Dataskyddsregler

Skatteverkets behandling av uppgifter vid handläggning av ärenden om evenemangsstöd

En ansökan om stöd ska göras elektroniskt på ett formulär som Skatteverket har fastställt. En ansökan ska bl.a. innehålla uppgifter om vilka intäkter och kostnader som sökanden haft för det inställda evenemanget, eller intäkter och kostnader som sökanden haft för att hålla evenemanget i begränsad omfattning. Skatteverket behandlar personuppgifter om sökande företag som är fysiska personer samt ytterligare uppgifter för att bedöma rätten till stöd samt i uppföljningssyfte och i återkravsärenden.

Vilka dataskyddsbestämmelser är tillämpliga?

Handläggningen av ärenden om evenemangsstöd enligt förordningen sker i en egen självständig verksamhetsgren. Det finns ingen specifik registerlag för verksamheten. Det innebär att de allmänna och grundläggande bestämmelserna i EU:s dataskyddsförordning och den kompletterande dataskyddslagen (lag [2018:218] med kompletterande bestämmelser till EU:s dataskyddsförordning) ska tillämpas på den personuppgiftsbehandling som sker vid handläggning av ärendena.

Hur får personuppgifter behandlas?

När Skatteverket behandlar personuppgifter i ärenden om evenemangsstöd måste Skatteverket följa de grundläggande principerna i artikel 5 EU:s dataskyddsförordning om

• laglighet (rättslig grund), korrekthet och öppenhet
• ändamålsbegränsning
• uppgiftsminimering
• riktighet
• lagringsminimering
• integritet och konfidentialitet.

Rättslig grund och ändamålsbegränsning

Skatteverket måste ha en rättslig grund för att få behandla personuppgifter i ett ärende om evenemangsstöd. Enligt artikel 6 EU:s dataskyddsförordning är behandlingen laglig om någon eller några av de villkor som anges är uppfyllda. För Skatteverkets del är det främst artikel 6.1 c (behandlingen är nödvändig för att uppfylla en rättslig förpliktelse) och e ( behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning) som är aktuella.

För att en behandling av personuppgifter ska vara tillåten måste den vara nödvändig i förhållande till den rättsliga grunden. Nödvändighetsrekvisitet har emellertid inte ansetts vara ett krav på att det ska vara omöjligt att utföra en uppgift. En behandling kan alltså anses vara nödvändig om den bidrar till effektiviseringen av tillämpningen av bestämmelserna (prop. 2017/18:105 s. 47).

För att en åtgärd ska kunna ske med stöd av en rättslig förpliktelse, allmänt intresse eller som ett led i myndighetsutövningen måste den vara fastställd i enlighet med unionsrätten eller den nationella rätten för att kunna läggas till grund för behandling av personuppgifter (jfr 2 kap. 1 § den kompletterande dataskyddslagen). Vid bedömningen av om något följer av exempelvis en lagbestämmelse kan bl.a. förarbetsuttalanden, bestämmelsens syfte och den rättsliga kontext bestämmelsen befinner sig i behöva beaktas (prop. 2017/18:105 s. 188). När det gäller allmänt intresse är det alltså arbetsuppgiften som måste vara fastställd i enlighet med gällande rätt (prop. 2017/18:105 s. 189).

I förordningen om evenemangsstöd utses Skatteverket som handläggande, beslutande och utbetalande myndighet och i samma förordning anges också de befogenheter som myndigheten har för att kunna utföra detta uppdrag. Behandlingen sker alltså eftersom den är nödvändig för att fullgöra såväl en rättslig förpliktelse som för att utföra en uppgift av allmänt intresse och som ett led i Skatteverkets myndighetsutövning. Förordningen om evenemangsstöd tillsammans med de allmänna bestämmelserna i förvaltningslagen om utredning, kommunikation och beslut utgör ramarna och de ändamål som Skatteverket får agera för. Behandlingen sker i enlighet med de krav som uppställs i EU:s dataskyddsförordning.

Uppgiftsminimering

I hanteringen av evenemangsstöd får Skatteverket bara behandla sådana uppgifter som är adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering artikel 5.1 c i dataskyddsförordningen).

Bevara eller gallra personuppgifter?

Enligt EU:s dataskyddsförordning ska personuppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålen för behandlingen (principen om lagringsminimering). De grundläggande bestämmelserna om bevarande och gallring finns i arkivlagen, arkivförordningen och Riksarkivets föreskrifter, RA-FS och RA-MS.

Krav från EU om uppgiftslämning, rapportering och register

Förordningen om evenemangsstöd har fått ett statsstödsgodkännande från EU-kommissionen. Kommissionens beslut innehåller ett krav på att i minst tio år från den dag då stödet beviljades föra detaljerade register med den information och de styrkande handlingar som behövs för att fastställa att alla villkor för förenlighet med den inre marknaden är uppfyllda (12 a § lagen [2013:388] om tillämpningen av Europeiska unionens statsstödsregler).

Registrerades rättigheter och Skatteverkets skyldigheter

I hanteringen av evenemangsstöden måste Skatteverket som personuppgiftsansvarig följa de skyldigheter och tillvarata de registrerades rättigheter som följer av EU:s dataskyddsförordning.