OBS: Detta är utgåva 2018.10. Visa senaste utgåvan.
Skatteverket ansvarar för den personuppgiftsbehandling som görs i myndighetens verksamhet. Skatteverkets behandling av personuppgifter måste alltid uppfylla de grundläggande principerna i EU:s dataskyddsförordning (artikel 5 EU:s dataskyddsförordning).
Skatteverket är ansvarigt för de behandlingar av personuppgifter som görs i myndigheten. Skatteverket är s.k. personuppgiftsansvarigt. En personuppgiftsansvarig kan ibland överlåta behandlingen av personuppgifter åt någon annan, som då kallas personuppgiftsbiträde.
Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter är personuppgiftsansvarig (artikel 4.7 EU:s dataskyddsförordning). Det är alltså den som bestämmer vilka uppgifter som ska behandlas och vad uppgifterna ska användas till som har ansvaret för behandlingen.
När en anställd hos Skatteverket behandlar personuppgifter för att utföra sina arbetsuppgifter är inte den anställda personuppgiftsansvarig för behandlingarna. Det är Skatteverket som är personuppgiftsansvarigt för de behandlingarna. En anställd ska behandla personuppgifter i enlighet med de instruktioner som Skatteverket ger.
Vissa särskilda registerförfattningar innehåller bestämmelser om att en utpekad myndighet ska vara personuppgiftsansvarig. Det står till exempel i SdbL respektive FdbL att Skatteverket är personuppgiftsansvarigt för den behandling av personuppgifter som Skatteverket ska utföra (1 kap. 5 § FdbL och 1 kap. 6 § SdbL).
Det är inte alltid enkelt att avgöra vem som är personuppgiftsansvarig för en behandling. Det anges inte i EU:s dataskyddsförordning, den kompletterande dataskyddslagen eller förarbetena till lagen exakt hur en avgränsning av personuppgiftsansvaret ska göras. Det kan även finnas mer än en personuppgiftsansvarig för en behandling, t.ex. om flera myndigheter har en gemensam databas. Artikel 26 EU:s dataskyddsförordning innehåller bestämmelser om gemensamt personuppgiftsansvar.
Högsta förvaltningsdomstolen ansåg att Försäkringskassan var personuppgiftsansvarig för alla delar av två e-tjänster.
Försäkringskassan tillhandahöll elektroniska självbetjäningstjänster i form av anmälan av tillfällig föräldrapenning via sms och anmälan av sjukfall via en s.k. Infratjänst. Här kunde enskilda personer lämna uppgifter genom elektroniska informationskanaler. Uppgifterna var tillgängliga för Försäkringskassan först när de nådde Försäkringskassans elektroniska mottagningsställen.
Domstolen ansåg att Försäkringskassan var ansvarig för hela behandlingen eftersom Försäkringskassan bestämde ändamålet för behandlingen (att anmäla olika typer av sjukfall) och medlen för behandlingen av personuppgifterna (anvisade kommunikationsvägar). Domstolen ansåg att de åtgärder som gjordes med personuppgifterna var led i Försäkringskassans behandling av uppgifter i enskilda ärenden. Detta gällde trots att Försäkringskassan saknade möjlighet att påverka hur uppgifterna hanterades innan de blev tillgängliga för Försäkringskassan. Det gällde också oberoende av om någon eller några av åtgärderna skulle utgöra behandling av personuppgifter även hos någon annan (HFD 2012 ref. 21).
Den som är personuppgiftsansvarig kan under vissa förutsättningar överlåta behandlingen av personuppgifterna till någon annan. Den som behandlingen överlåts till kallas personuppgiftsbiträde (artikel 4.8 EU:s dataskyddsförordning). Ett personuppgiftsbiträde finns alltid utanför den personuppgiftsansvarigas organisation, t.ex. ett externt företag. Den som är anställd hos den personuppgiftsansvariga är inte personuppgiftsbiträde.
Det är bara själva behandlingen av personuppgifterna som kan överlåtas till ett personuppgiftsbiträde. Den personuppgiftsansvariga kan inte överlåta ansvaret för behandlingen på någon annan.
Exempel på personuppgiftsbiträde som Skatteverket anlitar är Statens servicecenter. Statens servicecenter behandlar personuppgifter om Skatteverkets anställda på uppdrag av Skatteverket.
En förutsättning för att Skatteverket ska kunna anlita ett personuppgiftsbiträde är att sekretess inte hindrar att Skatteverket lämnar ut uppgifterna. En annan förutsättning är att Skatteverket har en rättslig grund för behandlingen av personuppgifterna. Skatteverket bör dokumentera sitt ställningstagande i dessa rättsliga frågor innan Skatteverket anlitar ett personuppgiftsbiträde för behandling av Skatteverkets personuppgifter.
Om Skatteverket anlitar ett personuppgiftsbiträde ska parterna skriva ett avtal om personuppgiftsbiträdets behandling av personuppgifter för Skatteverkets räkning, ett s.k. personuppgiftsbiträdesavtal (artikel 28.3 EU:s dataskyddsförordning).
Skatteverket får bara behandla personuppgifter om behandlingen uppfyller principerna i artikel 5 EU:s dataskyddsförordning.
Dessa principer är
Skatteverket måste alltid ha minst en rättslig grund för varje behandling av personuppgifter. Det ska vara klart och tydligt för de registrerade hur uppgifter samlas in och i övrigt behandlas.
Skatteverket får bara samla in personuppgifter för särskilda, i förväg uttryckligt bestämda och berättigade ändamål. Skatteverket måste alltså bestämma ändamålet med behandlingen redan innan behandlingen påbörjas, dvs. innan personuppgifterna börjar samlas in. Personuppgifterna får sedan inte behandlas på ett sätt som är oförenligt med dessa ändamål.
Att ändamålet ska vara särskilt innebär att det inte får vara alltför allmänt hållet. Skatteverket ska ha ett konkret ändamål för behandlingen, t.ex. behandling av anställdas personuppgifter i personaladministrativ verksamhet för löneutbetalningsändamål. Det går att ha mer än ett ändamål för en personuppgiftsbehandling.
Skatteverket bör dokumentera ändamålet för behandlingen, bl.a. med hänsyn till den skyldighet att lämna information om personuppgiftsbehandlingar som Skatteverket har.
Det är viktigt att Skatteverket noga överväger vilket eller vilka ändamål myndigheten har för personuppgiftsbehandlingen. Ändamålet för behandlingen påverkar bl.a. vilka personuppgifter Skatteverket får behandla, hur många personuppgifter myndigheten får behandla och hur länge myndigheten får spara uppgifterna.
Skatteverket får behandla de insamlade personuppgifterna för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål utan att det anses oförenligt med de ursprungliga ändamålen om det finns lämpliga skyddsåtgärder för de registrerades rättigheter.
Skatteverket måste hela tiden vara medvetet om för vilket ändamål myndigheten behandlar personuppgifter. Det är inte tillåtet att behandla personuppgifter för något ändamål som är oförenligt med det ändamål för vilket uppgifterna från början samlades in.
Om ett ändamål är förenligt eller inte med det ursprungliga ändamålet får myndigheten avgöra genom en bedömning i det enskilda fallet. Skatteverket bör då utgå från vilken behandling av de registrerade uppgifterna som en registrerad person rimligen kan förvänta sig mot bakgrund av det ursprungliga ändamålet. Detta begränsar bl.a. möjligheten att samköra personuppgifter som myndigheten behandlar för olika ändamål.
Om någon av Skatteverkets verksamhetsgrenar vill lämna ut personuppgifter till någon annan verksamhetsgren eller till någon annan organisation måste även utlämnandet vara förenligt med det ursprungliga ändamålet. Bestämmelserna om ändamål för behandling av personuppgifter inskränker emellertid inte Skatteverkets skyldighet enligt 2 kap. TF att lämna ut personuppgifter (1 kap. 7 § den kompletterande dataskyddslagen).
Skatteverket får inte behandla fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålen för behandlingen. För varje personuppgift – eller kategori av personuppgifter – som Skatteverket vill behandla måste myndigheten ta ställning till om uppgiften verkligen är nödvändig för behandlingen.
De personuppgifter som Skatteverket behandlar ska vara adekvata och relevanta i förhållande till ändamålen för behandlingen. De ska vara av betydelse för behandlingen och för de ändamål som myndigheten vill uppnå med behandlingen. Skatteverket får alltså inte behandla personuppgifter enbart för att uppgifterna eventuellt kan komma till användning i framtiden. Personuppgifterna ska även vara riktiga och – om det är nödvändigt med hänsyn till ändamålen för behandlingen – aktuella.
Skatteverket ska vidta alla åtgärder som är rimliga för att rätta eller radera personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen för behandlingen. En sådan rättelse ska Skatteverket göra på eget initiativ.
Skatteverket får inte bevara personuppgifter under längre tid än vad som är nödvändigt med hänsyn till ändamålen för behandlingen.
Skatteverket får behandla de insamlade personuppgifterna för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål utan att det anses oförenligt med de ursprungliga ändamålen om det finns lämpliga skyddsåtgärder för de registrerades rättigheter.
Skatteverket måste ha tillräcklig säkerhet för att skydda personuppgifterna bland annat mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse. Skatteverket ansvarar för att de IT-system som används inte medför integritetsrisker. Eftersom integritets- och dataskyddsfrågor påverkar it-systems hela livscykel är det viktigt att frågorna beaktas redan från förstudie och kravställning till användning och avveckling, s.k. inbyggt dataskydd.
Skatteverket ansvarar för att principerna om personuppgiftsbehandling följs när myndigheten behandlar personuppgifter. Skatteverket måste kunna visa på vilket sätt man följer dem, t.ex. genom att
Skatteverket är skyldigt att föra ett register över alla personuppgiftsbehandlingar som myndigheten är personuppgiftsansvarig för. Registret ska vara skriftlig, vara tillgängliga i elektronisk format och hållas uppdaterat (artikel 30 EU:s dataskyddsförordning). Registret ska innehålla:
Skatteverket måste alltid göra en konsekvensbedömning om en behandling av personuppgifter sannolikt skulle leda till hög risk för de registrerades fri- och rättigheter. Skatteverket bör göra en konsekvensbedömning även för personuppgiftsbehandlingar som medför en lägre risk. En konsekvensbedömning kan öka förståelsen för integritetsrisker. Bedömningen kan också ge stöd vid val av säkerhetsåtgärder och tekniska lösningar. Konsekvensbedömningar är till hjälp när det gäller att uppfylla kraven i dataskyddsförordningen. De är också ett sätt att visa de registrerade och tillsynsmyndigheten att Skatteverket följer EU:s dataskyddsförordning. En konsekvensbedömning ska inte vara en engångsföreteelse. Bedömningen bör omprövas och uppdateras löpande.
Vid en konsekvensbedömning ska Skatteverket bl.a. dokumentera vilka säkerhetsåtgärder som kommer att vidtas. Om det skulle visa sig att det finns en hög risk med personuppgiftsbehandlingen trots säkerhetsåtgärderna ska Skatteverket samråda med tillsynsmyndigheten innan myndigheten påbörjar behandlingen. Det kan till exempel vara att riskerna inte kan begränsas tillräckligt genom åtgärder som är rimliga med tanke på tillgänglig teknik och kostnader.
Om Skatteverket vill föra över personuppgifter till tredje land eller en internationell organisation finns det vissa bestämmelser i EU:s dataskyddsförordning som Skatteverket måste ta hänsyn till (artikel 44 50 EU:s dataskyddsförordning).
Med tredje land menas en stat som inte ingår i Europeiska unionen (EU) och som inte heller är ansluten till Europeiska ekonomiska samarbetsområdet (EES).
Med överföring av personuppgifter menas exempelvis
Att föra över uppgifter till ett tredje land innebär att personuppgifter som finns i Sverige lämnas ut och att uppgifterna efter utlämnandet finns (också) i ett land utanför EU och EES.
Skatteverket får bara föra över personuppgifter till tredje land eller en internationell organisation om något av följande villkor är uppfyllt:
Personuppgifter får i särskilda fall och vid enstaka tillfällen föras över (artikel 49 EU:s dataskyddsförordning), t.ex. om
Vid publicering av personuppgifter på internet ska man följa de vanliga bestämmelserna i EU:s dataskyddsförordning. Detta innebär bl.a. att man ska ta hänsyn till bestämmelserna i artiklarna 4450 EU:s dataskyddsförordning. Frågan är då om man genom publicering på internet överför personuppgifter till tredje land.
EU-domstolen har uttalat att om man publicerar personuppgifter på internet innebär det inte en överföring av personuppgifter till tredje land om den webbplats där uppgifterna publiceras finns lagrad hos en webbhotelleverantör som är etablerad i en medlemsstat inom EU (C-101/01, Bodil Lindqvist).
Skatteverket måste ta hänsyn till bestämmelserna om överföring av personuppgifter till tredje land om Skatteverket vill behandla personuppgifter, eller låta ett personuppgiftsbiträde behandla personuppgifter, i någon form av molnbaserad datortjänst.
Med molnbaserad datortjänst menas en tjänst där en leverantör erbjuder möjlighet till t.ex. lagring eller processorkraft i servrar som kontrolleras av leverantören och där servrarna finns utspridda på olika geografiska platser.
Skatteverket är personuppgiftsansvarigt för den behandling av personuppgifter som sker för Skatteverkets räkning i en molnbaserad datortjänst. Molntjänstleverantören, och dennes underleverantörer, är personuppgiftsbiträden åt Skatteverket. Det innebär att Skatteverket ansvarar bland annat för att: