Hur personuppgifter får behandlas

Principer för behandling av personuppgifter

När Skatteverket behandlar personuppgifter inom folkbokföringsverksamheten ska artikel 5 i EU:s dataskyddsförordning om principer för behandling av personuppgifter tillämpas. Dessa principer är

• laglighet, korrekthet och öppenhet
• ändamålsbegränsning
• uppgiftsminimering
• riktighet
• lagringsminimering
• integritet och konfidentialitet

Laglig behandling av personuppgifter

Skatteverket måste alltid ha minst en rättslig grund för varje behandling av personuppgifter i folkbokföringsverksamheten, annars är behandlingen inte laglig och därmed inte tillåten (artikel 6 i EU:s dataskyddsförordning). I folkbokföringsverksamheten är de rättsliga grunderna vanligtvis allmänt intresse och myndighetsutövning och rättslig förpliktelse. Dessa rättsliga grunder ska fastställas i enlighet med antingen unionsrätten eller svensk rätt. Det innebär att rättsliga förpliktelser, uppgifter av allmänt intresse och myndighetsutövning måste vara rättsligt förankrade i unionsrätten eller svensk rätt. Kraven kan jämföras med regleringen i 5 § FL om att myndigheter endast får vidta åtgärder som har stöd i rättsordningen.

I folkbokföringsverksamheten är folkbokföringslagen, föräldrabalken, äktenskapsbalken och lagen om personnamn exempel på rättsliga grunder. Genom bestämmelser i de lagarna åläggs Skatteverket att vidta åtgärder som innefattar behandling av personuppgifter. Regleringen bildar då behandlingens rättsliga grund. En registerlag, t.ex. FdbL, utgör normalt inte i sig själv en rättslig grund för behandling av personuppgifter i folkbokföringsverksamhetens kärnverksamhet.

Ändamål för behandling av personuppgifter

Skatteverket får bara behandla uppgifter i folkbokföringsverksamheten för särskilda, i förväg uttryckligt bestämda och berättigade ändamål. FdbL räknar upp för vilka ändamål Skatteverket får behandla uppgifter i folkbokföringsverksamheten (1 kap. 4 § FdbL). De angivna ändamålen gäller för behandling av uppgifter både i och utanför folkbokföringsdatabasen. Bestämmelserna om ändamål gäller även vid behandling av uppgifter om avlidna (1 kap. 1 § andra stycket FdbL).

Skatteverket får behandla personuppgifter för att tillhandahålla information som behövs för följande ändamål (1 kap. 4 § FdbL):

• behandla, kontrollera och analysera identifieringsuppgifter för fysiska personer och andra folkbokföringsuppgifter
• handlägga folkbokföringsärenden, d.v.s. samtliga ärenden som Skatteverket handlägger i folkbokföringsverksamheten, t.ex. ärenden enligt ÄktB, FB och lag (2016:1013) om personnamn (prop. 2000/01:33 s. 205)
• fullgöra underrättelseskyldighet enligt en lag eller förordning
• framställa personbevis och andra registerutdrag
• aktualisera, komplettera och kontrollera personuppgifter
• göra urval av personuppgifter
• utöva tillsyn, kontrollera, följa upp och planera folkbokföringsverksamheten (avser intern kontroll och tillsyn över den löpande verksamheten).

Behandling för andra ändamål

Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna från början samlades in. Detta brukar kallas finalitetsprincipen och innebär att uppgifter som har samlats in för ett ändamål senare får användas för ett annat ändamål så länge det är förenligt med det ursprungliga ändamålet. Vad som är ett förenligt ändamål får bedömas från fall till fall.

I EU:s dataskyddsförordning benämns finalitetsprincipen som ändamålsbegränsning.

Behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 EU:s dataskyddsförordning ska inte anses vara oförenlig med insamlingsändamålen (prop. 2017/18:95 s. 54 f.).

Säkerhet vid behandling av personuppgifter

När Skatteverket behandlar uppgifter i folkbokföringsverksamheten måste myndigheten säkerställa att det finns en lämplig nivå på säkerheten, både tekniskt och organisatoriskt.