Informera om behandling av personuppgifter

Översikt över Skatteverkets informationsskyldighet

Personuppgifter får vanligtvis inte behandlas elektroniskt utan att den registrerade, dvs. den som uppgifterna rör, känner till varför behandlingen sker och vem som är ansvarig för behandlingen.

I tabellen finns en översikt över den informationsskyldighet som Skatteverket har.

När ska information lämnas?	Vem ska information lämnas till?	Tillämplig bestämmelse
På Skatteverkets eget initiativ	Den registrerade personen	23–24 §§ PuL
Efter ansökan av den registrerade personen	Den registrerade personen	26 § PuL
På begäran av allmänheten	Allmänheten	42 § PuL

Skatteverket ska lämna information till den registrerade på eget initiativ

Skatteverket ska i vissa fall självmant lämna information till den registrerade personen om behandling av dennes personuppgifter.

När ska Skatteverket lämna information till den registrerade?

Reglerna för när information till den registrerade personen ska lämnas självmant är olika beroende på om personuppgifterna samlas in från personen själv eller på annat sätt.

Uppgifter som är insamlade från personen själv

När Skatteverket behandlar personuppgifter som Skatteverket samlar in från personen själv ska Skatteverket lämna information om behandlingen i samband med insamlingen av uppgifterna (23 § PuL).

Uppgifter som är insamlade från någon annan källa

När Skatteverket behandlar personuppgifter som Skatteverket samlar in från någon annan källa än den registrerade personen själv ska Skatteverket lämna information om behandlingen av uppgifterna till den registrerade personen när uppgifterna registreras. Om det är meningen att Skatteverket ska lämna ut uppgifterna till tredje man kan Skattverket vänta med att lämna information till dess uppgifterna lämnas ut för första gången (24 § första stycket PuL). Med tredje man menas någon annan än den registrerade personen, den personuppgiftsansvarige, personuppgiftsombudet, personuppgiftsbiträdet eller sådana personer som behandlar personuppgifter för angivna personers räkning, t.ex. anställda inom Skatteverket (3 § PuL).

Vilken information ska Skatteverket lämna till den registrerade?

Den information som Skatteverket ska lämna på eget initiativ till den registrerade personen ska innehålla följande uppgifter (25 § första stycket PuL):

• skatteverkets identitet, exempelvis myndighetens namn, adress, telefonnummer och organisationsnummer
• ändamålet för behandlingen, dvs. varför Skatteverket behandlar uppgifterna och hur uppgifterna ska användas.

Informationen ska även innehålla övriga uppgifter som den registrerade personen behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Det kan vara t.ex. följande information:

• vilka typer av personuppgifter som Skatteverket behandlar, t.ex. namn, adress, personnummer och diarienummer
• rätten att ansöka om s.k. registerutdrag
• vilka mottagare Skatteverket kan komma att lämna ut uppgifterna till
• den registrerade personens skyldighet att lämna uppgifter, t.ex. att lämna inkomstdeklaration (32 kap. 1 § SFL)
• möjligheten att få rättelse av personuppgifter.

Hur ska Skatteverket lämna information till den registrerade?

När Skatteverket behandlar personuppgifter som Skatteverket samlar in från personen själv kan Skatteverket lämna information om behandlingen på samma sätt som insamlandet sker.

• Om Skattverket samlar in personuppgifterna via telefonsamtal eller annan muntlig kontakt kan Skatteverket lämna informationen muntligen.
• Om Skatteverket samlar in personuppgifterna skriftligen kan Skatteverket lämna informationen i den blankett eller liknande som den registrerade fyller i eller i en informationsbroschyr som hör till blanketten.
• Om Skatteverket samlar in personuppgifterna genom att den registrerade personen använder en e-tjänst på Skatteverkets webbplats kan Skatteverket lämna information om personuppgiftsbehandlingen på webbplatsen, antingen på samma webbsida eller genom en länk till en annan webbsida.

När Skatteverket behandlar personuppgifter som Skatteverket samlar in från någon annan källa än personen själv bör Skatteverket lämna information till den registrerade personen om behandlingen skriftligen. Ett exempel på detta kan vara när en person anmäler både sig själv och någon annan till att delta vid en av Skatteverket anordnad informationsträff.

Lämna information när den registrerade ansöker om det (s.k. registerutdrag)

Skatteverket ska efter ansökan av en fysisk person lämna besked om huruvida Skatteverket behandlar personuppgifter som rör den personen eller inte (26 § PuL).

När ska Skatteverket lämna information till den registrerade?

Den som vill veta om Skatteverket behandlar personuppgifter om honom eller henne kan ansöka hos Skatteverket om att få besked om detta. Ansökan ska vara skriftlig och undertecknad av den sökande. Det innebär att ansökan måste göras på papper.

Skatteverket ska lämna besked om huruvida Skatteverket behandlar personuppgifter som rör den sökande eller inte. Informationen ska lämnas inom en månad från det ansökan gjordes. Inom denna tid ska Skatteverket även ta ställning till om det finns något undantag från informationsskyldigheten, t.ex. om sekretess hindrar att vissa uppgifter lämnas ut.

Skatteverket får i undantagsfall lämna informationen senare än inom en månad, dock senast inom fyra månader efter det ansökan gjordes (26 § andra stycket PuL). Skäl för att lämna informationen senare kan vara att de aktuella personuppgifterna är krypterade, att sökmöjligheterna är begränsade eller att Skatteverket har många personuppgifter som finns i olika IT-system.

Den sökande har rätt att få informationen gratis en gång per kalenderår.

Vilken information ska Skatteverket lämna till den registrerade?

Skatteverket ska lämna besked om huruvida Skatteverket behandlar personuppgifter som rör den sökande eller inte.

Om Skatteverket behandlar uppgifter om den sökande ska Skatteverket även lämna följande information till den sökande:

• ändamålet för behandlingen, dvs. varför Skatteverket behandlar uppgifterna och hur uppgifterna ska användas
• vilka uppgifter om den sökande som Skatteverket behandlar, t.ex. namn, adress, personnummer och diarienummer
• var Skatteverket har hämtat uppgifterna
• vilka mottagare Skatteverket har lämnat ut uppgifterna till eller kan komma att lämna ut uppgifterna till (26 § första stycket PuL)
• eventuella undantag från informationsskyldigheten.

Skatteverket behöver inte lämna information om följande:

• personuppgifter som finns i löpande text som vid tiden för ansökan inte fått sin slutgiltiga form, t.ex. uppgifter i ett utkast till beslut
• personuppgifter som finns i minnesanteckningar eller liknande, t.ex. uppgifter i en föredragningspromemoria.

I vissa fall ska informationen innefatta även de sistnämnda punkterna, se 26 § tredje stycket PuL.

Skatteverket ska inte lämna ut sekretessbelagd information i registerutdrag.

När Skatteverket ska lämna information efter ansökan rörande uppgifter inom beskattningsverksamheten eller folkbokföringsverksamheten finns det vissa begränsningar för vilka uppgifter Skatteverket behöver lämna (3 kap. 2 § SdbL och 3 kap. 2 § FdbL ). Det finns särskilda bestämmelser om behandling av uppgifter i beskattningsverksamheten respektive i folkbokföringsverksamheten.

Om den sökande inte är nöjd med Skatteverkets beslut om information efter ansökan enligt 26 § PuL kan han eller hon överklaga beslutet.

Hur ska Skatteverket lämna information till den registrerade?

Information om att Skatteverket inte behandlar personuppgifter som rör den sökande kan lämnas antingen muntligen eller på annat sätt.

Information om att Skatteverket behandlar personuppgifter som rör den sökande, och den närmare information om behandlingen som Skatteverket ska lämna, ska lämnas skriftligen till den sökande. Informationen ska vara lätt för den registrerade att förstå. Förkortningar och koder bör förklaras.

Det är viktigt att Skatteverket sänder informationen till rätt mottagare. Informationen bör därför skickas till den registrerade personens folkbokföringsadress. Innehåller informationen känsliga uppgifter bör försändelsen skickas rekommenderat.

Undantag från informationsskyldigheten

I vissa situationer behöver Skatteverket inte lämna information till den registrerade personen.

Information som den registrerade redan känner till

Skatteverket behöver inte lämna information på eget initiativ om sådant som den registrerade personen redan känner till (25 § andra stycket PuL). Har den registrerade personen redan fått information om behandlingen i enlighet med någon annan lagstiftning behöver Skatteverket inte lämna information. Om Skatteverket avser att fortlöpande samla in uppgifter om den registrerade personen räcker det att Skatteverket lämnar information till den registrerade inledningsvis. Information behöver inte lämnas varje gång nya uppgifter samlas in.

Detta undantag gäller inte information som Skatteverket ska lämna till den registrerade personen efter ansökan, s.k. registerutdrag.

Sekretessbelagd information

Skatteverket ska inte lämna information till den registrerade personen om det finns bestämmelser i lag eller annan författning om att uppgifterna inte får lämnas ut till den registrerade, t.ex. bestämmelser om sekretess i OSL. Skatteverket ska inte heller lämna information om det framgår av ett beslut som har meddelats med stöd av en författning att uppgifterna inte får lämnas ut till den registrerade personen. Bestämmelserna om information till den registrerade gäller alltså inte om det finns en bestämmelse som hindrar utlämnade av uppgifterna (27 § PuL).

Detta undantag från den registrerade personen s rätt att få information om behandling av hans eller hennes personuppgifter är i många fall nödvändigt för att myndigheter ska kunna utföra sina arbetsuppgifter på ett ändamålsenligt sätt. Det är till exempel viktigt att Skatteverket har möjlighet att behandla personuppgifter inför en förestående revision utan att den skattskyldige får reda på det.

Bestämmelser i lag eller annan författning om behandlingen

Skatteverket behöver inte lämna information om behandling av personuppgifter som Skatteverket har samlat in från någon annan källa än den registrerade personen själv om det finns bestämmelser i lag eller annan författning om registrering av personuppgifterna eller om utlämnande av personuppgifterna (24 § andra stycket PuL).

Omöjligt eller medför en oproportionerligt stor arbetsinsats att lämna information

Skatteverket behöver inte lämna information om behandling av personuppgifter som Skatteverket har samlat in från någon annan källa än den registrerade personen själv, om det visar sig vara omöjligt att lämna informationen eller om det skulle innebära en oproportionerligt stor arbetsinsats att lämna informationen. I detta sammanhang kan Skatteverket ta hänsyn till t.ex. antal registrerade personer som är berörda och hur gamla uppgifterna är.

Om uppgifterna används för att vidta åtgärder som rör den registrerade personen ska Skatteverket lämna information till denne senast i samband med att åtgärden vidtas (24 § tredje stycket PuL).

Informera allmänheten om behandlingar som inte är anmälda till Datainspektionen

Skatteverket ska lämna upplysningar till allmänheten om de personuppgiftsbehandlingar som inte är anmälda till Datainspektionen.

Att Skatteverket ska lämna upplysningar till allmänheten om de personuppgiftsbehandlingar som inte är anmälda till Datainspektionen innebär att Skatteverket måste ha kontroll över alla personuppgiftsbehandlingar som görs inom Skatteverket. Detta innebär i praktiken en skyldighet att föra en förteckning över de behandlingar av personuppgifter som görs och som inte är anmälda till Datainspektionen. Det är därför viktigt att behandling av personuppgifter dokumenteras.

Anmälningsskyldighet

Enligt huvudregeln ska Skatteverket anmäla till Datainspektionen om Skatteverket behandlar personuppgifter helt eller delvis elektroniskt (36 § PuL).

Det finns viktiga undantag från anmälningsskyldigheten. Dessa regleras i 3–5 §§ PuF och i Datainspektionens föreskrifter i fråga om skyldigheten att anmäla behandlingar av personuppgifter till Datainspektionen (DIFS 1998:2, ändrad genom DIFS 2013:1). Skatteverket behöver t.ex. inte anmäla följande personuppgiftsbehandlingar till Datainspektionen:

• behandling som Skatteverket gör för att kunna lämna ut allmänna handlingar i enlighet med tryckfrihetsförordningen
• behandling som Skatteverket gör enligt särskilda föreskrifter i en lag eller förordning, t.ex. behandlingar enligt SdbL eller FdbL
• behandling av personuppgifter i löpande text eller sådant ostrukturerat material som avses i 5 a § PuL, t.ex. ett utkast till beslut
• behandling av personuppgifter som Skatteverket gör med samtycke från den registrerade personen.

När ska Skatteverket lämna information till allmänheten?

Information om behandlingar som inte är anmälda till Datainspektionen ska skyndsamt lämnas till var och en som begär det. Det finns inget formkrav på begäran om information.

Vilken information ska Skatteverket lämna till allmänheten?

Informationen ska innehålla följande uppgifter:

• skatteverkets namn, adress, telefonnummer och organisationsnummer
• ändamålet för behandlingen, dvs. varför Skatteverket behandlar uppgifterna och hur uppgifterna ska användas
• vilka kategorier av registrerade personer som berörs av behandlingen, t.ex. fastighetsägare
• vilka uppgifter om de registrerade personerna som Skatteverket behandlar, t.ex. namn, adress och personnummer
• vilka mottagare Skatteverket kan komma att lämna ut uppgifterna till
• upplysningar om eventuell överföring till tredje land.

Skatteverket ska inte lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som används (42 § PuL).

Den sökande kan överklaga ett beslut av Skatteverket att enligt 42 § PuL lämna ut upplysningar.

Hur ska Skatteverket lämna information till allmänheten?

Enligt lagtexten ska informationen lämnas på lämpligt sätt. Skatteverket kan alltså lämna informationen såväl muntligen som skriftligen.

Skatteverket har allmän information om sina personuppgiftsbehandlingar på sin externa webbplats.