåede bestemmelse i lovforslagets § 23 er en videreførelse af de gældende regler i skattekontrollovens § 8 Å, stk. 4, 5, 7 og 8.

Efter bestemmelsen i forslagets § 23, stk. 1, skal finansielle institutter, der er indberetningspligtige, underrette hver enkelt person, der skal indberettes om efter regler udstedt i medfør af § 22, stk. 1, om, at oplysningerne om vedkommende vil blive indsamlet og videregivet i overensstemmelse med regler udstedt i medfør af § 22, stk. 1 eller 3, § 23, stk. 4, § 52, stk. 1, eller regler udstedt i medfør af § 52, stk. 3, og skal give disse personer alle de oplysninger, som vedkommende har ret til efter databeskyttelsesforordningens artikel 13 og 14, i tilstrækkelig god tid til, at personen kan udøve sine databeskyttelsesrettigheder, og under alle omstændigheder inden det finansielle institut indberetter oplysninger om den pågældende til SKAT.

Bestemmelsen i forslagets § 23, stk. 1, er en videreførelse af den gældende § 8 Å, stk. 8, i skattekontrolloven, idet henvisningen til persondataloven er afløst af en henvisning til databeskyttelsesforordningen. Bestemmelsen i stk. 1 indeholder en ubetinget underretningspligt for de indberetningspligtige institutter, når instituttet har identificeret en person eller et selskab som den person eller et selskab, der skal indberettes om til SKAT efter regler udstedt i medfør af forslagets § 22, stk. 1. Der er tale om en underretning, der skal ske én gang for alle, i forbindelse med at det indberetningspligtige finansielle institut har identificeret en person eller et selskab, der skal indberettes om.

Det finansielle institut skal af egen drift opfylde denne oplysningspligt. I de tilfælde, hvor der benyttes tjenesteydere til at opfylde forpligtelsen, bevarer det indberetningspligtige institut ansvaret for, at underretningen foretages i overensstemmelse med loven.

Underretningen skal som minimum bestå af de oplysninger, som personen har ret til efter databeskyttelsesforordningen. Underretningen skal foretages direkte til den berørte person.

Det betyder også, at det konkret i den enkelte situation under hensyn til modtageren skal vurderes, om og i givet fald hvilke yderligere oplysninger, der skal gives, således at den, der skal indberettes om, kan varetage sine interesser.

Underretningen bør foretages i tilstrækkelig god tid til, at personen kan varetage sine interesser, og under alle omstændigheder før, oplysningerne sendes til SKAT.

Der gælder ikke noget krav om, at oplysninger skal gives skriftligt, men i tvivlstilfælde skal det indberetningspligtige institut kunne dokumentere, at fornøden underretning er foretaget i overensstemmelse med loven.

Efter bestemmelsen i forslagets § 23, stk. 2, skal en person, der skal indberettes oplysninger om efter regler udstedt i medfør af § 22, stk. 1 eller 2, underrettes om brud på sikkerheden med hensyn til oplysninger om vedkommende, når det er sandsynligt, at dette brud kan skade beskyttelsen af personoplysninger om den pågældende eller dennes privatliv.

Bestemmelsen er en videreførelse af den gældende § 8 Å, stk. 7, i skattekontrolloven.

Bestemmelsen betyder, at SKAT eller det indberetningspligtige institut skal underrette personer, hvorom der skal indberettes oplysninger til SKAT efter regler udstedt i medfør af den foreslåede § 22, stk. 1 og 2, såfremt der er sket brud på databeskyttelsen.

Underretningspligten påhviler den dataansvarlige for den behandling, med hvilken bruddet på datasikkerheden har fundet sted, og underretningen skal foretages straks efter, at det står klart, at det er sandsynligt, at bruddet på datasikkerheden kan skade beskyttelsen af personoplysninger. Det vil i praksis sige, at hvis SKAT eller et indberetningspligtigt finansielt institut bliver opmærksom på, at der er sket brud på datasikkerheden, som kan skade beskyttelsen af personoplysninger, er SKAT eller det indberetningspligtige finansielle institut forpligtet til at underrette de berørte personer. Denne forpligtelse består, selv om bruddet omfatter et større antal personer, som endnu ikke er identificeret. I dette tilfælde må den underretningspligtige underrette samtlige personer, der kan være berørt af bruddet på datasikkerheden.

Opmærksomheden henledes på, at den dataansvarlige også vil være omfattet af pligt til at anmelde bruddet på datasikkerheden til datatilsynet inden for 72 timer efter databeskyttelsesforordningens artikel 33.

SKAT og de virksomheder, der omfattes af indberetningspligten, skal sikre sig, at sikkerhedsbruddet håndteres i overensstemmelse med gældende regler. Dette skal gælde for både SKAT og de indberetningspligtige finansielle institutter selv og som led i aftalerne med de relevante databehandlere.

Underretningen skal ske ved meddelelse direkte til den berørte person og skal som minimum bestå af oplysninger, der giver vedkommende mulighed for at varetage sine interesser.

Formålet med bestemmelsen er, at den berørte person skal have mulighed for at varetage sine interesser, og det er dermed forudsat, at underretningen skal ske uden ugrundet ophold, når det står klart, at det er sandsynligt, at bruddet på datasikkerheden kan skade beskyttelsen af personoplysninger eller personers privatliv.

Underretningspligten ved indsamling af oplysninger og ved datasikkerhedsbrud gælder i forhold til såvel fysiske som juridiske personer, idet begrebet skal forstås i overensstemmelse med Rådets direktiv 2014/107/EU om ændring af direktiv 2011/16/EU for så vidt angår obligatorisk automatisk udveksling af oplysninger på beskatningsområdet.

Efter bestemmelsen i forslagets § 23, stk. 3, kan finansielle institutter indeholde udenlandsk kildeskat ved betalinger til andre finansielle institutter til overholdelse af forpligtelser indeholdt i en aftale indgået mellem Danmark og det pågældende land eller område.

Bestemmelsen er en videreførelse af den gældende § 8 Å, stk. 4, i skattekontrolloven.

Bestemmelsen indeholder regler, som skal sikre de danske finansielle institutter mulighed for at overholde reglerne i FATCA-aftalen om indeholdelse af amerikansk kildeskat eller om videregivelse af oplysninger til tidligere led i en betalingskæde, når en betaling går til et ikke-deltagende finansielt institut.

Bestemmelsen er formuleret således, at finansielle institutter kan indeholde udenlandsk kildeskat ved betalinger til andre finansielle institutter, når dette sker til overholdelse af forpligtelser indeholdt i en aftale, Danmark og det pågældende land eller område har indgået.

Bestemmelsen er nødvendig for at sikre mulighed for, at danske finansielle institutter, som har valgt at agere som kvalificerede mellemmænd (qualified intermediaries) i forhold til USA og i denne forbindelse har påtaget sig umiddelbar indeholdelsesforpligtelse, har mulighed for at foretage indeholdelse af kildeskat i overensstemmelse med FATCA-aftalen uden samtykke fra de ikke-deltagende finansielle institutter, de foretager betalinger til. Bestemmelsen er dog formuleret generelt, så den også vil kunne anvendes i relation til aftaler, som Danmark eller EU indgår med andre partnere end USA, i det omfang disse måtte indeholde tilsvarende forpligtelser. EU-direktivet og de aftaler, Danmark eller EU har indgået, indeholder dog ikke tilsvarende forpligtelser på nuværende tidspunkt.

Det bemærkes, at Danmark og USA ikke har indgået nogen aftale om, at SKAT skal modtage den indeholdte skat på vegne af de amerikanske skattemyndigheder. De danske finansielle institutter, der vælger eller har valgt at agere som kvalificerede mellemmænd i forhold til USA og i denne forbindelse har påtaget sig primær indeholdelsesforpligtelse, vil således skulle afregne den indeholdte skat direkte over for de amerikanske myndigheder uden inddragelse af SKAT.

Efter bestemmelsen i forslagets § 23, stk. 4, kan skatteministeren fastsætte regler om, at finansielle institutter, som foretager eller fungerer som mellemmand for en udenlandsk kildeskattepligtig betaling til andre finansielle institutter, skal videregive de oplysninger til det umiddelbart forudgående led i betalingskæden, som er nødvendige for, at indeholdelse og indberetning kan ske vedrørende en sådan betaling.

Bestemmelsen er en videreførelse af den gældende § 8 Å, stk. 5, i skattekontrolloven.

Denne regel skal sikre mulighed for at fastsætte regler, som muliggør, at danske finansielle institutter kan overholde FATCA-aftalen. Bestemmelsen er dog formuleret generelt, så den også vil kunne udgøre hjemmel til, at skatteministeren kan fastsætte regler om tilsvarende afgivelse af oplysninger i forbindelse med implementering af eventuelle tilsvarende pligter i aftaler med andre partnere end USA eller i EU-retten. EU-direktivet og de aftaler, Danmark eller EU har indgået, indeholder dog ikke tilsvarende forpligtelser på nuværende tidspunkt.

Det foreslås, at den gældende skattekontrollovs § 8 Å, stk. 6, ikke videreføres. Bestemmelsen indeholder en bemyndigelse til at fastsætte regler om afgivelse af identifikationsoplysninger i forbindelse med oprettelse af finansielle konti. Disse regler vil kunne udstedes efter den foreslåede § 52.