Vad är personuppgifter och behandling av personuppgifter?

Personuppgifter är uppgifter som kan identifiera en fysisk levande person

Med personuppgifter avses varje uppgift som avser en identifierad eller identifierbar fysisk levande person (artikel 4.1 i EU:s dataskyddsförordning). Exempel på personuppgifter är

• namn
• personnummer
• fotografi
• ljudinspelning
• telefonnummer
• registreringsnummer på fordon
• diarienummer
• ip-adress
• kakor (cookies).

En personuppgift kan knytas till en person antingen direkt eller indirekt. Namn och personnummer är exempel på direkta personuppgifter.

Telefonnummer, registreringsnummer på fordon, diarienummer och ip-adress är exempel på uppgifter som kan identifiera en fysisk person indirekt.

För att kunna identifiera en levande fysisk person med hjälp av en indirekt personuppgift behövs ytterligare information såsom t.ex. uppgift om vem som är ägare till ett fordon med ett visst registreringsnummer. Det är alltså fråga om personuppgifter så länge en uppgift går att härleda till en levande fysisk person.

Uppgifter om avlidna och ännu inte födda

Uppgifter om avlidna eller ännu inte födda är inte personuppgifter i EU:s dataskyddsförordnings mening. Uppgifter om levande anhöriga till avlidna eller ännu inte födda är dock personuppgifter.

Även om uppgifter om avlidna inte omfattas av begreppet personuppgift i EU:s dataskyddsförordning kan det i särskilda registerförfattningar finnas bestämmelser om hur sådana uppgifter får behandlas. Sådana bestämmelser finns t.ex. för behandling av uppgifter i folkbokföringsverksamheten (1 kap. 1 § FdbL) och i beskattningsverksamheten (1 kap. 1 § SdbL).

Uppgifter om juridiska personer

Uppgifter om juridiska personer är inte personuppgifter i EU:s dataskyddsförordnings mening. Uppgifter om en enskild firma är dock en personuppgift eftersom det är en enda fysisk person som innehar firman.

Även om uppgifter om juridiska personer inte omfattas av begreppet personuppgift i EU:s dataskyddsförordning kan det i särskilda registerförfattningar finnas bestämmelser om hur sådana uppgifter får behandlas. Sådana bestämmelser finns t.ex. för behandling av uppgifter i beskattningsverksamheten (1 kap. 1 § SdbL).

Känsliga personuppgifter

Vissa personuppgifter anses vara extra känsliga ur integritetssynpunkt. De kallas i EU:s dataskyddsförordning för särskilda kategorier av personuppgifter (artikel 9 i EU:s dataskyddsförordning). I den kompletterande dataskyddslagen kallas dessa uppgifter för känsliga personuppgifter (3 kap. 1 § kompletterande dataskyddslag).

Känsliga personuppgifter är

• ras eller etniskt ursprung
• politiska åsikter
• religiös eller filosofisk övertygelse
• medlemskap i en fackförening
• genetiska uppgifter
• biometriska uppgifter
• uppgifter om hälsa
• uppgifter om en fysisk persons sexualliv och sexuell läggning.

Exempel på känsliga personuppgifter kan således vara uppgifter om

• en persons medlemskap i ett trossamfund
• att en person har lämnat bidrag till ett politiskt parti
• att en person har skadat sin fot
• att en person är sjukskriven.

Utgångspunkten enligt EU:s dataskyddsförordning är att känsliga personuppgifter inte alls får behandlas (artikel 9.1 EU:s dataskyddsförordning). Förordningen tillåter dock att behandling får ske enligt vissa angivna förutsättningar genom att det är föreskrivet i nationell rätt, antingen genom generell reglering (3 kap. 2–7 §§ kompletterande dataskyddslag) eller i sektorsspecifik reglering.

Sökförbud på känsliga uppgifter

Den kompletterande dataskyddslagen har som utgångspunkt ett generellt sökförbud på känsliga personuppgifter. Undantag medges i vissa fall då syftet med sökningen är avgörande (3 kap. 3 § kompletterande dataskyddslag). Exempelvis är Kristen ett vanligt personnamn som man får använda vid sökning om syftet är att identifiera en person, men det är inte tillåtet som sökbegrepp om syftet är att kartlägga uppgifter som avslöjar religiös övertygelse. Syftet med en sökning hos Skatteverket måste således vara att t.ex. utöva tillsyn, ta fram verksamhetsstatistik eller för registervård.

Personuppgifter om lagöverträdelser i EU:s dataskyddsförordning

I EU:s dataskyddsförordning finns det särskilda bestämmelser för om och i så fall hur personuppgifter om lagöverträdelser får behandlas. Med uttrycket personuppgifter om lagöverträdelser menas personuppgifter som handlar om brott, fällande domar i brottmål eller straffprocessuella tvångsmedel.

Exempel på personuppgifter om lagöverträdelser är uppgifter om

• att en person har eller kan ha begått ett brott, även om det inte finns någon dom om brottet
• att en person har dömts för brott
• att egendom har tagits i beslag från en person.

Behandling av personuppgifter

Med behandling av personuppgifter menas all hantering som görs med personuppgifter, oavsett om det sker elektroniskt eller på annat sätt. Det kan t.ex. vara att man

• samlar in personuppgifter
• registrerar personuppgifter
• använder personuppgifter
• lagrar personuppgifter
• bearbetar personuppgifter
• sammanställer personuppgifter
• samkör personuppgifter
• skriver ut personuppgifter
• sprider personuppgifter
• förstör personuppgifter.

Även utlämnande av personuppgifter som behandlas elektroniskt är en behandling oavsett av om utlämnandet görs muntligen, på papper eller i elektronisk form (artikel 4.2 i EU:s dataskyddsförordning).

Rättsfall: behandling av personuppgifter på en webbplats

EU-domstolen har uttalat att det är en ”behandling av personuppgifter som helt eller delvis företas på automatisk väg” när man nämner olika personer på en webbplats, med namn eller på annat sätt, t.ex. med telefonnummer eller med uppgifter om deras arbetsförhållanden och fritidsintressen (C-101/01, Bodil Lindqvist).

Personnummer och samordningsnummer

EU:s medlemsstater får närmare bestämma villkoren för behandling av nationella identifikationsnummer och andra vedertagna sätt för identifiering. Det krävs då att förordningens bestämmelser om de registrerades rättigheter och friheter iakttas (artikel 87 EU:s dataskyddsförordning).

Skatteverket får behandla personnummer och samordningsnummer utan samtycke bara när det är klart motiverat med hänsyn till någon av följande förutsättningar (3 kap. 10 § kompletterande dataskyddslag):

• ändamålet med behandlingen
• vikten av en säker identifiering
• något annat beaktansvärt skäl.

I vissa av de särskilda registerförfattningar som gäller för Skatteverkets olika verksamheter finns bestämmelser som tillåter behandling av personnummer.