OBS: Detta är utgåva 2016.9. Sidan är avslutad 2018.
Att lämna ut personuppgifter som behandlas elektroniskt innebär att man ”behandlar” uppgifterna. För att göra denna behandling måste den vara tillåten både enligt PuL eller någon annan registerförfattning och enligt gällande sekretessbestämmelser.
Skatteverket kan lämna ut uppgifter i olika situationer, till exempel för att
Att lämna ut personuppgifter och andra uppgifter som behandlas elektroniskt innebär i sig en behandling av uppgifterna. Skatteverket får lämna ut elektroniskt behandlade uppgifter endast om följande båda förutsättningar är uppfyllda:
I PuL finns det inga bestämmelser som särskilt reglerar utlämnande av behandlade uppgifter. Skatteverket ska därför tillämpa de vanliga bestämmelserna i PuL om ändamål, grundläggande krav på behandlingen, säkerhet vid behandlingen osv. vid utlämnande av elektroniskt behandlade uppgifter. Detta innebär bl.a. att ett utlämnande av uppgifter måste vara förenligt med det eller de ändamål som Skatteverket har för behandlingen av uppgifterna. Vidare måste nödvändiga säkerhetsåtgärder vidtas för att skapa en tillräcklig säkerhetsnivå när uppgifterna lämnas ut.
Det finns särskilda regler som gäller för att lämna ut behandlade uppgifter från beskattningsverksamheten, folkbokföringsverksamheten, id-kortsverksamheten, äktenskapsregister- och bouppteckningsverksamheterna samt SPAR-verksamheten.
Även om ett utlämnande av uppgifter inte omfattas av ändamålen för behandlingen av uppgifterna får Skatteverket behandla uppgifter för att lämna ut dem i enlighet med offentlighetsprincipen (8 § PuL). Innan Skatteverket kan lämna ut några uppgifter ska myndigheten göra en sekretessprövning för att ta ställning till om uppgifterna kan lämnas ut eller inte.
När Skatteverket ska lämna ut sammanställningar ur elektroniska informationssamlingar som innehåller personuppgifter finns det en viktig begränsning. Om det finns en begränsning av vilka sökbegrepp som Skatteverket får använda för sökningar i informationssamlingen gäller denna begränsning även vid hantering av en begäran om att ta del av en allmän handling (2 kap. 3 § tredje stycket TF). Får Skatteverket inte göra en viss sammanställning för sin egen verksamhet får en sådan sammanställning inte heller göras för att lämna ut uppgifter i enlighet med offentlighetsprincipen.
Även om ett utlämnande inte omfattas av ändamålen för behandlingen av uppgifterna får Skatteverket behandla uppgifter för att lämna ut uppgifter för att uppfylla sin skyldighet att lämna information när den registrerade ansöker om det, s.k. registerutdrag (26 § PuL).
Skatteverket får behandla känsliga personuppgifter om behandlingen är nödvändig för att myndigheten ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten. Sådana uppgifter får lämnas ut till tredje man bara om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller den registrerade uttryckligen samtycker till att uppgifterna lämnas ut (16 § andra stycket PuL).
Skatteverket kan lämna ut uppgifter på olika sätt, exempelvis
Det finns inga bestämmelser i PuL som särskilt reglerar i vilken form Skatteverket får lämna ut behandlade uppgifter. Skatteverket ska därför tillämpa de vanliga bestämmelserna i PuL om grundläggande krav på behandlingen, säkerhet vid behandlingen osv. när uppgifter lämnas ut. Detta innebär bland annat att nödvändiga säkerhetsåtgärder måste vidtas för att skapa en tillräcklig säkerhetsnivå när uppgifter lämnas ut.
Att lämna ut uppgifter i elektronisk form kan ske antingen genom att Skatteverket ger mottagaren direktåtkomst till uppgifterna eller genom att uppgifterna lämnas ut på medium för automatiserad behandling.
Det finns ingen definition av begreppet direktåtkomst. Vanligtvis menar man med direktåtkomst att någon har direkt tillgång till någon annans databas eller informationssamling och på egen hand kan söka efter information, men inte påverka innehållet i databasen eller informationssamlingen. Direktåtkomsten kan även ge användaren en möjlighet att hämta hem information till sitt eget system och att bearbeta den där (prop. 2007/08:160 sid. 57).
En bestämmelse om direktåtkomst medför inte att eventuell sekretess för uppgifterna bryts. Om de uppgifter som ska lämnas ut är sekretessbelagda krävs det att en sekretessbrytande bestämmelse kan tillämpas för att det ska vara tillåtet att lämna ut uppgifterna. Skatteverket måste alltså göra en sekretessprövning innan direktåtkomst medges.
Skatteverket kan i vissa fall lämna ut uppgifter på medium för automatiserad behandling. Med medium för automatiserad behandling menas t.ex. CD eller DVD-skiva, USB-minne, överföring via e-post eller filöverföring från ett IT-system till ett annat.
Skatteverket ska vid all behandling av personuppgifter vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som Skatteverket behandlar (31 § PuL). Detta gäller även när Skatteverket lämnar ut uppgifter via t.ex. e-post. Detta innebär att ett utlämnande via e-post inte kan ske om inte en lämplig säkerhetsnivå kan garanteras för uppgifterna.
Vid bedömningen av vad som är en lämplig säkerhetsnivå tar Skatteverket hänsyn till samtliga omständigheter kring behandlingen av uppgifterna. Vilka säkerhetsåtgärder som behöver vidtas är beroende av vad det är för uppgifter som ska behandlas. Uppgifter som omfattas av sekretess kräver en högre säkerhetsnivå än uppgifter som är offentliga.
Huvudregeln är att Skatteverket inte kan skicka uppgifter som omfattas av sekretess till en extern mottagare via e-post. Sekretessbelagda uppgifter får inte skickas via e-post ens till den som uppgifterna berör. Detta beror på att säkerheten vid överföringen via e-post inte är tillräcklig för den typen av uppgifter.
Undantag från huvudregeln finns. Sekretessbelagda uppgifter kan till exempel skickas till en extern mottagare via en ebrevlåda genom Mina meddelanden.
Enstaka offentliga personuppgifter kan skickas via e-post till en extern mottagare. Med enstaka menar Skatteverket omkring tre stycken. Detta beror på att säkerheten vid överföringen via epost inte är tillräckligt hög för en större mängd personuppgifter.
Information som är offentlig och som inte innehåller några personuppgifter kan vanligtvis skickas till en extern mottagare via e-post.
Skatteverket har ingen skyldighet att lämna ut uppgifter på annat sätt än i pappersform om det inte är särskilt föreskrivet.
Skatteverket får lämna ut behandlade uppgifter i elektronisk form, såsom exempelvis via e-post, om inte PuL eller någon annan författning hindrar det.
Innan Skatteverket kan lämna ut några uppgifter ska myndigheten göra en sekretessprövning för att ta ställning till om uppgifterna kan lämnas ut eller inte. I OSL finns sekretessbestämmelser för Skatteverkets olika verksamhetsgrenar.
Om den handling eller de uppgifter som ska lämnas ut innehåller personuppgifter måste Skatteverket ta ställning till om utlämnandet skulle kunna medföra att uppgifterna behandlas i strid med PuL. Sekretess gäller för uppgifterna om utlämnandet kan medföra att personuppgifterna kommer att behandlas i strid med PuL (21 kap. 7 § OSL).
Denna bestämmelse ska tillämpas när Skatteverket lämnar ut uppgifter både i pappersform och i elektronisk form. Den behandling som avses är behandlingen av uppgifterna hos mottagaren efter att uppgifterna har lämnats ut. Detta betyder att Skatteverket behöver fråga mottagaren hur de behandlade uppgifterna ska användas innan några uppgifter lämnas ut. För att bestämmelsen ska kunna tillämpas måste mottagaren av uppgifterna vara en personuppgiftsansvarig som är etablerad i Sverige (4 § PuL).
När och hur Skatteverket ska ta ut en avgift för att lämna ut uppgifter beskrivs på sidan om att lämna ut en allmän handling. Det finns även bestämmelser om avgifter för att lämna ut uppgifter i de särskilda registerförfattningar som gäller för behandling av uppgifter i Skatteverkets beskattningsverksamhet, folkbokföringsverksamhet och äktenskapsregisterverksamhet.