Lämna ut personuppgifter

Olika sätt att lämna ut uppgifter

Skatteverket kan lämna ut uppgifter på olika sätt, till exempel

• muntligt
• skriftligt på papper
• på medium för automatiserad behandling eller genom direktåtkomst (elektroniskt utlämnande).

Förutsättningar för att lämna ut personuppgifter som behandlas enligt FdbL

Skatteverket får bara lämna ut personuppgifter som behandlas helt eller delvis automatiserat eller på annat sätt strukturerat om följande förutsättningar är uppfyllda:

• det finns rättsligt stöd för den behandling av personuppgifterna som utlämnandet innebär
• utlämnandet inte hindras av sekretess
• om utlämnandet sker på ett medium för automatiserad behandling krävs dessutom att utlämnandet kan ske på ett säkert sätt.

Det ska finnas rättsligt stöd för behandlingen

Att lämna ut personuppgifter från folkbokföringsverksamheten är en behandling av personuppgifter. Både själva eftersökningen av personuppgifterna i t.ex. folkbokföringsdatabasen och själva utlämnandet, om det görs automatiserat, är behandlingar.

Bestämmelser om hur utlämnande av uppgifter får göras och om automatiserat utlämnande är möjligt från folkbokföringsverksamheten finns i FdbL, FdbF och SKVFS 2004:31. När Skatteverket lämnar ut personuppgifter som behandlas helt eller delvis automatiserat eller på annat sätt strukturerat ska Skatteverket även tillämpa de allmänna dataskyddsbestämmelserna. De grundläggande principerna i artikel 5 i EU:s dataskyddsförordning ställer bl.a. krav på

• ändamålet med behandlingen
• tillräcklig säkerhet för de behandlade uppgifterna
• hänsyn till eventuell sekretess för uppgifterna
• att bara efterfrågade och nödvändiga uppgifter blir föremål för behandling.

Det krävs en rättslig grund för att behandlingen ska vara laglig. Att det finns en rättslig grund betyder att det finns stöd i en författning, t.ex. tryckfrihetsförordningen, förvaltningslagen, OSL eller FdbF i enlighet med artikel 6.1 e i EU:s dataskyddsförordning.

Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. I FdbL står det för vilka ändamål Skatteverket får behandla uppgifter helt eller delvis automatiserat eller på annat sätt strukturerat i folkbokföringsverksamheten. Personuppgifter får behandlas för ändamålet att fullgöra en uppgiftsskyldighet i enlighet med lag eller förordning.

En uppgiftsskyldighet finns, under vissa förutsättningar gentemot Skatteverkets brottsbekämpande verksamhet, det vill säga skattebrottsenheten, i 7 och 9 §§ (lagen (1997:1024) om Skatteverkets brottsbekämpande verksamhet.

Utlämnande av personuppgifter till en part i ett ärende enligt förvaltningslagen omfattas av de uppräknade ändamålen.

Utlämnanden med stöd av offentlighetsprincipen i tryckfrihetsförordningen får göras trots att det inte omfattas av ändamålsregleringen i 1 kap. 4 § FdbL. Ett utlämnande enligt tryckfrihetsförordningen anses inte oförenligt med det ursprungliga ändamålet med behandlingen. Det ska observeras att tryckfrihetsförordningen inte uppställer några krav på att utlämnande enligt offentlighetsprincipen ska göras automatiserat. Med hänsyn till bestämmelsen i 1 kap. 7 § kompletterande dataskyddslag, så innebär det att ett utlämnande med stöd av offentlighetsprincipen normalt endast kan ske på papper.

Sekretess får inte hindra utlämnandet

För att Skatteverket ska kunna lämna ut uppgifter och handlingar krävs det, förutom ett rättsligt stöd för behandlingen, att sekretess inte hindrar ett utlämnande. En sekretessprövning måste därför alltid ske innan handlingar eller uppgifter lämnas ut.

FdbL reglerar om ett utlämnande av uppgifter från folkbokföringsverksamheten får ske automatiserat. Bestämmelser om att ett utlämnande får ske automatiserat är inte sekretessbrytande bestämmelser och därför måste alltid en sekretessprövning göras i det enskilda fallet innan uppgifter lämnas ut. Om det råder sekretess för uppgifterna måste det finnas en sekretessbrytande bestämmelse som möjliggör utlämnandet. Det gäller oavsett om uppgifterna lämnas ut till en enskild, en myndighet eller självständig verksamhetsgren inom Skatteverket.

Det finns flera bestämmelser i FdbF som innebär att Skatteverket ska lämna ut uppgifter i vissa fall, både till andra myndigheter, andra verksamhetsgrenar inom Skatteverket och enskilda. Bestämmelser som innebär att uppgifter ska lämnas ut är sekretessbrytande.

I OSL finns sekretessbestämmelser för folkbokföringsverksamheten.

Om uppgifterna innehåller personuppgifter måste Skatteverket även ta ställning till om mottagarens behandling av uppgifterna är förenlig med de allmänna dataskyddsbestämmelserna. Sekretess gäller för uppgifterna om det kan antas att ett utlämnande skulle medföra att personuppgifterna behandlas i strid med de allmänna dataskyddsbestämmelserna.

Utlämnandet ska kunna göras på ett säkert sätt

Om utlämnandet ska ske automatiserat krävs det, förutom ett rättsligt stöd och att sekretess inte hindrar att uppgifterna lämnas ut, att utlämnandet kan ske på ett säkert sätt. Utlämnandet av personuppgifter är en behandling i sig och den måste uppfylla de säkerhetskrav som finns i EU:s dataskyddsförordning.

Skyldighet att underrätta andra myndigheter om en registrering

Skatteverket ska under vissa förutsättningar underrätta angivna myndigheter om en registrering som har gjorts i folkbokföringsdatabasen. Bestämmelserna medför att eventuell sekretess för uppgifterna bryts och fungerar alltså som sekretessbrytande regler (6–9 §§ FdbF).

Formulär för utdrag

Skatteverket fastställer formulär för personbevis och andra utdrag ur databasen (11 § FdbF).

Lämna ut personuppgifter i automatiserad form till andra myndigheter eller inom Skatteverket

Skatteverket får under vissa förutsättningar lämna ut personuppgifter i automatiserad form till andra myndigheter eller till andra verksamhetsgrenar inom Skatteverket.

Uppgifter på medium för automatiserad behandling

Skatteverket får lämna ut personuppgifter till en annan myndighet, eller till en annan verksamhetsgren inom Skatteverket, på medium för automatiserad behandling. Förutsättningarna är att mottagaren enligt sin tillämpliga lagstiftning får ta del av och behandla uppgifterna enligt gällande sekretess­ och personuppgifts­behandlings­bestämmelser. Även kraven i säkerhets­bestämmelserna måste tillgodoses vid överföringen av personuppgifterna. Det är upp till Skatteverket att bestämma om uppgifterna ska lämnas ut på detta sätt (prop. 2000/01:33 s. 111 f.).

Uppgifter genom direktåtkomst

Skatteverket får lämna ut följande uppgifter till en annan myndighet, eller till en annan verksamhetsgren inom Skatteverket, genom att ge direktåtkomst till uppgifterna (2 kap. 8 § första stycket FdbL):

• personnummer eller samordningsnummer
• namn
• adress
• folkbokföringsfastighet
• lägenhetsnummer
• distrikt
• folkbokföringsort
• avregistrering från folkbokföringen.

Skatteverket får även lämna ut andra uppgifter ur databasen genom direktåtkomst, om följande tre förutsättningar är uppfyllda (2 kap. 8 § andra stycket FdbL):

• den mottagande myndigheten behöver uppgifterna för att fullgöra sitt uppdrag
• den mottagande myndigheten får behandla uppgifterna
• direktåtkomst är inte olämplig ur integritetssynpunkt.

Direktåtkomsten kan omfatta uppgifter om yrkanden, grunder och beslut i ett ärende. Den kan också omfatta handlingar som har kommit in till Skatteverket och handlingar som Skatteverket har upprättat (prop. 2015/16:28 s. 45 f.).

Det är Skatteverket som ska ta ställning till om det finns förutsättningar för att lämna ut uppgifter genom direktåtkomst, men det är naturligt att bedömningen görs i samverkan med den mottagande myndigheten. Bedömningen av den mottagande myndighetens behov och vilka uppgifter som myndigheten får behandla måste göras på ett generellt plan. Bedömningen får göras efter vilken typ av uppgifter som den mottagande myndigheten behöver och inte efter behovet i varje enskilt fall (prop. 2015/16:28 s. 45 f.).

En bestämmelse om att direktåtkomst är tillåten medför inte att eventuell sekretess för uppgifterna bryts. Om de uppgifter som ska lämnas ut är sekretessbelagda krävs det att en sekretessbrytande bestämmelse kan tillämpas för att det ska vara tillåtet att lämna ut uppgifterna. Skatteverket måste alltså göra en sekretessprövning av om Skatteverket kan lämna uppgifterna innan direktåtkomst medges.

Det finns ingen bestämmelse i FdbL som uttryckligen begränsar direktåtkomsten till folkbokföringsdatabasen för en annan myndighet, en annan verksamhetsgren inom Skatteverket eller Skatteverkets direktåtkomst till folkbokföringsdatabasen inom den egna folkbokföringsverksamheten. De anställdas åtkomst begränsas emellertid genom bestämmelser om grundläggande principer och säkerhet för personuppgifter m.m. De anställda ska ha åtkomst enbart till de uppgifter som de behöver för att kunna utföra sina uppgifter.

Begränsning av möjligheten att lämna ut uppgifter genom direktåtkomst

Skatteverket får inte ge en myndighet direktåtkomst till uppgifter i folkbokföringsdatabasen som den 30 juni 1991 var antecknade i en sådan personakt som avses i 16 § i den numera upphävda folkbokföringskungörelsen (2 kap. 8 § andra stycket FdbL).

Lämna ut personuppgifter i automatiserad form till enskilda

Skatteverket får lämna ut uppgifter från folkbokföringsdatabasen till enskilda på medium för automatiserad behandling eller genom direktåtkomst. För att det ska vara tillåtet krävs stöd av särskilda bestämmelser. Sådana bestämmelser finns i FdbL, FdbF och SKVFS 2004:31. Med enskilda menas både fysiska och juridiska personer. Utlämnande av personuppgifter till enskilda på medium för automatiserad behandling som behandlas utanför folkbokföringsdatabasen kräver emellertid inte någon särskild föreskrift som medger ett sådant utlämnande. Utlämnandet måste däremot ske på ett sätt som uppfyller säkerhetskraven enligt tillämplig dataskyddsreglering.

Under rubrikerna nedan redogörs det för till vem, vilka uppgifter och på vilket sätt som Skatteverket får lämna ut aktuella uppgifter.

Uppgifter på medium för automatiserad behandling

Skatteverkets möjlighet att lämna ut uppgifter till enskilda på medium för automatiserad behandling beror bland annat på vilka uppgifter som ska lämnas ut och vem som är mottagare av uppgifterna.

Uppgifter till en enskild om den enskilda själv

Skatteverket får lämna ut uppgifter om den enskilda till den enskilda själv på medium för automatiserad behandling, om det inte är olämpligt ur integritetssynpunkt (2 kap. 6 § FdbL och 15 § första och fjärde stycket FdbF).

Uppgifter till en enskild om någon annan än den enskilda själv

Skatteverket får lämna ut följande uppgifter om en annan person än den enskilda själv på medium för automatiserad behandling, om det inte är olämpligt ur integritetssynpunkt (2 kap. 6 § FdbL och 15 § andra och fjärde stycket FdbF):

• uppgifter som ingår i en handling i ett ärende som avser den enskilda
• uppgifter som ingår i ett personbevis eller motsvarande utdrag som avser den enskilda
• uppgifter som ingår i ett personbevis eller motsvarande utdrag som avser ett barn under 18 år som den enskilda är vårdnadshavare för.

Skatteverket får även lämna ut enstaka andra uppgifter om en annan person än den enskilda själv på medium för automatiserad behandling, om det inte är olämpligt ur integritetssynpunkt (2 kap. 6 § FdbL och 15 § tredje och fjärde stycket FdbF).

Uppgifter till Svenska kyrkan

Skatteverket får lämna ut följande uppgifter till Svenska kyrkan på medium för automatiserad behandling (2 kap. 6 § FdbL och 13 § FdbF):

• personnummer eller samordningsnummer
• namn
• födelsetid
• födelsehemort
• födelseort
• adress
• folkbokföringsfastighet, lägenhetsnummer, folkbokföringsort, distrikt och folkbokföring under särskild rubrik
• medborgarskap
• civilstånd
• make, maka, barn, föräldrar, vårdnadshavare och andra personer som den registrerade har samband med inom folkbokföringen
• samband som är grundat på adoption
• inflyttning från utlandet
• avregistrering enligt 19–22 §§ FOL
• anmälan enligt 5 kap. 2 § vallagen
• gravsättning
• personnummer som personen har tilldelats i ett annat nordiskt land
• uppehållsrätt för en person som är folkbokförd.

Uppgifterna får bara lämnas ut om de ska användas för att aktualisera, komplettera och kontrollera personuppgifter eller för att göra ett urval av personuppgifter.

Uppgifter om en avliden person till begravningsbyråer, advokater, försäkringsföretag m.m.

Skatteverket får lämna ut uppgifter om en avliden person på medium för automatiserad behandling till begravningsbyråer, begravningshuvudmän, krematorier, advokater, banker, pensionsbolag, försäkringsföretag och tjänstepensionsföretag som på grund av dödsfallet har ett uppdrag av dödsboet (2 kap. 6 § FdbL och 15 a § FdbF). Det gäller följande uppgifter:

• personnummer eller samordningsnummer
• namn
• födelsetid
• födelsehemort
• födelseort
• adress
• folkbokföringsfastighet, lägenhetsnummer, folkbokföringsort, distrikt och folkbokföring under särskild rubrik
• medborgarskap
• civilstånd
• make, maka, barn, föräldrar, vårdnadshavare och andra personer som den avlidna har samband med inom folkbokföringen
• avregistrering enligt 19–22 §§ FOL.

Uppgifterna får bara lämnas ut om de ska användas för att framställa personbevis och andra registerutdrag (1 kap. 4 § 4 FdbL).

Uppgifter till en registrerings­myndighet för folkbokföring i ett annat nordiskt land

Skatteverket får lämna ut uppgifter om en nordisk medborgare, som är folkbokförd i Sverige, på medium för automatiserad behandling till en central registreringsmyndighet för folkbokföring i det nordiska land som personen är medborgare i (2 kap. 6 § FdbL och 14 § FdbF). Någon av följande förutsättningar måste då vara uppfylld:

• Uppgifterna ska användas för att aktualisera, komplettera och kontrollera personuppgifter.
• Uppgifterna ska användas för att göra ett urval av personuppgifter.

Uppgifter genom direktåtkomst

Skatteverkets möjlighet att lämna ut uppgifter till enskilda genom att ge dem direktåtkomst till uppgifterna beror bland annat på vilka uppgifter som ska lämnas ut och vem som är mottagare av uppgifterna.

Skatteverket får bara medge enskilda direktåtkomst om det finns en metod för att säkerställa identifieringen av den enskilda. Det måste också finnas tillräckligt säkra tekniska lösningar. En reglering av möjligheterna för Skatteverket att ge enskilda direktåtkomst till vissa uppgifter innebär inte en rätt för den enskilda att ta del av samtliga uppgifter som finns i Skatteverkets databas. I databasen kan det finnas uppgifter som den enskilda inte bör ta del av (SKVFS 2004:31 och prop. 2000/01:33 s. 115).

Uppgifter i folkbokföringsverksamheten kan vara sekretessbelagda. När Skatteverket ska lämna ut uppgifter genom att medge den enskilda direktåtkomst måste en sekretessprövning av uppgifterna göras på förhand. Om det på förhand kan antas att utlämnande av uppgifter rörande en viss person innebär men för personen kan en sekretessmarkering läggas in i folkbokföringsdatabasen. Det måste säkerställas att Skatteverkets it-system upprätthåller det skydd som en sekretessmarkering ger (prop. 2015/16:28 s. 52).

Direktåtkomst för en enskild om den enskilda själv

Skatteverket får ge enskilda, som har fyllt 16 år, direktåtkomst till personuppgifter och ärendeuppgifter om sig själv. Direktåtkomsten får omfatta följande uppgifter (2 kap. 9 § FdbL, 17 § första stycket FdbF och SKVFS 2004:31):

• personnummer eller samordningsnummer
• namn
• födelsetid
• födelsehemort
• födelseort
• adress
• folkbokföringsfastighet, lägenhetsnummer, folkbokföringsort, distrikt och folkbokföring under särskild rubrik
• medborgarskap
• civilstånd
• make, barn, föräldrar, vårdnadshavare och andra personer som den registrerade har samband med inom folkbokföringen
• samband som är grundat på adoption
• inflyttning från utlandet
• avregistrering enligt 19–22 §§ FOL
• anmälan enligt 5 kap. 2 § vallagen
• uppgifter i folkbokföringsdatabasen som den 30 juni 1991 var antecknade i en sådan personakt som avses i 16 § i den numera upphävda folkbokföringskungörelsen
• yrkande, grunder och beslut i ett ärende
• andra uppgifter än yrkande, grunder och beslut som behövs för handläggningen av ett ärende.

Skatteverket får i det sammanhanget även medge direktåtkomst till följande uppgifter om den enskildas make, maka, barn, förälder eller vårdnadshavare som den enskilda har samband med inom folkbokföringen samt om de personernas samband med den enskilda (2 kap. 9 § FdbL, 17 § första stycket FdbF och SKVFS 2004:31):

• personnummer eller samordningsnummer
• namn
• adress
• folkbokföringsfastighet
• lägenhetsnummer
• distrikt
• folkbokföringsort
• avregistrering från folkbokföringen.

Direktåtkomst för en vårdnadshavare

Skatteverket får lämna ut följande uppgifter om ett barn som är under 18 år till barnets vårdnadshavare, om vårdnadshavaren har fyllt 16 år, genom att ge vårdnadshavaren direktåtkomst till uppgifterna (2 kap. 9 § FdbL, 17 § andra stycket FdbF och SKVFS 2004:31):

• personnummer eller samordningsnummer
• namn
• adress
• folkbokföringsfastighet
• lägenhetsnummer
• distrikt
• folkbokföringsort
• avregistrering från folkbokföringen.

Skatteverket får i det sammanhanget även medge den enskilda direktåtkomst till motsvarande uppgifter om en förälder eller vårdnadshavare som barnet har samband med. Direktåtkomsten får även avse uppgift om de nämnda personernas samband med barnet (2 kap. 9 § FdbL och 17 § andra stycket FdbF). Reglerna syftar i första hand till att ge Skatteverket möjlighet att genom en e-tjänst tillhandahålla allmänheten personbevis som även innehåller uppgifter om personer som har samband med den enskilda (prop. 2015/16:28 s. 49 f.).

Direktåtkomst för Svenska kyrkan

Skatteverket får lämna ut följande uppgifter till Svenska kyrkan genom att ge direktåtkomst till uppgifterna (2 kap. 8 första stycket och 9 andra stycket §§ FdbL och 16 § FdbF):

• personnummer eller samordningsnummer
• namn
• adress
• folkbokföringsfastighet
• lägenhetsnummer
• distrikt
• folkbokföringsort
• avregistrering från folkbokföringen.

Sökbegrepp

När man söker uppgifter i de olika systemen finns det också reglerat vilka olika sökbegrepp man får använda sig av. I folkbokföringsdatabasen får man t.ex. inte använda sig av födelseort, samband mellan make, barn, föräldrar, vårdnadshavare och andra personer som den registrerade har samband med inom folkbokföringen som grundar sig på adoption, inflyttning från utlandet och uppehållsrätt för en person som är folkbokförd. Syftet är att det inte ska kunna gå att få fram en sammanställning baserad på dessa uppgifter. Sökbegreppen regleras i 2 kap. 10-11 §§ FdbL.

När det gäller att söka på medborgarskap finns en begränsning i att sökning endast får göras i fråga om medborgarskap i Sverige, Danmark, Norge, Finland eller Island samt om medborgarskap inom eller utom EU (unionsmedborgarskap eller icke unionsmedborgarskap).

När det gäller att söka handlingar som ligger i databasen får endast uppgift om namn, person- eller samordningsnummer och uppgifter som registrerats för diarieföring användas som sökbegrepp (5 kap. 2 § OSL). Det finns också ett uttryckligt förbud mot att använda sig av känsliga personuppgifter som sökbegrepp.

Observera att sökbegränsningarna inte gäller när man söker i handlingar när handlingarna väl har identifierats (prop. 2000/01:33 s. 203). Det är alltså tillåtet att använda till exempel de sökmöjligheter som finns i ordbehandlingsprogrammet Word för att söka fram ett visst avsnitt eller en viss uppgift i en handling.

Avgifter för att lämna ut uppgifter

Skatteverket ska ta ut avgifter för att lämna ut uppgifter ur folkbokföringsdatabasen för de ändamål som anges i 1 kap. 4 § 5 och 6 FdbL, d.v.s. när mottagaren ska aktualisera, komplettera och kontrollera personuppgifter eller göra ett urval av personuppgifter. Vid andra utlämnanden bestämmer Skatteverket vilka avgifter som ska tas ut för utlämnandet.

När uppgifterna lämnas till statliga myndigheter genom direktåtkomst eller på medium för automatiserad behandling ska någon avgift dock inte tas ut (2 kap. 12 § FdbL och 18 § FdbF). Affärsverken omfattas inte av detta undantag.

Rätten att ta ut avgifter får, enligt 2 kap. 12 § FdbL, inte inskränka

• allmänhetens rätt att ta del av, och mot en fastställd avgift, få en kopia av en allmän handling enligt TF
• registrerades rätt till kostnadsfri information enligt artikel 12.5 i EU:s dataskyddsförordning.