Hur personuppgifter får behandlas

Principer för behandling av personuppgifter

När Skatteverket behandlar personuppgifter inom folkbokföringsverksamheten ska artikel 5 i EU:s dataskyddsförordning om principer för behandling av personuppgifter tillämpas. Dessa principer är

• laglighet, korrekthet och öppenhet
• ändamålsbegränsning
• uppgiftsminimering
• riktighet
• lagringsminimering
• integritet och konfidentialitet.

Laglig behandling av personuppgifter

Skatteverket måste alltid ha minst en rättslig grund för varje behandling av personuppgifter i folkbokföringsverksamheten, annars är behandlingen inte laglig och därmed inte tillåten (artikel 6 i EU:s dataskyddsförordning). I folkbokföringsverksamheten är de rättsliga grunderna vanligtvis allmänt intresse och myndighetsutövning och rättslig förpliktelse. Dessa rättsliga grunder ska fastställas i enlighet med antingen unionsrätten eller svensk rätt. Det innebär att rättsliga förpliktelser, uppgifter av allmänt intresse och myndighetsutövning måste vara rättsligt förankrade i unionsrätten eller svensk rätt. Kraven kan jämföras med regleringen i 5 § FL om att myndigheter endast får vidta åtgärder som har stöd i rättsordningen.

I folkbokföringsverksamheten är folkbokföringslagen, föräldrabalken, äktenskapsbalken och lagen om personnamn exempel på rättsliga grunder. Genom bestämmelser i de lagarna ges Skatteverket en skyldighet att vidta åtgärder som innefattar behandling av personuppgifter. Regleringen bildar då behandlingens rättsliga grund. En registerlag, t.ex. FdbL, utgör normalt inte i sig själv en rättslig grund för behandling av personuppgifter i folkbokföringsverksamhetens kärnverksamhet.

Ändamål för behandling av personuppgifter

Kärnverksamheten för folkbokföringsverksamheten är att föra och tillhandahålla uppdaterade uppgifter i folkbokföringsdatabasen till andra myndigheter och till samhället i stort. Skatteverket får bara behandla insamlade uppgifter i folkbokföringsverksamheten för särskilda, i förväg uttryckligt bestämda och berättigade ändamål. FdbL räknar upp för vilka ändamål Skatteverket får behandla uppgifter i folkbokföringsverksamheten (1 kap. 4 § FdbL). Dessa ändamål anger den yttersta ramen för när personuppgifterna får behandlas. De angivna ändamålen gäller för behandling av uppgifter både i och utanför folkbokföringsdatabasen. Bestämmelserna om ändamål gäller även vid behandling av uppgifter om avlidna (1 kap. 1 § andra stycket FdbL).

Behandling för primära ändamål

Skatteverket får behandla personuppgifter för att tillhandahålla information som behövs för följande ändamål (1 kap. 4 § första stycket FdbL):

• Behandla, kontrollera och analysera identifieringsuppgifter för fysiska personer och andra folkbokföringsuppgifter. Detta innefattar att fullgöra vissa kvalitetskontroller när uppgifter ska registreras i databasen samt att göra kontroller och analyser av riktigheten av registrerade uppgifter. Arbetet förutsätter att bl.a. urvalskontroller görs, det vill säga analyser av vilka personer som ska granskas.
• Handlägga folkbokföringsärenden, d.v.s. samtliga ärenden som Skatteverket handlägger i folkbokföringsverksamheten, ärenden enligt folkbokföringslagen men även t.ex. ärenden enligt ÄktB, FB och lag (2016:1013) om personnamn (prop. 2000/01:33 s. 205).
• Fullgöra underrättelseskyldighet enligt en lag eller förordning t.ex. skyldigheten att underrätta SCB om att myndigheten registrerat adoption, invandring eller utvandring.
• Framställa personbevis och andra registerutdrag, t.ex. via Skatteverkets e-tjänst.
• Aktualisera, komplettera och kontrollera personuppgifter, t.ex. via aviseringssystemet Navet.
• Göra urval av personuppgifter, t.ex. via aviseringssystemet Navet.
• Utöva intern tillsyn, kontrollera, följa upp och planera folkbokföringsverksamheten, d.v.s. kartlägga verksamheten för åtgärder som ska vidtas i framtiden.

Behandling för sekundära ändamål

Uppgifter som Skatteverket behandlar för något av de primära ändamålen får även behandlas för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning (1 kap. 4 § andra stycket första meningen FdbL). Uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftsutlämnande (prop. 2017/18:95 s. 107). Ändamålet för behandlingen är därmed tillåtet, men utlämnandet måste även basera sig på en bestämmelse i lag eller förordning som då kommer att utgöra den rättsliga grunden. En sådan kan vara 6 kap. 5 § OSL eller offentlighetsprincipen (2 kap. TF).

Behandling för andra ändamål enligt finalitetsprincipen

Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna från början samlades in (1 kap. 4 § andra stycket sista meningen FdbL). Detta brukar kallas finalitetsprincipen och innebär att uppgifter som har samlats in för ett ändamål senare får användas för ett annat ändamål så länge det är förenligt med det ursprungliga ändamålet. Vad som är ett förenligt ändamål får bedömas från fall till fall. Vid den prövningen bör man utgå från vad en registrerad person rimligen kan förvänta sig för ny behandling mot bakgrund av det ursprungliga ändamålet.

I EU:s dataskyddsförordning benämns finalitetsprincipen som ändamålsbegränsning.

Behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 EU:s dataskyddsförordning ska inte anses vara oförenlig med insamlingsändamålen (prop. 2017/18:95 s. 54 f.).

Säkerhet vid behandling av personuppgifter

När Skatteverket behandlar uppgifter i folkbokföringsverksamheten måste myndigheten säkerställa att det finns en lämplig nivå på säkerheten, både tekniskt och organisatoriskt.