Lämna ut personuppgifter

När lämnar Skatteverket ut personuppgifter?

Att lämna ut personuppgifter och andra uppgifter kan bli aktuellt i olika situationer, t.ex. för att

• kommunicera uppgifter med en part i ett ärende
• ge en part insyn i ett ärende
• lämna ut uppgifter med anledning av en begäran om att ta del av en allmän handling
• lämna information till en annan myndighet
• lämna ut uppgifter för outsourcing av behandling av uppgifterna.

Förutsättningar för att lämna ut personuppgifter som behandlas elektroniskt

Att lämna ut personuppgifter och andra uppgifter som behandlas elektroniskt innebär i sig en behandling av uppgifterna. Skatteverket får bara lämna ut elektroniskt behandlade personuppgifter om följande förutsättningar är uppfyllda:

• Det finns rättsligt stöd för den behandling av personuppgifterna som utlämnandet innebär.
• Utlämnandet hindras inte av sekretess.
• Utlämnandet kan ske på ett säkert sätt.

Det ska finnas rättsligt stöd för att lämna ut uppgifter

För att Skatteverket ska ha rättsligt stöd för den behandling av personuppgifterna som utlämnandet innebär, behöver flera olika rättsliga förutsättningar vara uppfyllda

Rättslig grund enligt artikel 6 ska finnas

Skatteverket måste alltid ha minst en rättslig grund för varje behandling av personuppgifter (artikel 6 EU:s dataskyddsförordning). Det gäller även för den behandling som sker för att lämna ut uppgifter från Skatteverket till en extern part eller mellan olika verksamhetsgrenar inom verket. Om det inte finns någon rättslig grund för utlämnandet är behandlingen inte laglig och ett utlämnande är därmed inte tillåtet.

Ett exempel på en bestämmelse som kan vara en rättslig grund vid ett utlämnande är 6 kap. 5 § OSL. Bestämmelsen medför en rättslig förpliktelse att lämna ut uppgifter vid begäran, om det inte finns sekretess. Läs mer om rättslig grund i avsnittet Rättslig grund för behandling av personuppgifter.

Alla grundläggande principer i artikel 5 ska vara uppfyllda

Vid utlämnande av elektroniskt behandlade personuppgifter ska Skatteverket även tillämpa de allmänna bestämmelserna i EU:s dataskyddsförordning, den kompletterande dataskyddslagen och eventuella särskilda registerförfattningar om ändamål, grundläggande krav på behandlingen, säkerhet vid behandlingen o.s.v. Det innebär bl.a. att ett utlämnande av uppgifter måste vara förenligt med det eller de ändamål som Skatteverket har för behandlingen av personuppgifterna. Vidare måste nödvändiga säkerhetsåtgärder vidtas för att skapa en tillräcklig säkerhetsnivå när personuppgifterna lämnas ut.

Kravet på att utlämnandet av uppgifterna måste vara förenligt med ändamålet för behandlingen av uppgifterna gäller även när Skatteverket ska lämna ut uppgifter mellan verkets olika verksamhetsgrenar. Det finns särskilda bestämmelser som gäller för att lämna ut personuppgifter från beskattningsverksamheten, folkbokföringsverksamheten, id-kortsverksamheten, äktenskapsregister- och bouppteckningsverksamheterna samt SPAR-verksamheten.

Att lämna ut personuppgifter enligt offentlighetsprincipen

Skatteverket får behandla personuppgifter för att lämna ut dem i enlighet med offentlighetsprincipen även om utlämnandet inte omfattas av ändamålen för behandlingen av uppgifterna (artikel 86 EU:s dataskyddsförordning och 1 kap. 7 § kompletterande dataskyddslag).

Begränsningsregeln

När Skatteverket ska lämna ut sammanställningar av personuppgifter ur elektroniska informationssamlingar (potentiella handlingar) finns det en viktig begränsning. Om det finns en begränsning av vilka sökbegrepp som Skatteverket får använda för sökningar i informationssamlingen gäller denna begränsning även vid hanteringen av en begäran om att ta del av en allmän handling (2 kap. 7 § TF). Om Skatteverket inte får göra en viss sammanställning för sin egen verksamhet, får verket inte heller göra en sådan sammanställning för att lämna ut personuppgifter i enlighet med offentlighetsprincipen.

Att lämna ut personuppgifter för att informera om behandlingen

Skatteverket får behandla personuppgifter för att lämna ut uppgifter för att uppfylla sin skyldighet att lämna information när den registrerade ansöker om det, s.k. registerutdrag (artikel 15 EU:s dataskyddsförordning). Detta gäller även om ett utlämnande inte omfattas av ändamålen för behandlingen av personuppgifterna. Innan Skatteverket kan lämna ut några uppgifter ska verket även göra en sekretessprövning för att ta ställning till om uppgifterna kan lämnas ut eller inte.

Att lämna ut känsliga personuppgifter inom arbetsrätten

Som arbetsgivare behandlar Skatteverket känsliga personuppgifter. Dessa personuppgifter får bara lämnas ut till tredje man om det inom arbetsrätten finns en skyldighet för Skatteverket att göra det eller om den registrerade uttryckligen samtycker till att uppgifterna lämnas ut (3 kap. 2 § kompletterande dataskyddslag). Innan Skatteverket kan lämna ut några uppgifter ska verket även göra en sekretessprövning för att ta ställning till om uppgifterna kan lämnas ut eller inte.

Mottagarens behandling av uppgifterna måste vara förenlig med EU:s dataskyddsförordning eller någon kompletterande författning

Om den handling eller de uppgifter som Skatteverket ska lämna ut innehåller personuppgifter, måste Skatteverket ta ställning till om mottagarens behandling av uppgifterna är förenlig med EU:s dataskyddsförordning eller med någon författning som kompletterar EU:s dataskyddsförordning. Sekretess gäller nämligen för uppgifterna om utlämnandet kan medföra att personuppgifterna kommer att behandlas i strid med EU:s dataskyddsförordning eller den kompletterande dataskyddslagen (21 kap. 7 § OSL).

Den behandling som avses är behandlingen av personuppgifterna hos mottagaren efter att uppgifterna har lämnats ut. Detta betyder att Skatteverket kan behöva fråga mottagaren hur de behandlade personuppgifterna ska användas innan Skatteverket lämnar ut några uppgifter. Denna bestämmelse ska tillämpas när Skatteverket lämnar ut personuppgifter både i pappersform och i elektronisk form.

Utlämnandet får inte hindras av sekretess

Innan Skatteverket lämnar ut några uppgifter ska verket alltid göra en sekretessprövning för att ta ställning till om uppgifterna kan lämnas ut eller inte. I offentlighets- och sekretesslagen finns sekretessbestämmelser för Skatteverkets olika verksamhetsgrenar. Läs mer om vilka sekretessbestämmelser som gäller i Skatteverkets olika verksamhetsgrenar i avsnittet Sekretessregler.

Utlämnandet av uppgifter ska ske på ett säkert sätt

Eftersom ett utlämnande är en behandling av personuppgifter ska Skatteverket följa bestämmelserna om säkerhet för personuppgifter enligt EU:s dataskyddsförordning. Det innebär att Skatteverket ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som myndigheten behandlar. Bland sådana säkerhetsåtgärder finns säkra former för utlämnande.

Olika sätt att lämna ut uppgifter

Skatteverket kan lämna ut uppgifter på olika sätt, exempelvis

• muntligt
• skriftligt på papper
• i elektronisk form.

Det finns inga bestämmelser i EU:s dataskyddsförordning eller i den kompletterande dataskyddslagen som särskilt reglerar i vilken form Skatteverket får lämna ut behandlade personuppgifter. Om det inte heller finns någon bestämmelse om detta i någon registerförfattning, så ska Skatteverket tillämpa de allmänna bestämmelserna i EU:s dataskyddsförordning om grundläggande krav på behandlingen, säkerhet vid behandlingen o.s.v. Detta innebär bland annat att nödvändiga säkerhetsåtgärder måste vidtas för att skapa en tillräcklig säkerhetsnivå när uppgifter lämnas ut.

Det finns särskilda bestämmelser i registerförfattningarna som gäller för att lämna ut behandlade personuppgifter från beskattningsverksamheten, folkbokföringsverksamheten, id-kortsverksamheten, äktenskapsregister- och bouppteckningsverksamheterna samt SPAR-verksamheten. De särskilda bestämmelserna kan innehålla begränsningar eller hinder mot att lämna ut uppgifter överhuvudtaget i elektronisk form. Dessa bestämmelser kompletterar de allmänna bestämmelserna.

Vad innebär det att lämna ut personuppgifter i elektronisk form?

Att lämna ut personuppgifter i elektronisk form kan i teknisk mening ske på flera olika sätt. För flera av Skatteverkets verksamheter – som har lagstiftning som kompletterar EU:s dataskyddsförordning – har det betydelse på vilket sätt uppgifterna lämnas ut. Enligt denna kompletterande reglering sker ett utlämnande antingen genom att Skatteverket ger mottagaren direktåtkomst till personuppgifterna eller genom att personuppgifterna lämnas ut på medium för automatiserad behandling.

Direktåtkomst

Det finns ingen legaldefinition av begreppet direktåtkomst. Vanligtvis menar man med direktåtkomst att någon har direkt tillgång till någon annans databas eller informationssamling och på egen hand kan söka efter information, men inte påverka innehållet i databasen eller informationssamlingen. Direktåtkomsten kan även ge användaren en möjlighet att hämta hem information till sitt eget system och att bearbeta den där (prop. 2007/08:160 s. 57).

Högsta förvaltningsdomstolen har i en dom uttalat att den avgränsning som görs i 2 kap. 3 § andra stycket TF (bestämmelsen regleras i dag i 2 kap. 6 § TF) för när en upptagning anses förvarad hos en myndighet kan användas för att bestämma innehållet i begreppet direktåtkomst. Målet i domstolen gällde socialnämndernas åtkomst till uppgifter i Försäkringskassans socialförsäkringsdatabas. Försäkringskassan gav socialnämnder åtkomst till vissa uppgifter i socialförsäkringsdatabasen, via it-systemet LEFI Online. Socialnämnderna behövde uppgifterna för handläggning av sina ärenden. Högsta förvaltningsdomstolen konstaterade att uppgiftsutlämnandet skedde via en fråga–svarstjänst med fördefinierade frågor och svar. Socialnämnden skickade en frågefil avseende en person i taget. Filen innehöll uppgifter om personnummer och vilka uppgifter som efterfrågades. Försäkringskassans it-system hämtade in den efterfrågade informationen från olika interna källor och sammanställde ett svar. Genom ett automatiserat förfarande genomfördes en behörighetskontroll och två sekretesskontroller. En svarsfil skickades inom några sekunder till socialnämnden.

Högsta förvaltningsdomstolen konstaterade att socialnämnderna inte kunde söka på egen hand i informationen i socialförsäkringsdatabasen. Ett utlämnande via LEFI Online förutsatte att Försäkringskassan reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. Högsta förvaltningsdomstolen uttalade att den avgränsning som görs i 2 kap. 3 § andra stycket TF (2 kap. 6 § TF i gällande författning) för när en upptagning anses förvarad hos en myndighet, kan användas för att bestämma innehållet i begreppet direktåtkomst i detta sammanhang. Socialnämnderna ansågs inte ha någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket TF Högsta förvaltningsdomstolen ansåg därför att förfarandet inte var att betrakta som direktåtkomst (HFD 2015 ref. 61)

Skatteverket måste göra en sekretessprövning innan direktåtkomst medges

Möjligheten att medge en mottagare av personuppgifter direktåtkomst till uppgifterna är vanligtvis reglerad i lag eller förordning. En bestämmelse om att direktåtkomst är tillåten medför inte att eventuell sekretess för uppgifterna bryts. Om de uppgifter som ska lämnas ut genom direktåtkomst är sekretessbelagda krävs det att en sekretessbrytande bestämmelse kan tillämpas för att det ska vara tillåtet att lämna ut uppgifterna. Skatteverket måste därför göra en sekretessprövning av om Skatteverket kan lämna ut uppgifterna innan direktåtkomst medges.

Medium för automatiserad behandling

Att lämna ut personuppgifter på medium för automatiserad behandling innebär att uppgifterna lämnas ut t.ex.

• på en cd-skiva eller dvd-skiva
• på ett USB-minne
• genom överföring via e-post
• genom filöverföring från ett it-system till ett annat.

Måste Skatteverket lämna ut personuppgifter i elektronisk form?

Skatteverket har ingen skyldighet att lämna ut uppgifter på annat sätt än i pappersform om det inte är särskilt föreskrivet.

Att lämna ut personuppgifter via e-post

Skatteverket ska vid all behandling av personuppgifter vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som Skatteverket behandlar (artikel 32 EU:s dataskyddsförordning). Detta gäller även när Skatteverket lämnar ut personuppgifter via t.ex. e-post. Detta innebär att ett utlämnande via e-post bara kan ske om Skatteverket kan garantera en lämplig säkerhetsnivå för uppgifterna.

Vid bedömning av vad som är en lämplig säkerhetsnivå ska Skatteverket ta hänsyn till samtliga omständigheter kring behandlingen av personuppgifterna. Vilka säkerhetsåtgärder som Skatteverket behöver vidta beror på vad det är för uppgifter som Skatteverket ska behandla. Personuppgifter som omfattas av sekretess kräver en högre säkerhetsnivå än personuppgifter som är offentliga.

Skatteverket ska normalt inte lämna ut sekretessbelagda uppgifter via e-post

Huvudregeln är att Skatteverket inte kan skicka uppgifter som omfattas av sekretess till en extern mottagare via e-post. Sekretessbelagda uppgifter får inte skickas via e-post ens till den som uppgifterna berör. Detta beror på att säkerheten vid överföringen via e-post inte är tillräcklig för den typen av uppgifter.

JO har kritiserat Skatteverket för att i ett enskilt fall ha skickat sekretessbelagda uppgifter via e-post. JO konstaterade att sekretessbelagda uppgifter ska behandlas med stor omsorg och noggrannhet. När uppgifter som omfattas av sekretess skickas via e-post ställs därför som regel mycket höga krav på säkerhet (JO 2015-12-03, dnr 1193-2014).

Undantag från huvudregeln finns dock. Sekretessbelagda uppgifter kan till exempel skickas till en extern mottagare via en e-brevlåda genom Mina meddelanden. Det är möjligt eftersom den infrastrukturen är mer säker än vanlig e-post.

Skatteverket kan lämna ut enstaka offentliga personuppgifter via e-post

Skatteverket kan skicka enstaka offentliga personuppgifter via e-post till en extern mottagare. Med enstaka menar Skatteverket högst tre stycken. Säkerheten vid överföringen via e-post är inte tillräckligt hög för en större mängd personuppgifter. Det är dock möjligt att skicka fler offentliga uppgifter till en extern mottagare via en e-brevlåda genom Mina meddelanden. Denna infrastruktur är mer säker än vanlig e-post.

Information som är offentlig och som inte innehåller några personuppgifter kan vanligtvis skickas till en extern mottagare via e-post.

Avgifter för att lämna ut personuppgifter

När och hur Skatteverket ska ta ut en avgift för att lämna ut personuppgifter beskrivs i avsnittet som handlar om Avgiftsförordningen. Det finns även bestämmelser om avgifter för att lämna ut uppgifter i de särskilda registerförfattningar som gäller för behandling av uppgifter i Skatteverkets beskattningsverksamhet, folkbokföringsverksamhet och äktenskapsregister- och bouppteckningsverksamheter.