OBS: Detta är utgåva 2017.4. Sidan är avslutad 2018.
Skatteverket ansvarar för behandlingen av personuppgifter inom myndigheten och ska i vissa fall lämna information om denna behandling. Det finns bestämmelser om vem Skatteverket ska lämna information till, när informationen ska lämnas och vad den ska innehålla. Det finns även vissa undantag från informationsskyldigheten.
Personuppgifter får vanligtvis inte behandlas elektroniskt utan att den registrerade, d.v.s. den som uppgifterna rör, känner till varför behandlingen sker och vem som är personuppgiftsansvarig för behandlingen.
I tabellen finns en översikt över den informationsskyldighet som Skatteverket har.
När ska information lämnas? |
Vem ska information lämnas till? |
Tillämplig bestämmelse |
---|---|---|
På Skatteverkets eget initiativ |
Den registrerade personen |
23–24 §§ PuL |
Efter ansökan av den registrerade personen |
Den registrerade personen |
26 § PuL |
På begäran av allmänheten |
Allmänheten |
42 § PuL |
Skatteverket ska i vissa fall självmant lämna information till den registrerade personen om behandling av dennes personuppgifter.
Reglerna för när information till den registrerade personen ska lämnas självmant är olika beroende på om personuppgifterna samlas in från personen själv eller på annat sätt.
När Skatteverket behandlar personuppgifter som Skatteverket samlar in från personen själv ska Skatteverket lämna information om behandlingen i samband med insamlingen av uppgifterna (23 § PuL).
När Skatteverket behandlar personuppgifter som Skatteverket samlar in från någon annan källa än den registrerade personen själv, ska Skatteverket lämna information om behandlingen av uppgifterna till den registrerade personen när uppgifterna registreras. Om det är meningen att Skatteverket ska lämna ut uppgifterna till tredje man kan Skattverket vänta med att lämna information till dess uppgifterna lämnas ut för första gången (24 § första stycket PuL). Med tredje man menas någon annan än den registrerade personen, den personuppgiftsansvariga, personuppgiftsombudet, personuppgiftsbiträdet eller sådana personer som behandlar personuppgifter för angivna personers räkning, t.ex. anställda inom Skatteverket (3 § PuL).
Den information som Skatteverket ska lämna på eget initiativ till den registrerade personen ska innehålla följande uppgifter (25 § första stycket PuL):
Informationen ska även innehålla övriga uppgifter som den registrerade personen behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Det kan vara t.ex. följande information:
När Skatteverket behandlar personuppgifter som Skatteverket samlar in från personen själv kan Skatteverket lämna information om behandlingen på samma sätt som insamlandet sker.
När Skatteverket behandlar personuppgifter som Skatteverket samlar in från någon annan källa än personen själv bör Skatteverket lämna information till den registrerade personen om behandlingen skriftligen. Ett exempel på detta kan vara när en person anmäler både sig själv och någon annan till att delta vid en av Skatteverket anordnad informationsträff.
Skatteverket ska efter ansökan av en fysisk person lämna besked om huruvida Skatteverket behandlar personuppgifter som rör den personen eller inte (26 § PuL).
Den som vill veta om Skatteverket behandlar personuppgifter om hen kan ansöka hos Skatteverket om att få besked om detta. Ansökan ska vara skriftlig och undertecknad av den sökande. Det innebär att ansökan måste göras på papper. Ansökan skickas till Skatteverkets huvudkontor (Skatteverket, PUL 26, 171 94 Solna).
Skatteverket ska lämna besked om huruvida Skatteverket behandlar personuppgifter som rör den sökande eller inte. Informationen ska lämnas inom en månad från det ansökan gjordes. Inom denna tid ska Skatteverket även ta ställning till om det finns något undantag från informationsskyldigheten, t.ex. om sekretess hindrar att vissa uppgifter lämnas ut.
Skatteverket får i undantagsfall lämna informationen senare än inom en månad, dock senast inom fyra månader efter det ansökan gjordes (26 § andra stycket PuL). Skäl för att lämna informationen senare kan vara att de aktuella personuppgifterna är krypterade, att sökmöjligheterna är begränsade eller att Skatteverket har många personuppgifter som finns i olika IT-system.
Den sökande har rätt att få informationen gratis en gång per kalenderår.
Skatteverket ska lämna besked om huruvida Skatteverket behandlar personuppgifter som rör den sökande eller inte.
Om Skatteverket behandlar uppgifter om den sökande ska Skatteverket även lämna följande information till den sökande (26 § första stycket PuL):
Skatteverket behöver inte lämna information om följande:
I vissa fall ska informationen innefatta även de sistnämnda punkterna, se 26 § tredje stycket PuL.
Skatteverket ska inte lämna ut sekretessbelagd information i registerutdrag.
När Skatteverket ska lämna information efter ansökan rörande personuppgifter inom beskattningsverksamheten eller folkbokföringsverksamheten finns det vissa begränsningar för vilka uppgifter Skatteverket behöver lämna (3 kap. 2 § SdbL och 3 kap. 2 § FdbL ). Det finns särskilda bestämmelser om behandling av personuppgifter i beskattningsverksamheten respektive i folkbokföringsverksamheten.
Om den sökande inte är nöjd med Skatteverkets beslut om information efter ansökan enligt 26 § PuL kan sökanden överklaga beslutet (52 § PuL).
Information om att Skatteverket inte behandlar personuppgifter som rör den sökande kan lämnas antingen muntligen eller på annat sätt.
Information om att Skatteverket behandlar personuppgifter som rör den sökande, och den närmare information om behandlingen som Skatteverket ska lämna, ska lämnas skriftligen till den sökande. Informationen ska vara lätt för den registrerade att förstå. Förkortningar och koder bör förklaras.
Det är viktigt att Skatteverket sänder informationen till rätt mottagare. Informationen bör därför skickas till den registrerade personens folkbokföringsadress. Innehåller informationen känsliga uppgifter bör försändelsen skickas rekommenderat.
I vissa situationer behöver Skatteverket inte lämna information till den registrerade personen.
Skatteverket behöver inte lämna information på eget initiativ om sådant som den registrerade personen redan känner till (25 § andra stycket PuL). Har den registrerade personen redan fått information om behandlingen i enlighet med någon annan lagstiftning behöver Skatteverket inte lämna information. Om Skatteverket avser att fortlöpande samla in uppgifter om den registrerade personen räcker det att Skatteverket lämnar information till den registrerade inledningsvis. Information behöver inte lämnas varje gång nya uppgifter samlas in.
Detta undantag gäller inte information som Skatteverket ska lämna till den registrerade personen efter ansökan, s.k. registerutdrag.
Skatteverket ska inte lämna information till den registrerade personen om det finns bestämmelser i lag eller annan författning om att uppgifterna inte får lämnas ut till den registrerade, t.ex. bestämmelser om sekretess i OSL. Skatteverket ska inte heller lämna information om det framgår av ett beslut som har meddelats med stöd av en författning att uppgifterna inte får lämnas ut till den registrerade personen. Bestämmelserna om information till den registrerade gäller alltså inte om det finns en bestämmelse som hindrar utlämnade av uppgifterna (27 § PuL).
Detta undantag från den registrerade personens rätt att få information om behandling av personuppgifter är i många fall nödvändigt för att myndigheter ska kunna utföra sina arbetsuppgifter på ett ändamålsenligt sätt. Det är till exempel viktigt att Skatteverket har möjlighet att behandla personuppgifter inför en förestående revision utan att den skattskyldiga får reda på det.
Skatteverket behöver inte lämna information om behandling av personuppgifter som Skatteverket har samlat in från någon annan källa än den registrerade personen själv om det finns bestämmelser i lag eller annan författning om registrering av personuppgifterna eller om utlämnande av personuppgifterna (24 § andra stycket PuL). Skatteverket behöver till exempel inte lämna information till den registrerade om behandling av sådana personuppgifter som Skatteverket får från Bolagsverkets aktiebolagsregister och som Skatteverket behandlar i beskattningsdatabasen i enlighet med 2 § SdbF.
Skatteverket behöver inte lämna information om behandling av personuppgifter som Skatteverket har samlat in från någon annan källa än den registrerade personen själv, om det visar sig vara omöjligt att lämna informationen eller om det skulle innebära en oproportionerligt stor arbetsinsats att lämna informationen. I detta sammanhang kan Skatteverket ta hänsyn till t.ex. antal registrerade personer som är berörda och hur gamla uppgifterna är.
Om uppgifterna används för att vidta åtgärder som rör den registrerade personen ska Skatteverket lämna information till denne senast i samband med att åtgärden vidtas (24 § tredje stycket PuL).
Skatteverket ska lämna upplysningar till allmänheten om de personuppgiftsbehandlingar som inte är anmälda till Datainspektionen.
Att Skatteverket ska lämna upplysningar till allmänheten om de personuppgiftsbehandlingar som inte är anmälda till Datainspektionen innebär att Skatteverket måste ha kontroll över alla personuppgiftsbehandlingar som görs inom Skatteverket. Detta innebär i praktiken en skyldighet att föra en förteckning över de behandlingar av personuppgifter som görs och som inte är anmälda till Datainspektionen. Det är därför viktigt att behandling av personuppgifter dokumenteras.
Enligt huvudregeln ska Skatteverket anmäla till Datainspektionen om Skatteverket behandlar personuppgifter helt eller delvis elektroniskt (36 § PuL).
Det finns viktiga undantag från anmälningsskyldigheten. Dessa regleras i 3–5 §§ PuF och i Datainspektionens föreskrifter i fråga om skyldigheten att anmäla behandlingar av personuppgifter till Datainspektionen (DIFS 1998:2, ändrad genom DIFS 2013:1). Skatteverket behöver t.ex. inte anmäla följande personuppgiftsbehandlingar till Datainspektionen:
Information om behandlingar som inte är anmälda till Datainspektionen ska skyndsamt lämnas till var och en som begär det. Det finns inget formkrav på begäran om information.
Informationen ska innehålla följande uppgifter:
Skatteverket ska inte lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som används (42 § PuL).
Den sökande kan överklaga ett beslut av Skatteverket att enligt 42 § PuL lämna ut upplysningar(52 § PuL).
Enligt lagtexten ska informationen lämnas på lämpligt sätt. Skatteverket kan alltså lämna informationen såväl muntligen som skriftligen.
Skatteverket har allmän information om sina personuppgiftsbehandlingar på sin externa webbplats.