OBS: Detta är utgåva 2020.3. Visa senaste utgåvan.
Skatteverket måste alltid ha minst en rättslig grund för varje behandling av personuppgifter. Om det inte finns någon rättslig grund är behandlingen inte laglig och därmed inte tillåten.
Enligt artikel 6 EU:s dataskyddsförordning är en behandling av personuppgifter laglig endast om minst ett av följande villkor är uppfyllt:
För att vara laglig ska behandlingen också uppfylla kraven beträffande de grundläggande principerna i artikel 5 i EU:s dataskyddsförordning. Artiklarna 5 och 6 i EU:s dataskyddsförordning är alltså grundläggande och ska läsas tillsammans. Skillnaden mellan artiklarna är att artikel 6 reglerar ”om” personuppgifterna får behandlas, medan artikel 5 handlar om ”hur” de får behandlas.
Skatteverket får behandla personuppgifter om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (artikel 6.1 e EU:s dataskyddsförordning och 2 kap. 2 § 1 den kompletterande dataskyddslagen).
Skatteverket får också behandla personuppgifter om behandlingen är nödvändig som ett led i Skatteverkets myndighetsutövning enligt lag eller annan författning (artikel 6.1 e EU:s dataskyddsförordning och 2 kap. 2 § 2 den kompletterande dataskyddslagen).
För att behandling av personuppgifter ska vara laglig enligt artikel 6.1 e i EU:s dataskyddsförordning måste den uppgift som Skatteverket utför dels vara av allmänt intresse (eller utgöra ett led i myndighetsutövning), dels vara fastställd i enlighet med unionsrätten eller den nationella rätten. Den berörda verksamheten på Skatteverket måste alltså ha ett stöd i någon av de källor som tillsammans bildar rättsordningen (lag eller annan författning, kollektivavtal eller beslut som har meddelats med stöd av lag eller annan författning). Behandlingen måste också vara nödvändig för ett ändamål som är nödvändigt för att utföra uppgiften.
Ett exempel är när Skatteverket behandlar personuppgifter i beskattningsverksamheten. Den rättsliga grunden för behandlingen finns då i t.ex. skatteförfarandelagen eller inkomstskattelagen. Ett annat exempel är när Skatteverket behandlar personuppgifter i folkbokföringsverksamheten. Den rättsliga grunden finns då i folkbokföringslagen och andra författningar inom folkbokföringsområdet.
Ett ytterligare exempel är när Skatteverket inom den personaladministrativa verksamheten behandlar anställdas personuppgifter för t.ex. internt säkerhetsarbete. Den rättsliga grunden finns då i arbetsmiljöverkets föreskrifter.
Skatteverket får behandla personuppgifter om behandlingen är nödvändig för att myndigheten ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (artikel 6.1 c EU:s dataskyddsförordning och 2 kap. 2 § den kompletterande dataskyddslagen).
Ett exempel på när Skatteverket fullgör en rättslig förpliktelse är när verket lämnar ut uppgift ur en allmän handling i enlighet med 6 kap. 4 § OSL. Bestämmelsen i OSL om utlämnande av uppgift i allmän handling är en sådan rättslig förpliktelse som ligger på Skatteverket och som gör att Skatteverket får behandla de personuppgifter som är nödvändiga för att verket ska kunna lämna ut uppgift ur en allmän handling.
Skatteverket får behandla personuppgifter om behandlingen är nödvändig för att myndigheten ska kunna fullgöra ett avtal med den registrerade. Skatteverket får också behandla personuppgifter innan ett avtal har ingåtts, om behandlingen är nödvändig för att vidta åtgärder på den registrerades begäran (artikel 6.1 b EU:s dataskyddsförordning).
Ett exempel är när Skatteverket behandlar uppgifter om kontaktpersoner i ett leverantörsavtal mellan myndigheten och leverantören.
Med samtycke menas att den registrerade personen godkänner personuppgiftsbehandlingen. Samtycket ska ges efter att personen har fått information om behandlingen. Samtycket ska vara frivilligt och ges genom en specifik och otvetydig viljeyttring.
Samtycke regleras närmare i artikel 4 punkt 11 och i artikel 7-8 EU:s dataskyddsförordning.
Ett samtycke kan inte användas som rättslig grund för behandling av personuppgifter i fall där det råder betydande ojämlikhet mellan den registrerade och personuppgiftsansvarige. Ett sådant förhållande är särskilt vanligt mellan offentliga myndigheter och enskilda registrerade. Det är då inte givet att ett samtycke kan betraktas som frivilligt. Skatteverket har därför begränsade möjligheter att använda sig av samtycke som rättslig grund för den personuppgiftsbehandling som utförs inom myndigheten. Samtycke antas inte heller vara frivilligt om det inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter (skäl 43 EU:s dataskyddsförordning).
När Skatteverket behandlar enskildas personuppgifter i beskattningsverksamheten, folkbokföringsverksamheten m.m. blir det aldrig fråga om samtycke som rättslig grund. Rättslig grund för behandlingen i dessa verksamheter är istället allmänt intresse, myndighetsutövning eller rättslig förpliktelse.
Om behandlingen grundar sig på samtycke ska den personuppgiftsansvarige kunna visa att den som personuppgifterna avser har samtyckt till behandlingen.
Det finns inget formkrav för hur samtycke ska lämnas. Samtycke kan lämnas både muntligt och skriftligt.
Skatteverket är ansvarigt för den personuppgiftsbehandling som utförs inom myndigheten. Skatteverket måste därför kunna visa att ett samtycke finns, om samtycke är en förutsättning för att Skatteverket ska kunna utföra viss personuppgiftsbehandling. Verket bör därför dokumentera enskilda personers samtycke. Av dokumentationen bör framgå t.ex.:
Den registrerade har rätt att när som helst återkalla sitt samtycke. Det ska vara lika lätt att återkalla som att ge sitt samtycke. Om en registrerad återkallar sitt samtycke får Skatteverket inte behandla fler uppgifter om personen. Det blir däremot inte olagligt att behandla de personuppgifter som redan behandlas när samtycket återkallas. Det är endast framtida behandling som blir olaglig (artikel 7.3 EU:s dataskyddsförordning).
Det kan vara tillåtet att behandla personuppgifter efter en intresseavvägning. Det krävs då att behandlingen är nödvändig för berättigade intressen som väger tyngre än den registrerades intresse av skydd för sina personuppgifter (artikel 6.1 f EU:s dataskyddsförordning).
Myndigheter kan inte stödja sin behandling av personuppgifter på intresseavvägning när de behandlar uppgifter vid fullgörande av sina uppgifter. Skatteverket kan alltså inte behandla personuppgifter när verket utför sina uppgifter enligt skattelagstiftningen med stöd av en intresseavvägning.
Behandling av personuppgifter är tillåten om behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person (artikel 6.1 d EU:s dataskyddsförordning). Det är fråga om sådana intressen som är avgörande för den registrerades eller för någon annan persons liv.