Beskattningsdatalag (2026:125)

1 §  Syftet med denna lag är att ge Skatteverket möjlighet att behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling.

2 §  Denna lag gäller vid behandling av personuppgifter i Skatteverkets beskattningsverksamhet.

Lagen gäller även vid behandling av personuppgifter i Skatteverkets verksamhet enligt

• 1. lagen (2007:324) om Skatteverkets hantering av vissa borgenärsuppgifter,
• 2. lagen (2013:948) om stöd vid korttidsarbete,
• 3. lagen (2020:548) om omställningsstöd,
• 4. lagen (2023:230) om förfarande för elstöd till företag,
• 5. lagen (2024:404) om skattefrihet och förfarande för kompensation till personer födda 1957 på grund av höjd åldersgräns för förhöjt grundavdrag,
• 6. 5 kap. 3 § lagen (2024:782) om förfarandet vid förverkande av egendom och åläggande av företagsbot, och
• 7. lagen (2024:1300) om uppgiftsskyldighet i fråga om frånvaro på grund av vård av barn.

Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register.

3 §  Skatteverkets beskattningsverksamhet enligt 2 § första stycket avser

• 1. fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter och avgifter,
• 2. bestämmande av pensionsgrundande inkomst,
• 3. fastighetstaxering,
• 4. revision och annan kontroll eller analys,
• 5. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning,
• 6. fullgörande av förpliktelser som följer av internationella åtaganden, och
• 7. någon annan liknande uppgift som Skatteverket ska utföra.

4 §  Denna lag gäller inte vid Skatteverkets behandling av personuppgifter i Europeiska unionens gemensamma informationssystem.

5 §  Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandlingen av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

6 §  Skatteverket är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag och föreskrifter som har meddelats i anslutning till lagen.

7 §  Skatteverket får behandla personuppgifter om det är nödvändigt för att utföra verksamhet enligt 2 §. Detta omfattar att göra dataanalyser och urval i syfte att förebygga, förhindra och upptäcka fel i den verksamheten.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ändamålen med behandlingen.

8 §  Personuppgifter som behandlas enligt 7 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

9 §  Personuppgifter som behandlas enligt 7 § får också behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket de samlades in.

10 §  Sådana känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning får behandlas, om det är nödvändigt med hänsyn till ändamålet med behandlingen.

11 §  Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter.

Förbudet omfattar dock inte sökningar i syfte att få fram ett urval av personer grundat på personuppgifter om religiös övertygelse, medlemskap i fackförening eller hälsa, om sökningen är nödvändig för att utföra en uppgift i verksamhet som omfattas av denna lag. Förbudet omfattar inte heller sökningar i en viss handling eller i ett visst ärende.

12 §  För att göra dataanalyser och urval enligt 7 § första stycket i syfte att förebygga, förhindra och upptäcka fel får följande personuppgifter behandlas:

• 1. uppgifter som Skatteverket förfogar över eller samlar in till följd av verksamhet enligt 2 §, och
• 2. uppgifter som lämnas till Skatteverket för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka uppgifter som får behandlas för sådana dataanalyser och urval.

13 §  När personuppgifter behandlas för att göra dataanalyser och urval enligt 7 § första stycket i syfte att förebygga, förhindra och upptäcka fel ska Skatteverket dokumentera avvägningen mellan det avsedda resultatet med åtgärden och intrånget i enskildas personliga integritet. Även de metoder och sökbegrepp som används för att ta fram urval ska dokumenteras.

All dokumentation ska göras på ett sådant sätt att det möjliggör kontroll i efterhand.

14 §  Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

Åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet.

15 §  Personuppgifter får lämnas ut elektroniskt om det inte är olämpligt.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt.

16 §  Personuppgifter får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter som längst får behandlas under viss tid.

17 §  Vid behandling av personuppgifter på grund av samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning, ska artiklarna 13, 14.1 och 15 i EU:s dataskyddsförordning inte tillämpas om det är nödvändigt att begränsa informationen till den registrerade med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen.

18 §  Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.