En mand klagede til Datatilsynet over ToldSkats behandling af personoplysninger om ham i forbindelse med udsendelsen af selvangivelser og årsopgørelser for 2003. Datatilsynets gav manden fuldt medhold i hans klage over ToldSkat. Datatilsynet mente derimod ikke der var grundlag for at indlede en generel tilsynssag vedrørende behandlingssikkerheden. Dette klagede manden over til ombudsmanden.
Ombudsmanden konstaterede at Datatilsynet er en tilsynsmyndighed og ikke en rekursmyndighed, og at det tilsyn Datatilsynet fører med overholdelsen af persondataloven, har karakter af et legalitetstilsyn. Ombudsmanden pegede også på at der måtte sondres mellem den konkrete klagesag (som manden var part i) og den generelle tilsynssag (som manden ikke var part i).
Ombudsmanden lagde til grund at Datatilsynets beslutning om ikke at rejse en generel tilsynssag vedrørende behandlingssikkerheden var truffet på baggrund af alle de oplysninger der forelå i sagen. Ombudsmanden mente ikke der var grundlag for at kritisere Datatilsynets vurdering af at sagen var tilstrækkeligt oplyst til at tilsynet kunne vurdere om der skulle rejses en generel tilsynssag. Ombudsmanden kunne derfor heller ikke kritisere Datatilsynets beslutning om ikke at foretage sig yderligere over for Told- og Skattestyrelsen.
Sagen gav dog ombudsmanden anledning til at bemærke at der ville kunne være – men formentlig relativt sjældent var – fuldstændigt sammenfald mellem de oplysninger der var nødvendige for at kunne vurdere om en dataansvarlig havde overtrådt persondataloven, og de oplysninger der var nødvendige for at kunne vurdere om der skulle indledes en generel tilsynssag i forhold til den dataansvarlige med henblik på fremtidig overholdelse af persondatalovens regler om behandlingssikkerhed mv. Som følge heraf mente ombudsmanden ikke at Datatilsynet altid ville kunne træffe beslutning om at indlede eller undlade at indlede en generel tilsynssag på baggrund af oplysningerne i en klagesag, men at Datatilsynet i nogle tilfælde ville være nødt til at indhente yderligere oplysninger fra den dataansvarlige.
(J.nr. 2005-2259-203).