Om folkbokföring, samordningsnummer och identitetsnummer
Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.
Med anledning av betänkandets omfång och det antal frågor som behandlats har IMY valt att begränsa sitt yttrande till frågor av väsentlig betydelse för enskildas personliga integritet.
IMY lämnar följande synpunkter.
För att upptäcka och förhindra felaktiga uppgifter i folkbokföringsdatabasenen föreslås Skatteverket få möjlighet att använda uppgifter från såväl folkbokföringsdatabasen som ett antal kategorier av uppgifter som samlas in från utpekade myndigheter i en analys- och urvalsdatabas. Ett syfte med databasen är att möjliggöra riskvärderingar och skiktning av ärenden. Uppgiftssamlingen kommer innehålla en stor mängd uppgifter om ett stort antal personer, och kommer således innebära en kartläggning av enskilda. Den behandling av personuppgifter som sker genom dataanalyser och urval utgör således, som utredningen konstaterat, ett betydande integritetsintrång som omfattas av 2 kap. 6 § andra stycket regeringsformen.
I samband med att ny lagstiftning som reglerar personuppgiftsbehandling tas fram behöver en integritetsanalys genomföras. En integritetsanalys ska särskilt svara på frågan om konsekvenserna för den personliga integriteten som en föreslagen personuppgiftsbehandling medför är proportionerliga i förhållande till det man avser att uppnå med behandlingen. I det ingår att bedöma om behandlingen av personuppgifter är:
- nödvändig utifrån de avsedda ändamålen med behandlingen,
- om det finns alternativa vägar att nå samma resultat men som är mindre integritetskänsliga och
- om det finns integritetshöjande bestämmelser (skyddsåtgärder) som kan behövas till skydd för de personuppgifter som kommer att bli behandlade.
En förutsättning för en sådan integritetsanalys är att det görs en noggrann kartläggning och beskrivning av de föreslagna personuppgiftsbehandlingarna.
Utredningen föreslår att vissa utpekade myndigheter ska omfattas av uppgiftsskyldighet till Skatteverket. I de aktuella bestämmelserna regleras vilka kategorier av uppgifter som respektive myndighet på begäran ska lämna ut till Skatteverket. Vidare föreslås en reglering av vilka uppgifter som får användas för dataanalyser och urval i syfte att upptäcka och förhindra felaktiga uppgifter i folkbokföringsdatabasen.
IMY anser att det är positivt att utredningen gjort en kartläggning av vilka uppgifter Skatteverket behöver samla in i sin verksamhet med att upptäcka felaktigheter i folkbokföringen. IMY kan dock konstatera att samtliga föreslagna bestämmelser som reglerar de utpekade myndigheternas uppgiftsskyldighet till Skatteverket anger att uppgiftsskyldigheten gäller i den utsträckning som uppgifterna behövs för handläggning av folkbokföringsärenden, för kontroll av uppgifter i folkbokföringsdatabasen eller för analys- och urvalsverksamhet.
Regleringen kan ses som ett uttryck för den grundläggande principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, som är en förutsättning för att behandlingen ska vara laglig.
Utredningen har således enbart kartlagt vilka kategorier av uppgifter Skatteverket ska få samla in inom ramen för sin analys- och urvalsverksamhet, men inte i vilken omfattning uppgifterna behöver samlas in eller om samtliga uppgifter behöver samlas in avseende samtliga kategorier av uppgifter. I de föreslagna bestämmelserna regleras inte personuppgiftsbehandlingen på en mer utförlig nivå. De föreslagna bestämmelserna ställer förvisso krav på att rutiner för urvalsmodeller ska tas fram och att metoder för att ta fram urval dokumenteras, i syfte att möjliggöra kontroll i efterhand. IMY vill dock framhålla att de föreslagna bestämmelserna ger Skatteverket ett stort utrymme för personuppgiftsbehandling rörande stora delar av befolkningen.
En förutsättning för att kunna genomföra en proportionalitetsbedömning och för att kunna analysera huruvida bestämmelser rörande skyddsåtgärder samt de registrerades rättigheter ger ett tillräckligt skydd är, som ovan nämnts, att noggrann kartläggning och beskrivning av de föreslagna personuppgiftsbehandlingarna.
Då det är frågan om en omfattande behandling av personuppgifter som rör en majoritet av befolkningen efterfrågar IMY en mer omfattade kartläggning och beskrivning av den personuppgiftsbehandling som de föreslagna bestämmelserna ger utrymme för samt en, så långt som möjligt, tydlig reglering i lag angående behandling av personuppgifter i analys- och urvalsdatabasen.
Eftersom betänkandet saknar en noggrann analys och närmare överväganden avseende hur förslaget rörande analys- och urvalsdatabasen inverkar på enskildas personliga integritet kan IMY inte tillstyrka betänkandet i denna del.
Detta yttrande har beslutats av den tillförordnade enhetschefen Linn Sandmark efter föredragning av juristen Mattias Sandström. Vid handläggningen har juristen Ulrika Harnesk medverkat.
Linn Sandmark, 2021-10-14 (Det här är en elektronisk signatur)