Brottsbekämpande myndigheter – Beslut mot Skatteverket

Skatteverket 171 94 Solna

Tillsyn enligt brottsdatalagen (2018:1177) – Skatteverkets förteckning över behandlingar

Datainspektionens beslut

1. Datainspektionen konstaterar att Skatteverkets förteckning över behandlingar, för varje kategori av behandling, anger den rättsliga grunden för behandlingen enligt 3 kap. 3 § 1 brottsdataförordningen (2018:1202) på ett otydligt sätt.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Skatteverket att i förteckningen över behandlingar, för varje kategori av behandling, precisera den rättsliga grunden för behandlingen på så sätt som anges i motiveringen till detta beslut, senast den 30 april 2020.

2. Datainspektionen konstaterar att Skatteverkets förteckning över behandlingar, för en kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen enligt 3 kap. 3 § 5 brottsdataförordningen på ett otydligt sätt.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Skatteverket att i förteckningen över behandlingar, för varje kategori av behandling, precisera de kategorier av registrerade som berörs av behandlingen på så sätt som anges i motiveringen till detta beslut, senast den 30 april 2020.

3. Skatteverket föreläggs att senast den 30 april 2020 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Skatteverket har vidtagit med anledning av föreläggandena i punkterna 1-2.

Redogörelse för tillsynsärendet

Datainspektionen har den 7 maj 2019 inlett tillsyn mot Skatteverket i syfte att granska om Skatteverkets förteckning över behandlingar av personuppgifter är i överensstämmelse med 3 kap. 3 § brottsdataförordningen.

Datainspektionen har inom ramen för tillsynsärendet besökt Skatteverket den 14 juni 2019. Skatteverket har vid inspektionen förevisat förteckningen över behandlingar. Datainspektionen har vid inspektionen granskat vissa utvalda kategorier av behandlingar i förteckningen över behandlingar. Urvalet bestod av centrala system i Skatteverkets brottsbekämpande verksamhet samt ett antal slumpmässigt utvalda kategorier av behandlingar. Datainspektionen har ställt frågor om Skatteverkets förteckning över behandlingar och Skatteverket har fått tillfälle att yttra sig över det inspektionsprotokoll som upprättats i samband med inspektionstillfället.

Skatteverket har bland annat uppgett följande. Kolumnen ”rättslig grund för behandling” kommer att omarbetas och specificeras. Skatteverket kommer att se över om skrivningen ”Alla” bör ersättas eller utvecklas så att kategorier av registrerade avseende en kategori av behandling beskrivs på ett tydligare sätt. En allmän beskrivning över vidtagna säkerhetsåtgärder har lagts till i huvudet på förteckningen.

Datainspektionen har vid sin granskning av Skatteverkets förteckning över behandlingar iakttagit huvudsakligen följande. Förteckningen över behandlingar innehåller bland annat följande kolumner. - Ändamål, - rättslig grund för behandling, - kategorier av registrerade, - kategorier av personuppgifter som kan komma att behandlas, - finns känsliga personuppgifter, - kategorier av känsliga personuppgifter, - kategori av mottagare, - överförs till tredjeland eller internationell organisation,

- kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, - användning av profilering samt - tidsfrister för behandling av personuppgifter.

Vidare finns vidtagna säkerhetsåtgärder beskrivna i huvudet på förteckningen över behandlingar.

Motivering av beslutet

Vad Datainspektionen har att ta ställning till

Datainspektionen har i tillsynsärendet att ta ställning till om Skatteverkets förteckning över behandlingar, uppfyller kraven i 3 kap. 3 § brottsdataförordningen. Inspektionen har valt att begränsa tillsynen genom att välja ut

vissa kategorier av behandlingar i förteckningen för särskild granskning. Tillämpliga bestämmelser

Den 1 augusti 2018 trädde brottsdatalagen i kraft med kompletterande bestämmelser i brottsdataförordningen. Brottsdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Skatteverket gäller utöver brottsdatalagen sedan den 1 januari 2019 även lagen (2018:1696) om Skatteverkets behandling av personuppgifter inom brottsdatalagens område (Skatteverkets brottsdatalag) med kompletterande bestämmelser i förordningen (2018:1877) om Skatteverkets behandling av personuppgifter inom brottsdatalagens område.

Enligt 3 kap. 3 § brottsdataförordningen ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen,

3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering, 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

Enligt 5 kap. 7 § brottsdatalagen får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

Skatteverkets förteckning över behandlingar

Skatteverket för en förteckning enligt 3 kap. 3 § brottsdataförordningen över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt brottsdatalagen. För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Skatteverkets förteckning över behandlingar innehåller för varje kategori av behandling punkterna 1-10.

Datainspektionen har inte några synpunkter avseende punkterna 2-4 samt 6-10. Samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer (punkten 7) anges som en särskild kolumn i Skatteverkets förteckning över behandlingar. Enligt förarbetena till brottsdatalagen tar 3 kap. 3 § 7 brottsdataförordningen sikte på vissa överföringar som har gjorts till tredjeland eller internationella organisationer (se SOU 2017:29 s. 323 och s. 621-624). Datainspektionen förutsätter att sådana överföringar, om de inträffar, kommer att förtecknas i Skatteverkets förteckning över behandlingar.

Punkten 1 – den rättsliga grunden för behandlingen

Datainspektionens bedömning

Datainspektionen konstaterar att Skatteverkets förteckning över behandlingar, för varje kategori av behandling, anger den rättsliga grunden för behandlingen på ett otydligt sätt.

Skälen för Datainspektionens bedömning är följande

Enligt 3 kap. 3 § 1 brottsdataförordningen ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om den rättsliga grunden för behandlingen.

I Skatteverkets förteckning över behandlingar anges den rättsliga grunden för behandlingen, för varje kategori av behandling, antingen med fyra SFSnummer eller med hänvisning till en bestämmelse i lagen (1997:1024) om skatteverkets brottsbekämpande verksamhet och vissa bestämmelser i ”SBDL”. Skatteverket har angett att kolumnen ”rättslig grund för behandling” kommer att omarbetas och specificeras.

I förarbetena till brottsdatalagen anges att med den rättsliga grunden avses författningsstödet för behandlingen, dvs. regleringen av den arbetsuppgift som föranleder personuppgiftsbehandlingen (se SOU 2017:29 s. 322). Datainspektionen anser med anledning av det som framgår av förarbetena att det inte är tillräckligt att endast ange SFS-nummer som den rättsliga grunden för behandlingen. Det framstår vidare som att hänvisningarna till bestämmelser i ”SBDL” i kolumnen ”rättslig grund för behandling ” inte avser bestämmelser i Skatteverkets brottsdatalag. Inspektionen konstaterar mot denna bakgrund att Skatteverkets förteckning över behandlingar, för varje kategori av behandling, anger den rättsliga grunden för behandlingen på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Skatteverket att i förteckningen över behandlingar, för varje kategori av behandling, precisera den rättsliga grunden för behandlingen.

Punkten 5 – de kategorier av registrerade som berörs av behandlingen

Datainspektionens bedömning

Datainspektionen konstaterar att Skatteverkets förteckning över behandlingar, för en kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen på ett otydligt sätt.

Skälen för Datainspektionens bedömning är följande

Enligt 3 kap. 3 § 5 brottsdataförordningen ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om de kategorier av registrerade som berörs av behandlingen.

Av förarbetena till brottsdatalagen framgår att kategorier av registrerade kan vara en grupp av personer som har en specifik roll, t.ex. misstänkta, målsägande, vittnen eller anhöriga till någon av dessa (se SOU 2017:29 s. 322). Datainspektionen anser med anledning av det som framgår av förarbetena att det inte är tillräckligt att ange ”Alla” som kategorier av registrerade. Inspektionen konstaterar därför att Skatteverkets förteckning över behandlingar, för en kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Skatteverket att i förteckningen över behandlingar, för varje kategori av behandling, precisera de kategorier av registrerade som berörs av behandlingen.

Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Max Blidberg.

Charlotte Waller Dahlberg

Max Blidberg

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.