Vägledning för offentliga aktörers hantering av skyddade personuppgifter
Skyddade personuppgifter är Skatteverkets benämning för de olika skyddsåtgärderna skyddad folkbokföring och sekretessmarkering inom folkbokföringen.
Anmäl dig till ett kostnadsfritt webbseminarium
Välkommen att anmäla dig till ett kostnadsfritt webbseminarium om bland annat folkbokföring och skyddsåtgärderna som finns.
Enhetliga rutiner underlättar hanteringen inom den offentliga förvaltningen och minskar risken för att skyddade personuppgifter oavsiktligt lämnas ut. Skatteverket har därför i samråd med andra myndigheter utarbetat följande allmänna information och vägledning för hantering av skyddade personuppgifter.
Skyddade personuppgifter
Gemensamt för skyddsåtgärderna är att den enskilde lever med någon form av hotbild riktad mot sig och att skyddet ska förhindra att uppgifter om den enskilde sprids.
Det finns tre nivåer av skyddade personuppgifter: fingerade personuppgifter, skyddad folkbokföring och sekretessmarkering. Fingerade personuppgifter hanteras av Polismyndigheten. Skyddad folkbokföring och sekretessmarkering hanteras av Skatteverket. Med skyddade personuppgifter menas i denna vägledning därför skyddad folkbokföring och sekretessmarkering.
Personer med samordningsnummer kan inte få skyddade personuppgifter eftersom de inte är folkbokförda.
Här på Skatteverkets webbplats finns mer information om de olika nivåerna av skyddade personuppgifter och svar på vanliga frågor om hur det är att leva med dem.
Offentlighet och sekretess i folkbokföringen
Uppgifter om personers namn, personnummer, adress med mera som registreras i folkbokföringen är som huvudregel offentliga. I vissa fall kan det dock skada en person om uppgifter om personen lämnas ut. Det kan till exempel gälla den som riskerar att utsättas för hot eller förföljelse. Personen kan då ansöka om skyddade personuppgifter hos Skatteverket.
Uppgifter från folkbokföringen aviseras från Skatteverket till andra myndigheter via Navet. Aviseringen för skyddade personuppgifter ser olika ut beroende på vilket skyddsnivå en person har och det finns flera alternativ gällande hur många och vilka uppgifter som en myndighet kan beställa från Navet. En myndighet kan även välja vilka uppgifter om förändringar i Navet som den vill ta emot.
Det är en angelägen uppgift för samhället att öka tryggheten och ge skydd åt de personer som lever i rädsla på grund av att de riskerar att utsättas för brott (Skatteutskottets betänkande 2017/18:SkU19). Personer som är utsatta för hot och förföljelse kan vara i behov av att skydda sina personuppgifter och det är i sådana situationer viktigt att det finns effektiva åtgärder att vidta för att göra det möjligt (prop. 2017/18:145 s. 29). För att skyddsåtgärderna ska bli effektiva ställs det därför stora krav på hur olika myndigheter hanterar skyddade personuppgifter i verksamheten. Varje myndighet ska ha särskilda rutiner för att hantera skyddade personuppgifter i enlighet med sekretessbestämmelser i Offentlighets- och sekretesslagen (2009:400), OSL.
Den som har skyddade personuppgifter har även ett eget ansvar för hur dessa hanteras. Det kan vara lämpligt för den enskilde i kontakt med myndigheter att upplysa om att hen har skyddade personuppgifter.
Skyddad folkbokföring och sekretessmarkering
Skyddad folkbokföring
Skyddad folkbokföring är den högsta nivån av skyddade personuppgifter som man kan ansöka om hos Skatteverket. Skyddad folkbokföring kan bli aktuellt för någon som riskerar att utsättas för brott, förföljelse eller allvarliga trakasserier. Det ställs även krav på att personen själv, utifrån sin förmåga, agerar så att skyddet får en effekt (16 § Folkbokföringslagen (1991:481), FOL). Personen behöver till exempel flytta från en adress som den hotande personen känner till.
Om en person har skyddad folkbokföring framgår inte den verkliga adressen av folkbokföringen och sprids inte heller till andra myndigheter via Navet. Personen folkbokförs i en annan kommun under rubriken ”På kommunen skriven”. Skattekontorets adress anges som en särskild postadress men det framgår inte att adressen går till skattekontoret. Det som kan aviseras till andra myndigheter är namn, personnummer, en flyttning där personen blivit ”på kommunen skriven”, den särskilda postadressen, eventuell avregistreringsorsak samt att personen har skyddad folkbokföring. All post går till den särskilda postadressen, det vill säga till ett skattekontor som har den faktiska adressen manuellt förvarad och som vidarebefordrar posten.
Uppgifter som omfattas av sekretessen
Sekretessen gäller uppgifter som har aviserats av Skatteverket, uppgifter som personen själv har lämnat och uppgifter som en myndighet själv har skapat.
Sekretessen gäller uppgift som ensam eller tillsammans med annan uppgift kan lämna upplysning om var personen bor eller vistas. Exempel på sådana uppgifter är
- personnummer
- adress/postadress
- e-postadress
- telefonnummer
- anhörig
- arbetsgivare
- skola
- vårdgivare
- namnbyte
- var och av vem i en myndighets verksamhet ett ärende har handlagts.
Listan är inte uttömmande, utan vilka uppgifter som behöver skyddas är en prövning i varje enskilt fall och hos varje myndighet. Om en myndighet är osäker på om en viss personuppgift är skyddsvärd, till exempel en namnändring, kan den kontakta Skatteverket.
Det framgår inte av själva markeringen för skyddad folkbokföring vilken eller vilka uppgifter om personen som behöver skyddas. Myndigheten får därför bara lämna ut uppgifter om det står klart att personen eller någon närstående inte kan lida men av det. Avgörande för om myndigheten kan lämna ut den efterfrågade uppgiften kan vara vem eller vilken myndighet som efterfrågar uppgiften och hur och av vem den ska användas. Myndigheten kan därför behöva ställa kontrollfrågor för att kunna ta ställning till om det går att lämna ut en uppgift.
Adress är i regel en skyddsvärd uppgift, men även andra uppgifter kan behöva skyddas, till exempel uppgifter om anhöriga och uppgifter som kan röja var personen eller dennes anhöriga kan befinna sig. Uppgift om namn är ytterligare ett exempel på en ofta skyddsvärd uppgift. Det kan vara förödande för en person som har bytt namn i syfte att stärka sitt skydd om det nya namnet sprids.
Sekretessbestämmelser vid skyddad folkbokföring
Sekretessen för uppgifterna i folkbokföringsdatabasen gällande den som har skyddad folkbokföring regleras i 22 kap. 2 § OSL. Som utgångspunkt gäller sekretess och uppgifter kan endast kan lämnas ut om det står klart att den enskilde eller någon närstående inte kan lida men av det.
En myndighet övertar sekretessen om den får uppgifter från Skatteverket om en person som har skyddad folkbokföring (22 kap. 3 § OSL). Detta innebär att uppgifterna som utgångspunkt är sekretessbelagda även hos den mottagande myndigheten. Endast om det står klart att den enskilde eller någon närstående inte kan lida men av det får uppgifterna lämnas ut.
Uppgifter som kan leda till var en person med skyddad folkbokföring bor omfattas av sekretess, om uppgifterna förekommer i ett mål eller ärende vid domstol eller annan myndighet (21 kap. 3 a § första stycket OSL). Bestämmelsen är generellt tillämplig i mål och ärenden som gäller all offentlig verksamhet. Bestämmelsen omfattar dels uppgifter som direkt pekar ut var en person är bosatt, men även uppgifter som indirekt eller tillsammans med andra uppgifter kan ge ledning om var en person med skyddad folkbokföring vistas.
Sekretessmarkering
En sekretessmarkering är en lägre nivå av skyddade personuppgifter än skyddad folkbokföring och ställer inte samma krav på skyddets effekt. Den som inte uppfyller kraven för skyddad folkbokföring kan därför i vissa fall få en sekretessmarkering istället om personen eller dennes närstående riskerar att lida men om uppgifter om hen lämnas ut.
En sekretessmarkering registreras i folkbokföringsdatabasen och aviseras via Navet. En sådan uppgift är obligatorisk och ingår alltid i beställda uppgifter om en person med sekretessmarkering. När det föreligger en sekretessmarkering i folkbokföringsdatabasen överförs alla folkbokföringsuppgifter om personen via Navet. Vissa myndigheter har valt att kunna se uppgiften om att det finns en sekretessmarkering i folkbokföringsdatabasen och samtidigt se alla andra uppgifter om personen. Andra har valt att bara se uppgiften om sekretessmarkering i sig. I de fallen överförs endast personnummer tillsammans med uppgiften om sekretessmarkering. När sekretessmarkeringen tas bort aviseras detta.
Uppgifter som kan omfattas av sekretess
En sekretessmarkering är en varningssignal om behovet av att göra en noggrann skadeprövning när uppgifter om en person begärs ut. Sekretessmarkeringen har följaktligen ingen självständig betydelse och det finns ingen motsvarighet till 16 § FOL när det gäller sekretessmarkering. Uppgifter om en person med sekretessmarkering är därför som utgångspunkt offentliga och blir inte sekretessbelagda enbart på grund av sekretessmarkeringen.
Det framgår inte av själva sekretessmarkeringen vilken eller vilka uppgifter om personen som kan vara skyddsvärda. En myndighet måste göra en noggrann skadeprövning för varje uppgift som efterfrågas och bedöma om det kan antas att den enskilde kan lida men om uppgiften lämnas ut. En lista över uppgifter som kan behöva skyddas finns ovan, men listan är inte uttömmande.
Även gällande sekretessmarkering kan myndigheten behöva ställa kontrollfrågor för att kunna pröva en begäran om uppgifter. Avgörande för om en uppgift kan lämnas ut kan vara vem eller vilken myndighet som efterfrågar uppgiften och hur den ska användas.
Sekretessbestämmelser vid sekretessmarkering
Inom folkbokföringen ska en prövning ske enligt 22 kap. 1 § OSL när någon begär ut uppgifter om en person med sekretessmarkering. För att inte sekretessen inom Skatteverkets folkbokföringsregister ska kunna kringgås är dock 22 kap. 1 § OSL även tillämplig i fråga om annat befolkningsregister som baserar sig på uppgifter från folkbokföringsmyndigheten. Ett exempel på ett sådant register är SPAR-registret (prop. 1979/20:2 Del A s. 211).
Om det föreskrivs av regeringen gäller sekretessen även i annan verksamhet gällande registrering av en stor del av befolkningen. I 6 § Offentlighets- och sekretessförordningen (2009:641) har regeringen utfärdat sådana föreskrifter. Som exempel på register som föreskrivs kan nämnas Polismyndighetens passregister och register över nationella identitetskort, Socialstyrelsens register över hälso- och sjukvårdspersonal, samt Transportstyrelsens vägtrafikregister.
Förutom en prövning enligt 22 kap. 1 § OSL för vissa myndigheter, som har ett sådant register som nämns ovan, kan en myndighet behöva pröva en begäran om uppgifter enligt särskilda sekretessbestämmelser i OSL som gäller den aktuella verksamheten eller specifika uppgifter om en person. Det är upp till varje myndighet att ta ställning till vilka sekretessbestämmelser som omfattar just dess verksamhet och de uppgifter som den hanterar. Hos alla myndigheter gäller dock i vissa fall sekretess för vissa uppgifter om förföljda personer (21 kap. 3 § OSL).
Som exempel på uppgifter som omfattas av särskilda sekretessbestämmelser är uppgifter om personers hälsa eller sexualliv (21 kap. 1 § OSL), i utbildningsverksamhet (23 kap. 1 § OSL), och uppgifter hos socialtjänsten (26 kap. 1 § OSL). En myndighet kan även sekretessmarkera en uppgift i en allmän handling om uppgiften kan antas omfattas av en sekretessbestämmelse (5 kap. 5 § OSL).
Samma uppgift om en person kan i vissa fall omfattas av flera sekretessbestämmelser i OSL. Huvudregeln är då att myndigheten ska tillämpa den bestämmelse som innebär att en uppgift inte ska lämnas ut (7 kap. 3 § OSL).
Viktigt att tänka på vid utveckling av verksamhetsstöd
För att kunna hantera skyddade personuppgifter riskfritt bör myndigheter ta särskild hänsyn till dem redan vid systemutvecklingen. Myndigheter ska ha särskilda rutiner för att hantera skyddade personuppgifter i enlighet med sekretessbestämmelser i OSL. Det är upp till varje myndighet att välja det lämpligaste sättet att hantera skyddade personuppgifter i sina system och inom verksamheten. I vissa fall kan en manuell hantering av personuppgifterna vara säkrare om ett verksamhetsstöd bedöms innebära en risk.
Myndigheter inom liknande eller samma verksamhetsområden bör kunna samråda kring hur skyddade personuppgifter ska hanteras. Då minskar risken för stora skillnader mellan olika rutiner som kan leda till missförstånd och att uppgifter röjs.
Riskminimering vid hantering av skyddade personuppgifter
Uppdaterade register och verksamhetsstöd
Varje myndighet ansvarar för att uppdatera informationen från Navet för att få tillgång till aktuella och korrekta folkbokföringsuppgifter. En uppdatering i Navet har direkt genomslag, och det är lämpligt att göra frekventa sökningar för att få uppdaterad information om personer med skyddade personuppgifter. Både manuellt hanterade personuppgifter/register och verksamhetsstöd måste hållas uppdaterade för att visa korrekt information.
Även av sekretesskäl kan det vara viktigt med uppdaterade och korrekta register och verksamhetsstöd. Vid ett namnbyte kan till exempel en namnuppgift gå från att ha ett lågt skyddsvärde till ett högt. Det är därför bra om myndigheten i sitt verksamhetsstöd får en signal om att en uppgift har ändrats. Ett alternativ är att verksamhetsstödet tydligt signalerar att det inte kan visa om en uppgift har ändrats så att personen med tillgång till uppgifterna vet om att Skatteverket kan behöva kontaktas.
Uppgiftsminimering
Myndigheten bör göra en översyn över vilka personuppgifter, till exempel namn och adress, som måste anges i ansökningar, beslut, domar, protokoll och andra liknande handlingar. Myndigheten ska inte i onödan begära in skyddade personuppgifter eller ta in dem i en handling. Myndigheten kan om möjligt föra en dialog med personer som har skyddade personuppgifter för att hantera deras personuppgifter och ärenden på bästa sätt.
Särskild behörighet
Risken för att skyddade personuppgifter lämnas ut, av misstag eller medvetet, ökar med antalet personer som har tillgång till dem. Det gäller oavsett om de läses på skärm eller på papper. Varje myndighet bör därför bara ge ett fåtal personer behörighet att hantera skyddade personuppgifter. Myndigheten behöver också se till att de som hanterar skyddade personuppgifter har rätt kompetens för det.
Tydligt markerade uppgifter
Det finns en risk för att personer missar att ett verksamhetsstöd visar skyddade personuppgifter om uppgifterna inte är tydligt utmärkta. Det gäller särskilt om sekretessreglerade uppgifter visas tillsammans med uppgifter som inte omfattas av sekretess. Det finns ofta flera olika verksamhetsstöd inom en myndighet och en person kan ha fönster öppna till flera samtidigt. Sekretessen och skyddsnivån bör därför vara tydligt utmärkt i varje bildskärmsfönster. Det är även viktigt att det går att skilja på vilka uppgifter som har markering för skyddad folkbokföring och vilka uppgifter som har sekretessmarkering då de omfattas av olika sekretessbestämmelser i OSL.
Om en myndighet inte kan utläsa vilken skyddsnivå en person har kan den kontakta Skatteverket.
Kommunikation med och om personer med skyddade personuppgifter
Varje myndighet bör ha tydliga och säkra rutiner för att kommunicera med och om personer som har skyddade personuppgifter.
Säkra kommunikationskanaler
Myndigheter kan kommunicera med enskilda eller andra myndigheter via en säker kommunikationskanal. Säkra kommunikationskanaler är brev, säker elektronisk kommunikation (till exempel digital brevlåda), telefon (efter motringning), och besök av den enskilde om denne har legitimerat sig.
Myndigheter bör inte kommunicera via okrypterad e-post när det gäller skyddade personuppgifter, varken inom eller mellan myndigheter eller med personen i fråga. Det händer dock att myndigheter ändå behöver ta emot sekretessreglerade uppgifter via e-post, till exempel av personen själv. Myndigheten bör då försöka styra om kommunikationen till en säker kommunikationskanal, till exempel telefon.
Myndigheter bör föra en dialog med varandra och med den enskilde om vilken kommunikationskanal som är lämpligast att använda för att minska risken för att uppgifter sprids på fel sätt.
Rätt mottagare
Vid all kommunikation med en person eller en annan myndighet måste myndigheten säkerställa att uppgifterna hamnar hos rätt mottagare. Det kan göras på olika sätt, till exempel genom att ställa kontrollfrågor, motringa via växel eller ringa tillbaka till ett telefonnummer som är bekräftat, eller genom att skicka uppgifterna till en säker adress. Vid kontakt mellan myndigheter är det även viktigt att säkerställa att rätt person på myndigheten tar emot uppgifterna, så att inte någon annan får tillgång till dem.
Särskild behörighet
Det är lämpligt att bara ett fåtal personer på en myndighet kommunicerar med personer som har skyddade personuppgifter, eftersom det minskar risken för att känsliga uppgifter röjs.
Efterlevnad av regler och rutiner
Varje myndighet bör ha rutiner för att följa upp hur sekretessbestämmelserna i OSL följs och om det finns säkerhetsrisker i hanteringen av skyddade personuppgifter. Ett säkert verksamhetsstöd ska till exempel logga alla händelser och transaktioner, så att man i efterhand kan spåra vem som har tagit del av uppgifter om en person med skyddade personuppgifter.
Myndigheter bör regelbundet följa upp att regler och rutiner för skyddade personuppgifter är uppdaterade, efterlevs och respekteras. Det kan därför vara bra att utse en eller ett fåtal personer som ansvarar för detta. En säker hantering av skyddade personuppgifter kräver att personalen som hanterar uppgifterna har goda kunskaper om skyddsåtgärderna och sekretessbestämmelser som myndigheten ska följa.
Om uppgifter röjs
Varje myndighet måste ha beredskap för att kunna agera om skyddade personuppgifter röjs. Det är särskilt viktigt om personers säkerhet är i fara. Myndigheten bör prata med personen för att avgöra vilka åtgärder som behöver vidtas. Hur allvarlig en röjning av uppgifter är kan bland annat bero på vilken typ av uppgifter det gäller, hur många som har fått sina uppgifter röjda, och till vem eller vilken myndighet uppgifterna har röjts.
Om uppgifter har röjts ska myndigheten oftast omgående informera berörda personer och andra myndigheter om incidenten. Särskilt viktigt är det att informera Skatteverket, eftersom incidenten kan påverka beslutet om skyddade personuppgifter.
En röjning av uppgifter kan också vara en personuppgiftsincident enligt dataskyddsförordningen.
Skicka post till någon med skyddade personuppgifter
Skatteverket har i uppdrag att förmedla post till personer som har skyddade personuppgifter. Posten kan förmedlas både inom Sverige och till utlandet. Information om hur man skickar post till någon med skyddade personuppgifter finns på skatteverket.se och sedan Skicka post till någon med skyddade personuppgifter.
Myndigheteter bör normalt använda förmedlingstjänsten för att skicka post till personer med skyddade personuppgifter. Detta för att minimera risken att posten skickas fel. Det gäller särskilt om en person begär att post ska skickas till en annan adress än den som myndigheten har till personen. Om myndigheten vet säkert att adressen stämmer och är aktuell kan den dock skicka post direkt dit.
Vid skyddad folkbokföring har myndigheten mycket sällan tillgång till personens riktiga adress eftersom den inte aviseras via Navet på samma sätt som vid en sekretessmarkering.
Personer med skyddade personuppgifter vill ofta få sin post till en annan adress än den egna bostaden och skaffar då en särskild postadress. De kan även ge andra tillåtelse att öppna deras post åt dem. Det kan innebära att det tar längre tid innan de får sin post. Det kan även ta längre tid på grund av att de får posten via Skatteverkets förmedlingstjänst. Om det är möjligt kan det vara bra för personen att kunna ta emot digitala försändelser i stället för fysisk post.
Bestämmelser gällande skyddade personuppgifter
Skyddad folkbokföring regleras primärt av:
- 16 § folkbokföringslagen (1991:481), FOL
- 22 kap. 2 och 3 §§ OSL
Sekretessmarkering regleras primärt av:
- 22 kap. 1 § OSL
- 21 kap. 3 § OSL
Myndigheter kan utöver detta behöva tillämpa särskilda sekretessbestämmelser för den egna verksamheten och för vissa särskilda uppgifter om personer. Det kan även finnas andra lagar, förordningar och praxis som myndigheter och offentliga aktörer behöver ta hänsyn till.
Ytterligare information
Nedan finns länkar till webbplatser med mer information:
Har du frågor kan du kontakta vår sekretessgrupp på telefonnummer 010‑573 55 00.
Kontakta oss
Aktuellt
-
16,5 miljarder har betalats ut i elstöd till företag
Möjligheten för företag att söka elstöd stängde den 25 september. Totalt har 118...
-
Budgetpropositionen inlämnad till riksdagen
Regeringen överlämnade den 20 september sitt budgetförslag för 2024 till riksdag...
-
Varning för bluff-sms
Falska mejl, samtal och sms förekommer i olika varianter och de är särskilt vanl...
Tillsammans gör vi samhället möjligt