Bättre möjligheter för Skatteverket att göra dataanalyser och urval i folkbokföringsverksamheten

Lagrådsremiss

Bättre möjligheter för Skatteverket att göra dataanalyser och urval i folkbokföringsverksamheten

Regeringen överlämnar denna remiss till Lagrådet.

Stockholm den 1 september 2022

Mikael Damberg

Maria Åhrling (Finansdepartementet)

Lagrådsremissens huvudsakliga innehåll

Lagrådsremissen innehåller förslag som syftar till att ge Skatteverket bättre möjligheter att minska fel i folkbokföringsdatabasen. Skatteverket föreslås därför få behandla personuppgifter för att göra dataanalyser och urval för att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen. Skatteverket ska kunna koncentrera sin kontroll mot områden med hög risk för fel och fusk och där bästa möjliga effekt kan uppnås med givna insatser. För de uppgifter som samlas in för analys och urval föreslås en ny reglering för en särskild uppgiftssamling, analysoch urvalsdatabasen. En rad bestämmelser föreslås även som syftar till att minska det intrång i den personliga integriteten som förslagen kan föranleda. Lagändringarna föreslås träda i kraft den 1 april 2023.

10.3 Förslag till lag om ändring i lagen (2022:000) om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets

Bilaga 1 Sammanfattning av betänkandet Om folkbokföring, samordningsnummer och identitetsnummer (SOU

1 Beslut

Regeringen har beslutat att inhämta Lagrådets yttrande över förslag till 1. lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 2. lag om ändring i offentlighets- och sekretesslagen (2009:400), 3. lag om ändring i lagen (2022:000) om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet.

2 Lagtext

Regeringen har följande förslag till lagtext.

2.1 Förslag till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:182) om behandling av 1 personuppgifter i Skatteverkets folkbokföringsverksamhet dels att 1 kap. 1 § ska ha följande lydelse, dels att det ska införas ett nytt kapitel, 2 a kap., och en ny paragraf, 1 kap. 4 a §, av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

1 kap.

2 1 § Denna lag tillämpas vid behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 4 och 5 §§ Bestämmelserna i 4 – 5 §§ samt samt 2 kap. gäller även vid 2 och 2 a kap. gäller även vid behandling av uppgifter om behandling av uppgifter om avlidna. avlidna.

4 a § Uppgifter får också behandlas för att tillhandahålla information som behövs för dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen.

2 a kap. Analys- och urvals-

databasen

1 § I folkbokföringsverksamheten ska det finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i

1 Senaste lydelse av lagens rubrik 2003:671. 2 Senaste lydelse 2003:671.

1 kap. 4 a § angivna ändamålen (analys- och urvalsdatabas).

Innehåll

2 § I analys- och urvalsdatabasen får uppgifter om de personer som anges i 2 kap. 2 § behandlas.

3 § För de ändamål som anges i 1 kap. 4 a § får de uppgifter som avses i 2 kap. 3 och 4 §§ behandlas. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om vilka uppgifter som får behandlas i analys- och urvalsdatabasen.

Sökbegrepp

4 § Vid sökning i analys- och urvalsdatabasen gäller det som i 2 kap. 10 § sägs om sökbegrepp vid sökning i folkbokföringsdatabasen.

Dokumentering

5 § Metoder för att ta fram urval och de sökbegrepp som används vid sökningar i analys- och urvalsdatabasen ska dokumenteras på ett sådant sätt att de kan kontrolleras i efterhand.

Längsta tid för behandling

6 § Uppgifter som behandlas i analys- och urvalsdatabasen får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Uppgifterna får dock aldrig behandlas under längre tid än tre

år från den tidpunkt då de tillfördes databasen. Denna lag träder i kraft den 1 april 2023.

2.2 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att 22 kap. 6 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 22 kap. 1 a §, av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

22 kap.

1 a § Sekretess gäller i verksamhet som avser förande av och uttag ur analys- och urvalsdatabasen enligt lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet för uppgift om en enskilds personliga eller ekonomiska förhållanden som har tillförts databasen. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

6 § 1 Den tystnadsplikt som följer av Den tystnadsplikt som följer av 1 § första stycket och 2 § 1 § första stycket , 1 a och 2 § § inskränker rätten enligt 1 kap. 1 och inskränker rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihets- 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och grundlagen att meddela och offentliggöra uppgifter. offentliggöra uppgifter.

Denna lag träder i kraft den 1 april 2023.

1 Senaste lydelse 2018:1919.

2.3 Förslag till lag om ändring i lagen (2022:000) om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

Härigenom föreskrivs att 1 kap. 1 § i stället för lydelsen enligt lagen (2022:000) om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet ska ha följande lydelse.

Lydelse enligt prop. 2021/22:276 Föreslagen lydelse

1 kap.

1 § Denna lag tillämpas vid behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen gäller också vid behandling av personuppgifter i passmyndigheternas verksamhet som rör identitetskontroller enligt lagen (2022:000) om samordningsnummer. Bestämmelserna i 4 och 5 §§ Bestämmelserna i 4 – 5 §§ samt samt 2 kap. gäller även vid 2 och 2 a kap. gäller även vid behandling av uppgifter om behandling av uppgifter om avlidna. avlidna.

3 Ärendet och dess beredning

Regeringen beslutade i september 2019 att ge en särskild utredare i uppdrag att bl.a. föreslå åtgärder som förbättrar förutsättningarna för att fastställandet av en persons bosättning är korrekt och att rätt personuppgifter registreras i folkbokföringsdatabasen om dem som är folkbokförda. En annan del av uppdraget bestod i att lämna förslag om ett säkrare system för samordningsnummer och öka numrens användbarhet i samhället (dir. 2019:54). Utredningen, som tog namnet Utredningen om folkbokföring och samordningsnummer, överlämnande i juni 2021 betänkandet Om folkbokföring, samordningsnummer och identitetsnummer (SOU 2021:57). En sammanfattning av betänkandet och dess lagförslag i nu aktuella delar finns i bilaga 1 respektive bilaga 2 . Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3 . Remissyttrandena finns tillgängliga i Finansdepartementet (Fi2021/02516). I denna lagrådsremiss behandlas utredningens förslag såvitt avser dataanalyser och urval. Vissa av utredningens andra förslag har redan lett till lagstiftning, se propositionen Stärkt kontroll och kvalitet i folkbokföringen (prop. 2021/22:217, bet. 2021/22:SkU28, rskr. 2021/22:372). Utredningens förslag om samordningsnummer och identitetsnummer har behandlats i propositionen Stärkt system för samordningsnummer (prop. 2021/22:276).

4 En bättre kvalitet i folkbokföringen

kräver effektivare verktyg

4.1 Folkbokföringsfelet

Med folkbokföring avses fastställande av en persons bosättning samt registrering av uppgifter om identitet, familj och andra förhållanden som får förekomma i folkbokföringsdatabasen (1 § folkbokföringslagen [1991:481] och lagen [2001:182] om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet). Med regeringens förslag i propositionen Stärkt system för samordningsnummer (prop. 2021/22:276) kommer bestämmelser om samordningsnummer för den som inte är eller har varit folkbokförd att utmönstras ur folkbokföringslagen och föras in i en ny lag, lagen (2022:000) om samordningsnummer. Behandling av personuppgifter om personer med samordningsnummer kommer dock alltjämt omfattas av folkbokföringsverksamheten och regleras i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. En mängd uppgifter kan registreras i folkbokföringsdatabasen i samband med ett folkbokföringsärende, exempelvis personnummer, namn, födelsetid, medborgarskap, adress, folkbokföringsfastighet, lägenhetsnummer, folkbokföringsort och civilstånd. Uppgifterna i folkbokföringen ska spegla befolkningens bosättning, identitet och familjerättsliga 10 förhållanden så att olika samhällsfunktioner får ett korrekt underlag för

beslut och åtgärder (2 § andra stycket förordningen [2017:154] med instruktion för Skatteverket). Folkbokföringsdatabasen används i Skatteverkets folkbokföringsverksamhet för att tillhandahålla information som behövs för bl.a. samordnad behandling, kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter samt handläggning av folkbokföringsärenden (1 kap. 4 § och 2 kap. 1 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet). Att fel förekommer i de uppgifter som registreras i folkbokföringsdatabasen har beskrivits i flera sammanhang. Kunskapen om olika typer av fel som kan förekomma i folkbokföringen har också funnits länge men kunskaper om omfattningen, hur vanligt förekommande felen är och konsekvenser som uppstår till följd av felen har tillkommit först på senare år. I regleringsbrevet för 2018 gav regeringen Skatteverket i uppdrag att utveckla en metod för att systematiskt kunna följa upp kvaliteten i folkbokföringen. Syftet var att öka kunskapen om vilka fel som kan förekomma, i vilken omfattning de förekommer och de konsekvenser som dessa medför. I uppdraget ingick att beskriva hur uppföljning kommer att genomföras så att den kan ligga till grund för Skatteverkets resultatredovisning och bedömning av registerkvaliteten i folkbokföringen. Sedan 2019 har myndigheten haft i uppdrag att bedöma det s.k. folkbokföringsfelets storlek. Den analys av folkbokföringsfelet som Skatteverket gör omfattar enbart personer som är eller borde vara folkbokförda i Sverige. Personer som vistas i landet utan laglig rätt ingår per definition inte i folkbokföringsfelet, och detsamma gäller personer med samordningsnummer som vistas i landet tillfälligt. Den omfattar heller inte fel i till exempel namn eller relationer. Skatteverket har i årsredovisningen för 2021 redovisat en uppskattning av folkbokföringsfelets storlek från 2014 till 2019. Det totala folkbokföringsfelet uppskattas till 214 300 personer eller 2,1 procent av Sveriges befolkning år 2019. Felaktig adress är den vanligaste feltypen och bedöms uppgå till ca 123 900 personer år 2019. Antalet personer som inte borde vara folkbokförda men ändå är det uppskattas till ca 73 400 år 2019 och den minst vanliga feltypen utgörs av personer som inte är folkbokförda fast de borde vara det (ca 17 000 år 2019).

4.2 Övergripande om Skatteverkets utrednings- och kontrollmöjligheter i ett folkbokföringsärende

För att minska felen i folkbokföringen genomför Skatteverket kontroller dels preventivt, dels i efterhand. Den preventiva kontrollen innebär att en inkommande anmälan granskas innan beslut tas. Den aktualiseras såväl vid flyttningsanmälningar inom och till Sverige som vid flyttningsanmälningar till utlandet. Kontrollen i efterhand handlar om att granska om en befintlig uppgift i folkbokföringsdatabasen är korrekt, exempelvis efter att Skatteverket mottagit en underrättelse om felaktig adress. Kontrollerna kan även vara initierade av Skatteverket.

En anmälan om flytt till och inom Sverige som avser vissa adresser kan enligt Skatteverket ge anledning till närmare kontroll av anmälan. Skatteverket har möjlighet att inom folkbokföringsverksamheten markera adresser som bör kontrolleras som granskningsvärda. Anmälan om flytt inom landet till en adress som har markerats som granskningsvärd går inte igenom automatiskt utan hamnar för kontroll hos handläggare. Markeringen att en adress är granskningsvärd är en intern signal för Skatteverket om att det kan finnas skäl att utreda en anmälan. Vid en anmälan om flyttning inom landet kvarstår anmälaren som folkbokförd på den gamla adressen under tiden utredningen pågår. Utredningen kan bl.a. resultera i att personen blir avregistrerad från folkbokföringen som utflyttad. Även vid flytt till Sverige kan en adress som är granskningsvärd vara av intresse som signal om att det finns skäl att utreda anmälan om flytt till adressen. Vid flyttning till landet har Skatteverket emellertid inte något maskinellt stöd för granskningsvärd adress som gör att en anmälan automatiskt faller ut för kontroll. I stället behöver handläggaren söka på en adress för att uppmärksamma om anmälan avser en granskningsvärd adress eller inte. För en person som anmält flytt till landet till en granskningsvärd adress, medför kontrollen att personen inte kommer bli folkbokförd eller tilldelas personnummer innan adressutredningen har slutförts av Skatteverket. I stor utsträckning bygger uppgifterna i folkbokföringen på den enskildes egna anmälningar och uppgifter. Skatteverket har dock vissa utrednings- och kontrollmöjligheter enligt folkbokföringslagen. Skatteverket har t.ex. möjlighet att förelägga en person att göra en anmälan som denne kan antas vara skyldig att göra enligt folkbokföringslagen (31 § folkbokföringslagen). Skatteverket får också förelägga en fastighetsägare eller innehavare av bostadslägenhet, som upplåter en bostad åt någon annan, att uppge till vem bostaden upplåts och om denne med fastighetsägarens eller lägenhetsinnehavarens medgivande i sin tur upplåter bostaden åt någon annan samt vilka personer som enligt fastighetsägarens eller lägenhetsinnehavarens kännedom bor i fastigheten respektive lägenheten (32 § folkbokföringslagen). Den som inte följer ett föreläggande kan föreläggas vid vite av Skatteverket (37 § folkbokföringslagen). Ytterligare ett verktyg Skatteverket har till förfogande är att göra kontrollbesök för att kontrollera en persons bosättning (32 a och 32 b §§ folkbokföringslagen). På regeringens initiativ har Skatteverkets befogenheter att besluta om föreläggande och kontrollbesök nyligen utvidgats (prop. 2021/22:217, bet. 2021/22:SkU28, rskr. 2021/22:372).

4.3 Behovet av korrekta uppgifter i folkbokföringsdatabasen

Att uppgifterna i folkbokföringen speglar befolkningens bosättning, identitet och familjerättsliga förhållanden är bl.a. en förutsättning för Skatteverkets fastställande av skatter och även för att andra samhällsfunktioner ska ha ett korrekt underlag för beslut och åtgärder.

Uppgifter i folkbokföringen kan ligga till grund för bl.a. ersättningar och bidrag men även samhällsplanering och forskning. Konsekvenserna av att uppgifter i folkbokföringen inte speglar verkliga förhållanden kan vara flera. Befolkningsstatistiken för vissa geografiska områden kan bli missvisande, bidragsutbetalningar och beskattning riskerar att ske på felaktiga grunder. En hög kvalitet i folkbokföringen bidrar till ett bättre underlag för planering av ett samhälle där resurserna kan användas på rätt sätt. Det är därför viktigt att uppgifter som registreras i folkbokföringsdatabasen speglar verkliga förhållanden. Mot bakgrund av den viktiga funktion som folkbokföringen fyller och utmaningen att upprätthålla kvaliteten i densamma genomförde Riksrevisionen 2017 en granskning i syfte att undersöka om Skatteverket bedriver arbetet med att upprätthålla kvaliteten i folkbokföringen på ett effektivt sätt. I rapporten Folkbokföringen – ett kvalitetsarbete i uppförsbacke (RiR 2017:23) riktade Riksrevisionen kritik mot Skatteverkets arbete med att upprätthålla kvaliteten inom folkbokföringsverksamheten och den interna styrningen av verksamheten. Riksrevisionen konstaterade att Skatteverkets arbete för att upprätthålla kvaliteten i folkbokföringen innehöll en rad brister. Den övergripande slutsatsen var därför att kvalitetsarbetet inte bedrevs på ett effektivt sätt. Riksrevisionen noterade dock att det inom folkbokföringen finns mycket kunskap och insikter om hur arbetet kan förbättras. I regeringens skrivelse Riksrevisionens rapport om folkbokföringen (skr. 2017/18:124) instämmer regeringen i Riksrevisionens bedömning att det är allvarligt att det finns brister i Skatteverkets kvalitetsarbete och att det är angeläget att vidta åtgärder. Regeringen konstaterar dock att många av de problem som Riksrevisionen påtalar redan har uppmärksammats inom verksamheten och att det pågår ett utvecklingsarbete inom myndigheten. I sin rapport var Riksrevisionen kritisk till Skatteverkets arbete med riskanalys och urval i folkbokföringsverksamheten. Även utredningen har kommit till samma slutsats och lämnat förslag för att Skatteverkets folkbokföringsverksamhet ska kunna använda analyser och urval för en mer resurseffektiv kontrollverksamhet.

5 Bättre möjligheter att utföra dataanalyser

och urval i folkbokföringsverksamheten

5.1 En analys- och urvalsdatabas

Regeringens bedömning: Skatteverkets möjligheter att göra dataanalyser och urval i folkbokföringsverksamheten behöver utvecklas och effektiviseras. Regeringens förslag: Skatteverket ska föra en analys- och urvalsdatabas där personuppgifter ska få behandlas för att tillhandahålla information som behövs för dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen.

Utredningens bedömning och förslag överensstämmer i huvudsak med regeringens. Utredningen gör bedömningen att det finns ett behov av att i folkbokföringsverksamheten använda analyser och urval för att utföra kontroller mer resurseffektivt. Utredningens förslag innebär att uppgifter ska få behandlas för att tillhandahålla information som behövs för dataanalyser och urval enbart i syfte att upptäcka och förhindra felaktiga uppgifter i folkbokföringsdatabasen. Utredningens förslag har dessutom en annan lagteknisk utformning. Remissinstanserna: En majoritet av remissinstanserna yttrar sig inte särskilt över bedömningen och förslaget. Av de remissinstanser som har yttrat sig är flertalet positiva till förslaget eller har inget att invända mot det. Skatteverket anser att verksamheten med den föreslagna analys- och urvalsdatabasen ska regleras i lag. Vidare anser Skatteverket att analysoch urvalsdatabasen ska få användas i syfte att stödja hela folkbokföringsverksamheten och inte enbart vid efterkontroller, så att uppgifter i ett folkbokföringsärende kan stämmas av med uppgifter från analys- och urvalsdatabasen under ärendets handläggning. Det är av vikt att det vid den fortsatta beredningen förtydligas och exemplifieras att uppgifterna får användas på detta sätt. Skatteverkets bedömning av den föreslagna regleringen är att det inte finns några hinder för analys- och urvalsverksamheten att förse övrig folkbokföringsverksamhet med information när det objektivt är motiverat. Det övergripande syftet med analys- och urvalsverksamheten är att ta fram underlag för att stödja folkbokföringsverksamheten. Det kommer att ske inom en och samma verksamhetsgren.

Skälen för regeringens bedömning och förslag

Behovet av dataanalyser och urval Som nämnts ovan i avsnitt 4.3 var Riksrevisionen i sin rapport Folkbokföring – ett kvalitetsarbete i uppförsbacke (RiR 2017:23) kritisk till Skatteverkets arbete med riskanalys och urval i folkbokföringsverksamheten och identifierade två omständigheter som försvårande för att kunna ta fram mer avancerade urval. Det handlade dels om den lagstiftning som finns angående möjligheterna att samköra register, dels om de tekniska förutsättningar som finns för att försörja urvalsverktyg med data. Inom ramen för Skatteverkets ansvar för att uppgifterna i folkbokföringen ska spegla befolkningens bosättning, identitet och familjerättsliga förhållanden så att olika samhällsfunktioner får ett korrekt underlag för beslut och åtgärder ingår att göra kontroller av uppgifter som ska registreras liksom efterkontroller av riktigheten av de uppgifter som har blivit registrerade. Dataanalyser och urval är en naturlig del i en sådan kontrollverksamhet. Analyserna bör kunna användas för att upptäcka mönster, avvikelser och samband som i förlängningen leder fram till vilka personer och registreringar som ska granskas. Baserat på genomförda analyser av data kan således urval göras över vilka ärenden som har ett högt granskningsvärde. Med hjälp av dataanalyserna och på andra sätt kan det också selekteras t.ex. vilka fel som är av störst värde att åtgärda och 14 vilken typ av åtgärd som är lämplig.

Kontrollen av uppgifter i ett ärende skiljer sig från de åtgärder som en myndighet vidtar för att välja ut vilka ärenden som särskilt ska kontrolleras. Ett sådant urval kan tas fram på olika sätt, t.ex. genom stickprov eller riktade insatser mot vissa typer av beslut. De riktade insatserna sker i ärenden där urvalet gjorts efter vissa fastställda kriterier. Dessa kan bygga på olika riskanalyser vilkas syfte är att kunna identifiera, tolka och värdera risker för felaktigheter i folkbokföringen. Det kan också handla om att få samköra uppgifter från olika myndigheter när Skatteverket ser mönster som tyder på en hög risk för felaktigheter. Ju mer utvecklade och förfinade dessa metoder kan bli, desto högre är sannolikheten att, både före och efter beslut, upptäcka felaktigheter. Dessutom kan Skatteverkets folkbokföringsverksamhet med sådana verktyg styra kontrollerna till områden där riskerna för fel och fusk är störst. Skatteverket försöker i dag koncentrera sin kontroll där bästa möjliga effekt kan uppnås och områden med hög risk för fel och fusk. Om det av genomförda analyser av en viss typ av företeelse framgår att det finns en hög frekvens av oavsiktliga fel kan det behöva mötas med t.ex. informationsinsatser. I dag finns det dock begränsningar i hur Skatteverket kan behandla personuppgifter för kontrolländamål. Skatteverkets folkbokföringsverksamhet får endast behandla sådana personuppgifter som redan finns i folkbokföringsdatabasen i urvalshänseende. Det kan vara fråga om uppgifter som har lämnats av enskild i ett ärende hos Skatteverket men också sådana uppgifter som lämnats inom ramen för något av de informationsutbyten som Skatteverket har med andra myndigheter. En bättre förmåga att göra rätt riskvärdering och förebyggande kontroller förutsätter att Skatteverket även kan använda uppgifter från tredje part maskinellt. Vad gäller de uppgifter som hämtas in från andra myndigheter eller verksamheter inom Skatteverket får dock uppgifterna endast behandlas i samband med kontroll i ett enskilt ärende. Dessa begränsningar innebär bl.a. att Skatteverket inte har möjlighet att maskinellt upptäcka mönster, avvikelser och samband på ett effektivt sätt. Därutöver är det viktigt att uppgifter kan användas i såväl analys- som urvalssyfte. En sådan förändring skulle leda till att folkbokföringsverksamheten kan agera på ett resurseffektivt sätt där det finns stor risk för att fel föreligger. Möjligheten att ta fram urval behövs såväl när det finns ett folkbokföringsärende som när det inte finns något ärende. Ges Skatteverket möjligheter att på grundval av ett antal aggregerade företeelser göra urval utan att det finns något pågående ärende kan myndigheten identifiera vad som behöver åtgärdas och agera så att fel inte uppstår eller, om fel ändå uppstår, så snabbt som möjligt åtgärda felet. Skatteverket ges på så sätt möjligheter att koncentrera verksamheten på att åtgärda de fel som orsakar störst problem för samhället. Regeringen delar utredningens uppfattning att folkbokföringsverksamheten i dag har begränsade möjligheter att göra väl underbyggda riskvärderingar inför handläggning och skiktning av ärenden. Som framgår av utredningen har andra verksamheter inom Skatteverket inte samma begränsningar vad gäller möjligheter att vid urval använda sig av insamlade uppgifter. Detsamma gäller även för andra myndigheter (se utredningens betänkande s. 326 och 327 och SOU 2020:35 s. 214). Regeringen anser att det även i folkbokföringsverksamheten finns ett 15

behov av att använda analyser och urval för en mer resurseffektiv kontrollverksamhet och gör bedömningen att den möjlighet som i dag finns för detta behöver utvecklas och effektiviseras. Utredningen har föreslagit att det i förordningen (2017:154) med instruktion för Skatteverket ska framgå att Skatteverket genom analys- och urvalsverksamhet ska verka för att felaktiga uppgifter i folkbokföringsdatabasen upptäcks och förhindras. Regeringen anser att det inte är fråga om en ny verksamhetsgren inom Skatteverket som bör regleras i myndighetens instruktion. I stället är det fråga om ett verktyg för folkbokföringsverksamheten. Detta verktyg är också något som myndigheten redan i dag använder sig av men som genom regeringens förslag kommer kunna användas i större utsträckning för att förebygga, förhindra och upptäcka fel i folkbokföringsdatabasen. Av 2 § förordningen med instruktion för Skatteverket framgår att Skatteverket ansvarar för frågor om folkbokföring och att uppgifterna i folkbokföringen ska spegla befolkningens bosättning, identitet och familjerättsliga förhållanden så att olika samhällsfunktioner får ett korrekt underlag för beslut och åtgärder. Skatteverket har alltså ansvar för att uppgifterna i folkbokföringsdatabasen är korrekta. Enligt regeringens uppfattning ingår här att Skatteverket måste kunna kontrollera uppgifternas riktighet och utföra analyser och urval för att fullgöra den uppgift som ålagts myndigheten. Regeringen anser därför att Skatteverket redan i dag har stöd för att använda sig av analyser och urval i folkbokföringsverksamheten. Något behov finns därför inte heller att av den anledningen ändra i instruktionen eller, som Skatteverket gjort gällande, i folkbokföringslagen. Genom regeringens förslag, som utvecklas närmare nedan, kommer däremot tydligare ramar sättas för hur verktyget får användas.

En analys- och urvalsdatabas Inom ramen för Skatteverkets uppgift att ansvara för frågor om folkbokföring och att uppgifterna i folkbokföringen ska spegla befolkningens bosättning, identitet och familjerättsliga förhållanden så att olika samhällsfunktioner får ett korrekt underlag för beslut och åtgärder, kan myndigheten i viss utsträckning utföra dataanalyser och urval. Som framgår ovan innebär regeringens förslag att Skatteverket kommer att kunna göra det i större utsträckning och inom tydligare ramar. Ett stort antal uppgifter om enskilda kommer att kunna behandlas för att göra analyser och urval. Som framgår av avsnitt 5.2 kommer uppgifterna att hämtas in från andra myndigheter men även från andra verksamheter inom Skatteverket. De uppgifter som hämtas in ska hos Skatteverket behandlas för dataanalyser och urval (se nedan). För uppgifterna kommer att gälla särskilda skyddsåtgärder och bestämmelser om sekretess (se avsnitt 5.3, 5.4 och 7). Uppgifter som behandlas för dataanalyser och urval kommer i vissa fall att leda till ytterligare kontroller som t.ex. kan föranleda att en felaktig uppgift i folkbokföringsdatabasen rättas. Behandlingen är sådan att formerna för densamma bör regleras. Regeringen bedömer att för dataanalyser och urval finns behov av en reglering som sätter gränser för vilka uppgifter som får användas. I andra sammanhang har för vissa verksamheter valts att i registerförfattning knyta särskilda regler till viss behandling av personuppgifter som anses särskilt

integritetskänslig. Exempelvis bedöms sådan behandling av personuppgifter, som innebär att fler än ett fåtal personer har såväl tillgång till som möjlighet att bearbeta eller förfoga över uppgifterna på annat sätt, typiskt sett mer integritetskänslig än vad som är fallet när endast någon enstaka person förfogar över uppgifterna. För att avgränsa vilka personuppgifter som berörs används ofta begreppet databas. Begreppet används i juridisk mening och ansluter inte nödvändigtvis till tekniska avgränsningar eller behörighetstilldelningar (se prop. 2017/18:171 s. 138). Begreppet databas används redan i dag i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet för den samling av personuppgifter som med hjälp av automatiserad behandling används gemensamt i folkbokföringsverksamheten och som benämns folkbokföringsdatabasen. Regeringen bedömer att det är lämpligt att motsvarande begrepp används även för denna samling. I likhet med utredningen anser regeringen att den strukturerade samling av personuppgifter som med hjälp av automatiserad behandling ska kunna användas gemensamt i verksamheten bör benämnas analys- och urvalsdatabasen. Till skillnad från utredningen anser regeringen att detta bör regleras i ett nytt kapitel, 2 a kap., benämnt Analys- och urvalsdatabasen. Som framgår av avsnitt 5.2 föreslås en särskild reglering avseende vilka uppgifter som får behandlas i analys- och urvalsdatabasen.

En kort introduktion till dataskyddsregleringen EU:s genomförda dataskyddsreform omfattar dels Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här kallad EU:s dataskyddsförordning, dels Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, här kallat 2016 års dataskyddsdirektiv. Dataskyddsdirektivet innehåller bestämmelser om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot och förebygga och förhindra hot mot den allmänna säkerheten. Dataskyddsdirektivet har i huvudsak genomförts genom brottsdatalagen (2018:1177), som innehåller bestämmelser om hantering av personuppgifter inom direktivets tillämpningsområde. Brottsdatalagen är subsidiär till annan författning. Dataskyddsförordningen utgör den generella regleringen av personuppgiftsbehandling inom EU. Förordningen är i alla delar bindande och direkt tillämplig i samtliga EU:s medlemsstater, men tillåter och förutsätter ibland att medlemsstaterna kompletterar förordningen med nationell lagstiftning. EU:s dataskyddsförordning kompletteras genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (data-

skyddslagen). Dataskyddslagen innehåller kompletterande bestämmelser till dataskyddsförordningen av generell karaktär och reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, begränsningar av vissa rättigheter och skyldigheter, administrativa sanktionsavgifter samt skadestånd och överklagande. Även dataskyddslagen är subsidiär till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i registerförfattningar. För Skatteverkets personuppgiftsbehandling i folkbokföringsverksamheten finns lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och förordningen (2001:589) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet som kompletterar dataskyddsförordningen och dataskyddslagen.

Ändamålet med personuppgiftsbehandlingen ska framgå klart och tydligt Den personuppgiftsbehandling som förslagen ger upphov till omfattas av EU:s dataskyddsförordning. Enligt artikel 5.1 i dataskyddsförordningen får personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. EU:s dataskyddsförordning ställer inga krav på att ändamålen ska vara fastställda i författning, men det finns inte heller någonting som hindrar att detta görs. Ändamålsbestämmelser är en sådan typ av specifika bestämmelser som i enlighet med artikel 6.2 och 6.3 i dataskyddsförordningen anpassar tillämpningen av förordningen. Syftet med sådana bestämmelser är att ange ramen för vilken behandling som är tillåten. Genom att reglera för vilka ändamål som personuppgifter får behandlas kan intresset av att behandla uppgifterna balanseras mot det intrång i den personliga integriteten som behandlingen kan innebära. Lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet innebar att de tidigare registren folkbokföringsregistret (reglerad i lagen [1990:1536] om folkbokföringsregister) och aviseringsregistret (reglerad i lagen [1995:743] om aviseringsregister) slogs samman till en databas. De ändamål för behandling som föreskrivs i 1 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet motsvarar i huvudsak ändamålen i de två tidigare lagarna. Enligt punkt 1 i paragrafens första stycke får Skatteverket behandla uppgifter för att tillhandahålla information som behövs för samordnad behandling, kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter. Uppgifter får enligt punkterna 5 och 6 också behandlas för att tillhandahålla information som behövs för aktualisering, komplettering och kontroll av personuppgifter samt uttag av urval av personuppgifter. Av förarbeten till paragrafen framgår att Riksskatteverket vid remissbehandlingen framfört att databasen även borde få användas för kontroll och analys och att detta borde framgå genom ett tillägg av orden ”kontroll och analys” i den första punkten. Regeringen påpekade att i folkbokföringsverksamheten ingår att fullgöra vissa kvalitetskontroller när uppgifter registreras i databasen samt att göra kontroller och analyser av riktigheten av registrerade uppgifter. Kontroll av uppgifter om identitet, bosättning och familjerättsliga förhållanden är en viktig del av folkbokföringsverksamheten. Detta förutsätter bl.a. att urvalskontroller görs, dvs. analyser av vilka personer som ska granskas. Regeringen delade därför Riksskatteverkets bedömning

att även denna verksamhet borde framgå av ändamålsbestämmelsen på motsvarande sätt som gäller för beskattningsverksamheten (prop. 2000/01:33 s. 140). Ändamålen i ovan nämnda punkterna 5 och 6, som också avser kontroll och urval, har sitt ursprung i lagen om aviseringsregister. Aviseringsregistret fick användas av myndigheter för aktualisering, komplettering och kontroll av uppgifter, bl.a. personnummer, civilstånd och vårdnadshavare, i andra personregister. Aviseringsregistret fick också användas för uttag av urval av personuppgifter som myndigheter behövde i sin verksamhet. Det gällde t.ex. uppgifter om personer i olika åldersgrupper till skolmyndigheter och de uttag som görs för framställning av röstlängder (prop. 1994/95:201 s. 39). Det ändamål som föreskrivs i 1 kap. 4 § första stycket 1 tillåter således redan i dag att uppgifter behandlas för att tillhandahålla information som behövs för kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter. Regeringens förslag innebär att behandling av personuppgifter för dataanalyser och urval ska få ske i syfte att förebygga, förhindra och upptäcka felaktigheter i form av saknade eller oriktiga uppgifter i folkbokföringsdatabasen. Regeringen anser att det ändamålet klart och tydligt bör komma till uttryck i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. Det är dessutom en av grundprinciperna med dataskyddsförordningen att personuppgiftsbehandling ska ske på ett öppet sätt i förhållande till den registrerade (se artikel 5.1 a). Med hänsyn till detta föreslås att det i en ny ändamålsbestämmelse i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet föreskrivs att uppgifter får behandlas för att tillhandahålla information som behövs för dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen. I enlighet med vad Skatteverket efterfrågat innebär regeringens förslag, som till viss del avviker från utredningens, därmed att personuppgifter inte enbart kommer att få behandlas vid efterhandskontroller. Inom ändamålet kommer folkbokföringsverksamhetens arbete med dataanalyser och urval att rymmas. Behandling i form av inhämtning och fortsatt behandling av uppgifter i syfte att utgöra underlag för dataanalyser och urval kommer också omfattas av ändamålet. Ändamålet omfattar även t.ex. uppföljning och utveckling av analys- och urvalsmodeller.

Lagförslag Förslaget medför att två nya bestämmelser, 1 kap. 4 a § och 2 a kap. 1 §, införs i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet.

5.2 Analys- och urvalsdatabasens innehåll

Regeringens förslag: De uppgifter som i dag får behandlas i folkbokföringsdatabasen ska i huvudsak också få behandlas i analysoch urvalsdatabasen. En bestämmelse i lag ska upplysa om att regeringen eller den myndighet som regeringen bestämmer kan med-

dela ytterligare föreskrifter om vilka uppgifter som får behandlas i analys- och urvalsdatabasen.

Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att samtliga uppgifter som ska få behandlas i analysoch urvalsdatabasen ska regleras i lag. Remissinstanserna: Endast ett fåtal av remissinstanserna yttrar sig särskilt över förslaget. Skatteverket avstyrker delvis förslaget. Skatteverket anser att databasens innehåll inte bör regleras uttömmande i lag utan även i förordning. En sådan reglering säkerställer att databasen enbart innehåller de uppgifter som är nödvändiga för att upptäcka och förhindra fel i folkbokföringsdatabasen, men ger även regeringen möjlighet att fastställa dess innehåll. Skatteverket föreslår därför att regeringen får avgöra vilka uppgifter som får ingå i databasen med utgångspunkt i artikel 5.1 c EU:s dataskyddsförordning och föreslagen ändamålsbestämmelse. Bolagsverket anser att det bör övervägas om den information som finns i de företags- och föreningsregister som Bolagsverket ansvarar för skulle kunna vara till nytta för Skatteverket att ta med i analys- och urvalsarbetet för att öka kvaliteten i folkbokföringsdatabasen. Lantmäteriet anser att det bör förtydligas att även uppgifter om tomträtter och tomträttsinnehav från Lantmäteriet ska få behandlas för analyser och urval. Det bör även övervägas om information om styrelseledamöter i samfällighetsföreningsregister ska kunna behandlas för analyser och urval. Centrala studiestödsnämnden uppger att förslaget bl.a. innebär att uppgifter om ekonomiska förmåner och ekonomiskt stöd från myndigheten ska få behandlas för analyser och urval. I den fortsatta beredningen bör klargöras vad som avses med ekonomiska förmåner och ekonomiskt stöd från myndigheten.

Skälen för regeringens förslag

Vilka uppgifter som ska få behandlas i analys- och urvalsdatabasen och hur det ska regleras Regeringen gör ovan i avsnitt 5.1 bedömningen att Skatteverkets möjligheter att göra dataanalyser och urval behöver utvecklas och effektiviseras. Därför föreslår regeringen att en analys- och urvalsdatabas ska föras där personuppgifter ska få behandlas för att tillhandahålla information som behövs för dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen. Nästa fråga är vilka uppgifter som ska få behandlas i analys- och urvalsdatabasen. I äldre förarbeten har anförts att till skillnad från vad som gäller inom beskattningsverksamheten är förändringstakten inom folkbokföringsverksamheten förhållandevis låg i fråga om vilka uppgifter om fysiska personer som behöver behandlas på automatiserad väg i den informationsbaserade delen av databasen. Den uppräkning av uppgifter som fanns i lagen om folkbokföringsregister ansågs begränsad till sin omfattning och av central betydelse i folkbokföringsverksamheten. Regeringen ansåg därför att de uppgifter som får behandlas på samma sätt som gällde för folkbokföringsregister skulle anges direkt i lag (prop. 2000/01:33 s. 141). Den nuvarande författningsregleringen innebär att

Skatteverket för att göra urval endast får behandla de personuppgifter som anges i 2 kap. 3 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, dvs. i huvudsak bosättnings- och familjerättsligt relaterade uppgifter, och de uppgifter som behövs för handläggning av ärenden enligt 2 kap. 4 § samma lag. I likhet med utredningen anser regeringen att den reglering som nu föreslås inte bör begränsa denna möjlighet utan tvärtom så bör dessa uppgifter även få behandlas i analys- och urvalsdatabasen. Den personkrets som det får behandlas uppgifter om i analys- och urvalsdatabasen bör också begränsas till att vara densamma som i folkbokföringsdatabasen (se 2 kap. 2 § samma lag). Uppgifterna behövs för att Skatteverket ska ges möjligheter att genom analys och urval verka för att förebygga, förhindra och upptäcka felaktigheter i folkbokföringsdatabasen. De är adekvata, relevanta och inte för omfattande i förhållande till det analys- och urvalsändamål för vilket de behandlas. En bestämmelse som reglerar rätten att behandla uppgifterna i analys- och urvalsdatabasen föreslås därför införas i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. Kravet på att Skatteverket ska ha korrekta uppgifter i folkbokföringsdatabasen är dock svårt att upprätthålla när myndigheten inte kan nyttja uppgifter från andra aktörer som indikerar var personer t.ex. kan, eller inte kan, anses vara bosatta. I likhet med utredningen anser därför regeringen att Skatteverket bör ges möjligheter till effektivisering i folkbokföringsverksamheten genom att också använda uppgifter från andra verksamheter inom Skatteverket liksom från andra myndigheter i syfte att genom sökningar baserade på olika urval kunna rikta resurserna dit där riskerna för fel är som störst. Ökade möjligheter att koncentrera sig på de ärenden där risken för felaktigheter är som störst innebär även att hanteringen av övriga ärenden kan effektiviseras. Genom att ett urval görs kommer dessutom endast uppgifter i de mest relevanta ärendena att behandlas, vilket innebär ett mer begränsat integritetsintrång. Skatteverkets begränsade möjligheter att använda uppgifter utanför folkbokföringsverksamheten för att hitta granskningsvärda ärenden innebär också små möjligheter att göra väl underbyggda riskvärderingar inför handläggning och skiktning av ärenden. För att kunna göra effektiva och ändamålsenliga urval och kunna agera där det finns stor risk för fel behöver Skatteverket kunna använda även uppgifter som inte finns i folkbokföringsdatabasen. Som en jämförelse kan nämnas att i Skatteverkets beskattningsverksamhet ges helt andra möjligheter att vid urval använda sig av uppgifter från andra verksamhetsområden. Enligt 1 kap. 4 § 4 lagen (2001:181) om behandling av personuppgifter i Skatteverkets beskattningsverksamhet får uppgifter behandlas för att tillhandahålla information som behövs hos Skatteverket för revision och annan analyseller kontrollverksamhet. I 2 kap. 3 § samma lag anges ett antal uppgifter som får behandlas i beskattningsdatabasen och i paragrafens tredje stycke finns en bestämmelse som informerar om att regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om vilka uppgifter som får behandlas i databasen enligt första stycket. Sådana föreskrifter har meddelats i 2 § förordningen (2001:588) om behandling av uppgifter i Skatteverkets beskattningsverksamhet. 21

Reglering av denna typ förekommer således i såväl lag som förordning och regeringen anser, i likhet med Skatteverket, att analys- och urvalsdatabasens innehåll inte bör regleras uttömmande i lag utan även i förordning. Regleringen av vilka ytterligare uppgifter som ska få behandlas i analys- och urvalsdatabasen, utöver de som i dag får behandlas i folkbokföringsdatabasen, bedömer regeringen kan tas in i förordning. Regeringen föreslår en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer, med stöd av 8 kap. 7 § regeringsformen, kan meddela ytterligare föreskrifter om vilka personuppgifter som får behandlas i analys- och urvalsdatabasen. På detta sätt kommer det att framgå att närmare reglering kan finnas i annan författning. Vad Bolagsverket, Lantmäteriet och Centrala studiestödsnämnden anfört får därför beaktas närmare i samband med förordningsarbetet. Nedan ges dock några exempel på vilka slags uppgifter det kan vara fråga om. Det är naturligtvis viktigt att enbart sådana uppgifter behandlas som är av betydelse för att uppfylla ändamålet att utföra dataanalyser och urval i syfte att förebygga, upptäcka och förhindra felaktigheter i folkbokföringsdatabasen. Personuppgifter som behandlas ska enligt artikel 5.1 c i EU:s dataskyddsförordning vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. En förutsättning för att en personuppgift ska få behandlas är att den behövs för att kunna uppfylla det ändamål för vilken den behandlas. Andra viktiga utgångspunkter i dataskyddsförordningen är att uppgifterna ska vara effektiva i förhållande till syftet med behandlingen och att integritetsintrånget ska minimeras. Om det finns andra uppgifter som i stället skulle kunna användas vid analysen och som ger ett bättre utfall eller mindre integritetsintrång bör dessa uppgifter väljas i stället. När det gäller de uppgifter som Skatteverket kan behöva för analys- och urval i folkbokföringsverksamheten, från såväl andra verksamheter inom Skatteverket som från andra myndigheter, kan sekretess gälla för vissa av dessa. Enligt 10 kap. 28 § första stycket offentlighets- och sekretesslagen (2009:400) hindrar sekretess inte att en uppgift lämnas till en annan myndighet, om uppgiftsskyldigheten följer av lag eller förordning. Regeringen avser att i förordning införa nödvändiga bestämmelser om uppgiftsskyldighet. Bland de uppgifter som kan komma att behövas för dataanalyser och urval kan dock nämnas uppgifter som Skatteverket i dag endast kan inhämta från andra myndigheter och verksamhetsgrenar om det behövs för handläggning av folkbokföringsärenden eller kontroll av uppgifter i folkbokföringsdatabasen. Det handlar exempelvis om uppgifter från beskattningsdatabasen (se 5 c § förordningen om behandling av uppgifter i Skatteverkets beskattningsverksamhet). Ett flertal andra myndigheter har dessutom sedan den 1 september 2022 en skyldighet att på begäran lämna uppgifter till Skatteverket om det behövs för handläggning av folkbokföringsärenden eller kontroll av uppgifter i folkbokföringsdatabasen. Det handlar bl.a. om uppgifter från Kronofogdemyndigheten om adress och andra kontaktuppgifter, genomförd avhysning, utmätning och delgivning samt tillgångar i utlandet (se 7 a § förordningen [2001:590] om behandling av uppgifter i Kronofogdemyndighetens verksamhet). Det gäller även uppgifter från 22 Migrationsverket om bl.a. namn, person- eller samordningsnummer,

födelseort, födelsetid och kön, medborgarskap, civilstånd och andra familjerättsliga förhållanden liksom fotografi och resehandling (se 7 kap. 15 b § utlänningsförordningen [2006:97]). Från Försäkringskassan och Pensionsmyndigheten gäller skyldigheten att lämna uppgifter bl.a. beslut som rör ekonomisk förmån eller ekonomiskt stöd (se 12 och 13 §§ folkbokföringsförordningen [1991:749]).

Känsliga personuppgifter Genom att uppgifter som får behandlas i folkbokföringsdatabasen också ska få behandlas i analys- och urvalsdatabasen kan det inte uteslutas att Skatteverket kan komma att även i denna databas behöva behandla känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning. Behandling av sådana uppgifter är som huvudregel förbjuden. För det fall det skulle röra sig om känsliga personuppgifter föreskrivs dock i artikel 9.2 g ett undantag från förbudet om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av t.ex. medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Som nämnts ovan får det i Skatteverkets ansvar för att uppgifterna i folkbokföringsdatabasen är korrekta anses ingå att kunna kontrollera uppgifternas riktighet och utföra analyser och urval för att kunna fullgöra detta. Detta arbete anses också ingå i Skatteverkets uppdrag enligt 2 § förordningen (2017:154) med instruktion för Skatteverket och genom den reglering som föreslås i denna lagrådsremiss ges tydligare ramar som utvecklar och effektiviserar arbetet. Syftet med den behandling av personuppgifter, i vilken känsliga personuppgifter kan ingå, som föranleds av förslagen i denna lagrådsremiss är att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen. När Skatteverket behandlar känsliga personuppgifter som är nödvändiga för att utföra dessa uppgifter anser regeringen att det rör sig om en sådan behandling som avses i artikel 9.2 g i EU:s dataskyddsförordning, dvs. en behandling som är av viktigt allmänintresse på grundval av nationell rätt. Behandlingen av känsliga personuppgifter är alltså motiverad med hänsyn till ett viktigt allmänintresse. Enligt 1 kap. 6 § första stycket lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet får känsliga personuppgifter och uppgifter om lagöverträdelser behandlas om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Av andra stycket framgår att sådana uppgifter får i annat fall behandlas endast om det särskilt anges i 2 kap. samma lag. Uppgifter som behandlas i folkbokföringsdatabasen enligt 2 kap. 3 och 4 §§ föreslås ska få behandlas även i analys- och urvalsdatabasen. I dessa bestämmelser anges i huvudsak inte sådana personuppgifter som avses i 1 kap. 6 § (se dock 2 kap 3 § andra stycket och 2 kap. 3 § första stycket 21 i bestämmelsens lydelse från och med den 1 september 2023). Regeringens förslag ger dock stöd för att behandla detta fåtal känsliga uppgifter även i analys- och urvalsdatabasen. I avsnitt 5.1 föreslås en särskild ändamålsbestämmelse för arbetet med dataanalyser och urval som

begränsar behandlingen av personuppgifter. I avsnitt 5.3 och 5.4 föreslås även ett flertal skyddsåtgärder, utöver vad som redan följer av dataskyddsförordningen. Förutsättningarna för att i analys- och urvalsdatabasen få behandla känsliga personuppgifter och uppgifter om lagöverträdelser från folkbokföringsdatabasen som anges i 2 kap. 3 § bedöms sammantaget vara uppfyllda. Även om stöd för att behandla sådana uppgifter i analys- och urvalsdatabasen alltså kommer att finnas genom regeringens förslag, kan dock konstateras att de uppgifter från folkbokföringsdatabasen som får behandlas i huvudsak inte avser sådana personuppgifter som avses i 1 kap. 6 § (se även 1 kap. 7 § i den lagen som träder i kraft den 1 september 2023 om omedelbar förstörelse av vissa känsliga personuppgifter i folkbokföringsdatabasen).

Lagförslag Förslaget medför att två nya bestämmelser, 2 a kap. 2 och 3 §§, införs i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet.

5.3 Några skyddsåtgärder vid behandling av personuppgifter i analys- och urvalsdatabasen

Regeringens förslag: Uppgifter om födelseort, familjesamband som grundas på adoption, inflyttning från utlandet samt uppehållsrätt för en person som är folkbokförd ska inte få användas som sökbegrepp vid sökning i analys- och urvalsdatabasen. Uppgift om medborgarskap ska få användas som sökbegrepp endast i fråga om medborgarskap i Sverige, Danmark, Norge, Finland eller Island samt om medborgarskap i ett land inom eller utom Europeiska unionen (unionsmedborgarskap eller icke unionsmedborgarskap). Metoder för att ta fram urval och de sökbegrepp som används vid sökningar i analys- och urvalsdatabasen ska dokumenteras på ett sådant sätt att de kan kontrolleras i efterhand. Regeringens bedömning: Ytterligare bestämmelser om särskilda skyddsåtgärder avseende analys- och urvalsdatabasen kan regleras i förordning.

Utredningens förslag och bedömning överensstämmer delvis med regeringens. Utredningens förslag omfattar även begränsningar av sökning efter handlingar i ett ärende. Utredningens förslag har dessutom en annan lagteknisk utformning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget och bedömningen.

Skälen för regeringens förslag och bedömning

Ytterligare skyddsåtgärder bör införas Behandling av personuppgifter vid dataanalyser och urval innebär särskilda risker från integritetssynpunkt eftersom även uppgifter som i sig inte är särskilt känsliga genom sambearbetning med andra uppgifter kan

få en betydligt mer integritetskänslig karaktär. Det är därför nödvändigt att analys- och urvalsdatabasen omgärdas av särskilda skyddsåtgärder för att minska risken för onödiga integritetsintrång. Som angetts ovan i avsnitt 5.2 är det också ett krav för att få behandla känsliga personuppgifter enligt artikel 9.2 g i EU:s dataskyddsförordning. Merparten av bestämmelserna bör enligt regeringens mening föras in i lag, medan andra bedöms kunna regleras i förordning.

Vissa sökförbud ska gälla Lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet uppställer ett antal sökbegränsningar för folkbokföringsdatabasen i bl.a. 2 kap. 10 §. Uppgifter som avses i 2 kap. 3 § första stycket 5, 11, 12 och 17 (födelseort, familjesamband som är grundat på adoption, inflyttning från utlandet respektive uppehållsrätt för en person som är folkbokförd) får inte användas som sökbegrepp i folkbokföringsdatabasen. Medborgarskap får användas som sökbegrepp endast i fråga om medborgarskap i Sverige, Danmark, Norge, Finland eller Island samt medborgarskap inom eller utom Europeiska unionen (unionsmedborgarskap eller icke unionsmedborgarskap). Regeringen föreslår att motsvarande sökbegränsning ska gälla för analys- och urvalsdatabasen. Eftersom en handling som enligt 2 kap. 5 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet kommit in i ett ärende eller upprättats i ett ärende inte ska få behandlas i analys- och urvalsdatabasen aktualiseras inte den sökbegränsning som enligt 2 kap. 11 § gäller för folkbokföringsdatabasen. Till skillnad från utredningen föreslår därför regeringen inte att nämnda bestämmelse ska gälla även för sökningar i analys- och urvalsdatabasen.

Dokumentation om metoder och sökbegrepp De metoder för att ta fram urval som används bör dokumenteras på ett sätt som möjliggör en kontroll i efterhand. Det bör t.ex. vara möjligt att följa upp att rätt uppgifter finns i analys- och urvalsdatabasen, att uppgifterna används för rätt ändamål och att de inte behandlas under längre tid än vad som är tillåtet. Även de sökbegrepp som används vid sökningar i databasen bör dokumenteras på sådant sätt att de kan kontrolleras i efterhand. Det är angeläget att de nu aktuella skyddsåtgärderna följs och regeringen föreslår därför att det i lag ska införas bestämmelser om dokumentering av metoder för att ta fram urval och de sökbegrepp som används vid sökningar i databasen.

Tillgången till personuppgifter Analys- och urvalsdatabasen kommer att innehålla en mängd uppgifter varav en del kan uppfattas som integritetskänsliga. Det är naturligtvis betydelsefullt att uppgifterna inte sprids till någon som inte har användning av dem i sitt arbete. Om kretsen av personer som har tillgång till personuppgifter begränsas är riskerna för integritetsintrång generellt sett mindre. Det finns därför anledning att, utöver skyddsregler i form av bl.a. sökbegränsningar och dokumentation, också begränsa vilka som kan få tillgång till uppgifterna.

I vissa författningar har bestämmelser förts in som begränsar tillgången till personuppgifter. Sådana bestämmelser anses utgöra en sådan specificering som enligt artikel 6.2 och 6.3 i EU:s dataskyddsförordning är tillåten i nationell rätt. Som exempel på sådan reglering kan nämnas 2 kap. 5 § lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter, enligt vilken tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Liknande bestämmelser finns även i 16 § utlänningsdatalagen (2016:27) och 26 § lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången till personuppgifter följer dock direkt av EU:s dataskyddsförordning. Det är ett skäl till att sådana bestämmelser inte införts i vissa andra författningar, däribland lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet (se prop. 2021/22:217 s. 53 och även prop. 2019/20:166 s. 125). Av artiklarna 24.1 och 32 i dataskyddsförordningen följer att den personuppgiftsansvarige är skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas i verksamheten. Det åligger alltså Skatteverket att med utgångspunkt i den egna myndighetens organisation och dess behov se till att tillgången till personuppgifter begränsas. Regeringen bedömer därför att det i lagen inte behöver införas någon särskild bestämmelse med sådan innebörd.

Krav på fler skyddsåtgärder kan införas i förordning Det kan finnas skäl att ställa ytterligare krav på skyddsåtgärder. Det kan t.ex. handla om att införa en skyldighet för Skatteverket att ta fram rutiner. Genom att i rutiner sätta upp gränser för den behandling som får utföras minskar risken för obefogat intrång i den personliga integriteten. Om det finns möjligheter att i efterhand följa upp vilka urvalsmodeller som har använts kan det också kontrolleras att fastställda rutiner följs. Regeringen bedömer i likhet med utredningen att det är tillräckligt att sådana krav införs i förordning.

Lagförslag Förslaget medför att två nya bestämmelser, 4 och 5 §§, införs i 2 a kap. lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet.

5.4 Längsta tid för personuppgiftsbehandlingen

Regeringens förslag: Personuppgifter som behandlas i analys- och urvalsdatabasen ska inte få behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Uppgifterna får dock aldrig behandlas under längre tid än tre år från den tidpunkt då uppgifterna tillfördes databasen.

Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att uppgifter i analys- och urvalsdatabasen ska gallras

senast ett år från den tidpunkt då uppgifterna senast behandlades för det ändamål för vilket de samlades in. Utredningen föreslår också att gallringstidpunkten aldrig får överstiga tre år från den tidpunkt uppgifterna samlades in. Utredningens förslag har dessutom en annan lagteknisk utformning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget.

Skälen för regeringens förslag

Dataskyddsförordningens krav Enligt artikel 5.1 e i EU:s dataskyddsförordning får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa den registrerades rättigheter och friheter (principen om lagringsminimering). När det gäller den rättsliga grunden för behandling framgår det av artikel 6.3 att den kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. lagringstid. Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. För känsliga personuppgifter gäller enligt artikel 9.2 j i dataskyddsförordningen att sådana uppgifter får behandlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Dataskyddslagen saknar bestämmelser som tar sikte på längsta tid för behandling. I 3 kap. 6 § finns dock en reglering om att känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse under i bestämmelsen närmare angivna förutsättningar.

Skillnaden mellan dataskyddsregler och arkivlagstiftningen Bestämmelser om myndigheters skyldighet att bevara allmänna handlingar, på vilket sätt bevarande ska ske och gallring finns i arkivlagen (1990:782), arkivförordningen (1991:446) och Riksarkivets föreskrifter (RA-FS och RA-MS). Huvudprincipen enligt arkivlagstiftningen är att allmänna handlingar ska bevaras. Det kommer till uttryck i 3 § arkivlagen, som anger att myndigheternas arkiv som huvudregel ska bevaras, hållas

ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Av 10 § arkivlagen framgår att allmänna handlingar under vissa förutsättningar får gallras. Med gallring avses att en handling förstörs på ett eller annat sätt. När det gäller gallring är arkivlagens bestämmelser subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning, har de bestämmelserna företräde (10 § tredje stycket arkivlagen). Av 14 § arkivförordningen framgår att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsföreskrifter finns i lag eller förordning. Om det i författningar som rör myndigheters behandling av personuppgifter inte finns några särskilda regler om gallring, ska således arkivlagens bestämmelser om bevarande som huvudprincip tillämpas. Grundprincipen i arkivlagstiftningen är således att allmänna handlingar ska bevaras. Några särskilda hänsyn till vilken risk som bevarandet kan medföra ur integritetshänseende ska inte tas. Bestämmelser om gallring föranleds i stället vanligtvis av kostnads- och utrymmesskäl. Arkivregleringen skiljer inte på personuppgifter eller andra uppgifter, men avser endast allmänna handlingar. Det har sedan länge funnits bestämmelser om gallring av personuppgifter även i registerförfattningar. Syftet med att införa bestämmelser om gallring i dessa författningar har dock framför allt varit att skydda den enskildes personliga integritet. Det bör också noteras att, till skillnad från arkivregleringen, gäller regleringen för personuppgiftsbehandling inte enbart uppgifter i allmänna handlingar. Utgångspunkten har varit den omvända i förhållande till arkivlagen, dvs. gallring är huvudregel och bevarande av personuppgifter ett undantag. I flertalet registerförfattningar, och i vissa andra författningar som innehåller gallringsföreskrifter, finns dock även bestämmelser om undantag från gallring. Sedan den s.k. dataskyddsreformen (se avsnitt 5.1) har det skett en viss förändring avseende begreppsanvändningen. I propositionen Brottsdatalag – kompletterande lagstiftning uttalade regeringen att gallring enligt det arkivrättsliga regelverket syftar till att begränsa arkivens omfattning bl.a. för att därmed öka deras tillgänglighet, medan gallring enligt registerförfattningarna syftar till att skydda enskildas personliga integritet (prop. 2017/18:269 s. 120 och 121). Regeringen angav i samband med detta att orden bevarande och gallring i de nya registerförfattningarna därför enbart bör användas i den betydelse som de har i arkivlagstiftningen, för att så långt som möjligt skilja mellan arkivrättsliga regler och regler om dataskydd. Orden bevarande och gallring används därför inte i t.ex. brottsdatalagen (2018:1177) eller lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område, om inte arkivrättsliga regler avses. Avsikten var inte att den ändrade terminologin skulle föranleda några ändringar i sak (prop. 2017/18:269 s. 121). Förändringen har delvis fått genomslag även på dataskyddsförordningens område. Som exempel på nyare dataskyddsreglering där uttrycken 28 längsta tid för behandling används, kan 20 § lagen (2021:319) om

Transportstyrelsens olycksdatabas och 7 kap. 8 § lagen (2021:890) om skydd för personer som rapporterar om missförhållanden nämnas. De skäl som regeringen anförde vid lagstiftningsärendet avseende brottsdatalagen och övriga registerförfattningar på brottsdatalagens område gör sig gällande även i detta lagstiftningsärende. Till skillnad från utredningen anser därför regeringen att i stället för gallring bör begreppet längsta tid för behandling användas, när bestämmelserna tar sikte på skyddet för den personliga integriteten och ändamålen med behandlingen. Att personuppgifter upphör att behandlas innebär inte att handlingarna gallras, dvs. förstörs. Det innebär enbart att de inte längre är tillgängliga i det aktuella verksamhetssystemet.

Bestämmelser om längsta tid för behandling bör införas Som framgår ovan följer det av artikel 5.1 e i EU:s dataskyddsförordning att personuppgifter inte får förvaras under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas, vilket är en grundläggande dataskyddsrättslig princip. Personuppgifter ska således inte behandlas om det inte längre föreligger ett behov av det. Som också framgår ovan finns det ett utrymme enligt dataskyddsförordningen för nationell reglering om detta, vilket också i stor utsträckning förekommer i registerförfattningar. Lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet innehåller inte någon bestämmelse om vare sig gallring av uppgifter eller längsta tid för behandling (jfr dock 1 kap. 7 § i den lagen som träder i kraft den 1 september 2023 om omedelbar förstörelse av vissa uppgifter i folkbokföringsdatabasen). Regeringen instämmer med utredningens bedömning att de uppgifter som behandlas för dataanalys och urval och de resultat som analyserna och urvalen ger har en annan karaktär än uppgifterna i folkbokföringsdatabasen och att det finns behov av en reglering om längsta tid för behandling. Utredningen har föreslagit fasta tidsgränser som innebär att utgångspunkten är att uppgifter som behandlas i databasen inte får behandlas under längre tid än ett år från den tidpunkt då uppgifterna senast behandlades för det ändamål för vilket de samlades in. Som framgår av avsnitt 5.1 ska uppgifter samlas in i analys- och urvalsdatabasen för ändamålet att göra dataanalyser och urval. Det kan dock vara fråga om en uppgift som behandlas flera gånger och utredningen har därför funnit det lämpligt med en bestämd tidsgräns då uppgiften inte längre får behandlas trots att ett år inte har förflutit sedan senaste behandling. Utöver nämnda tidsgräns om ett år har utredningen därför föreslagit att uppgifter inte får behandlas under längre tid än tre år från den tidpunkt då uppgifterna samlades in. Regeringen anser att regleringen bör ha en något annorlunda utformning än den av utredningen föreslagna. I stället för den fasta tidsgräns om ett år som utredningen föreslagit kan det enligt regeringens uppfattning finnas goda skäl för att ovan nämnda princip i artikel 5.1 e i EU:s dataskyddsförordning bör komma till uttryck i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och utgöra en huvudregel för personuppgiftsbehandlingen i analys- och urvalsdatabasen. Regeringen föreslår därför att en bestämmelse införs om att person-

uppgifter inte ska få behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Som framgår av tidigare beskrivningar kommer det i analys- och urvalsdatabasen att behandlas stora mängder personuppgifter. Den föreslagna bestämmelsen säkerställer ytterligare den grundläggande principen om att endast uppgifter som behöver behandlas, ska behandlas. Som yttersta tidsgräns ska dock gälla att uppgifterna inte får behandlas under längre tid än tre år från den tidpunkt då de tillfördes databasen. Denna yttersta tidsgräns bör dock inte utgöra någon generell utgångspunkt, utan hela tiden måste bedömas hur länge en uppgift är nödvändig för ändamålet med behandlingen.

Lagförslag Förslaget medför att en ny bestämmelse, 2 a kap. 6 §, införs i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet.

5.5 Rätten att göra invändningar

Regeringens förslag: Rätten för registrerade att göra invändningar enligt artikel 21.1 i EU:s dataskyddsförordning ska inte gälla vid sådan behandling av personuppgifter som är tillåten i analys- och urvalsdatabasen. Regeringens bedömning: Någon lagändring behöver inte göras.

Utredningens förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag och bedömning: Vid behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller efter en intresseavvägning (dvs. behandling enligt artikel 6.1 e eller f i EU:s dataskyddsförordning) ska den registrerade ha rätt att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot behandlingen. Den personuppgiftsansvarige får inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Detta följer av artikel 21.1 i dataskyddsförordningen. Rätten att göra invändningar innebär att den registrerade har möjlighet att få till stånd en kontroll av om uppgifterna får behandlas. Under tiden som en sådan prövning pågår har den registrerade rätt att kräva att behandlingen av personuppgifterna begränsas (se artikel 18.1 d i dataskyddsförordningen). Om det bedöms saknas berättigade skäl för behandlingen har den registrerade rätt att få personuppgifterna raderade (se artikel 17.1 c i dataskyddsförordningen). Medlemsstaterna kan enligt artikel 23 i EU:s dataskyddsförordning under vissa förutsättningar begränsa rätten att göra invändningar. En sådan begränsning får göras om den sker med respekt för de grundläggande

rättigheterna och friheterna. Begränsningen ska ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och ska utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa olika uppräknade intressen, bl.a. viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen (däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet). Sådana lagstiftningsåtgärder ska enligt artikeln innehålla specifika bestämmelser när så är relevant, avseende bl.a. ändamålen med behandlingen, lagringstiden samt tillgängliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål. Rätten att göra invändningar har begränsats i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. I 3 kap. 1 § finns en bestämmelse om att rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till lagen. Ett huvudsakligt skäl till begränsningen är att det har ansetts vara av stor betydelse att personuppgifter får behandlas i myndigheternas verksamheter oberoende av den registrerades inställning. Vidare har regeringen bedömt att den personuppgiftsansvarige närmast undantagslöst skulle kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet (se prop. 2017/18:95 s. 85). Det är nödvändigt att personuppgifter får behandlas för analys- och urvalsändamål oberoende av den registrerades inställning. Om enskilda skulle ha möjlighet att undantas från behandlingen skulle det kunna undergräva själva syftet med behandlingen. Den enskilde bör enligt regeringen inte ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. Den befintliga bestämmelsen om att rätten att göra invändningar inte kan göras gällande ska därför även gälla för analys- och urvalsdatabasen. Begränsningen utgör, av ovan anförda skäl, en nödvändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse, nämligen att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen. Ett syfte som även kan bidra till att minska risken för brottsligt utnyttjande av välfärdssystemen. Regeringen föreslår även ett flertal olika integritetsskyddande bestämmelser såsom ändamål med behandlingen, sökbegränsningar och längsta tid för personuppgiftsbehandlingen. Regleringen innebär en förhållandevis snäv ram för personuppgiftsbehandlingen och minimerar risken för kränkning av den registrerades rättigheter och friheter. Den får därför anses uppfylla de krav, när så är relevant, på bl.a. skyddsåtgärder som uppställs i artikel 23.2 i dataskyddsförordningen. Med hänsyn till detta bedöms den föreslagna begränsningen vara förenlig med EU:s dataskyddsförordning. Som nämnts ovan finns redan i dag en bestämmelse om att rätten att göra invändningar inte kan göras gällande i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. Det krävs inte någon författningsändring för att samma bestämmelse även ska gälla i analys- och urvalsdatabasen.

6 Skyddet för den personliga integriteten

vid behandling av personuppgifter

Regeringens bedömning: Den behandling av personuppgifter som förslagen ger upphov till utgör en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i regeringsformen, Europakonventionen och EU:s rättighetsstadga. Personuppgiftsbehandlingen är vidare förenlig med EU:s dataskyddsförordning, dataskyddslagen och de föreskrifter som har meddelats med stöd av den lagen. Förutom de ändringar som föreslås i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet är den befintliga regleringen tillräcklig för den personuppgiftsbehandling som kan komma att ske med anledning av förslagen.

Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal av remissinstanserna yttrar sig särskilt över bedömningen. Integritetsskyddsmyndigheten (IMY) och Sveriges advokatsamfund kan inte tillstyrka förslagen eftersom det saknas en noggrann analys och närmare överväganden avseende hur förslaget rörande analys- och urvalsdatabasen inverkar på enskildas personliga integritet. IMY anser att det är positivt att utredningen gjort en kartläggning av vilka uppgifter Skatteverket behöver samla in i sin verksamhet med att upptäcka felaktigheter i folkbokföringen. Utredningen har dock enbart kartlagt vilka kategorier av uppgifter Skatteverket ska få samla in inom ramen för analys och urval, men inte i vilken omfattning uppgifterna behöver samlas in eller om samtliga uppgifter behöver samlas in avseende samtliga kategorier av uppgifter. I de föreslagna bestämmelserna regleras inte personuppgiftsbehandlingen på en mer utförlig nivå. Förvisso ställs krav på att rutiner för urvalsmodeller ska tas fram och att metoder för att ta fram urval dokumenteras, i syfte att möjliggöra kontroll i efterhand. IMY vill dock framhålla att de föreslagna bestämmelserna ger Skatteverket ett stort utrymme för personuppgiftsbehandling rörande stora delar av befolkningen. Då det är fråga om en omfattande behandling av personuppgifter som rör en majoritet av befolkningen efterfrågar IMY en mer omfattande kartläggning och beskrivning av den personuppgiftsbehandling som de föreslagna bestämmelserna ger utrymme för samt en, så långt som möjligt, tydlig reglering i lag angående behandling av personuppgifter i analys- och urvalsdatabasen. Sveriges advokatsamfund uppger att med förslagen kommer Skatteverket sammantaget att medges mycket stort utrymme för att behandla personuppgifter rörande i princip hela Sveriges befolkning. En del av personuppgifterna som behandlas kommer att innehålla känslig information. Vid all lagstiftning som avser behandling av personuppgifter är det viktigt att inte enbart bedöma vad som är ändamålsenligt för olika typer av verksamheter, utan även beakta hur den föreslagna regleringen påverkar skyddet för den personliga integriteten. Denna rättighet följer bland annat av Europakonventionen, EU:s stadga om de grundläggande rättigheterna, regeringsformen och EU:s dataskyddsförordning. Det är därför av största vikt att bedöma risken för att personuppgifter och annan

känslig information sprids på ett olämpligt sätt till följd av nya lagförslag, allt för att det grundlagsskyddade integritetsskyddet i 2 kap. 6 § andra stycket regeringsformen och den enskildes rättssäkerhet i övrigt ska kunna upprätthållas. När ny lagstiftning och andra föreskrifter tas fram bör lagstiftaren analysera konsekvenserna för den personliga integriteten vid personuppgiftsbehandling, dvs. vidta en så kallad integritetsanalys. I likhet med vad IMY gett uttryck för anser Advokatsamfundet att det saknas en tillräcklig sådan analys i betänkandet rörande vilka konsekvenser förslaget om analys- och urvalsdatabasen får för de enskildas personliga integritet. Advokatsamfundet kan därför inte ställa sig bakom förslaget.

Skälen för regeringens bedömning

Det finns rättslig grund för behandlingen En grundläggande förutsättning för att den behandling av personuppgifter som regeringens förslag i denna lagrådsremiss kräver ska vara laglig och tillåten är att den ryms inom någon av de rättsliga grunderna för behandling som finns i artikel 6.1 i EU:s dataskyddsförordning. Den rättsliga grunden för personuppgiftsbehandlingen i folkbokföringsverksamheten finns i första hand i artikel 6.1 e, dvs. att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Enligt artikel 6.3 första stycket i dataskyddsförordningen ska den aktuella grunden för behandlingen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Av 2 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) följer bl.a. att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Av artikel 6.3 andra stycket i dataskyddsförordningen följer vidare att medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Skatteverket ansvarar för frågor om folkbokföring. Regeringens förslag om utökade möjligheter för Skatteverket att genomföra dataanalyser och urval innebär att Skatteverket får bättre förutsättningar att se till att uppgifterna i folkbokföringsdatabasen speglar befolkningens bosättning, identitet och familjerättsliga förhållanden så att olika samhällsfunktioner får ett korrekt underlag för beslut och åtgärder. Syftet är att förebygga, förhindra och upptäcka felaktiga registreringar i folkbokföringsdatabasen. Regeringen bedömer att den behandling av personuppgifter som är nödvändig för att dessa uppgifter ska kunna utföras ryms inom den rättsliga grunden uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Den aktuella grunden för behandlingen är vidare fastställd i den nationella rätten på det sätt som krävs enligt artikel 6.3 i EU:s dataskyddsförordning genom 2 § förordningen (2017:154) med instruktion för Skatteverket och genom den nu föreslagna regleringen. Regeringen bedömer vidare att den behandling 33

av personuppgifter som kan komma att ske är proportionell i förhållande till de mål som eftersträvas (se vidare nedan). Av ovanstående redogörelse framgår alltså att all behandling av personuppgifter som är nödvändig för att Skatteverket ska kunna utföra sina uppdrag, i vilka regeringens förslag i denna lagrådsremiss omfattas, utgör en uppgift av allmänt intresse och ryms således inom den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen (se även prop. 2017/18:105 s. 55 – 57). Vidare framgår att de grunder för behandlingen som avses i artikel 6.1 e kommer att vara fastställda i enlighet med nationell rätt på ett sätt som uppfyller kriterierna i artikel 6.3 i dataskyddsförordningen. Sammantaget kommer det således att finnas rättslig grund för den personuppgiftsbehandling som föranleds av förslagen.

Behovs- och proportionalitetsbedömning Utöver kravet på att någon av de rättsliga grunderna i artikel 6 måste vara tillämplig omgärdas varje behandling av personuppgifter av andra krav i EU:s dataskyddsförordning. I artikel 5 ställs ett antal allmänna principer för behandlingen upp. Däribland kan nämnas att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (artikel 5.1 a, principen om laglighet, korrekthet och öppenhet). Uppgifterna ska vidare vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c, principen om uppgiftsminimering). De ska vidare vara korrekta och, om nödvändigt, uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (artikel 5.1 d, principen om korrekthet). Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De får inte senare behandlas på ett sätt som är oförenligt med dessa ursprungliga ändamål. Ytterligare behandling för bl.a. arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål ska inte anses vara oförenlig med de ursprungliga ändamålen (artikel 5.1 b, principen om ändamålsbegränsning och finalitetsprincipen). Vidare får personuppgifter inte förvaras under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. De får dock lagras under längre perioder i den mån som personuppgifterna enbart behandlas för bl.a. arkivändamål av allmänt intresse under vissa närmare angivna förutsättningar (artikel 5.1 e, principen om lagringsminimering). Personuppgifter måste också behandlas på ett sätt som säkerställer lämplig säkerhet (artikel 5.1 f, principen om integritet och konfidentialitet). Ytterligare centrala bestämmelser gäller behandling av särskilda kategorier av uppgifter (känsliga personuppgifter), vilket som huvudregel är förbjudet, med ett antal uppräknade undantagssituationer (artikel 9, se även avsnitt 5.2). Bland de bestämmelser som är relevanta för den personuppgiftsansvarige kan också nämnas krav på inbyggt dataskydd och dataskydd som standard (artikel 25) och krav på att vidta lämpliga tekniska och organisatoriska skyddsåtgärder för att säkerställa en lämplig säkerhetsnivå (artikel 32).

Regeringen har ovan bedömt att det finns rättslig grund för den personuppgiftsbehandling som Skatteverket kommer att utföra vid dataanalyser och urval. Skatteverkets folkbokföringsdatabas innehåller systemöverskridande uppgifter som har en central betydelse i bl.a. många av välfärdens ersättningssystem, både för att bedöma rätten till och storleken på ersättningen. Detta gäller inte enbart uppgift om folkbokföring i Sverige och bostadsadress utan även bl.a. uppgifter om ålder och civilstånd. Eftersom uppgifterna i folkbokföringen används i stora delar av myndighetssfären och dessutom presumeras vara korrekta, får fel i dessa uppgifter betydande spridningseffekter. Det gäller inte minst i förhållande till de ersättningssystem som har sin grund i t.ex. bosättning. Skatteverkets behov av att utöka användningen av analys och urval i folkbokföringsverksamheten för att kunna upprätthålla en hög kvalitet på uppgifter i folkbokföringsdatabasen är stort och utvecklas närmare i avsnitt 4 och 5.1. Ett av de främsta skälen för att förbättra Skatteverkets möjligheter att använda dataanalyser och urval är att få till stånd ett effektivare verktyg för att minska fel i folkbokföringsdatabasen. Genom förslagen ges Skatteverket t.ex. möjlighet att koncentrera verksamheten till att åtgärda de fel i folkbokföringsdatabasen som orsakar störst problem för samhället och att förebygga och förhindra dem från att någonsin uppstå. Skatteverket får därmed bättre förutsättningar att lägga sina resurser där de gör störst nytta. De integritetsintrång som förslagen ger upphov till bedöms mot denna bakgrund vara motiverade och regeringen anser att behandlingen står i proportion till behovet. Den samling av uppgifter som ska få behandlas för analys och urval behövs för att förbättra Skatteverkets förutsättningar att förebygga, förhindra och upptäcka felaktigheter i folkbokföringsdatabasen. I avsnitt 5.1 föreslås att en särskild uppgiftssamling, analys- och urvalsdatabasen, ska upprättas, bl.a. för att tydliggöra att de uppgifter som hämtas in för urval och analys omfattas av särskilda regler i förhållande till andra uppgifter i folkbokföringsdatabasen. Som framgår av avsnitt 5.2 ska uppgifter som i dag får behandlas i folkbokföringsdatabasen också få behandlas i analys- och urvalsdatabasen. Av samma avsnitt framgår vidare att andra uppgifter som kan komma att behövas för dataanalyser och urval exempelvis kan vara uppgifter från beskattningsdatabasen om en fysisk persons identitet, medborgarskap, bosättning och familjeförhållanden liksom uppgifter om registrering, underlag för fastställande och bestämmande av skatter. Det kan också bli aktuellt för Skatteverket att inhämta uppgifter från andra myndigheter. Det kan exempelvis handla om uppgifter från Kronofogdemyndigheten om adress och andra kontaktuppgifter, genomförd avhysning, utmätning och delgivning samt tillgångar i utlandet. Det kan även handla om uppgifter från Migrationsverket om bl.a. namn, person- eller samordningsnummer, födelseort, födelsetid och kön, medborgarskap, civilstånd och andra familjerättsliga förhållanden liksom fotografi och resehandling. Från Försäkringskassan och Pensionsmyndigheten kan det bl.a. gälla beslut som rör ekonomisk förmån eller ekonomiskt stöd. Den personuppgiftsbehandling som dataanalyserna och urvalen föranleder innebär särskilda risker för den personliga integriteten. Det handlar främst om den sambearbetning av uppgifter som kommer ske och den kartläggning av enskilda som detta kan innebära. Den behandling av 35

personuppgifter som är nödvändig för att utföra detta förutsätter tillgång till personuppgifter som rör stora delar av befolkningen. Det kommer att röra såväl uppgifter som kan anses som känsliga, som uppgifter som i sig inte är särskilt känsliga. Även uppgifter som i sig inte är särskilt känsliga kan dock, om de samlas tillsammans med andra sådana uppgifter, skapa en samlad bild av en människas förhållanden som innebär ett väsentligt intrång i den personliga integriteten. Den sambearbetning som föreslås ske innebär att Skatteverket utifrån uppgifterna kan få tillgång till en mer omfattande bild av den enskildes förhållanden, vilket får anses utgöra ett större integritetsintrång. En omfattande personuppgiftsbehandling kan innebära en risk för att uppgifter kommer till andra personers kännedom på ett sätt som skulle kunna skada den enskilde. Det kan också innebära en risk för att obehöriga bereds åtkomst till uppgifterna och kan förfoga över dem. En rad olika skydds- och säkerhetsåtgärder föreslås i avsnitt 5.3 och 5.4 för att begränsa integritetsintrånget, bl.a. särskilda regler om längsta tid för behandling av personuppgifter. I avsnitt 7 nedan föreslås även ett starkt sekretesskydd. Därutöver kan fler åtgärder bli aktuella, som dels kan komma att regleras i förordning, dels ankommer på Skatteverket i egenskap av personuppgiftsansvarig att vidta. Mot denna bakgrund gör regeringen bedömningen att det intrång i den personliga integriteten som den personuppgiftsbehandling som regeringens förslag innebär uppvägs av de positiva effekter som kan uppnås genom minskade fel i folkbokföringen, vilket i sin tur kan bidra till att motverka brottslighet som riktas mot bl.a. välfärdssystemen. Andra mindre ingripande åtgärder för att uppnå detta bedöms inte finnas.

Skyddet mot betydande intrång i den personliga integriteten Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång från det allmänna i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § regeringsformen får skyddet begränsas genom lag under de förutsättningar som anges i 2 kap. 21 § regeringsformen. Skyddet får således inte begränsas genom förordning. Enligt förslagen i lagrådsremissen ska uppgifter från folkbokföringsdatabasen få behandlas för analyser och urval. Regeringen har även möjlighet att i förordning föreskriva om ytterligare uppgifter som ska få behandlas för analyser och urval. De uppgifter som kommer att behandlas rör enskildas personliga förhållanden i den mening som avses i 2 kap. 6 § andra stycket regeringsformen. Begreppet har samma innebörd som i sekretesslagstiftningen och omfattar bl.a. namn och andra identifikationsuppgifter, adress, familjeförhållanden, hälsa och vandel. Även fotografisk bild omfattas av uttrycket samt uppgifter som inte är direkt knutna till den enskildes privata sfär, t.ex. uppgift om anställning (se prop. 2009/10:80 s. 177). Avgörande för bedömningen av om en åtgärd ska anses innebära övervakning eller kartläggning i den mening som avses i 2 kap. 6 § andra stycket regeringsformen är inte åtgärdens huvudsakliga syfte, utan åtgärdens effekt. Vad som avses med övervakning respektive kartläggning

får bedömas utifrån vad som enligt normalt språkbruk läggs i dessa begrepp. Enligt förarbetena till bestämmelsen är uppgifter i myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering i många fall tillgängliga för myndigheten på ett sådant sätt att lagringen och behandlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behandlingen är ett helt annat. I förarbetena nämns bl.a. Skatteverkets olika databaser som exempel där en mycket stor mängd information som rör enskildas personliga förhållanden finns lagrad (prop. 2009/10:80 s. 180 och 250). För Skatteverkets dataanalyser och urval kommer olika slags personuppgifter att behandlas. Den personuppgiftsbehandling som är nödvändig för att sådana analyser och urval ska kunna utföras på ett effektivt sätt förutsätter insamling av personuppgifter som kan röra stora delar av befolkningen. Det är i regel inte fråga om uppgifter som i sig är särskilt känsliga. Även förhållandevis oförargliga uppgifter kan dock, om de samlas tillsammans med andra sådana uppgifter, skapa en totalbild av en persons förhållanden som i sin tur innebär ett intrång i den personliga integriteten. Även om de flesta uppgifter som hämtas in var och en för sig alltså inte torde utgöra något större intrång i den personliga integriteten, kan den sambearbetning som föreslås ske innebära att myndigheterna utifrån uppgifterna kan få tillgång till en mer omfattande bild av den enskildes personliga och ekonomiska förhållanden. Det förhållandet får anses utgöra ett större integritetsintrång och medför särskilda risker ur integritetssynpunkt. Sambearbetningen skulle alltså kunna anses utgöra en sådan kartläggning av den enskildes personliga förhållanden som enskilda ska vara skyddade mot enligt regeringsformen. Ändamålet med behandlingen är bl.a. att uppmärksamma förhållanden som kan antas vara värda att utreda ytterligare. I likhet med utredningen bedömer regeringen sammantaget att personuppgiftsbehandlingen som sker inom ramen för Skatteverkets dataanalyser och urval får anses innefatta en sådan kartläggning av enskildas personliga förhållanden som avses i 2 kap. 6 § andra stycket regeringsformen, även om syftet med behandlingen är ett annat. Den avgörande frågan är därefter om det intrång i den personliga integriteten som behandlingen kan innebära är betydande. Det är bara vissa kvalificerade intrång som omfattas av grundlagsskyddet. Enligt förarbetena till grundlagsbestämmelsen bör flera omständigheter vägas in vid denna bedömning. Stor vikt ska läggas vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste hanteringen normalt sett anses vara. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan normalt anses vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Därutöver kan mängden uppgifter vara en betydelsefull faktor, liksom omfattningen av utlämnande av personuppgifter till andra, som sker utan omedelbart stöd av offentlighetsprincipen. I samma förarbeten anges att det förhållandet att de uppgifter som behandlas av en myndighet omfattas av stark sekretess inte heller bör utgöra en omständighet som med automatik innebär att en 37

bestämmelse om uppgiftsskyldighet måste anses omfattas av grundlagsbestämmelsens tillämpningsområde. Även andra omständigheter måste beaktas vid bedömningen av hur långtgående intrång uppgiftsskyldigheten innebär när ställning tas till om föreskrifterna omfattas av 2 kap. 6 § andra stycket regeringsformen. En sådan omständighet kan exempelvis vara på vilket sätt och för vilka syften mottagaren av uppgifterna hanterar utlämnade uppgifter (se prop. 2009/10:80 s. 183 och 184). Som framgår ovan kommer Skatteverket att behandla personuppgifter avseende stora delar av befolkningen inom ramen för de dataanalyser och urval som myndigheten kommer att göra för att förebygga, förhindra och upptäcka felaktiga registreringar i folkbokföringsdatabasen. Avsikten med behandlingen är delvis att sambearbeta uppgifterna, varav en del av dessa är integritetskänsliga. Med hänsyn till uppgifternas karaktär, ändamålet med behandlingen och den stora mängden uppgifter som kommer att behandlas gör regeringen, i likhet med utredningen, den sammantagna bedömningen att personuppgiftsbehandlingen kan innebära ett sådant betydande intrång som avses i 2 kap. 6 § andra stycket regeringsformen.

Begränsningar i skyddet mot intrång får ske Som nämnts ovan får skyddet mot ett sådant intrång begränsas. Av 2 kap. 20 och 21 §§ regeringsformen följer att enskildas skydd mot intrång som innebär övervakning och kartläggning av den enskildes personliga förhållanden får begränsas genom lag, men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Det övergripande ändamålet med Skatteverkets dataanalyser och urval inom folkbokföringsverksamheten är att förebygga, förhindra och upptäcka felaktiga registreringar i folkbokföringsdatabasen. Genom att i högre utsträckning kunna göra rätt riskvärdering och förebyggande kontroller kan Skatteverket koncentrera sina resurser till de områden och förhållanden där det finns stor risk för att fel föreligger. Ändamålet att minska fel i folkbokföringsdatabasen är godtagbart i ett demokratiskt samhälle och kan därför rättfärdiga en inskränkning av skyddet för den personliga integriteten i bl.a. regeringsformen. Regeringen anser mot denna bakgrund att en särskild reglering av den personuppgiftsbehandling som föranleds av Skatteverkets dataanalyser och urval ska införas i lag (se även avsnitt 5). Ramarna för Skatteverkets personuppgiftsbehandling slås därmed fast i lag tillsammans med de bestämmelser som är av central betydelse för integritetsskyddet. Viss annan personuppgiftsbehandling finns utrymme att reglera på lägre normgivningsnivå. Regeringen avser också att med stöd av 8 kap. 7 § regeringsformen komplettera regleringen med bestämmelser som meddelas genom förordning. Behandling av personuppgifter berör även rätten till respekt för privatlivet enligt artikel 8.1 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen). Enligt denna artikel har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens.

Europakonventionen gäller som svensk lag (lagen [1994:1219] om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna). Enligt 2 kap. 19 § regeringsformen får inte lag eller annan föreskrift meddelas i strid med Sveriges åtaganden på grund av Europakonventionen. I artiklarna 3, 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga) slås det fast att var och en har rätt till fysisk och mental integritet, respekt för sitt privat- och familjeliv, sin bostad och sina kommunikationer samt skydd av de personuppgifter som rör honom eller henne. Av artikel 52.3 i stadgan följer att i den mån stadgan omfattar rättigheter som motsvarar sådana som garanteras av Europakonventionen ska de ha samma innebörd och räckvidd som enligt konventionen, men att denna bestämmelse inte hindrar unionsrätten från att tillförsäkra ett mer långtgående skydd. Den enskilde är således skyddad mot betydande intrång i den personliga integriteten och har en rätt till respekt för sitt privatliv. Den enskildes personuppgifter ska därför skyddas. I de fall en myndighet vill behandla personuppgifter måste den beakta dessa rättigheter. Enligt artikel 8.2 i Europakonventionen får rätten till skydd för privatlivet inte inskränkas annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Även i EU:s rättighetsstadga är utgångspunkten att en inskränkning endast får göras i lag och måste vara förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter (se artikel 52.1). Som framgår ovan bedömer regeringen att den behandling av personuppgifter som följer av Skatteverkets dataanalyser och urval kan innebära ett betydande intrång i den personliga integriteten och därför omfattas av skyddet mot detta i regeringsformen, men också att kriterierna för när skyddet får begränsas är uppfyllda. I detta ligger också att begränsningen svarar mot ett sådant intresse som räknas upp i artikel 8.2 i Europakonventionen (landets ekonomiska välstånd och förebyggande av oordning eller brott).

Sammanfattande bedömning Regeringen har ovan redovisat sina överväganden i fråga om proportionalitet, risker för de registrerade, skyddsåtgärder och effekter på den personliga integriteten. Genom de ändringar som i denna lagrådsremiss föreslås i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet kommer de yttersta ramarna för den personuppgiftsbehandling som får utföras i analys- och urvalsdatabasen att anges. IMY har efterfrågat en mer omfattande kartläggning och beskrivning av den personuppgiftsbehandling som bestämmelserna ger utrymme för, samt en, så långt som möjligt, tydlig

reglering i lag. Det är enligt regeringens uppfattning inte möjligt att i nuläget förutse den exakta omfattningen av samtliga slags uppgifter som kommer att behandlas i analys- och urvalsdatabasen. Vilka slags uppgifter som kan behövas kan också variera, bl.a. beroende på vilka riskanalyser som tas fram. I alla lägen kommer det dock enbart röra sig om sådana uppgifter som behövs för analys och urval. Som angetts ovan anser regeringen inte att själva innehållet i databasen behöver regleras uttömmande i lag (se avsnitt 5.2). Däremot kommer databasens övergripande struktur att regleras i lag. Den yttersta ramen för analys- och urvalsdatabasen sätts bl.a. genom den i lag föreslagna ändamålsbestämmelsen och de flertalet skyddsåtgärder som föreslås omgärda behandlingen. Analys- och urvalsdatabasens närmare innehåll kommer delvis regleras i lag men med möjlighet för regeringen att meddela ytterligare föreskrifter om uppgifter som får behandlas i databasen, några uppgifter som kan komma att bli aktuella genom sådana föreskrifter har angetts ovan (se avsnitt 5.2). Regeringen anser att de överväganden som ovan görs motsvarar den konsekvensanalys som både IMY och Sveriges advokatsamfund har efterfrågat. Skatteverket kommer dock att behöva avgöra hur personuppgiftsbehandlingen närmare ska ske, t.ex. i fråga om vilken teknik och vilka säkerhetslösningar som ska användas. Det ankommer på den personuppgiftsansvarige att, om det krävs utifrån dataskyddsförordningens bestämmelser, göra en närmare konsekvensbedömning avseende dataskydd (jfr prop. 2021/22:139 s. 64).

7 Sekretess

7.1 Sekretess till skydd för enskildas intressen

Regeringens förslag: Sekretess ska gälla i verksamhet som avser förande av eller uttag ur analys- och urvalsdatabasen enligt lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet för uppgift om en enskilds personliga eller ekonomiska förhållanden som har tillförts databasen. För uppgift i en allmän handling ska sekretessen gälla i högst tjugo år. Tystnadsplikten som följer av den nya sekretessbestämmelsen ska ha företräde framför meddelarfriheten. Regeringens bedömning: Det kan finnas anledning att införa ytterligare bestämmelser om sekretess till skydd för vissa uppgifter hänförliga till dataanalyser och urval.

Utredningens förslag och bedömning överensstämmer delvis med regeringens. Utredningen gör inte någon bedömning av om ytterligare sekretessbestämmelser bör införas. Remissinstanserna: Det stora flertalet av remissinstanserna yttrar sig inte särskilt över förslaget. Skatteverket delar inte utredningens bedömning att analys- och urvalsverksamheten inte utgör en sådan verksamhet som kan behöva omfattas av sekretess i förhållande till den enskilde själv. Skatteverket anser att det finns ett påtagligt behov av att kunna skydda

vissa metoder för analys och urval och att information om dessa metoder annars kan röja på vilket sätt felaktigheter påträffas, vilket kan påverka efterkommande granskningar som syftar till att säkerställa att folkbokföringsdatabasen har ett korrekt innehåll. TU – Medier i Sverige (Tidningsutgivarna) avstyrker förslaget och anför att även om det finns förståelse för att ett sekretessbehov kan finnas så delas inte bedömningen att det är motiverat med en absolut sekretess. I stället förordas att bestämmelsen utformas med ett rakt skaderekvisit. Enligt Tidningsutgivarna ska inte heller den kvalificerade tystnadsplikten omfatta den föreslagna sekretessbestämmelsen och ha företräde framför meddelarfriheten.

Skälen för regeringens förslag och bedömning

Det finns behov av sekretessbestämmelser I analys- och urvalsdatabasen kommer Skatteverket att kunna behandla en rad uppgifter som rör enskildas personliga och ekonomiska förhållanden. Det kan vara fråga om uppgifter som generellt sett inte är känsliga, t.ex. adress- och andra kontaktuppgifter. Andra uppgifter, t.ex. beslut som rör förmåner, kan i vissa fall vara mer känsliga. Den information som Skatteverkets folkbokföringsverksamhet kommer att behandla kommer bl.a. att hämtas in från andra verksamheter inom Skatteverket men även andra myndigheter och omfattas i varierande grad av sekretess hos den utlämnande aktören. När handlingar med sådana uppgifter kommer in till Skatteverket blir de allmänna handlingar. Utan någon särskild sekretessreglering är allmänna handlingar offentliga. Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § tryckfrihetsförordningen, förkortad TF, bara begränsas om det krävs med hänsyn till vissa uppräknade intressen, varav ett är skyddet för enskildas personliga eller ekonomiska förhållanden. Med enskilda avses såväl fysiska som juridiska personer (prop. 2008/09:150 s. 349). I folkbokföringsverksamheten gäller enligt 22 kap. 1 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, sekretess för uppgift om en enskilds personliga förhållanden om det av särskild anledning kan antas att den enskilde eller någon närstående lider men om uppgiften röjs. Det finns alltså en presumtion för offentlighet. Även om uppgifterna var för sig framstår som mindre integritetskänsliga kan de tillsammans ge myndigheten tillgång till en mer omfattande bild av den enskildes personliga och ekonomiska förhållanden. Mot denna bakgrund anser regeringen att det är angeläget att uppgifterna ges ett sekretesskydd utöver det som finns i folkbokföringsverksamheten i övrigt. Det bör därför införas särskilda sekretessbestämmelser till skydd för enskildas personliga och ekonomiska förhållanden.

Sekretess med skaderekvisit eller absolut sekretess? Uppgifterna för analys och urval som inhämtas från andra myndigheter kan vara antingen offentliga eller belagda med sekretess av olika slag hos myndigheten i fråga. Ett system med olika sekretessnivåer, t.ex. med överföring av sekretess från respektive utlämnande myndighet, skulle vara mycket svårt att hantera. Att i analys- och urvalsdatabasen hålla isär

uppgifter med olika sekretesskydd bedöms inte vara genomförbart. Samma sekretessregler bör därför gälla för alla uppgifter i databasen. Vid bedömningen av vilken styrka sekretessen bör ha måste en lämplig avvägning mellan skydds- och offentlighetsintressena göras. Det finns ett generellt insynsintresse i myndigheters verksamhet. Intresset av att få insyn gäller dock i första hand i förhållande till myndighetens verksamhet och inte till uppgifter om en enskild persons personliga eller ekonomiska förhållanden. De sambearbetningar av stora uppgiftsmängder som kommer att göras innebär att integritetsintresset är påtagligt för uppgifterna. De sammanställningar som kan göras med rutinbetonade åtgärder skulle innebära betydande integritetsrisker om de skulle bli offentliga. Detta talar för ett mycket starkt sekretesskydd för uppgifterna. I beskattningsverksamheten är utgångspunkten absolut sekretess för uppgift om enskilds personliga och ekonomiska förhållanden (27 kap. 1 och 2 §§ OSL). Samma sak gäller statistiksekretessen (24 kap. 8 § OSL). När den s.k. statistiksekretessen infördes anförde regeringen att ett skäl för att ha en långtgående sekretess är att offentlighetsintresset i fråga om statistiskt primärmaterial är förhållandevis svagt, medan integritetsintresset däremot är påtagligt. Regeringen framhöll vidare att även praktiska skäl talar för en långtgående sekretess, då Statistiska centralbyrån samlar in uppgifter från olika källor med olika sekretessregler och blandar dessa i ett register (prop. 1979/80:2 del A s. 262 och 263). Regeringen anser att de skäl som anfördes för statistiksekretessen även gör sig gällande vid avvägningen av vilken sekretessnivå som ska gälla till skydd för enskildas intressen vid Skatteverkets förande av och uttag ur analys- och urvalsdatabasen. En stor mängd uppgifter kommer att behandlas och precis som i statistikverksamhet är integritetsintresset påtagligt när det gäller de uppgifter som kommer att behandlas i analysoch urvalsdatabasen. Exempelvis kan myndighetens sambearbetning av flera uppgifter som var för sig framstår som mindre integritetskänsliga, ge myndigheten tillgång till en mer omfattande bild av den enskildes personliga och ekonomiska förhållanden. Regeringen anser att det skulle innebära betydande integritetsrisker om de sammanställningar som Skatteverket kan göra genom rutinbetonade åtgärder skulle kunna bli offentliga (jfr 2 kap. 6 § TF). Den föreslagna sekretessregleringen med absolut sekretess är också en viktig skyddsåtgärd i den personuppgiftsbehandling som förslagen medför (se avsnitt 7). Även med beaktande av vad TU – Medier i Sverige (Tidningsutgivarna) anfört gör regeringen mot denna bakgrund bedömningen att absolut sekretess bör gälla i verksamheten. Att absolut sekretess gäller hindrar inte myndigheten att lämna ut t.ex. resultatet av en fördjupad granskning eller en sammanställning av urvalsträffar i anonymiserad form. Sekretessbestämmelsen bör utformas efter mönster från 27 kap. 1 § andra stycket 1 OSL och avse förande av eller uttag ur analys- och urvalsdatabasen för uppgift om en enskilds personliga eller ekonomiska förhållanden som har tillförts databasen. Sekretess till skydd för enskild vid folkbokföring finns i 22 kap. OSL. Bestämmelsen om en regel om sekretess för uppgifter om en enskilds personliga och ekonomiska förhållanden förs in som en ny 22 kap. 1 a § 42 OSL.

Hur länge ska sekretessen gälla? Skatteverket kommer att hantera en stor mängd uppgifter om enskilda i analys- och urvalsdatabasen som föreslås omfattas av absolut sekretess. Hos de myndigheter från vilka uppgifter kan komma att inhämtas till analys- och urvalsdatabasen gäller olika regler om sekretess. Uppgifter om enskildas ekonomiska förhållanden hålls i allmänhet hemliga i maximalt 20 år (jfr prop. 1979/80:2, del A s. 87). Det är även så länge som sekretess gäller för uppgifter om enskildas ekonomiska förhållanden eller affärseller driftförhållanden i Skatteverkets, Arbetsförmedlingens och Försäkringskassans verksamheter (jfr 27 kap. 1 §, 28 kap. 12 § och 28 kap. 4 § OSL). Hos Centrala studiestödsnämnden gäller sekretessen för uppgift om personliga och ekonomiska förhållanden i 50 år (jfr 28 kap. 9 § OSL). För uppgift om enskildas personliga förhållanden gäller sekretessen hos Skatteverket i högst 20 år och hos Försäkringskassan och Pensionsmyndigheten i högst 70 år (jfr 27 kap. 1 § och 28 kap. 1 § OSL). Försäkringskassan och Pensionsmyndigheten behandlar dock en stor mängd känsliga uppgifter som rör enskildas personliga förhållanden, t.ex. uppgifter om sjukdomstillstånd, som inte kommer att vara aktuella i analys- och urvalsdatabasen. Vid en sammantagen bedömning av under vilken tidsperiod uppgifterna ska hållas hemliga anser regeringen att den grundprincip som gäller för sekretesstidens längd vad gäller enskildas ekonomiska förhållanden bör gälla även här. Regeringen föreslår därför att sekretessen till skydd för enskildas personliga och ekonomiska förhållanden ska gälla i högst 20 år.

Tystnadsplikten ska ha företräde framför meddelarfriheten Den rätt att meddela och offentliggöra uppgifter som följer av grundlagarna går som regel före den tystnadsplikt som sekretess innebär (1 kap. 7 § TF och 1 kap. 10 § yttrandefrihetsgrundlagen). Meddelarfriheten har sin grund i att sekretessbestämmelserna ger uttryck för allmänna avvägningar mellan insyns- och säkerhetsintressen på de berörda områdena. Det innebär att önskemålet om insyn i ett särskilt fall kan vara starkare än det sekretessintresse som har föranlett den aktuella sekretessregeln. En regel om skydd för t.ex. ett enskilt intresse kan ibland också på ett olämpligt sätt hindra insyn i en myndighets sätt att fullgöra sina uppgifter. Det har ansetts att offentlighetsprincipen inte kan förverkligas till fullo om offentligt anställda i situationer av nu nämnt slag skulle vara förhindrade att bidra med uppgifter till den allmänna debatten (jfr prop. 1979/80:2 del A s. 104 och 105). Bestämmelser om tystnadsplikt kan dock genom föreskrifter i OSL ges företräde framför meddelarfriheten (7 kap. 20 § 2 TF och 5 kap. 4 § 3 yttrandefrihetsgrundlagen). Skatteverket kommer i arbetet med dataanalyser och urval att hantera uppgifter rörande enskildas personliga och ekonomiska förhållanden som inhämtas från folkbokföringsdatabasen. Regeringen avser även att i förordning reglera uppgiftslämnande från andra myndigheter till Skatteverket för dataanalyser och urval. I vissa fall omfattas uppgifterna av tystnadsplikt hos myndigheterna. För Skatteverkets beskattningsverksamhet råder t.ex. i stor utsträckning en inskränkt meddelarfrihet enligt 27 kap. 10 § OSL, medan det i Försäkringskassans och Centrala

studiestödsnämndens verksamhet råder, med vissa undantag, meddelarfrihet. Det bör alltid iakttas stor återhållsamhet vid prövningen av om undantag från meddelarfriheten ska göras. I fråga om sekretessregler utan skaderekvisit kan det finnas större anledning att överväga undantag från meddelarfrihet än i andra fall. Vid denna bedömning bör det beaktas om en uppgift har lämnats av en enskild i en förtroendesituation eller om uppgiften hänför sig till ett ärende om myndighetsutövning. I det förra fallet bör meddelarfrihet normalt vara utesluten. När det gäller uppgifter av det senare slaget bör däremot meddelarfrihet oftast föreligga (se prop. 1979/80:2 del A s. 111 och 112). Regeringens förslag innebär att absolut sekretess ska gälla för uppgifter om enskildas personliga och ekonomiska förhållanden i Skatteverkets verksamhet som avser förande och uttag ur analys- och urvalsdatabasen. Regeringen anser sammanfattningsvis att den tystnadsplikt som följer av den föreslagna sekretessbestämmelsen om absolut sekretess ska ha företräde framför meddelarfriheten.

Det kan finnas behov av ytterligare sekretessbestämmelser Skatteverkets arbete med att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen kommer att innebära behandling av uppgifter som förekommer i myndighetens dataanalyser och urval. Det är svårt att närmare förutse vilka slags metoder, modeller eller riskfaktorer som myndighetens bearbetning och analys av urval kan resultera i, men arbetet kommer att dokumenteras. I likhet med Skatteverket anser regeringen att det finns behov av att i viss utsträckning begränsa insynen i arbetet med dataanalyser och urval. Om uppgifter om utformningen och genomförandet av analyser, urvalsmodeller eller de riskfaktorer som identifieras blir offentliga kan de komma att utnyttjas av enskilda för att möjliggöra felaktiga registreringar i folkbokföringsdatabasen eller för att undgå kontroller. Att denna typ av uppgifter röjs kan således leda till att syftet med arbetet motverkas. Om det blir känt vilka riskfaktorer som myndigheten har identifierat skulle det kunna utnyttjas av enskilda. Regeringen anser därför att det kan finnas anledning att låta sådana uppgifter omfattas av sekretess. Regeringen har därför för avsikt att återkomma i dessa frågor.

Lagförslag Förslaget genomförs genom att en ny bestämmelse, 22 kap. 1 a §, införs i offentlighets- och sekretesslagen och att en ändring görs i 22 kap. 6 § samma lag.

8 Ikraftträdande

Regeringens förslag: De nya reglerna ska träda i kraft den 1 april 2023.

Utredningens förslag överensstämmer delvis med regeringens. 44 Utredningen föreslår en tidigare tidpunkt för ikraftträdande.

Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag: Det är angeläget att de föreslagna bestämmelserna träder i kraft så snart som möjligt så att Skatteverket kan förbättra sin verksamhet med att förebygga, förhindra och upptäcka fel i folkbokföringsdatabasen. Som anförts ovan i avsnitt 7.1 avser regeringen att återkomma med förslag till sekretessbestämmelser till skydd för vissa uppgifter hänförliga till dataanalyser och urval. Sådana bestämmelser bör träda i kraft samtidigt som förslagen i denna lagrådsremiss. Mot denna bakgrund föreslår regeringen att de nya reglerna ska träda i kraft den 1 april 2023.

9 Konsekvenser

9.1 Syfte

För att Skatteverket på bästa sätt ska kunna verka för att felaktiga uppgifter i folkbokföringsdatabasen förebyggs, förhindras och upptäcks, föreslår regeringen ett tydligt författningsstöd för Skatteverket att behandla personuppgifter för att göra dataanalyser och urval. Skatteverket ska föra en analys- och urvalsdatabas där personuppgifter ska få behandlas för att tillhandahålla information som behövs för att göra dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen. En rad bestämmelser föreslås även som syftar till att minska det intrång i den personliga integriteten som förslagen innebär.

9.2 Konsekvenser för Skatteverket

Regeringens förslag i denna lagrådsremiss kommer innebära vissa kostnader för Skatteverket. Skatteverket har uppskattat kostnaderna för att införa en analys- och urvalsdatabas till 7,5 – 12,5 miljoner kronor. Förslagen om utökade möjligheter för Skatteverket att genomföra dataanalyser och göra urval innebär bl.a. att Skatteverket ges möjlighet att koncentrera sin kontrollverksamhet till de fel i folkbokföringsdatabasen som orsakar störst problem för samhället. Resurserna kan med förslagen sättas in där de verkligen behövs vilket på sikt bör innebära en effektivare verksamhet och minskade kostnader för Skatteverket. Regeringen gör därför bedömningen att kostnaderna kan hanteras inom Skatteverkets befintliga ekonomiska ramar.

9.3 Konsekvenser för enskilda och skyddet för den personliga integriteten

Förslagen påverkar enskildas integritet på så sätt att en stor mängd personuppgifter från flera källor kommer att behandlas av Skatteverket. Sambearbetning av uppgifter från olika källor kan innebära att Skatteverket får tillgång till en mer omfattande bild av den enskildes förhållanden. Den personuppgiftsbehandling som förslagen innebär medför därmed ett antal integritetsrisker. De risker som identifierats hanteras genom att höga krav ställs på Skatteverkets säkerhets- och skyddsåtgärder vid behandling av uppgifter i analys- och urvalsdatabasen. De konsekvenser förslagen får för den personliga integriteten har redovisats och bedömts närmare i avsnitt 6. Av det avsnittet framgår att regeringen bedömer att den personuppgiftsbehandling som förslagen medför kommer att utgöra en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i regeringsformen, Europakonventionen och EU:s rättighetsstadga. I samtliga fall har regeringen alltså gjort bedömningen att förslagen är proportionerliga och motiverade samt att skyddet av personuppgifterna tillgodoses genom de skyddsåtgärder som föreslås.

9.4 Konsekvenser i övrigt

Förslagen bedöms inte i sig medföra några mätbara offentligfinansiella effekter eller samhällsekonomiska konsekvenser. På sikt bör dock förslagen leda till en högre grad av korrekta uppgifter i folkbokföringsdatabasen och till att förtroendet för folkbokföringen ökar. Förslagen ger även bättre kontrollmöjligheter och ökar förutsättningarna för ett korrekt underlag för olika åtgärder och beslut. Kvalitetsbrister i folkbokföringen kan få stora spridningseffekter och bidra till felaktiga utbetalningar från välfärdssystemen, bedrägerier och annan identitetsrelaterad brottslighet. Förslagen innebär att kvaliteten på uppgifterna i folkbokföringen stärks genom att Skatteverket ges bättre möjligheter att genom dataanalyser och urval hitta felaktigheter i folkbokföringen. Förslagen om utökade möjligheter för Skatteverket att genomföra dataanalyser och göra urval går ut på att Skatteverket snabbare ska kunna identifiera felaktigheter som behöver åtgärdas. Skatteverket ges på så sätt möjligheter att koncentrera verksamheten på att åtgärda de fel som orsakar störst problem för samhället. Sammanfattningsvis kan förslagen därigenom förväntas minska den brottslighet som är en effekt av bristande kvalitet i folkbokföringen. Förslagen kan därmed även ha en brottsförebyggande effekt. Förslagen bedöms inte ha någon betydelse för möjligheten att nå de integrationspolitiska målen. Förslagen bedöms inte få några konsekvenser för jämställdheten mellan kvinnor och män. Förslagen bedöms inte heller ha några miljömässiga konsekvenser.

10 Författningskommentar

10.1 Förslaget till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

1 kap. Allmänna bestämmelser

1 § Denna lag tillämpas vid behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 4 – 5 §§ samt 2 och 2 a kap. gäller även vid behandling av uppgifter om avlidna.

Paragrafen behandlar lagens tillämpningsområde. Ändringen i andra stycket är en följd av införandet av den nya ändamålsbestämmelsen i 1 kap. 4 a § och det nya, 2 a kap., i lagen och innebär att dessa bestämmelser gäller även vid behandling av uppgifter om avlidna.

4 a § Uppgifter får också behandlas för att tillhandahålla information som behövs för dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen.

I paragrafen, som är ny, anges att uppgifter också får behandlas för att tillhandahålla information som behövs för dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen. Ändamålsbestämmelsen utvidgar den möjlighet till behandling av uppgifter som får ske i folkbokföringsverksamheten enligt 1 kap. 4 §. Arbetet med dataanalyser och urval kan avse att analysera samband, mönster och avvikelser genom bearbetning av uppgifter i syfte att identifiera registreringar i folkbokföringsdatabasen som kan vara felaktiga. Personuppgiftsbehandling i form av exempelvis inhämtning av uppgifter och fortsatt behandling av sådana uppgifter i syfte att utgöra underlag för dataanalyser och urval omfattas av ändamålet liksom uppföljning och utveckling av analys- och urvalsmodeller. Övervägandena finns i avsnitt 5.1.

2 a kap. Analys- och urvalsdatabasen

1 § I folkbokföringsverksamheten ska det finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i 1 kap. 4 a § angivna ändamålen (analys- och urvalsdatabas).

Av paragrafen, som är ny, följer att analys- och urvalsdatabasen är en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i folkbokföringsverksamheten för dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen. I och med inrättandet av analys- och urvalsdatabasen kommer det att finnas två databaser i

folkbokföringsverksamheten (se motsvarande bestämmelse för folkbokföringsdatabasen i 2 kap. 1 §). Övervägandena finns i avsnitt 5.1.

Innehåll

2 § I analys- och urvalsdatabasen får uppgifter om de personer som anges i 2 kap. 2 § behandlas.

I paragrafen, som är ny, anges vilken personkrets som det får finnas uppgifter om i analys- och urvalsdatabasen. De personer som avses är desamma som i folkbokföringsdatabasen, dvs de som är eller har varit folkbokförda här i landet, som har tilldelats personnummer enligt 18 b § folkbokföringslagen (1991:481) liksom de som har tilldelats samordningsnummer. Uppgifter om andra personer får behandlas om det behövs för handläggningen av ett ärende. Övervägandena finns i avsnitt 5.2.

3 § För de ändamål som anges i 1 kap. 4 a § får de uppgifter som avses i 2 kap. 3 och 4 §§ behandlas. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om vilka uppgifter som får behandlas i analys- och urvalsdatabasen.

Paragrafen, som är ny, innehåller bl.a. bestämmelser om vilka uppgifter som ska få behandlas i analys- och urvalsdatabasen. Av första stycket framgår att för dataanalyser och urval i syfte att förebygga, förhindra och upptäcka felaktiga uppgifter i folkbokföringsdatabasen får de uppgifter som avses i 2 kap. 3 och 4 §§ behandlas. Det innebär att de uppgifter som får behandlas i analys- och urvalsdatabasen motsvarar i huvudsak de uppgifter som får behandlas i folkbokföringsdatabasen. Uppgifterna i 2 kap. 3 § avser i allt väsentligt identitets-, bosättnings- och familjerättsligt relaterade uppgifter medan uppgifterna i 2 kap. 4 § avser yrkande, grunder och beslut i ett ärende liksom andra uppgifter som behövs för handläggningen av ett ärende. Paragrafens andra stycke innehåller en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om vilka uppgifter som får behandlas i analys- och urvalsdatabasen. Övervägandena finns i avsnitt 5.2.

Sökbegrepp

4 § Vid sökning i analys- och urvalsdatabasen gäller det som i 2 kap. 10 § sägs om sökbegrepp vid sökning i folkbokföringsdatabasen.

Paragrafen, som är ny, innehåller förbud mot att använda vissa sökbegrepp vid sökning i analys- och urvalsdatabasen. I 2 kap. 10 § finns bestämmelser om sökbegränsningar vid sökning i folkbokföringsdatabasen. Uppgifter som avses i 2 kap. 3 § första stycket 5, 11, 12 och 17 (dvs. födelseort, familjesamband som är grundat på adoption, inflyttning från utlandet respektive uppehållsrätt för en person som är folkbokförd) får inte användas som sökbegrepp. Medborgarskap 48 får användas som sökbegrepp endast i fråga om medborgarskap i Sverige,

Danmark, Norge, Finland eller Island samt medborgarskap inom eller utom Europeiska unionen. Den nya bestämmelsen innebär att de angivna begränsningarna ska gälla även vid sökningar i analys- och urvalsdatabasen. Övervägandena finns i avsnitt 5.3.

Dokumentering

5 § Metoder för att ta fram urval och de sökbegrepp som används vid sökningar i analys- och urvalsdatabasen ska dokumenteras på ett sådant sätt att de kan kontrolleras i efterhand.

I paragrafen, som är ny, anges att metoder för att ta fram urval och sökbegrepp som används vid sökningar i analys- och urvalsdatabasen ska dokumenteras. Dokumenteringen ska ske på ett sådant sätt att efterhandskontroller kan göras. Bestämmelsen ska ses som en särskild skyddsåtgärd vid behandling av personuppgifter i analys- och urvalsdatabasen. Med metoder för att ta fram urval avses t.ex. urvalsmodeller som används vid dataanalyser och urval. Kravet på dokumentation innebär att det i efterhand ska kunna gå att kontrollera vilka metoder och sökbegrepp som har använts för att ta fram urval. Det innebär även att det ska kunna följas upp att rätt uppgifter finns i uppgiftssamlingen och att uppgifterna används för rätt ändamål. Övervägandena finns i avsnitt 5.3.

Längsta tid för behandling

6 § Uppgifter som behandlas i analys- och urvalsdatabasen får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Uppgifterna får dock aldrig behandlas under längre tid än tre år från den tidpunkt då de tillfördes databasen.

Paragrafen, som är ny, innehåller bestämmelser om längsta tid för behandling av uppgifter i analys- och urvalsdatabasen. Bestämmelsen innebär en skyldighet för Skatteverket att upphöra med behandlingen av personuppgifter så snart personuppgifterna inte längre behövs med hänsyn till det ändamål för vilka de behandlas. Bestämmelsen ställer krav på myndigheten att kunna motivera fortsatt behandling av personuppgifter, t.ex. inför en tillsynsmyndighet. Paragrafen innehåller även en bestämmelse om att uppgifter aldrig får behandlas under längre tid än tre år från den tidpunkt då de tillfördes databasen. Denna yttersta tidsgräns om tre år utgör inte en utgångspunkt för personuppgiftsbehandling i databasen, utan hela tiden måste en bedömning göras av hur länge en uppgift är nödvändig för ändamålet med behandlingen. Övervägandena finns i avsnitt 5.4.

10.2 Förslaget till lag om ändring i offentlighetsoch sekretesslagen (2009:400)

22 kap.

1 a § Sekretess gäller i verksamhet som avser förande av och uttag ur analysoch urvalsdatabasen enligt lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet för uppgift om en enskilds personliga eller ekonomiska förhållanden som har tillförts databasen. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

Paragrafen, som är ny, innehåller bestämmelser om sekretess i verksamhet som avser förande av och uttag ur analys- och urvalsdatabasen enligt lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. Enligt första stycket gäller sekretess i verksamhet som avser förande av och uttag ur analys- och urvalsdatabasen enligt nämnda lag för uppgift om en enskilds personliga eller ekonomiska förhållanden som har tillförts databasen. Bestämmelsen innebär att det råder absolut sekretess för samtliga uppgifter om en enskilds personliga eller ekonomiska förhållanden som tillförts databasen. Andra stycket innehåller en bestämmelse om att sekretessen gäller i högst tjugo år för uppgift i en allmän handling. Övervägandena finns i avsnitt 7.1.

6 § Den tystnadsplikt som följer av 1 § första stycket , 1 a och 2 § § inskränker rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter.

I paragrafen finns bestämmelser om när den tystnadsplikt som följer av sekretessbestämmelser i kapitlet inskränker rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Genom att den nya sekretessbestämmelsen i 1 a § läggs till i paragrafen kommer den tystnadsplikt som följer av den bestämmelsen att gälla före den s.k. meddelarfriheten enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Övervägandena finns i avsnitt 7.1.

10.3 Förslag till lag om ändring i lagen (2022:000) om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

1 kap. Allmänna bestämmelser

1 § Denna lag tillämpas vid behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Lagen gäller också vid behandling av personuppgifter i passmyndigheternas verksamhet som rör identitetskontroller enligt lagen (2022:000) om samordningsnummer. Bestämmelserna i 4 – 5 §§ samt 2 och 2 a kap. gäller även vid behandling av uppgifter om avlidna.

Paragrafen behandlar lagens tillämpningsområde. I paragrafens tredje stycke införs en hänvisning till lagens nya ändamålsbestämmelse i 1 kap. 4 a § och det nya kapitlet, 2 a. Genom ändringen gäller dessa bestämmelser även vid behandling av uppgifter om avlidna.

Bilaga 1 Sammanfattning av betänkandet Om folkbokföring, samordningsnummer och

identitetsnummer (SOU 2021:57)

Sammanfattningen omfattar endast de förslag som denna lagrådsremiss behandlar.

Uppdraget

Utredningen har bl.a. haft i uppdrag att lämna förslag om åtgärder som förbättrar förutsättningarna för att en persons bosättning fastställs korrekt och att rätt personuppgifter registreras i folkbokföringsdatabasen om dem som är folkbokförda. Det övergripande syftet har varit att åstadkomma ett regelverk som ökar folkbokföringens tillförlitlighet och förhindrar att uppgifterna i folkbokföringen kan utnyttjas på ett felaktigt sätt. I uppdraget har ingått att kartlägga de regler och rutiner som tillämpas vid registrering av uppgifter om folkbokförda i folkbokföringsdatabasen och identifiera eventuella brister i systemet. En annan del av uppdraget har bestått i att lämna förslag om ett säkrare system för samordningsnummer. Syftet har varit att göra samordningsnumren mer tillförlitliga och användbara i samhället för enskilda och andra aktörer. I uppdraget har bl.a. ingått att utreda och föreslå hur kontrollen av en persons identitet bör utformas vid tilldelning av samordningsnummer och att utreda om, och i så fall föreslå hur, samordningsnummer ska kunna tilldelas fler asylsökande.

Dataanalyser och urval

Utredningen menar att Skatteverket genom dataanalyser och urval bör ges bättre förutsättningar att kunna koncentrera sin kontroll mot områden med hög risk för fel och fusk och områden där man kan uppnå bästa möjliga effekt med givna insatser. Uppgifter ska därför få samlas in och behandlas i syfte att upptäcka och förhindra felaktiga uppgifter i folkbokföringsdatabasen. För de uppgifter som samlas in för analys och urval föreslås en särskild uppgiftssamling, analys- och urvalsdatabasen. Utredningen föreslår även en rad bestämmelser som syftar till att minska det intrång i den personliga integriteten som utredningen bedömer att uppgiftsbehandlingen innebär. I verksamhet som avser förande av eller uttag ur analys- och urvalsdatabasen ska gälla absolut sekretess.

Ikraftträdande

Utredningens lagförslag föreslås träda i kraft den 1 januari 2023.

Bilaga 2 Betänkandets lagförslag

Här redovisas endast de lagförslag som denna lagrådsremiss behandlar.

Förslag till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet dels att 1 kap. 4 § och 2 kap. 1 § ska ha följande lydelse, dels att rubriken till 2 kap. ska lyda ”Databaser i folkbokförings verksamheten” och rubriken närmast före 2 kap. 2 § ska lyda ”Folkbokföringsdatabasen”, dels att det ska införas fyra nya paragrafer, 2 kap. 13 – 16 §§ och närmast före paragraferna nya rubriker av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

1 kap.

1 4 § Uppgifter får behandlas för att tillhandahålla information som behövs för 1. samordnad behandling, kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter, 2. handläggning av folkbokföringsärenden, 3. fullgörande av underrättelseskyldighet enligt lag eller förordning, 4. framställning av personbevis och andra registerutdrag, 5. aktualisering, komplettering och kontroll av personuppgifter, 6. uttag av urval av person- 6. uttag av urval av personuppgifter, och uppgifter, 7. tillsyn, kontroll, uppföljning 7. tillsyn, kontroll, uppföljning och planering av folkbokförings- och planering av folkbokföringsverksamheten. verksamheten, och 8. dataanalyser och urval i syfte att upptäcka och förhindra felaktiga uppgifter i folkbokföringsdatabasen. Uppgifter får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Insamlade uppgifter får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

1 Senaste lydelse 2018:229.

Bilaga 2 2 kap. 1 § I folkbokföringsverksamheten I folkbokföringsverksamheten skall det finnas en samling ska det finnas en samling personuppgifter som med hjälp av personuppgifter som med hjälp av automatiserad behandling används automatiserad behandling används gemensamt i verksamheten för de i gemensamt i verksamheten för de i 1 kap. 4 § angivna ändamålen 1 kap. 4 § första stycket 1 – 7 och (folkbokföringsdatabas). andra stycket angivna ändamålen (folkbokföringsdatabas). I folkbokföringsverksamheten ska också finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i 1 kap. 4 § första stycket 8 angivna målen (analys- och urvalsdatabas).

Analys- och urvalsdatabasen

13 § För de ändamål som anges i 1 kap. 4 § första stycket 8 får, förutom uppgifter som avses i 3 och 4 §§, även behandlas följande uppgifter: 1. adress och andra kontaktuppgifter, vistelseplats samt kontaktpersoner för fysiska och juridiska personer, 2. utbetalning av ekonomiska förmåner och ekonomiska stöd från, Centrala studiestödsnämnden, Försäkringskassan och Pensionsmyndigheten, 3. beviljat studiestöd för studier i Sverige eller utomlands, tidsperiod beviljat studiestöd avser och förväntad studietid och utbildningsanordnare, 4. arbetssökande eller sysselsättning genom Arbetsförmedlingen, 5. beslut om uppehållsstatus, uppehållstillstånd, arbetstillstånd, uppehållskort, återreseförbud, återkallelse av uppehållstillstånd eller arbetstillstånd, 6. tillgångar i annat land, 7. uppgifter som avses i 2 kap. 54 3 § första stycket 1 – 6 och 11 lagen

om behandling av uppgifter i Bilaga 2 Skatteverkets beskattningsverksamhet, och 8. fastigheter, byggnader och lagfarter.

Sökbegrepp

14 § Vid sökning i analys- och urvalsdatabasen gäller det som i 2 kap. 10 och 11 §§ sägs om sökbegrepp vid sökning i folkbokföringsdatabasen.

Dokumentering

15 § Metoder för att ta fram urval samt de sökbegrepp som används vid sökningar i databasen ska dokumenteras på sådant sätt att de kan kontrolleras i efterhand.

Gallring

16 § Uppgifter i analys- och urvalsdatabasen ska gallras senast ett år från den tidpunkt då uppgifterna senast behandlades för det ändamål för vilket de samlades in. Gallringstidpunkten får dock aldrig överstiga tre år från den tidpunkt då uppgifterna samlades in.

Denna lag träder i kraft den 1 januari 2023.

Bilaga 2 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att 22 kap. 6 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 22 kap. 1 c §, av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

22 kap.

1 c § Sekretess gäller i verksamhet som avser förande av och uttag ur analys- och urvalsdatabasen enligt lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet för uppgift om en enskilds personliga eller ekonomiska förhållanden som har tillförts databasen. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

6 § 1 Den tystnadsplikt som följer av Den tystnadsplikt som följer av 1 § första stycket och 2 § 1 § första stycket, 1 c och 2 §§ inskränker rätten enligt 1 kap. 1 och inskränker rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihets- 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och grundlagen att meddela och offentliggöra uppgifter. offentliggöra uppgifter.

Denna lag träder i kraft den 1 januari 2023

1 Senaste lydelse 2018:1919.

Bilaga 3 Förteckning över remissinstanserna

Följande remissinstanser har kommit in med yttranden: Arbetsförmedlingen, Barnombudsmannen, Bolagsverket, Borlänge kommun, Botkyrka kommun, Boverket, Bostadsrätterna, Brottsförebyggande rådet, Centrala studiestödsnämnden, Diskrimineringsombudsmannen, Domstolsverket, Ekobrottsmyndigheten, Fastighetsägarna Sverige, Försvarets materielverk, Försvarets radioanstalt, Försvarsmakten, Försäkringskassan, Förvaltningsrätten i Stockholm (allmän avdelning och migrationsdomstolen), Göteborgs kommun, Helsingborg kommun, Huddinge kommun, Hyres- och arrendenämnden i Malmö, Inspektionen för vård och omsorg, Inspektionen för socialförsäkringen, Integritetsskyddsmyndigheten, Justitiekanslern, Kammarrätten i Stockholm (allmän avdelning och migrationsöverdomstolen), Karolinska institutet, Kommerskollegium, Kungl. Tekniska högskolan, Kriminalvården, Kronofogdemyndigheten, Lantmäteriet, Linköpings tingsrätt, Länsstyrelsen i Stockholms län, Länsstyrelsen i Värmlands län, Länsstyrelsen i Västra Götalands län, Malmö kommun, Migrationsverket, Myndigheten för delaktighet, Myndigheten för digital förvaltning, Myndigheten för yrkeshögskolan, Pensionsmyndigheten, Polismyndigheten, Region Jönköping, Region Skåne, Region Stockholm, Region Västernorrland, Riksföreningen Sveriges Stadsmissioner, Ronneby kommun, Skatteverket, Socialstyrelsen, Sparbankernas Riksförbund, Statens institutionsstyrelse, Statens personadressregister, Statens servicecenter, Statens skolverk, Statistiska centralbyrån, Statskontoret, Stockholms kommun, Strömstads kommun, Svea hovrätt, Svensk Försäkring, Svenska Bankföreningen, Svenskar i Världen, Sveriges advokatsamfund, Sveriges ambassad i Bangkok, Sveriges ambassad i Berlin, Sveriges ambassad i London, Sveriges ambassad i Madrid, Sveriges ambassad i Nairobi, Sveriges ambassad i Paris, Sveriges ambassad i Washington, Sveriges generalkonsulat i Istanbul, Sveriges Kommuner och Regioner, Säkerhetspolisen, Södertälje kommun, Totalförsvarets forskningsinstitut, Totalförsvarets plikt- och prövningsverk, Trafikförsäkringsföreningen, Transportstyrelsen, TU – Medier i Sverige, Upplysningscentralen (UC), Uppsala kommun, Uppsala universitet, Vallentuna kommun, Vilhelmina kommun, Åklagarmyndigheten och Örebro kommun. Därutöver har yttranden kommit in från en privatperson och Finansiell ID-Teknik BID AB. Följande remissinstanser har inte svarat eller angett att de avstår från att yttra sig: Bromölla kommun, Danske Torpare, Falu kommun, Flens kommun, Forshaga kommun, Gällivare kommun, Hyresgästföreningen, Härjedalens kommun, Härnösands kommun, Järfälla kommun, Knivsta kommun, Luleå kommun, Malmö universitet, Oskarshamns kommun, Region Blekinge, Riksdagens ombudsmän, Riksförbundet för homosexuellas, bisexuellas, transpersoners, queeras och intersexpersoners rättigheter (RFSL), Rättvik kommun, Svenska Journalistförbundet, Svenskt Näringsliv, Sveriges universitets- och högskoleförbund, Ulricehamns kommun, Universitetskanslersämbetet (UKÄ), Uppvidinge

Bilaga 3 kommun, Vara kommun, Vetlanda kommun, Vännäs kommun och Östhammars kommun.