Säkerhet för personuppgifter

Säkerhet i samband med behandlingen

EU:s dataskyddsförordning innehåller bestämmelser om krav på säkerhet vid behandling av personuppgifter (artikel 32 EU:s dataskyddsförordning). Bestämmelserna rör

• hur personer som behandlar personuppgifter under myndighetens ledning ska behandla uppgifterna
• hur ett personuppgiftsbiträde som behandlar personuppgifter för myndighetens räkning ska behandla uppgifterna
• vilka säkerhetsåtgärder myndigheten ska vidta för att skydda personuppgifterna som behandlas.

Behovet av säkerhetsåtgärder ska löpande ses över och vid behov uppdateras (artikel 24 EU:s dataskyddsförordning).

Det kan finnas bestämmelser om säkerhetsåtgärder även i andra lagar och förordningar, t.ex. ArkivL. Skatteverket ska tillämpa även de bestämmelserna på den personuppgiftsbehandling som görs i Skatteverkets verksamhet. Kravet på informationssäkerhet finns också i bl.a. säkerhetsskyddslagen (2018:585) och förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap.

Anställda ska följa Skatteverkets instruktioner

Anställda och andra som arbetar under ledning av Skatteverket ska behandla personuppgifter i enlighet med de instruktioner som Skatteverket ger. Om det i en lag eller annan författning finns kompletterande bestämmelser om behandling av personuppgifter i det allmännas verksamhet ska den som arbetar under Skatteverkets ledning också följa de bestämmelserna.

Personuppgiftsbiträden ska följa Skatteverkets instruktioner och kunna vidta nödvändiga säkerhetsåtgärder

Ett personuppgiftsbiträde och den som arbetar under person­uppgifts­biträdets ledning ska behandla personuppgifterna i enlighet med de instruktioner som Skatteverket ger. Om det i en lag eller annan författning finns särskilda bestämmelser om behandling av personuppgifter i det allmännas verksamhet ska person­uppgifts­biträdet och den som arbetar under person­uppgifts­biträdets ledning följa även de bestämmelserna (artikel 32 EU:s dataskyddsförordning).

När Skatteverket anlitar ett personuppgiftsbiträde ska Skatteverket säkerställa att person­uppgifts­biträdet kan vidta nödvändiga säkerhetsåtgärder. Skatteverket ska även kontrollera att biträdet verkligen vidtar dessa säkerhetsåtgärder. Det ska också finnas ett s.k. person­uppgifts­biträdes­avtal.

Personuppgiftsbiträdesavtal

Skatteverket ska skriva ett person­uppgifts­biträdes­avtal med person­uppgifts­biträdet (artikel 28.3 EU:s dataskyddsförordning). Syftet med avtalet är bland annat att garantera att säkerhet och sekretess för personuppgifterna inte påverkas negativt på grund av att den personuppgiftsansvariga anlitar ett personuppgiftsbiträde i stället för att utföra personuppgiftsbehandlingen själv.

I ett person­uppgifts­biträdes­avtal ska bland annat följande anges:

• Person­uppgifts­biträdet, och den som arbetar under biträdets ledning, får behandla personuppgifterna bara i enlighet med instruktioner från den personuppgiftsansvariga.
• Person­uppgifts­biträdet är skyldigt att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas.

Det är Skatteverket som har ansvar för att ett person­uppgifts­biträdes­avtal upprättas. Ett sådant avtal ska skrivas innan person­uppgifts­biträdet påbörjar behandlingen av personuppgifterna. Person­uppgifts­biträdes­avtalet ska även innehålla instruktioner för personuppgiftsbehandlingen.

Vilka säkerhetsåtgärder ska vidtas vid personuppgiftsbehandlingen?

Skatteverket ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som myndigheten behandlar (artikel 32 EU:s dataskyddsförordning). Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig mot bakgrund av följande:

• hur känsliga de behandlade personuppgifterna är
• de särskilda risker som finns med personuppgiftsbehandlingen
• kostnaden för att genomföra åtgärderna
• vilka tekniska möjligheter som finns.

Syftet med bestämmelserna om säkerhetsåtgärder i EU:s dataskyddsförordning är att skydda de registrerade personernas personliga integritet.

Vilka personuppgifter Skatteverket ska behandla påverkar vilka säkerhetsåtgärder myndigheten behöver vidta. Om Skatteverket ska behandla känsliga personuppgifter, personuppgifter om lagöverträdelser eller uppgifter som omfattas av sekretess behöver Skatteverket vidta andra säkerhetsåtgärder än om myndigheten inte behandlar den typen av uppgifter. Om Skatteverket behandlar personuppgifter som rör ett stort antal personer är kraven på den säkerhet som måste uppnås högre än om Skatteverket behandlar uppgifter som rör få personer.

Skatteverket skulle t.ex. kunna använda följande säkerhetsåtgärder vid en personuppgiftsbehandling:

• fysiskt skydd av den tekniska utrustning som används för att behandla personuppgifter
• rutiner för tillträdeskontroll till det utrymme där den tekniska utrustningen finns
• rutiner för tilldelning och kontroll av behörigheter – enbart de personer som behöver uppgifterna för att utföra sina arbetsuppgifter bör ha tillgång till personuppgifterna
• behandlingshistorik (logg) för att kunna kontrollera vilka personer som har haft tillgång till personuppgifterna
• rutiner för incidentrapportering
• rutiner för säkerhetskopiering av uppgifterna
• skydd mot att personuppgifterna förstörs, ändras eller förvanskas
• kryptering av behandlade uppgifter
• utbildning av den personal som ska utföra behandlingen
• policy för användning av internet och e-post.

Skatteverket ska tillämpa bestämmelserna om säkerhetsåtgärder för personuppgiftsbehandlingen även om den registrerade samtycker till en annan behandling.

Risk- och sårbarhetsanalyser

Vid bedömning av vad som är en lämplig säkerhetsnivå ska Skatteverket ta hänsyn till samtliga omständigheter kring behandlingen. För att göra det på ett strukturerat sätt bör Skatteverket göra en risk- och sårbarhetsanalys innan en tänkt behandling av personuppgifter påbörjas. En sådan analys kan användas som underlag för att bedöma vilken säkerhetsnivå som är lämplig och vilka säkerhetsåtgärder som behöver vidtas.

Instruktioner för personuppgiftsbehandlingen

Skatteverket ska skriva instruktioner för hur personuppgifter ska behandlas för Skatteverkets räkning. De som behandlar personuppgifter för Skatteverkets räkning kan vara t.ex. anställda och uppdragstagare. Skatteverket ska skriva instruktioner även för de personuppgiftsbiträden som Skatteverket anlitar för att behandla personuppgifter för Skatteverkets räkning. Instruktionerna kan ingå i person­uppgifts­biträdes­avtalet eller utgöra ett separat dokument. Skatteverket ska också följa upp att instruktionerna följs (artikel 28 EU:s dataskyddsförordning).

Vilka instruktioner ska finnas för personuppgiftsbehandlingen?

Skatteverkets instruktioner för personuppgiftsbehandlingen ska vara så tydliga att otillåten behandling inte kommer att utföras. Alla som behandlar personuppgifter för myndighetens räkning ska känna till åtminstone för vilka ändamål uppgifterna behandlas och att behandling som är oförenlig med dessa ändamål inte är tillåten.

Vilka instruktioner som behövs för en personuppgiftsbehandling får avgöras i det enskilda fallet. Det skulle t.ex. kunna vara instruktioner om:

• ändamålen för behandlingen
• vilka uppgifter som får behandlas
• hur uppgifterna ska behandlas
• hur länge uppgifterna ska sparas
• hur uppgifterna ska gallras
• hur behandlingen ska dokumenteras
• hur kontroll och uppföljning av behandlingen ska göras
• vilka säkerhetsåtgärder som ska vidtas
• rutiner för rättelse av felaktiga personuppgifter
• hur en begäran om utlämnande av uppgifterna ska hanteras.

Personuppgiftsincidenter

Skatteverket måste ha rutiner för att kunna upptäcka, rapportera och utreda personuppgiftsincidenter. En personuppgiftsincident är en säkerhetsincident som kan innebära risker för människors friheter och rättigheter (artikel 4.12 EU:s dataskyddsförordning), de registrerade kan också drabbas av ekonomisk skada. Riskerna kan innebära att någon förlorar kontrollen över sina uppgifter eller att rättigheterna inskränks, t.ex. genom diskriminering, identitetsstöld, bedrägeri, brott mot sekretess eller tystnadsplikt.

En personuppgiftsincident har inträffat om t.ex. uppgifter om en eller flera registrerade personer har

• blivit förstörda
• gått förlorade på annat sätt
• kommit i orätta händer.

Allmänhetens förtroende för Skatteverket kan påverkas om en personuppgiftsincident inte skulle hanteras på ett lämpligt sätt. En personuppgiftsincident kan även leda till sanktionsavgifter.

Anmälan om personuppgiftsincident

Skatteverket måste anmäla vissa typer av personuppgiftsincidenter till Datainspektionen. Anmälan ska göras inom 72 timmar efter det att överträdelsen har upptäckts. Anmälan ska innehålla (artikel 33 EU:s dataskyddsförordning):

• en beskrivning av personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,
• namnet på och kontaktuppgifterna för dataskyddsombudet eller andra kontaktpunkter där mer information kan erhållas
• en beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten
• en beskrivning av de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda eller mildra konsekvenserna av personuppgiftsincidenten.

Information om personuppgiftsincident

Skatteverket måste enligt huvudregeln informera de registrerade omedelbart om det är stor risk att deras rättigheter och friheter kan påverkas, till exempel om det finns risk för id-stöld eller bedrägeri (artikel 34 EU:s dataskyddsförordning).

Informationen ska innehålla:

• en tydlig beskrivning av orsaken till personuppgiftsincidenten
• namn och kontaktuppgifter till dataskyddsombudet
• troliga följder av personuppgiftsincidenten
• en beskrivning av hur Skatteverket hanterar personuppgiftsincidenten och vad myndigheten gör för att mildra följderna av personuppgiftsincidenten.

Syftet med informationen är att de registrerade ska kunna få hjälp med att mildra följderna av en personuppgiftsincident. Om det skulle krävas en oproportionerlig ansträngning att informera de registrerade kan informationen istället ges till allmänheten.