Förordning (2023:463) om behandling av personuppgifter vid Utbetalningsmyndigheten

1 §  I denna förordning finns bestämmelser som kompletterar lagen (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten. Termer och uttryck i förordningen har samma betydelse som i lagen.

Förordningen är meddelad med stöd av 8 kap. 7 § regeringsformen.

2 §  Bestämmelserna i denna förordning gäller även vid behandling av uppgifter om avlidna.

3 §  Utöver vad som framgår av 1 kap. 11 § lagen (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten ska det ställas krav på att den som tilldelas behörighet för åtkomst till personuppgifter har genomgått utbildning i behandling av personuppgifter eller har erfarenhet som har gett motsvarande kunskaper.

4 §  Utbetalningsmyndigheten ansvarar för att det inom myndigheten finns rutiner för att tilldela, förändra, ta bort och regelbundet följa upp behörigheter för åtkomst till personuppgifter.

5 §  Utbetalningsmyndigheten ansvarar för att det inom myndigheten finns rutiner för att dokumentera och regelbundet kontrollera åtkomst till personuppgifter.

6 §  I förordningen (2023:462) om transaktionskonto vid Utbetalningsmyndigheten finns bestämmelser om myndigheters och enskildas rätt att ta del av uppgifter i systemet med transaktionskonto.

7 §  Utbetalningsmyndigheten ansvarar för att det inom myndigheten finns rutiner för hur urvalsmodeller ska utformas och hur sökbegrepp får användas i uppgiftssamlingen för dataanalyser och urval.

8 §  I uppgiftssamlingen för dataanalyser och urval får det behandlas uppgifter som omfattas av 3-7 och 11 §§ lagen (2023:456) om skyldighet att lämna uppgifter till Utbetalningsmyndigheten.

I uppgiftssamlingen får det vidare behandlas uppgifter om

• 1. en fysisk persons identitet, medborgarskap, uppehållsrätt, bosättning, familjeförhållanden, adress och andra kontaktuppgifter samt uppgifter om ombud,
• 2. en juridisk persons identitet, säte, ägarförhållanden, firmatecknare och andra företrädare, kontaktpersoner samt kontaktuppgifter,
• 3. en utbetalning som avser en ekonomisk förmån, ett ekonomiskt stöd eller en återbetalning av ett överskott på skattekontot samt uppgifter om enskildas kontouppgifter,
• 4. företag och andra juridiska personer, företrädare och huvudmän som finns i Bolagsverkets register,
• 5. skulder hos Kronofogdemyndigheten för företag och andra juridiska personer samt deras företrädare,
• 6. fastigheter, byggnader och lagfarter från fastighetsregistret, och
• 7. urvalsträffar samt resultatet av en inledande eller en fördjupad granskning enligt lagen (2023:455) om Utbetalningsmyndighetens granskning av utbetalningar.

I uppgiftssamlingen får det även behandlas en uppgift av liknande slag som anges i första och andra styckena och som är nödvändig för myndighetens dataanalyser och urval.

9 §  Personuppgifter som behandlas vid Centrala studiestödsnämndens utbetalning av studielån får fortsätta att behandlas i transaktionskontoregistret trots att den tid som anges i 4 kap. 2 § lagen (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten har löpt ut, dock som längst två år efter utgången av det kalenderår då full återbetalning skedde eller betalningsskyldigheten annars upphörde.

10 §  Personuppgifter som behandlas i en sammanställning av resultatet av en fördjupad granskning får fortsätta att behandlas trots att den tid som anges i 4 kap. 3 § lagen (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten har löpt ut, dock som längst fem år efter utgången av det år då den fördjupade granskningen avslutades.

11 §  Utbetalningsmyndigheten får meddela föreskrifter om att personuppgifter som avses i 4 kap. 1-3 §§ lagen (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten får behandlas under viss tid.

Utbetalningsmyndigheten får också i ett enskilt fall besluta om sådan behandling som avses i första stycket.

12 §  Riksarkivet får, efter att ha gett Utbetalningsmyndigheten tillfälle att yttra sig, meddela föreskrifter om att personuppgifter som avses i 4 kap. 1-3 §§ lagen (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten får fortsätta att behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

Riksarkivet får meddela föreskrifter om att handlingar eller uppgifter som ska bevaras för sådana ändamål ska överlämnas till en arkivmyndighet.

13 §  Utbetalningsmyndigheten får meddela föreskrifter om verkställigheten av lagen (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten och av denna förordning.