Rättslig grund för behandling av personuppgifter

Skatteverket måste ha minst en rättslig grund

Enligt artikel 6 EU:s dataskyddsförordning är en behandling av personuppgifter laglig endast om minst ett av följande villkor är uppfyllt:

• Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den person­uppgifts­ansvariges myndighetsutövning.
• Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den person­uppgifts­ansvarige.
• Behandling är nödvändig för att fullgöra ett avtal i vilket den registrerade är part.
• Den registrerade har samtyckt till behandlingen.
• Behandlingen är nödvändig för ändamål som gäller den person­uppgifts­ansvariges eller tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande fri- och rättigheter väger tyngre.
• Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

För att vara laglig ska behandlingen också uppfylla kraven beträffande de allmänna principerna i artikel 5 i EU:s dataskyddsförordning. Artiklarna 5 och 6 i EU:s dataskyddsförordning är alltså grundläggande och ska läsas tillsammans. Skillnaden mellan artiklarna är att artikel 6 handlar ”om” personuppgifterna får behandlas, medan artikel 5 handlar om ”hur” de får behandlas.

Allmänt intresse och myndighetsutövning

Skatteverket får behandla personuppgifter om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (artikel 6.1 e EU:s dataskyddsförordning och 2 kap. 2 § 1 den kompletterande dataskyddslagen).

Skatteverket får också behandla personuppgifter om behandlingen är nödvändig som ett led i Skatteverkets myndighetsutövning enligt lag eller annan författning (artikel 6.1 e EU:s dataskyddsförordning och 2 kap. 2 § 2 den kompletterande dataskyddslagen).

För att behandling av personuppgifter ska vara laglig enligt artikel 6.1 e i EU:s dataskyddsförordning måste den uppgift som Skatteverket utför dels vara av allmänt intresse (eller utgöra ett led i myndighetsutövning), dels vara fastställd i enlighet med unionsrätten eller den nationella rätten. Den berörda verksamheten på Skatteverket måste alltså ha ett stöd i någon av de källor som tillsammans bildar rättsordningen (lag eller annan författning, kollektivavtal eller beslut som har meddelats med stöd av lag eller annan författning). Behandlingen måste också vara nödvändig för ett ändamål som är nödvändigt för att utföra uppgiften.

Ett exempel är när Skatteverket behandlar personuppgifter i beskattningsverksamheten. Den rättsliga grunden för behandlingen finns då i t.ex. skatteförfarandelagen eller inkomstskattelagen. Ett annat exempel är när Skatteverket behandlar personuppgifter i folkbokföringsverksamheten. Den rättsliga grunden finns då i folkbokföringslagen och andra författningar inom folkbokföringsområdet.

Rättlig förpliktelse

Skatteverket får behandla personuppgifter om behandlingen är nödvändig för att myndigheten ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (artikel 6.1 c EU:s dataskyddsförordning och 2 kap. 2 § den kompletterande dataskyddslagen).

Ett exempel på när Skatteverket fullgör en rättslig förpliktelse är när verket lämnar ut uppgift ur en allmän handling i enlighet med 6 kap. 4 § OSL. Bestämmelsen i OSL om utlämnande av uppgift i allmän handling är en sådan rättslig förpliktelse som ligger på Skatteverket och som gör att Skatteverket får behandla de personuppgifter som är nödvändiga för att verket ska kunna lämna ut uppgift ur en allmän handling.

Avtal med den registrerade

Skatteverket får behandla personuppgifter om behandlingen är nödvändig för att myndigheten ska kunna fullgöra ett avtal med den registrerade. Skatteverket får också behandla personuppgifter innan ett avtal har ingåtts, om behandlingen är nödvändig för att vidta åtgärder på den registrerades begäran (artikel 6.1 b EU:s dataskyddsförordning).

Ett exempel är när Skatteverket behandlar uppgifter om kontaktpersoner i ett leverantörsavtal mellan myndigheten och leverantören.

Samtycke

Med samtycke menas att den registrerade personen godkänner personuppgiftsbehandlingen. Samtycket ska ges efter att personen har fått information om behandlingen. Samtycket ska vara frivilligt och ges genom en specifik och otvetydig viljeyttring.

När Skatteverket behandlar enskildas personuppgifter i beskattningsverksamheten, folkbokföringsverksamheten m.m. blir det i regel aldrig fråga om samtycke som laglig grund. Laglig grund för behandlingen i dessa verksamheter är istället allmänt intresse, myndighetsutövning eller rättslig förpliktelse.

Samtycke regleras närmare i artikel 4 punkt 11 och i artikel 7-8 EU:s dataskyddsförordning.

Hur kan en person lämna samtycke?

Om behandlingen grundar sig på samtycke ska den personuppgiftsansvarige kunna visa att den som personuppgifterna avser har samtyckt till behandlingen. För Skatteverkets del kan det bli aktuellt att inhämta samtycke t.ex. när verket samlar in namn och bild på personer inför publicering i Skatteverkets kommunikationskanaler.

Det finns inget formkrav för hur samtycke ska lämnas. Samtycke kan lämnas både muntligt och skriftligt.

Skatteverket är ansvarigt för den personuppgiftsbehandling som utförs inom myndigheten. Skatteverket måste därför kunna visa att ett samtycke finns, om samtycke är en förutsättning för att Skatteverket ska kunna utföra viss personuppgiftsbehandling. Verket bör därför dokumentera enskilda personers samtycke. Av dokumentationen bör framgå t.ex.:

• vilka personuppgifter Skatteverket kommer att behandla
• för vilka ändamål uppgifterna kommer att behandlas
• hur länge Skatteverket kommer att bevara uppgifterna
• hur en person kan återkalla sitt samtycke.

Återkallelse av samtycke

Den registrerade har rätt att när som helst återkalla sitt samtycke. Det ska vara lika lätt att återkalla som att ge sitt samtycke. Om en registrerad återkallar sitt samtycke får Skatteverket inte behandla fler uppgifter om personen. Det blir däremot inte olagligt att behandla de personuppgifter som redan behandlas när samtycket återkallas. Det är endast framtida behandling som blir olaglig.

Begränsning för myndigheter

Ett samtycke kan inte användas som rättslig grund för behandling av personuppgifter i fall där det råder betydande ojämlikhet mellan den registrerade och personuppgiftsansvarige. Ett sådant förhållande kan vara särskilt vanligt mellan offentliga myndigheter och enskilda registrerade. Det är då inte givet att ett samtycke kan betraktas som frivilligt. Skatteverket har därför begränsade möjligheter att använda sig av samtycke som rättslig grund för den personuppgiftsbehandling som utförs inom myndigheten. Samtycke antas inte heller vara frivilligt om det inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter (skäl 43 EU:s dataskyddsförordning).

Intresseavvägning

Det kan vara tillåtet att behandla personuppgifter efter en intresseavvägning. Det krävs då att behandlingen är nödvändig för berättigade intressen som väger tyngre än den registrerades intresse av skydd för sina personuppgifter (artikel 6.1 f EU:s dataskyddsförordning).

Myndigheter kan inte stödja sin behandling av personuppgifter på intresseavvägning när de behandlar uppgifter vid fullgörande av sina uppgifter. Skatteverket kan alltså inte behandla personuppgifter när verket utför sina uppgifter enligt skattelagstiftningen med stöd av en intresseavvägning.

Skydda grundläggande intressen

Behandling av personuppgifter är tillåten om behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person (artikel 6.1 d EU:s dataskyddsförordning). Det är fråga om sådana intressen som är avgörande för den registrerades eller för någon annan persons liv.