När ska PuL tillämpas?

Allmänt om personuppgiftslagen

Syftet med PuL är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. PuL grundar sig på Europaparlamentets och rådets direktiv 95/46/EG den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Medlemsstaterna ska skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.

PuL ger enbart skydd för nu levande fysiska personers integritet. Lagen ger inget skydd för ofödda eller avlidna fysiska personer och inte heller för juridiska personer. Skydd för juridiska personer och avlidna fysiska personer finns däremot i vissa andra registerförfattningar, t.ex. FdbL och SdbL.

Kompletterande föreskrifter

Det finns kompletterande föreskrifter för sådan behandling av personuppgifter som omfattas av PuL i PuF. Datainspektionen har meddelat föreskrifter, t.ex. Datainspektionens föreskrifter (2013:1) i fråga om skyldigheten att anmäla behandlingar av personuppgifter till Datainspektionen.

När ska Skatteverket tillämpa PuL?

Skatteverket ska tillämpa PuL när myndigheten behandlar personuppgifter helt eller delvis automatiserat (5 § första stycket PuL).

Skatteverket ska även tillämpa PuL vid viss manuell behandling av personuppgifter. PuL gäller när Skatteverket behandlar personuppgifter som ingår i eller kommer att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 § andra stycket PuL).

Exempel på manuell behandling som omfattas av PuL är pappershandlingar i pärmar eller kortregister. För att PuL ska vara tillämplig på en sådan behandling krävs att det finns möjlighet till sökning av olika personuppgifter på ett effektivare sätt än genom att titta på dokument för dokument. Högsta förvaltningsdomstolen har i en dom uttalat att enbart en sortering av ett antal dokument i en viss ordning inte kan anses uppfylla det i 5 § andra stycket PuL uppställda kravet på tillgänglighet för sökning eller sammanställning (RÅ 2001 ref. 35).

Anledningen till att även viss manuell behandling omfattas av PuL är att integritetsrisker kan uppkomma om en stor mängd personuppgifter på papper struktureras så att det går att hitta bland uppgifterna på ett enkelt sätt. Avsikten är att PuL ska vara teknikoberoende.

När ska Skatteverket inte tillämpa PuL?

I vissa fall ska Skatteverket inte tillämpa PuL. Det kan bero på att det finns andra regler som ska tillämpas i stället eller på att den behandling Skatteverket vill göra inte omfattas av PuL:s bestämmelser.

Andra lagar och förordningar

Om det i en annan lag eller förordning finns bestämmelser som avviker från PuL ska Skatteverket tillämpa de bestämmelserna i stället för PuL (2 § PuL). PuL gäller däremot före föreskrifter som myndigheter utfärdar.

Bestämmelser som avviker från PuL finns ofta i särskilda s.k. registerförfattningar som t.ex. SdbL och FdbL. Läs om vilka bestämmelser som Skatteverket ska tillämpa i Skatteverkets olika verksamhetsgrenar.

Tryckfrihet och yttrandefrihet

Skatteverket ska inte tillämpa bestämmelserna i PuL om det skulle strida mot bestämmelserna om tryckfrihet och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (7 § första stycket PuL). Bestämmelserna i grundlagarna gäller före bestämmelserna i PuL.

Flera av bestämmelserna i PuL gäller inte för sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 § andra stycket PuL).

Offentlighetsprincipen

Om Skatteverket behandlar personuppgifter för att lämna ut dem med stöd av offentlighetsprincipen gör Skatteverket en sådan behandling av personuppgifter som omfattas av PuL:s bestämmelser.

Skatteverket ska inte tillämpa bestämmelserna i PuL om det skulle inskränka Skatteverkets skyldighet enligt 2 kap. TF att lämna ut personuppgifter (8 § första stycket PuL). Bestämmelserna i grundlagen gäller före bestämmelserna i PuL.

Bestämmelserna i PuL hindrar inte att en myndighet arkiverar och bevarar allmänna handlingar (8 § andra stycket PuL).

Ostrukturerat material

Om Skatteverket behandlar personuppgifter i ostrukturerat material behöver Skatteverket inte tillämpa samtliga bestämmelser i PuL (5 a § PuL). Med ostrukturerat material menas uppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter.

Exempel på behandling av personuppgifter i ostrukturerat material är:

• personuppgifter i löpande text i ett ordbehandlingsprogram
• personuppgifter i löpande text på internet
• personuppgifter i ljud- och bildupptagning
• personuppgifter i korrespondens via e-post.

Exempel på behandling av personuppgifter i strukturerat material är:

• personuppgifter i ärendehanteringssystem, t.ex. Diarätt eller Folke
• personuppgifter i en lista som används för ärendeuppföljning
• personuppgifter i inpasseringssystem.

En behandling av personuppgifter i ostrukturerat material får inte innebära en kränkning av den registrerades personliga integritet. För att säkerställa att Skatteverket inte kränker den registrerades integritet kan Skatteverket välja att följa samtliga bestämmelser i PuL även om det i detta fall inte är nödvändigt.

Bestämmelsen om behandling av personuppgifter i ostrukturerat material tillämpas inte så ofta i Skatteverkets verksamhet. Detta beror på att de flesta behandlingar som görs inom Skatteverket görs med stöd av särskilda registerförfattningar och inte med stöd av PuL.

Privat behandling av personuppgifter

PuL ska inte tillämpas för sådan behandling av personuppgifter som en privatperson gör för rent privat bruk (6 § PuL).

Exempel på privat behandling är:

• en adresslista över vänner och släktingar som används bara för privat bruk
• en elektronisk dagbok som används bara för privat bruk
• privat korrespondens med e-post
• ordbehandling för privat bruk.

Om en privatperson på sin hemsida på internet nämner personer som kan identifieras genom namn eller på något annat sätt är det inte fråga om en privat behandling av personuppgifter (C-101/01, Bodil Lindqvist och RH 2004:51).

Bestämmelser för att behandla personuppgifter i Skatteverkets olika verksamhetsgrenar

Inom Skatteverket finns flera olika verksamhetsgrenar, t.ex. beskattningsverksamhet och folkbokföringsverksamhet. För en del verksamhetsgrenar finns bestämmelser om elektronisk behandling av uppgifter i särskilda registerförfattningar. Registerförfattningens bestämmelser gäller då istället för PuL:s bestämmelser. För de verksamhetsgrenar som inte har någon registerförfattning ska Skatteverket tillämpa bestämmelserna i PuL vid elektronisk behandling av personuppgifter.

Tabell med registerförfattningar för Skatteverkets olika verksamhetsgrenar

I tabellen nedan anges vilken registerförfattning som Skatteverket ska tillämpa i respektive verksamhetsgren. I de angivna författningarna kan det finnas hänvisningar till annan lagstiftning som t.ex. PuL.