Skatteverket kan bli skyldigt att betala skadestånd om verket skulle behandla personuppgifter i strid med EU:s dataskyddsförordning eller en författning eller annan föreskrift som kompletterar EU:s dataskyddsförordning. Skatteverket kan även bli påfört en administrativ sanktionsavgift vid överträdelse av vissa bestämmelser.
Skatteverket är ansvarigt för de behandlingar av personuppgifter som görs i Skatteverkets verksamhet. Om Skatteverket har behandlat personuppgifter i strid med EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning eller andra föreskrifter som kompletterar EU:s dataskyddsförordning, ska verket ersätta den registrerade för sådan skada och kränkning som den felaktiga behandlingen har orsakat genom att betala ett skadestånd.
Skatteverket kan bli skyldigt att betala en sanktionsavgift om verket bryter mot bestämmelserna i EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning eller andra föreskrifter som kompletterar EU:s dataskyddsförordning, t.ex. de särskilda registerförfattningar som gäller för Skatteverkets olika verksamheter (artikel 83 i EU:s dataskyddsförordning och 6 kap. 1 § kompletterande dataskyddslag).
För mindre allvarliga överträdelser är avgiften högst 5 miljoner kronor. För allvarligare överträdelser är det högsta beloppet 10 miljoner kronor (6 kap. 2–3 § kompletterande dataskyddslag).