prop · GY03122 · 2011-03-29 00:00:00 — Begränsningar får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får inte gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett dem. De får inte heller sträcka sig så långt att de utgör ett hot mot den fria åsiktsbildningen. Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna gäller jämte vissa av dess tilläggsprotokoll som lag i . Enligt 2 kap. 19 § RF får lag eller annan föreskrift inte meddelas i strid med åtaganden på grund av Europakonven- tionen. Av artikel 8 i följer att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av dessa rättigheter annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Motsvarande rätt till respekt för privat- och familjelivet, hemmet och korrespondensen gäller även enligt artikel 7 i EU:s stadga om grundläggande rättigheter. Grundläggande bestämmelser om behandling av personuppgifter finns i PuL och personuppgiftsförordningen (1998:1191). PuL:s syfte är att skydda människor mot att deras personliga integritet kränks när personuppgifter behandlas. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 §). Även begreppet behandlas har en bred innebörd och omfattar varje åtgärd som vidtas i fråga om personupp- gifter, vare sig det sker på automatisk väg eller inte. Det kan t.ex. vara insamling, registrering, lagring, bearbetning och spridning (3 §). PuL är tillämplig generellt men om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, ska de bestämmelserna gälla (2 §). De särregleringar i lag eller förordning som kan behövas på olika områden förutsätts få sin plats i särskilda registerförfattningar. Att det krävs en särskild författning för att avvika från det integritetsskydd som PuL ger har ansetts utgöra en garanti för att behovet av särregler över- vägs noga innan de beslutas. Bestämmelserna i tillämpas inte heller i den mån det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter (8 § första stycket). Personuppgiftsansvarig är enligt PuL den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter (3 §). Vem som är personuppgiftsansvarig för viss behandling kan också särskilt anges i en lag eller förordning. Med personuppgiftsansvaret följer bl.a. en skyldighet för den personuppgifts- ansvarige att se till att PuL:s grundläggande krav uppfylls (9 §). 2010/11:122 grundläggande krav avser t.ex. att personuppgifter endast ska behandlas om det är lagligt och att behandlingen alltid ska ske på ett korrekt sätt och i enlighet med god sed. Vidare får personuppgifter endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De person- uppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Den s.k. finalitetsprincipen innebär dess- utom att uppgifterna efter insamlingen inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in (9 § första stycket d]). Alla rimliga åtgärder ska även vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Myndig- heternas arkivering och bevarande av allmänna handlingar hindras dock inte av lagen (8 § andra stycket). Den personuppgiftsansvarige är skadeståndsskyldig gentemot den regi- strerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med PuL orsakat (48 §). I person- uppgiftsansvaret ingår också att vidta lämpliga tekniska och organisa- toriska åtgärder för att skydda de personuppgifter som behandlas (31 §). Det innebär att den personuppgiftsansvarige måste vidta olika säkerhets- åtgärder till skydd för de uppgifter som behandlas. För vissa slag av uppgifter, s.k. känsliga personuppgifter, gäller särskilda restriktioner (13 §). Huvudregeln innebär att det är förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fack- förening. Det är också förbjudet att behandla sådana uppgifter som rör hälsa och sexualliv. Trots förbudet att behandla känsliga personuppgifter är det ändå tillåtet att göra det i vissa särskilt angivna fall (1420 §§). Enligt PuL är det dessutom förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, frihetsberövande m.m. (21 §). Uppgifter om personnummer eller samordningsnummer får behandlas utan den registrerades samtycke endast när det är klart motiverat med hänsyn till ändamålet med behand- lingen, vikten av säker identifiering eller något annat beaktansvärt skäl (22 §). är enligt personuppgiftsförordningen Data- inspektionen. 5.9.4En särskild registerreglering ska införas Regeringens förslag: Den föreslagna lagen ska innehålla särskilda bestämmelser om de register som ska föras enligt direktivet. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterlyser allmänt en lagtext som ur integritetssynpunkt ger en tydligare struktur och anger ramarna Skälen för regeringens förslag: och möjligen även intygsregistret kommer att innehålla integritetskänslig information. rättsliga ramarna för den automatiserade behandlingen av personupp- gifterna bör därför regleras särskilt i den föreslagna lagen om behörighet En sådan särskild registerreglering innebär en special- reglering i förhållande till PuL och kompletterar eller ersätter i vissa delar den lagen. saknar egentligt behov av några specialbestämmelser, men bör ändå av tydlighetsskäl regleras över- gripande i lagen eftersom samtliga register krävs enligt lokförardirek- tivet. I lagen föreslås således införas bestämmelser om de olika register som ska föras enligt direktivet. Med anledning av vad Datainspektionen har anfört har regeringen gjort en översyn av promemorians förslag i syfte att förtydliga bestämmelserna. trädde ett antal ändringar i regeringsformen (RF) i kraft. En av ändringarna innebär att den personliga integriteten stärks, jfr 2 kap. 6 § RF. I avsnitt 5.9.2 har redogjorts översiktligt för denna samt annan integritetsskyddande reglering. Den nya regleringen innebär att, beroende av om intrånget i integriteten bedöms som betydande eller inte, kravet på författningsnivå för regleringen är olika. I förarbetena till den nya bestämmelsen uttalas bl.a. att det vid bedömningen av hur ingripande integritetsintrånget kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden, är naturligt att stor vikt läggs vid uppgifternas karaktär (jfr prop. 2009/10:80). De nu aktuella registren kommer att innehålla uppgifter om ett ganska begränsat antal personer. och intygsregistren kommer att omfatta uppskattningsvis 5 0006 000 personer, tillståndsregistret högst några hundratal personer och företag. Ändamålet med samtliga register är att underlätta tillämpningen av lagen, framför allt när det gäller handläggning av ärenden som rör förarbevis och tillstånd hos tillsynsmyndigheten (jfr avsnitt 5.9.6 och 5.9.8), men också företags hantering av kompletterande intyg (jfr avsnitt 5.9.7). och eventuellt också intygsregistren kommer att inne- hålla känsliga uppgifter om personers hälsa, men innehållet i dessa uppgifter har inte bedömts vara känsligare än att dessa uppgifter trots allt ska få behandlas i registren (jfr avsnitt 5.9.6.1 och 5.9.7.1). Någon sekretessbestämmelse för registren föreslås inte. Enligt regeringens uppfattning kommer därför behandlingen av uppgifterna såväl insam- lingen och lagringen som ett utlämnande inte att innefatta ett så stort ingrepp i enskildas privatliv att det kan anses utgöra ett betydande intrång i den personliga integriteten i den mening som avses i den nya grundlagsbestämmelsen. Det är därmed möjligt enligt RF dels att delegera föreskriftsrätten om intygsregistren till regeringen eller myndig- het, dels meddela föreskrifter om förarbevisregistret och tillstånds- registret (som ska föras av myndighet) i författning på lägre normhierar- kisk nivå än lag. Regeringen avser dock som redan nämnts ovan att huvudsakligen reglera samtliga register i den föreslagna lagen. Allmänna bestämmelser om registren Regeringens förslag: Personuppgifter ska få behandlas i registren endast för de ändamål som anges i lagen om behörighet för lokförare. Bestämmelserna i om rättelse och skadestånd ska gälla vid behandling av personuppgifter enligt lagen om behörighet för lokförare eller föreskrifter som har meddelats i anslutning till lagen. Behandling av personuppgifter som är tillåten enligt lagen ska få utföras även om den enskilde motsätter sig det. Personuppgifter som behandlas i registren ska gallras när de är nödvändiga för de ändamål med behandlingen som anges i lagen. Personuppgifter i förarbevisregistret och ett intygsregister ska dock bevaras efter det att förarbeviset respektive intyget har upphört att gälla. Regeringen eller den myndighet regeringen bestämmer ska beträffande de register som inte förs av det allmänna få meddela före- skrifter eller i det enskilda fallet besluta om att 1.personuppgifter ska bevaras för historiska, statistiska eller veten- skapliga ändamål, eller 2.gallring av personuppgifter ska ske senast . Promemorians förslag: Överensstämmer i huvudsak med regeringens. I promemorian anges inte att uppgifterna i förarbevisregistret och intygs- register måste bevaras efter det att förarbeviset respektive intyget upphört att gälla. Remissinstanserna: Yttrar sig inte. Skälen för regeringens förslag Bland de allmänna bestämmelserna bör anges att personuppgifter får behandlas i registren endast för de ändamål som närmare anges i lagen. I de följande avsnitten föreslås vilka respektive ändamål som ska gälla för de olika registren. Behandling av personuppgifter även om den enskilde motsätter sig I promemorian föreslås att behandling av personuppgifter ska vara tillåten även om den enskilde motsätter sig registrering. En bestämmelse med ett innehåll som ger i princip samma effekt finns i och för sig i 12 § andra stycket PuL. Utformningen av bestämmelsen innebär dock att den inte kan tillämpas eller hänvisas till vid behandling av personuppgifter som sker enligt någon annan författning, jfr promemorian s. 161. Rege- ringen delar denna bedömning. Eftersom direktivet kräver att de aktuella uppgifterna ska föras in i de olika registren måste det säkerställas att den enskilde inte kan hindra detta. En bestämmelse av nämnda innehåll bör således införas. Rättelse, skadestånd m.m. Prop. Det kan inte uteslutas att den som för ett register antecknar fel uppgifter, eller på annat sätt behandlar uppgifterna så att den enskilde lider men på något sätt. Det bör därför finnas möjlighet att rätta uppgiften, liksom en möjlighet att få skadestånd för uppkommen skada till följd av den felaktiga behandlingen. Bestämmelserna om rättelse och skadestånd i 28 § respektive 48 § PuL gäller endast vid tillämpning av den lagen och inte automatiskt för särskilda registerförfattningar, som den här före- slagna. Därför behöver en särskild hänvisning till dessa bestämmelser tas in i lagen om behörighet för lokförare för att bestämmelserna ska vara tillämpliga. Bestämmelsen i PuL om rättelse innebär att den personuppgifts- ansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med bestämmelserna i eller föreskrifter som meddelats i anslutning till den lagen. Den personuppgiftsansvarige är också enligt bestämmelsen i PuL om rättelse skyldig att underrätta tredje man till vilken uppgifterna lämnats ut om vilka åtgärder som vidtagits. Detta gäller dock endast om den registrerade begär det eller om mer betydande skada eller olägenhet för den registrerade kan undvikas genom under- rättelsen. Någon underrättelse behövs dock inte om det skulle visa sig vara omöjligt att genomföra den eller om det skulle innebära en opropor- tionerligt stor arbetsinsats. När det gäller skadestånd framgår av 48 § PuL att den personuppgifts- ansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen inneburit. Ersättningsskyldigheten kan i den utsträckning som bedöms skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. För att så långt möjligt begränsa effekterna av registreringen och däri- genom skydda den enskilde från den integritetskränkning som en registrering kan innebära, bör registrerade personuppgifter gallras så snart de inte är nödvändiga för att uppfylla ändamålen med registreringen enligt lagen. När det gäller den som haft behörighet att framföra järn- vägsfordon framgår av kommissionens beslut (2010/17/EG) om grund- läggande föreskrifter för förarbevisregistret och intygsregistren5 att upp- gifterna ska bevaras efter det att behörighetshandlingen upphört att gälla. Om det inleds en utredning som berör föraren, t.ex. en förundersökning om brott, ska uppgifterna sparas om det behövs. Efter den obligatoriska tioårsfristen blir det således en bedömningsfråga hur länge uppgifterna ska bevaras, men uppgifterna ska sparas så länge de är nödvändiga för ändamålet med behandlingen. 5 Kommissionens beslut (2010/17/EG) av om antagandet av grundläggande föreskrifter för register över lokförarbevis och kompletterande intyg enligt och rådets direktiv /59/EG (EUT L 8, , s. 17, Celex 32010D0017). Regleringen av när behörighetshandlingarna upphör att gälla är olika för förarbevisen och de kompletterande intygen. Ett förarbevis kommer att vara giltigt från utfärdandet, om det inte återkallas . Ett kompletterande intyg ska vara giltigt tills vidare eller så länge den som utfärdar intyget bestämmer. Ett kompletterande intyg är endast giltigt i det utfärdande företagets verksamhet. Om inget särskilt datum bestäms för intygets formella upphörande får därför tidpunkten beräknas från det att anställningen eller uppdraget upphör hos registerhållaren (den personuppgiftsansvarige). Giltighetstiden för tillstånd för läkare, psykologer, utbildnings- anordnare och examinatorer regleras inte i direktivet och har inte före- slagits regleras i lagen, utan kommer att regleras på förordnings- eller föreskriftsnivå. För dessa uppgifter är det därför inte lämpligt att i lagen ange en generell gallringstidpunkt, utan det får i stället, som föreslås i promemorian, anges att personuppgifterna ska gallras när de är nödvändiga för ändamålet med behandlingen. Det är därmed upp till den som behandlar uppgifterna att ta ställning till vilka gallringstid- punkter som bör gälla. En gallringsbestämmelse som den som här föreslås, som anger en kortaste tid för bevarande av vissa uppgifter och i övrigt anknyter till ändamålen med behandlingen, innebär inte samma tydliga incitament för den registeransvarige att genomföra gallring av personuppgifter som om specifika gallringsfrister hade föreskrivits. Den föreslagna ordningen förutsätter därför att det utarbetas interna rutiner och riktlinjer för hur gallringen av uppgifter från registren ska genomföras. Av integritets- hänsyn kan även tänkas uppstå behov av att meddela föreskrifter, eller i enskilt fall besluta, att gallring av personuppgifter ska ske senast . Ett bemyndigande som ger regeringen eller den myndighet regeringen bestämmer en sådan möjlighet i fråga om register som inte förs av det allmänna bör därför införas. När det gäller register som förs av det allmänna införs en upplysning om att regeringen meddelar föreskrifter i detta avseende. Regeringen eller den myndighet som regeringen bestämmer bör även ha möjlighet att förlänga gallringsfristen, dvs. att föreskriva om eller i enskilt fall besluta att personuppgifter får bevaras än den ändamålsanknutna huvudregeln innebär, om det sker för vetenskapligt, statistiska eller historiska ändamål. Regeringens förslag: ska med hjälp av automa- tiserad behandling föra ett register över de förarbevis myndigheten utfärdar (förarbevisregistret). Registret ska uppdateras regelbundet. ska vara personuppgiftsansvarig för registret. Ändamålet med förarbevisregistret ska vara att tillhandahålla de uppgifter som behövs för tillämpningen av lagen om behörighet för lokförare när det gäller den som ansöker om, har eller har haft behörighet att framföra järnvägsfordon. Personuppgifter ska också få behandlas för att möjliggöra utlämnande av uppgifter som har begärts enligt lagen eller om utlämnande sker i överensstämmelse med annan lag eller förordning. I övrigt ska 9 § första stycket d) och andra stycket Regeringen eller den myndighet regeringen bestämmer ska få meddela föreskrifter om avgifter för registret. Promemorians förslag: Överensstämmer i huvudsak med regeringens. I promemorian föreslås att lagen ska ge exempel på vilka uppgifter registret ska innehålla. Remissinstanserna: Yttrar sig inte. Skälen för regeringens förslag Enligt artikel 22.1 a i lokförardirektivet ska den behöriga myndigheten föra ett register över alla förarbevis som utfärdats, uppdaterats, förnyats, ändrats, löpt ut, återkallats eller anmälts som förlorade, stulna eller förstörda. Förarbevisen ska vara åtkomliga med hjälp av det nationella nummer som tilldelats varje förare. Registret ska innehålla de uppgifter som föreskrivs i avsnitt 4 i bilaga I till direktivet, dvs. alla uppgifter som framgår av förarbeviset samt uppgifter om kontrollkrav enligt artiklarna 11 och 16. Registret ska uppdateras regelbundet. I det tidigare nämnda kommissionsbeslutet (2010/17/EG) regleras närmare bl.a. hur förarbevisregistret ska se ut och vilka uppgifter det ska innehålla. Registret ska innehålla uppgifter om förarbevisets status, namn-, adress- och födelseuppgifter om innehavaren, uppgifter om utfärdande myndighet, eventuella medicinska restriktioner, resultaten på regelbundna kontroller och information om de grundläggande kraven för utfärdande av förarbeviset, dvs. utfallet av undersökningarna av den fysiska och psykiska lämpligheten att ha utföra yrket. Till skillnad mot vad som föreslås i promemorian bör det inte i lagen anges vilka uppgifter som registret ska innehålla eftersom en sådan uppräkning ändå inte kan bli uttömmande. Regeringen kan meddela föreskrifter om vad registret ska innehålla och ska då beakta direktivets krav och det nämnda beslutet från kommissionen om vad registret ska innehålla. Enligt PuL förutsätts vid behandling av personuppgifter att det finns en Begreppet definieras som den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftsansvarig är normalt den juridiska person eller den myndighet som behandlar personuppgifter i sin verksamhet och som bestämmer vilka uppgifter som ska behandlas och vad uppgifterna ska användas till. För förarbevisregistret bör således tillsynsmyndigheten vara personuppgiftsansvarig. Enligt PuL får personuppgifter endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Ändamålet för förarbevisregistret bör vara att tillhandahålla sådana uppgifter som behövs för tillämpningen av lagen om behörighet för lokförare när det gäller den som ansöker om behörighet (förarbevis), har behörighet eller har haft det. hur registret ska användas är att enligt artikel 16.1 ska tillsynsmyndig- heten innan ett förarbevis förnyas kontrollera i registret att föraren uppfyller kraven på regelbundna kontroller. Man ska kunna följa utveck- lingen av en viss förares behörighet i registret. motsvarar den som finns för andra transportslag i lagen (2001:558) En följd av att ett register förs är att det blir naturligt och ibland även nödvändigt för olika intressenter att begära ut uppgifter ur registret. avsnitt 5.9.6.2 lämnas förslag på vilka som ska ha rätt att få ut uppgifter ur registret, oavsett om sekretess kan gälla eller inte. Det bör därför också anges i lagen att det är tillåtet att behandla personuppgifterna för att kunna lämna ut uppgifterna till dem som har rätt att få ut uppgifterna. Personuppgifter som ska behandlas i förarbevisregistret kommer också att behöva lämnas i olika sammanhang till en myndighet eller en enskild. Sker det för syften som gäller den registerförande myndighetens verksamhet, omfattas personuppgiftsbehandlingen genom utlämnande av ett ändamål som föreslagits i det föregående. utlämnandet däremot ske för mottagarens räkning. I den mån person- uppgifterna behandlas helt eller delvis automatiserat innebär ett utlämnande en efterkommande, sekundär personuppgiftsbehandling som i sig måste vara laglig. Det kan därvid nämnas att i avsnitt 5.9.6.2 före- slås att vissa personer och organ ska ha rätt att få ut uppgifter ur förar- Uppgifterna i registret omfattas av offentlighets- och sekretesslagen (2009:400), och kan vidare tänkas begäras ut av vem som helst med stöd av den lagen eller annan lag eller förordning som reglerar uppgifts- Här kan nämnas 10 kap. 15 och 28 §§ offentlighets- och sekretesslagen, 4 kap. 11 § riksdagsordningen att på begäran lämna riks- dagens utskott upplysningar och yttranden samt skyldigheten enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. att på begäran Prop. 2010/11:122 lämna den hjälp och de uppgifter och upplysningar som behövs för arbetet. Gemensamt för allt detta uppgiftslämnande är att det sker med stöd av författningar som påbjuder eller tillåter utlämnande. När sådana bestämmelser har införts eller föreslås införas (jfr avsnitt 5.9.6.2), får det förutsättas att det har gjorts en avvägning mellan intresset att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften ska eller får lämnas ut. Det saknas därför anledning att i en integritetsskyddslagstiftning, som i den nu föreslagna lagen, förhindra att personuppgifter som finns hos den ansvariga myndigheten lämnas ut i dessa fall bara för att dessa hanteras med modern informationsteknik i stället för på papper. Det förtjänar att påpekas att all sådan helt eller delvis automatiserad behandling som föregår ett utlämnande omfattas med den begränsning som följer av tillämpningen av tryckfrihetsförordningen och yttrandefrihetsgrundlagen av lagens tillämpningsområde, även om utlämnandet i sig sker i annan än elektronisk form. Det har tidigare framkommit (jfr prop. 2007/08:126 s. 60) att när det gäller personuppgiftsbehandling genom utlämnande har det i olika sammanhang uppstått rättslig osäkerhet kring frågan om förhållandet mellan ändamålsbestämmelser i registerlagar, personuppgiftslagens finalitetsprincip, offentlighets- och sekretesslagen och andra bestämmel- ser som föreskriver utgiftslämnande eller tillåter att uppgifter lämnas ut utan hinder av sekretess. För att undvika att en sådan osäkerhet uppstår bör det därför i den föreslagna lagen införas en ändamålsbestämmelse som medger att personuppgifter som behandlas med stöd av något eller några i det föregående behandlade ändamålen också får behandlas för sådant uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Vidare bör finalitetsprincipen vara giltig även vid personuppgifts- behandling enligt den föreslagna lagen.