OBS: Detta är utgåva 2021.18. Visa senaste utgåvan.
OBS: Detta är utgåva 2021.18. Visa senaste utgåvan.
- Vägledning »
- 2021 »
- Dataskydd & sekretess »
- Dataskydd »
- Grundläggande bestämmelser
Grundläggande bestämmelser
I EU:s dataskyddsförordning och kompletterande dataskyddslag samt kompletterande dataskyddsförordning finns allmänna bestämmelser för när personuppgifter får behandlas. Där finns bestämmelser om grundläggande krav som ska uppfyllas vid behandling av personuppgifter och krav på säkerhetsåtgärder. Författningarna innehåller även bestämmelser om de registrerades rättigheter, om skadestånd och sanktionsavgifter och om dataskyddsombud. Vid behandling av personuppgifter i brottsbekämpande syfte gäller ett EU-direktiv, som genomförts i svensk rätt av BDL.
-
Dataskyddsregler och den personliga integriteten
Enskildas skydd för sina personuppgifter handlar om att skydda den personliga integriteten och därmed även rätten till privatliv. Ett av syftena med de dataskyddsregler som Skatteverket har att tillämpa är att se till att verket uppfyller detta. -
Vad är personuppgifter och behandling av personuppgifter?
Personuppgifter är uppgifter som kan identifiera en fysisk levande person. Det finns dock viss dataskyddsreglering som även omfattar avlidna personer samt juridiska personer. Vissa kategorier av personuppgifter har strängare krav för behandling än andra. All hantering av personuppgifter utgör en form av behandling. -
Vilka dataskyddsbestämmelser ska tillämpas?
Vid de större verksamheterna vid Skatteverket gäller särskilda registerförfattningar som kompletterar EU:s dataskyddsförordning. I andra delar av Skatteverkets verksamhet ska bara de allmänna bestämmelserna om dataskydd (personuppgiftsbehandling) tillämpas, d.v.s. EU:s dataskyddsförordning och den kompletterande dataskyddslagen med tillhörande förordning. Brottsdatalagen är generellt tillämplig för brottsbekämpande verksamhet men för Skatteverkets egen brottsbekämpande verksamhet gäller även SBDL. -
Rättslig grund för behandling av personuppgifter
Skatteverket måste alltid ha minst en rättslig grund för varje behandling av personuppgifter. Om det inte finns någon rättslig grund är behandlingen inte laglig och därmed inte tillåten. -
Grundläggande principer
All personuppgiftsbehandling som Skatteverket är personuppgiftsansvarigt för måste alltid uppfylla de grundläggande principerna i EU:s dataskyddsförordning eller BDL. -
Ansvar och krav vid behandling av personuppgifter
Skatteverket ansvarar för den behandling av personuppgifter som görs hos myndigheten. Skatteverket kan under vissa förutsättningar överlåta behandlingen av personuppgifter åt ett personuppgiftsbiträde. Som personuppgiftsansvarigt ska Skatteverket bl.a. föra ett register över personuppgiftsbehandlingar som verket har ett personuppgiftsansvar för, genomföra konsekvensbedömningar samt, vid behov, samråda med Integritetsskyddsmyndigheten (tidigare Datainspektionen). -
Överföring till tredje land och personuppgiftsbehandling i molntjänster
Vid överföring av personuppgifter till medlemsstater, tredje land och internationella organisationer gäller särskilda villkor som Skatteverket måste beakta. Med medlemsstater menas stater som är medlemmar i EU samt Island, Liechtenstein, Norge och Schweiz. Reglerna om överföring av personuppgifter omfattar även överföring till internationella organisationer. Bestämmelserna kan även aktualiseras när personuppgifter behandlas i en molntjänst. -
Säkerhet för personuppgifter
Skatteverket måste ha en lämplig säkerhetsnivå för de personuppgifter som myndigheten behandlar. Vad som är en lämplig nivå beror bland annat på riskerna med behandlingen, tekniska möjligheter, kostnader och vilken typ av uppgifter som behandlas. Vid bedömningen ska särskild hänsyn tas till risken för oavsiktlig eller olaglig förstörning, förlust, ändring, eller obehörigt röjande av eller obehörig åtkomst till personuppgifterna. -
Registrerades rättigheter
En del av personuppgiftskyddet är enskildas rätt att få veta hur Skatteverket behandlar deras personuppgifter, rätten att begära rättelse, radering, begränsning av behandling, dataportabilitet och invändning mot behandling. De har även rätt att klaga och överklaga. Detta är en förutsättning för att enskilda ska kunna kontrollera behandlingen och tillvarata sina intressen. Information som lämnas ska i princip alltid vara lättillgänglig och lättbegriplig samt lämnas i lämplig form. -
Lämna ut personuppgifter som behandlas elektroniskt
Att lämna ut personuppgifter som behandlas elektroniskt innebär att man gör ytterligare en behandling av uppgifterna. Behandlingen måste vara tillåten enligt EU:s dataskyddsförordning och BDL samt övriga kompletterande bestämmelser. Därutöver krävs stöd i en sekretessbrytande bestämmelse om uppgifterna omfattas av sekretess. -
Bevara eller gallra personuppgifter
EU:s dataskyddsförordning innehåller bestämmelser om hur länge personuppgifter får bevaras. I BDL finns bestämmelser om längsta tid för behandling. I arkivlagen finns bestämmelser om hur myndigheter ska bevara och gallra allmänna handlingar. Särskilda bestämmelser gäller för att bevara och gallra uppgifter i Skatteverkets olika verksamhetsgrenar. -
Dataskyddsombud
Skatteverket ska ha tre dataskyddsombud. Dataskyddsombuden har en självständig ställning gentemot Skatteverket och måste bland annat ha god kunskap om dataskyddslagstiftning och Skatteverkets verksamhet. -
Tillsynsmyndighet
Integritetsskyddsmyndigheten (f.d. Datainspektionen) är tillsynsmyndighet och ansvarar bl.a. för övervakningen och tillämpningen av EU:s dataskyddsförordning och BDL. Integritetsskyddsmyndighetens befogenheter är dels förebyggande, dels korrigerande. -
Sanktionsavgifter
Referenser inom dataskydd & sekretess
Rättslig vägledning, länk till startsidan
Tillsammans gör vi samhället möjligt