Vejledning om Samarbejdsaftaler mv. med udenlandske revisortilsynsmyndigheder

Vejledningen er kun til orientering og har til formål at lette læsningen af samarbejdsaftalen og persondataaftalen. På grund af sin generelle karakter kan notatet ikke erstatte læsning af samarbejdsaftalen og persondataaftalen. 

Vejledningen kan således ikke pålægge Erhvervsstyrelsen eller PCAOB ansvar i tilfælde af unøjagtighed, udeladelse eller ufuldstændighed. I tilfælde af diskrepans mellem dette notat og samarbejds- og persondataaftalen, har samarbejds- og persondataaftalen forrang.

Generelle oplysninger om aftalen om beskyttelse af personoplysninger, der blev underskrevet den 8. april 2025 mellem Erhvervsstyrelsen og Public Company Accounting Oversight Board (”PCAOB”). 

Samarbejdsaftalen bestemmer, at videregivelse af personoplysninger i forbindelse med gennemførelse af samarbejdsaftalen er betinget af, at der indgås en passende aftale. 

Erhvervsstyrelsen og PCAOB har den 8. april 2025 indgået en opdateret samarbejdsaftale for at lette samarbejdet inden for de grænser, der er fastsat i deres respektive nationale lovgivninger, med hensyn til tilsyn, kvalitetskontrol (herunder fælleskontrol) og undersøgelser af revisorer, der henhører under begge myndigheders kompetence (”samarbejdsaftalen”).

Aftalen om overførelse af visse personoplysninger (”persondataaftalen2”) er ligeledes indgået den 8. april 2025 efter at have været forelagt til godkendelse hos Datatilsynet. Denne aftale udgør en administrativ ordning som omhandlet i artikel 46, stk. 3, litra b), i Europa-Parlamentets og Rådets Forordning (EU) nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (GDPR).

Personoplysninger, som Erhvervsstyrelsen videregiver til PCAOB, må kun behandles direkte af PCAOB med henblik på varetagelse af dets opgaver som revisortilsynsmyndighed i overensstemmelse med Sarbanes-Oxley-loven, dvs. på områder der hører under PCAOB's og Erhvervsstyrelsens jurisdiktion.

Som anført i persondataaftalens artikel III.2. undersøger PCAOB hovedsagelig navne og oplysninger vedrørende de faglige aktiviteter, der varetages af fysiske personer, der er ansvarlige for eller har deltaget i revisionsengagementer, der er udvalgt til kontrol i forbindelse med en kvalitetskontrol eller en undersøgelse, eller som spiller en vigtig rolle i ledelsen af revisionsvirksomheden eller dennes kvalitetskontrol. 

Disse oplysninger kan anvendes af PCAOB til at vurdere graden af registrerede revisionsvirksomheders og personer, der er tilknyttet dem, overholdelse af Sarbanes-Oxley Act, værdipapirlovgivningen vedrørende udarbejdelse og offentliggørelse af revisionspåtegninger, reglerne for PCAOB og USA’s Securities and Exchange Commission (SEC) og gældende standarder for professionel praksis i forbindelse med udførelsen af revisionsopgaven, udstedelse af revisionspåtegninger og beslægtede spørgsmål vedrørende udstedere (som defineret i Sarbanes-Oxley-loven).

De praktiske bestemmelser for overførsel af oplysninger mellem Erhvervsstyrelsen og PCAOB er beskrevet i samarbejdsaftalens artikel III.B. 

Behandlingen af personoplysninger skal navnlig være i overensstemmelse med følgende principper, som er nærmere beskrevet i persondataaftalens artikel III:

• formålsbegrænsning
• dataenes kvalitet og proportionalitet
• gennemsigtighed
• sikkerhed og fortrolighed.

Aftalen foreskriver også, at PCAOB ikke vil behandle følsomme data (i henhold til GDPR). Endelig vil PCAOB ikke træffe nogen juridisk beslutning udelukkende baseret på automatiseret behandling af personoplysninger, herunder profilering.

De nærmere bestemmelser for efterfølgende videregivelse af data, som Erhvervsstyrelsen overfører til PCAOB, er beskrevet i persondataaftalens artikel III.7.

PCAOB må kun videregive data, der er modtaget fra Erhvervsstyrelsen, til enheder, der er udtømmende opført i persondataaftalens bilag II. En sådan videregivelse må kun finde sted på betingelse af, at den modtagende enhed giver passende sikkerhedsforanstaltninger i overensstemmelse med de sikkerhedsforanstaltninger, der er fastsat i aftalen. 

I tilfælde af videregivelse til en anden enhed end SEC skal PCAOB desuden indhente Erhvervsstyrelsens forudgående samtykke. I tilfælde af videregivelse til SEC er der en periodisk informationsmekanisme vedrørende arten af de videregivne data og årsagerne til videregivelsen.

Persondataaftalen giver med visse begrænsninger (se litra d) nedenfor de registrerede rettigheder. Disse rettigheder, som er en del af GDPR, er som følger:

• Ret til aktindsigt
• ret til sletning
• ret til information
• ret til at gøre indsigelse
• ret til berigtigelse, og
• ret til begrænsning af behandlingen.

Persondataaftalens artikel III.5 bestemmer, at Erhvervsstyrelsens vil reagere på personer, der ønsker at udøve deres rettigheder, så hurtigt som muligt og under alle omstændigheder senest en måned efter modtagelsen af anmodningen. Denne periode kan om nødvendigt forlænges med to måneder under hensyntagen til anmodningernes kompleksitet og antal. Erhvervsstyrelsen underretter ansøgeren om denne forlængelse senest en måned efter modtagelsen af anmodningen. 

Hvis Erhvervsstyrelsen og/eller PCAOB ikke efterkommer ansøgerens anmodning, underretter Erhvervsstyrelsen straks og senest en måned efter modtagelsen af anmodningen den registrerede om årsagerne til den manglende opfølgning af vedkommendes anmodning og om muligheden for at indgive klage til Datatilsynet og indgive en retslig klage eller ty til den klagemekanisme, der er oprettet inden for PCAOB.

Garantier i forhold til de registreredes rettigheder er underlagt Erhvervsstyrelsens og PCAOB's retlige forpligtelser til ikke at videregive fortrolige oplysninger underlagt tavshedspligt eller andre retlige forpligtelser. Disse garantier kan begrænses til: 

• for at undgå enhver forringelse eller skade i udøvelsen af de tilsyns- eller sanktionsopgaver, der er pålagt Erhvervsstyrelsen og PCAOB under udøvelsen af den offentlige myndighed, såsom overvågning eller vurdering af overholdelsen
  af gældende lovgivning eller forebyggelse eller undersøgelse af formodede overtrædelser,
• af vigtige hensyn til almenvellet, der er anerkendt som sådanne i USA og Danmark eller i EU, herunder i en ånd af gensidighed i det internationale samarbejde eller
• afgørende hensyn til tilsynet med regulerede fysiske personer og enheder.

Persondataaftalens artikel III.8 fastsætter de nærmere bestemmelser for de retsmidler, som de berørte personer kan foretage. Enhver tvist eller klage indgivet af en person vedrørende behandlingen af vedkommendes egne data kan indgives til Erhvervsstyrelsen, PCAOB eller begge, alt efter hvad der er relevant.

Persondataaftalen indeholder også bestemmelser om en passende tvistbilæggelsesmekanisme, der gennemføres af et uafhængigt organ inden for PCAOB. Den afgørelse, der træffes gennem denne tvistbilæggelsesordning, kan gøres til genstand for endnu en uafhængig undersøgelse, som vil blive truffet af et særskilt uafhængigt organ.

Tvistbilæggelsesordningen og den anden uafhængige undersøgelse er beskrevet i bilag III til persondataaftalen. Den registrerede kan også udøve sine retlige eller administrative klagemuligheder (herunder erstatning) i overensstemmelse med dansk databeskyttelseslovgivning.