sou · GYB376d2 · 2011-01-01 00:00:00 — Som framgår av avsnitt 8.3 föreslår vi att det i Transportstyrelsens verksamhet på vägtrafikområdet ska finnas flera olika uppgifts- samlingar, som rättsligt behöver avgränsas i förhållande till varandra. Att följa PUL:s struktur och enbart tala om behandling av personuppgifter skulle enligt vår uppfattning innebära att lagtexten tyngs och blir svårhanterlig, t.ex. när man inte avser behandling i allmänhet, utan endast i fastställda uppgiftssamlingar för vilka särskilda regler för behandlingen ska gälla. I detta sammanhang vill vi särskilt poängtera att dagens vägtrafikregister är ett centralt myndighetsregister där registreringen av vissa av uppgifterna har en rättsverkan (se avsnitt 4.3.3). Det är enligt vår mening därför av stor vikt att det finns en klar och definierad rättslig avgränsning för de olika uppgiftssamlingarna. Det traditionella registerbegreppet har, som vi har beskrivit i avsnitt 3.6.3, kritiserats , främst för att det för tankarna till ett på visst sätt organiserade eller systematiserade samlingar av uppgifter. före PUL:s införande kritiserades registerbegreppet för att vara otidsenligt. I flera utredningar har det anförts att detta är ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. På grund av den tekniska utvecklingen har det i en sammansatt och komplex datormiljö blivit allt svårare att fastställa när ett register har inrättats och att särskilja vad som är ett register i förhållande till ett annat. Det har också vuxit fram metoder som gör det möjligt att införa uppgifter helt ostrukturerat eller oorganiserat i olika filer i en dator, utan att detta förhindrar en effektiv hantering av uppgifterna för olika samlingar. Det finns dock inte något som hindrar att ett datoriserat register också kallas för det (prop. 1997/98:44 s. 39). Det finns ett flertal lagar som är anpassade till Vägtrafikdatalagens allmänna bestämmelser SOU 2010:76 PUL och som dessutom innehåller bestämmelser om vissa register2. Begreppet register bör enligt vår uppfattning användas endast om den uppgiftssamling som ska regleras utgör ett regelrätt register. har en påtaglig registerkaraktär, eftersom det innehåller en strukturerad mängd uppgifter som är tillgänglig för sökning enligt särskilda kriterier. Emellertid har en elektronisk hantering av dokument börjat ske i anslutning till vägtrafikregistret, bl.a. i olika bildfångstprogram som på olika sätt är knutna till registret. Att använda registerbegreppet för att beskriva en uppgiftssamling är därför inte längre lämpligt. Databas är ett begrepp som bättre har ansetts beskriva ett datasystem där inkomna handlingar bildfångas och beslut upprättas genom automatiserad behandling för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av mer registerartad karaktär. Detta begrepp förekommer i olika sammanhang, bl.a. i den lag som gäller för behandling av uppgifter i beskattnings- verksamheten och i den lag som gäller för Kronofogdemyndig- hetens verksamhet.3 Vi anser, i likhet med Transportstyrelsen, att begreppet databas bättre än register beskriver Transportstyrelsens datasystem. I betänkande (SOU 1999:105 Skatt, , Exekution – Normer för behandling av personuppgifter s. 211 f.) angavs att målsättningen var att skapa ett regelverk som var mer teknikoberoende än de registerförfattningar som då gällde, vilket kunde göras genom att begreppet databas gavs innebörden av en samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom en verksamhet. Utredningen anförde vidare att en definition av begreppet databas som den angivna utesluter register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en dator från behandlingar i databaser som är särskilt reglerade till sitt innehåll och användning. Definitionen har också den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Regeringen delade bedömning och begreppet databas infördes (prop. Behandling av personuppgifter inom skatt, tull och exekution s. 89 f.) 2Lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga och polis- datalagen (2010:361), kan nämnas som exempel. 3Se lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet och lagen (2001:184) om behandling av uppgifter i verksamhet. Databasbegreppet har i dessa sammanhang således ansetts skapa en rättsligt definierad och avgränsad uppgiftssamling, som inte tekniskt begränsar hur uppgifterna organiseras. Med en sådan definition av begreppet databas kan det behov som finns att inom Transportstyrelsen skapa rättsligt avgränsade uppgiftssamlingar tillgodoses. Det finns även ytterligare skäl till varför vi anser att begreppet databas ska införs, vilka vi redogör närmare för nedan. 7.3.3Databasbegreppet underlättar en teknikoberoende lagstiftning En av våra målsättningar är att skapa ett regelverk som är mer teknikoberoende än den registerförfattning som finns . Lagstiftningen bör vara teknikneutral, vilket kan uppnås genom att begreppet databas ges en juridisk innebörd utan direkt teknisk anknytning. En juridiskt bestämd databas kan således innehålla flera mindre databaser eller register. Om samtliga uppgifter finns tekniskt samlade på en eller flera servrar hos Transportstyrelsen och i form av ett eller flera olika register eller databaser saknar alltså betydelse. Detta innebär i praktiken att en databas kan bestå av flera olika register eller databaser, t.ex. ett register som innehåller uppgifter om fordon och ett annat som innehåller adressuppgifter om fordonsägare. Regleringen av en databas innehåller alltså inte bestämmelser om indelningen av uppgifterna i databasen. Det som är väsentligt är att uppgifterna är gemensamt tillgängliga för verksamheten. Den föreslagna vägtrafikdatalagen har således som utgångspunkt att den inte ska reglera hur uppgifterna tekniskt organiseras, utan att den endast ska utgöra en rättslig ram för vilka uppgifter som får behandlas och på vilket sätt som de får behandlas för att säkerställa ett gott integritetsskydd. 7.3.4Databasbegreppet förbättrar skyddet för den personliga integriteten Från integritetssynpunkt är det viktigt att skapa tydliga och enhetliga regler om vad som är tillåtet för den behandling av personuppgifter som Transportstyrelsen utför. För den som behandlar personuppgifter i det dagliga arbetet är det dessutom en fördel om regelverket är så enhetligt som möjligt. Genom att använda begreppet databas som omfattar den samling av uppgifter som används gemensamt oavsett var uppgifterna rent tekniskt finns lagrade eller organiserade, undviks att tveksamheter uppstår i fråga om vilka regler som gäller för en viss behandling av person- uppgifter. Detta menar vi förbättrar skyddet för den personliga integriteten. Det finns ingen enhetlig systematik som gäller för register- författningar inom skilda myndighetsområden. Vilken systematik som väljs kan vara beroende av olika faktorer, exempelvis hur omfattande regleringen är, vilken verksamhet den avser och om författningen gäller utöver eller i stället för PUL. Vi har valt en författningsstruktur som i stora delar överensstämmer med den som tillämpas för och Kronofogdemyndigheten.4 Dessa lagar har delats in i tre olika kapitel, där det första innehåller allmänna bestämmelser, det andra särskilda bestämmelser om databaser och det tredje bestämmelser om enskildas rättigheter. Vi har dock valt att dessutom samla samtliga bemyndiganden i ett fjärde kapitel. Det innebär att det i ett första kapitel finns allmänna bestäm- melser om bl.a. lagens tillämpningsområde, syfte, förhållande till PUL och personuppgiftsansvar. Dessa bestämmelser omfattar i huvudsak all behandling av personuppgifter i Transportstyrelsens verksamhet inom det särskilt avgränsade tillämpningsområdet. I ett andra kapitel återfinns regler som gäller endast för den särskilda form av automatiserad behandling av personuppgifter och andra uppgifter som utförs i databaser för gemensam användning i verksamheten. Till denna kategori hör främst myndighetens gemensamma personregister – uppgifter i sökbara tabeller (informationsdatabaser), och ärendehanteringssystem – handlingar som innehåller uppgifter (ärendedatabaser), för vilka olika regler gäller. 4 Lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet, lagen (2001:182) om behandling av personuppgifter i folkbokförings- verksamhet och lagen (2001:184) om behandling av uppgifter i verksamhet. I ett tredje kapitel samlas de bestämmelser som gäller enskildas rättigheter. I ett fjärde kapitel samlas bestämmelser om bemyndiganden för regeringen eller den myndighet som regeringen bestämmer. De olika formerna av behandling av uppgifter som vägtrafik- datalagen avser att reglera kan illustreras enligt följande: Behandling utanför ett visst verksamhetsområde - PUL gäller (t.ex. vid adm. eller annan registerförfattning för ett annat verksamhetsområde Behandling inom ett visst verksamhetsområde - registerförfattningen gäller Källa: Efter bild i Samsetrapport 2006:1, Elektroniskt informationsutbyte – myndighetsgemensamma rättsfrågor, s. 71. Vårt förslag: Lagen ska tillämpas vid behandling av person- uppgifter i Transportstyrelsens verksamhet avseende fordon, behörigheter, tillstånd och tillsyn på vägtrafikområdet. Tillämpningsområdet ska omfatta all helt eller delvis automatiserad behandling av personuppgifter samt behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. För behandling i databaser ska särskilda regler gälla. Vissa av bestämmelserna i lagen ska även gälla vid behandling av andra uppgifter än personuppgifter. Bestämmelsen om tillämpningsområdet anger när författningen ska tillämpas i Transportstyrelsens verksamhet, till skillnad från ändamålsbestämmelsen som anger för vilka syften som myndig- heten får behandla uppgifter i den reglerade verksamheten, dvs. när författningen väl är tillämplig. Syftet med bestämmelsen om lagens tillämpningsområde är alltså att så tydligt och objektivt som möjligt ange när de villkor för behandlingen av personuppgifter som uppställs i övriga bestämmelser i författningen ska gälla. (, Särskilda registerförfattningar, s. 693–694). Det är enligt vår uppfattning viktigt att tillämpningsområdet utformas så tydligt som möjligt så att det inte uppstår tolkningssvårigheter. Transportstyrelsens verksamhet kan delas in i fyra olika verksamhetsgrenar: järnväg, luftfart, sjöfart och vägtrafik (se förordning [2008:1300] med Transportstyrelsens instruktion). Det ingår inte i vårt uppdrag att se över de särskilda register- författningar som gäller järnväg, luftfart och sjöfart. En självklar utgångspunkt är därför att behandlingen av personuppgifter inom järnvägs-, luftfarts- och sjöfartsområdet inte omfattas av den lagstiftning som vi föreslår. Tillämpningsområdet för vägtrafik- datalagen är därför begränsat till trafikslaget väg. Däremot är en av våra allmänna utgångspunkter att vi genom vårt lagförslag ska underlätta en ev. trafikslagsövergripande utveckling av register- författningarna (se avsnitt 5.5). Mot denna bakgrund skulle det vara naturligt att avgränsa lagens tillämpningsområde till att gälla all Transportstyrelsens verksamhet på vägtrafikområdet. Vägtrafikområdet är emellertid ett komplext område med en stor mängd delverksamheter av varierande art som innefattar tillämpningen av ett mycket stort antal lagar. Vi har redogjort för Transportstyrelsens verksamhet på vägtrafikområdet i avsnitt 2.2.2–2.2.8. Det finns därför anledning att närmare överväga vilken verksamhet som lagen ska tillämpas på. Först bör framhållas att vår utgångspunkt är att tillämpnings- området ska begränsas till det som påkallar särskild reglering i förhållande till . Det är således ur ett integritets- perspektiv viktigt att överväga vilka uppgifter och vilken hantering som behöver ett särskilt skydd. När det gäller en allmän motivering till varför en särreglering över huvud taget bör införas för verksamhetsområdet hänvisas till avsnitt 7.1. 7.5.2Vägtrafikdatalagen gäller i Transportstyrelsens verksamhet avseende fordon, behörigheter, tillstånd och tillsyn på vägtrafikområdet Vägtrafikdatalagen ska tillämpas i Transportstyrelsens verksamhet på vägtrafikområdet, vilket är en utvidgning i förhållande till LVTR:s tillämpningsområde. När det gäller den närmare avgräns- ningen av verksamhetsområdet har vi gjort följande överväganden. Enligt vår uppfattning är det av vikt att den verksamhet Transportstyrelsen bedriver på vägtrafikområdet och som omfattar behandlingen av en mängd personuppgifter får en särskild skyddslagstiftning. I den verksamheten behandlas ett stort antal personuppgifter, varav en del är integritetskänsliga. Det råder därför, enligt vår uppfattning, ingen tvekan om att det finns behov av en särreglering i förhållande till PUL när det gäller behandlingen av dessa uppgifter. Vi redogör övergripande för verksamheten i detta avsnitt. Vi har funnit det ändamålsenligt att låta tillämpningsområdet begränsas genom en begreppsmässig uppdelning av verksamheten på vägtrafikområdet. Vägtrafikdatalagen ska tillämpas i Transport- styrelsens verksamhet avseende fordon, behörigheter, tillstånd och tillsyn på vägtrafikområdet. Denna uppdelning motsvaras av den databasindelning som vi föreslår och har den fördelen att den begreppsmässigt avgränsar de delar av verksamheten på vägtrafik- området som vi inte anser ska omfattas av lagens tillämpnings- område (avsnitt 7.5.3). I författningskommentaren, kapitel 19, kommer närmare att utvecklas vad som avses med respektive verksamhet. Med verksamheten avseende fordon på vägtrafikområdet avses Transportstyrelsens verksamhet som direkt eller indirekt kan anses ha att göra med fordonsägare, fordon och fordons utrustning. Den verksamhet som främst avses utgörs av verksamhet som gäller frågor om registrering av fordon och dess ägare samt de förhållanden som hänger samman med den registreringen, såsom uttag av fordonsskatt, saluvagnslicens, trängselskatt, vägavgifter, överlastavgifter och felparkeringsavgifter. Vidare omfattas verksamhet som har att göra med fordons beskaffenhet och utrustning, såsom frågor om typgodkännande och enskilt godkännande. Även Transportstyrelsens uppgifter med att ta ut vägtrafikregisteravgiften och övriga avgifter relaterade till fordonsinnehav omfattas. Med verksamheten avseende behörigheter på vägtrafikområdet avses Transportstyrelsens verksamhet som direkt eller indirekt kan anses ha att göra med behörigheten att föra ett fordon av visst slag eller i viss verksamhet. Den verksamhet som främst avses är Transportstyrelsens handläggning av frågor om förarbehörigheter och om taxiförar- legitimation och om yrkesförarkompetens till förare. Även Transportstyrelsens uppgifter med att ta ut avgifter relaterade till behörigheter omfattas. Med verksamheten avseende tillstånd på vägtrafikområdet avses Transportstyrelsens verksamhet som direkt eller indirekt kan anses ha att göra med tillstånd att bedriva yrkesmässig trafik, bil- SOU 2010:76 Vägtrafikdatalagens allmänna bestämmelser uthyrning, yrkesmässig utbildning samt förordnande och godkännande av personal. Den verksamhet som främst avses är Transportstyrelsens handläggning av frågor om trafiktillstånd och tillstånd att bedriva biluthyrning. Vidare omfattas Transportstyrelsens verksamhet som avser frågor om tillstånd att bedriva körkortsutbildning och att förordna förarprövare. Dessutom omfattas verksamheten med att ta ut avgifter relaterade till tillstånd. Med verksamheten avseende tillsyn avses Transportstyrelsens tillsynsverksamhet på vägtrafikområdet. Den verksamhet som avses är den tillsyn som Transport- styrelsen bedriver på fordons-, körkorts- och yrkestrafikområdet. Även annan tillsyn som ankommer på Transportstyrelsen och som gäller vägtrafik omfattas, såsom t.ex. tillsyn över säkerheten i vägtunnlar och elektroniska vägavgiftssystem. 7.5.3Verksamhet som faller utanför lagens tillämpningsområde Transportstyrelsen bedriver viss annan verksamhet på vägtrafik- området som enligt vår mening bör utelämnas från lagens tillämpningsområde. Transportstyrelsens verksamhet kopplad till väg- och trafiklag- stiftningen, såsom överprövning av länsstyrelsebeslut rörande lokala trafikföreskrifter m.m. och ansvaret att meddela vissa föreskrifter enligt vägkungörelsen (1971:954), bör inte omfattas. Det torde endast vara ett fåtal personuppgifter som kan komma ifråga i denna verksamhet och den torde inte heller kräva behandling av integritetskänsliga uppgifter. Enligt vår mening är det därför inte motiverat med en särreglering i förhållande till PUL. Transportstyrelsens arbete med utfärdande av föreskrifter om tekniska egenskapskrav för byggnadsverk, normgivning, utveckling och förvaltning av föreskrifter på fordons-, körkorts-, och yrkes- trafikområdet bör inte omfattas av lagens tillämpningsområde. Sådan verksamhet torde inte föranleda behandling av person- uppgifter om enskilda personer och bör därför utelämnas från lagens tillämpningsområde. Samma gäller för Transportstyrelsen uppgift att administrera den rikstäckande databasen för trafik- föreskrifter (RDT). Närmare regler finns i förordningen (2007:231) om elektroniskt kungörande av vissa trafikföreskrifter. Inte heller Transportstyrelsens verksamhet bestående i att följa och analysera förhållanden som väsentligen kan påverka väg- transportsystemets utformning och funktion, att påverka aktörer för att hindra svåra trafikolyckor och att samverka med andra aktörer i syfte att öka trafiksäkerheten samt att initiera forskning och utveckling (tidigare Vägtrafikinspektionens arbetsuppgifter) bör omfattas. I den mån det blir aktuellt med hantering av personuppgifter i denna verksamhet, undantaget den som är relaterad till STRADA (se nedan), torde denna endast vara av ringa omfattning. Enligt vår mening är det därför inte motiverat med en särreglering i förhållande till PUL. STRADA (Acquisition) m.m. Transportstyrelsens uppgift att driva och utveckla det rapporteringssystem för skade- och olycksdata som går under namnet STRADA bör inte omfattas av lagens tillämpningsområde av skäl som redovisas nedan. STRADA innefattar bland annat insamling, registrering och analys av skador och olyckor inom vägtrafiksystemet som inrapporteras från polisen och sjukvården. STRADA innehåller uppgifter om dödade och skadade personer i olyckor som är relaterade till vägtrafik och som är kända av polis och/eller sjukvård. Rapporteringssystemet ligger till grund för statistik och utvecklingsarbete inom trafiksäkerhetsområdet. Transportstyrelse- utredningen ansåg i sitt betänkande (SOU 2008:44 Transports- inspektionen Ansvarslag för vägtrafiken m.m. s. 415 f.) att verksam- heten inom ramen för STRADA borde författningregleras särskilt. En särreglering av STRADA torde inte omfattas av utredningens uppdrag. överväger ett kommittédirektiv om en översyn av bl.a. STRADA. Enligt vår bedömning bör behandling av personuppgifter i den administrativa delen av Transportstyrelsens verksamhet på väg- trafikområdet inte omfattas av lagstiftningen. Se även avsnitt 8.5.4. Som exempel på administrativa arbetsområden kan nämnas personal- och lokalfrågor, eller uppgifter som är att anse som rent administrativa, dvs. de hänför sig till myndighetens egen interna verksamhet och inte till de enskilda som är föremål för myndighetens åtgärder. För behandlingen av personuppgifter på dessa områden ger PUL ett tillräckligt skydd. Det kan i vissa fall vara tveksamt om en uppgift i ett datorsystem är hänförlig till den materiella eller den administrativa verksamheten. Det är t.ex. inte ovanligt att det i ett ärendehanteringssystem, tillsammans med uppgifter om sökande och beslut m.m., finns uppgifter om vem som handlägger ett visst ärende och till vilken enhet inom en myndighet som ett ärende hör. Det kan även förekomma uppgifter om t.ex. olika handläggares specialkunskaper. Sådana uppgifter används för att få till stånd en smidig handläggning av de ärenden som myndigheten har att hantera. Ett annat ett exempel som rör behandling av personuppgifter i den administrativa delen av Transportstyrelsens verksamhet är den behandling av personuppgifter som sker när Transportstyrelsen beslutar om att tilldela någon en möjlighet till direktåtkomst eller direktanmälan. De materiella förutsättningarna för att medge direktåtkomst till uppgifter i databaserna regleras enligt vårt förslag i 2 kap. 20 § vägtrafikdatalagen och för direktanmälan i 12 kap. förordningen om fordons registrering m.m. För själva behandlingen av personuppgifter om den som ansöker om sådan direktåtkomst till uppgifter och/eller handlingar i databaserna och en möjlighet att direktanmäla uppgifter ger emellertid PUL ett tillräckligt skydd. Dessa personuppgifter behandlas för att Transportstyrelsen ska kunna fatta ett beslut om direktåtkomst och direktanmälan samt för att identifiera och bekräfta användarens identitet för att förhindra obehörig användning eller åtkomst till uppgifter i databaserna. Även om de materiella förutsättningarna för att kunna meddela direktåtkomst ges i vägtrafikdatalagen, omfattas själva behandlingen av person- uppgifterna i dessa fall av regleringen i PUL. Detta gäller även när det är den registrerade som medges direktåtkomst till uppgifter om sig själv i enlighet med 2 kap. 20 § vägtrafikdatalagen. Ytterligare ett exempel är Transportstyrelsens behandling av personuppgifter som sker för att Transportstyrelsen ska kunna lämna ut uppgifter till den som är registrerad i databaserna genom annat elektroniskt utlämnande än direktåtkomst, t.ex. när Transportstyrelsen som en service till den registrerade vill kunna sända uppgifter på något fysiskt datamedium, via sms eller elektronisk post. Vid behandlingen av de personuppgifter som Transportstyrelsen behöver i dessa fall, t.ex. en uppgift om ett mobiltelefonnummer eller en e-postadress till den registrerade, gäller istället PUL. En sådan behandling är tillåten enligt PUL om den registrerade har lämnat sitt samtycke. Behandling av personuppgifter i datoriserade register eller data- baser som rör sådana frågor som vi har beskrivit ovan, t.ex. i löne- register, ska således inte omfattas av den föreslagna författningen. Även i löpande text, e-post och manuellt hanterade register kan personuppgifter behöva behandlas i dessa administrativa sammanhang. 7.5.4Vägtrafikdatalagen gäller för all automatiserad behandling och viss behandling av personuppgifter När det gäller vilken slags personuppgiftsbehandling som ska regleras av vägtrafikdatalagen gör vi följande överväganden. Vid Transportstyrelsens behandling av personuppgifter på vägtrafikområdet förekommer, som vi beskrivit i avsnitt 2.4, en mängd olika slags datoriserade register och olika datasystem. Utvecklingen går alltmer mot att olika funktioner integreras i stora elektroniska system. Hanteringen av strukturerade uppgifts- samlingar och annan mer ostrukturerad information har medfört svårigheter att bedöma hur personuppgifter som finns elektroniskt lagrade i verksamheten får användas och vilken lag – PUL eller LVTR – som är tillämplig på en enskild personuppgiftsbehandling. Vi har i avsnitt 7.5.2 också redogjort för våra överväganden om att all behandling av Transportstyrelsens verksamhet avseende fordon, behörigheter, tillstånd och tillsyn på vägtrafikområdet ska omfattas av lagens tillämpningsområde. Mot bakgrund av den komplexa IT- struktur som vuxit fram hos Transportstyrelsen så menar vi att övervägande skäl talar för att vägtrafikdatalagens reglering av personuppgiftsbehandling ska, på samma sätt som PUL, omfatta all behandling av personuppgifter som är helt eller delvis automatiserad, oavsett vilket datasystem eller register som används.