sou · GYB376d2 · 2011-01-01 00:00:00 — På behandling ska författningen tillämpas endast om personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling av uppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Ett motsatt ställningstagande skulle innebära att behandling i strukturerade uppgifts- samlingar hos Transportstyrelsen endast skulle omfattas av PUL och inte av den för verksamheten särskilt anpassade lagstiftningen, något som det inte finns sakliga skäl för. Detta innebär att lagen är generellt tillämplig vid all behandling av uppgifter, oavsett om behandlingen sker hos en enskild tjänsteman eller i en databas där uppgifter och handlingar är gemensamt tillgängliga i verksamheten. I detta avseende skiljer sig inte tillämpningsområdet från PUL:s tillämpningsområde. Lagen blir därigenom väl anpassad till . 7.5.5I den utsträckning det särskilt framgår tillämpas vägtrafikdatalagen även vid behandling av andra uppgifter än personuppgifter PUL reglerar endast behandling av personuppgifter, dvs. uppgifter om fysiska personer som är i livet. För register eller andra systematiserade behandlingar som endast innehåller uppgifter om juridiska personer finns det ingen motsvarande generell reglering av behandlingen. I dagens vägtrafikregister finns regler om registrering av uppgifter om juridiska personer, men även av andra uppgifter än direkta personuppgifter t.ex. tekniska uppgifter om ett fordon. Bestämmelserna om bl.a. ändamål, direktåtkomst, rättelse och skadestånd avser dock endast personuppgifter. Vi har i den delen inte funnit anledning att göra några förändringar i förhållandet till vad som gäller . Ett motsatt ställningstagande tror vi skulle innebära betydande hinder i verksamheten. Vi kan inte heller se att det finns skäl att ha särskilda skyddsregler för uppgifter om juridiska personer och andra uppgifter än personuppgifter. Uppgifter om juridiska personer och uppgifter som inte är att anse som personuppgifter, t.ex. tekniska uppgifter som inte kan hänföras till någon enskild person som är i livet kan alltså behandlas utan att ändamåls- bestämmelserna eller de övriga bestämmelserna i behöver följas. För dessa uppgifter gäller dock särskilda bestämmelser om innehåll gallring och sökbegrepp, som det ankommer på regeringen att föreskriva om enligt de bemyndiganden som anges i 4 kap. vägtrafikdatalagen. 7.5.6Särskilda regler gäller för behandling i databaser De stora gemensamma uppgiftssamlingarna hos Transportstyrelsen utgör, på grund av de tekniska möjligheterna att söka i materialet och göra sammanställningar om registrerade personer, en påtaglig risk för otillbörliga intrång i enskildas personliga integritet. Det är givet att integritetsriskerna är större när information om ett stort antal individer samlas och lagras automatiserat så att de är tillgängliga för mer än ett fåtal personer. Det är därför särskilt viktigt att sådana personuppgifter omgärdas av integritets- skyddande regler. För behandlingen av uppgifter i databaser bör därför särskilda skyddsregler gälla. Vi redogör närmare för dessa bestämmelser i kapitel 9 – 12. Vårt förslag: Syftet med denna lag ska vara att åstadkomma förutsättningar för att tillgodose samhällets behov av kontroll, identifiering och information av de uppgifter som trafiksäkerhet, miljö och andra för vägtrafiken betydelsefulla omständigheter föranleder samt att ge Transportstyrelsen möjlighet att i sin verksamhet på vägtrafikområdet avseende fordon, behörigheter, tillstånd och tillsyn behandla person- uppgifter på ett ändamålsenligt sätt, allt utan att människors personliga integritet kränks. Vägtrafikdatalagens syfte är, precis som , att ge offentlighet åt vissa för vägtrafiken betydelsefulla omständigheter. Vägtrafik- datalagen syftar även till att möjliggöra för Transportstyrelsen att effektivisera sin verksamhet genom att behandla personuppgifter på nya sätt. För att kunna uppfylla dessa syften måste människor få det skydd för sin personliga integritet som bl.a. RF och dataskyddsdirektivet tillförsäkrar dem. Syftet med vägtrafik- datalagen överensstämmer därför delvis med syftet med PUL, dvs. att skydda människor mot att deras personliga integritet kränks. Dessa utgångspunkter är enligt vår mening väsentliga för den nya lagen. För att tydliggöra detta bör dessa syften komma till uttryck i lagen. Vårt förslag: Den nya lagen ska gälla i stället för PUL. Det ska särskilt i lagen anges vilka bestämmelser i som ska tillämpas. I 2 § första stycket LVTR erinras att det i PUL finns bestämmelser som tillämpas på personuppgifter i vägtrafikregistret i den mån det inte finns några avvikande bestämmelser i eller i en förordning som har beslutats med stöd av LVTR. Vidare finns i andra stycket en erinran om innebörden av begreppet person- uppgifter, varvid det anges att med personuppgifter avses detsamma som i PUL. 7.7.2Allmänna överväganden om förhållandet till PUL PUL är subsidiär i förhållande till andra författningar, se 2 § PUL. Finns det bestämmelser i en annan lag eller i en förordning som avviker från PUL, ska alltså de bestämmelserna tillämpas i stället. I den utsträckning som en lag eller förordning med avvikande bestämmelser inte innehåller bestämmelser om sådant som regleras i PUL ska alltså tillämpas.5 Vissa bestäm- melser har emellertid utformats på ett sätt som innebär att de inte blir automatiskt tillämpliga, bl.a. bestämmelserna om rättelse i 28 §, skadeståndsbestämmelserna i 48 § och straffbestämmelserna i 49 § 1997/98:44, s. 114. I dessa fall måste en hänvisning göras till de aktuella bestämmelserna för att de ska bli tillämpliga.6 De nämnda förhållandena medför att en särskild register- författning kan utformas på olika sätt. Regeringen har uttalat att de särskilda registerförfattningarna som huvudregel bör gälla utöver PUL och begränsas till att avse frågor som är specifika för den verksamheten. Detta är också den lösning som gäller i LVTR som endast innehåller de bestämmelser som krävs i stället för eller utöver reglerna i PUL. I LVTR 2 § finns en erinran om innebörden av begreppet personuppgift. I 5 § 5 punkten, som gäller uttag av urval för direkt marknadsföring av information till fordonsägare, hänvisas till 11 § PUL som i sin tur anger att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring om den registrerade har anmält att han eller hon motsätter sig sådan behandling. Vidare finns en hänvisning till i 28 § och 48 § om rättelse och skadestånd. Hur den särskilda registerförfattningen rent författnings- tekniskt ska förhålla sig till PUL har emellertid varit föremål för diskussion i olika lagstiftningsarbeten. En modell har varit att i den författning som reglerar behandling av person- uppgifter i en viss verksamhet överhuvudtaget inte nämna PUL. Detta innebär att utan vidare kommer att vara tillämpliga i den mån den särskilda författningen inte innehåller någon avvikande bestämmelse (jmf. 2 § PUL). En liknande modell är att i den särskilda författningen ange att den gäller utöver PUL. Ett tredje alternativ är att upprepa de bestämmelser i som ska gälla för behandlingen. 7 En fjärde modell är att lagen innehåller, utöver de bestämmelser som avviker från PUL, en hänvisning till de lagrum i PUL som ska vara tillämpliga. Trots att regeringen i några fall har föreslagit lagstiftning som helt ersatt PUL:s tillämpning, utom i de avseenden den särskilda lagen uttryckligen hänvisat till PUL, gäller för det stora flertalet registerförfattningar att de ska tillämpas utöver den generella lagstiftningen. En sådan författningsteknik har bl.a. den fördelen att risken blir mindre att dataskyddsdirektivet inte blir korrekt genomfört på det berörda området, eftersom endast de föreslagna 6Sören och , Personuppgiftslagen, En kommentar, tredje uppl. 7En sådan lösning har valts för personuppgiftsbehandlingen hos Försvarsmakten och (prop. 2006/07:46). 8Denna lösning har valts i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och i polisdatalagen (2010:361). avvikelserna från PUL behöver prövas i förhållande till direktivets bestämmelser. Denna författningsteknik har också den fördelen att ändringar som görs i den generella lagstiftningen får direkt genomslag även på det särreglerade området. En sådan reglering har också valts i studiestödsdatalagen (2009:287) (se prop. 2008/09:96, s. 31). Den tredje modellen, som innebär att de bestämmelser som avviker från PUL regleras särskilt i registerförfattningen och att det uttryckligen hänvisas till de lagrum i PUL som ska vara tillämpliga, har enligt vår mening stora fördelar genom att den innebär att lagtillämparen inte lämnas utan vägledning när det gäller vilka bestämmelser i som är tillämpliga. Denna uppfattning delas även av Transportstyrelsen, som till utredningen har framfört att en sådan ordning skulle innebära en ökad tydlighet om vad det är som gäller. Metoden har också använts i förslaget till den nya polisdata- lagen och används i den förhållandevis nya lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet. Metoden har i dessa lagstiftningsärenden inte fått någon kritik från lagrådet9. Vi anser att det i vägtrafikdatalagen uttryckligen ska anges vilka bestämmelser i som är tillämpliga. Enligt vår mening överväger fördelarna med en metod som innebär att det ges uttryckliga hänvisningar till de bestämmelser i som är tillämp- liga klart nackdelarna. Vi föreslår därför att vägtrafikdatalagen ska gälla i stället för PUL. I de fall bestämmelserna i är tillämpliga även på Transportstyrelsens verksamhet anges det särskilt. Vårt förslag: Behandling av personuppgifter som är tillåten enligt lagen ska få utföras även om den registrerade motsätter sig det, dock med den begränsning som följer av 11 § PUL. 2009/10:85, s. 79 ff. och s. 518 ff., prop. 2004/05:164 s. 46 ff. och 178 f. Samtycke utgör inte en förutsättning för registrering i vägtrafikregistret, eftersom de uppgifter som ingår i registret är obligatoriska. I LVTR anges detta inte uttryckligen. Det finns en hänvisning till 11 § i PUL i ändamålsbestämmelsen, 5 § punkten 5. Där anges att vägtrafikregistret får användas för urvalsdragningar för direkt marknadsföring, dock med den begränsning som följer av 11 § PUL. Detta innebär att om den registrerade hos Transportstyrelsen har anmält att han eller hon motsätter sig sådan behandling, en s.k. direktreklamspärr, åligger det Transport- styrelsen att se till att uttag för direkt marknadsföring inte sker. Behandling av personuppgifter måste ske i enlighet med de i vägtrafikdatalagen angivna ändamålen. När samtycke från den registrerade föreligger är dock behandling av personuppgifter alltid tillåten. Behandling är emellertid tillåten även utan samtycke under de förutsättningar som anges i 10 § PUL. I PUL:s 12 § finns det en bestämmelse om att den registrerade inte har rätt att motsätta sig sådan behandling som är tillåten utan samtycke och en bestäm- melse i 11 § PUL om att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring om den registrerade hos den personuppgiftsansvarige har anmält att han eller hon motsätter sig sådan behandling. I särskilda registerförfattningar föreskrivs ofta i vilken utsträck- ning den registrerade kan eller har rätt att motsätta sig sådan behandling som regleras i den aktuella författningen.10 De register- författningar som trädde i kraft saknar emellertid ofta uttryckliga bestämmelser om den registrerades möjlighet att motsätta sig behandling av personuppgifter som är tillåten enligt PUL (se t.ex. tidigare gällande lag [1999:163] om penningtvättsregister och tidigare gällande lag [2001:85] om behandling av personuppgifter i brottsbekämpande verksamhet). Det bör framhållas att i bl.a. lagstiftningsärendet om behandling av uppgifter i den s.k. skattedatabasen förordade 10 och , Personuppgiftslagen, en kommentar, tredje uppl., s. 66 ff. med vidare hänvisningar. Lagrådet att uttryckliga bestämmelser skulle tas in i de då aktuella registerlagarna (se prop. 2000/01:33, s. 346) och anförde följande. I 12 § andra stycket PUL föreskrivs -- att en registrerad inte, utöver vad som följer av 11 § och 12 § första stycket, har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt PUL. Utformningen av bestämmelsen gör det svårt att direkt hänvisa till den. För att tillgodose dataskyddsdirektivets krav på nationell lagstiftning, för att inte i vissa fall den registrerade skall kunna motsätta sig behandling av personuppgifter, kan i stället en föreskrift tas in som ett nytt andra stycke i 1 kap. 2 § i de olika lagarna och ges lydelsen: En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag. En sådan bestämmelse infördes därför i bl.a. lag (2001:182) om behandling av personuppgifter i beskattnings- verksamhet. I andra registerlagar som har tillkommit därefter har det också ofta tagits in sådana bestämmelser.11 Men det finns även lagstiftning från senare tid som saknar sådana uttryckliga bestämmelser.12 Det står klart att Transportstyrelsens behandling av person- uppgifter enligt vägtrafikdatalagen inte bör vara beroende av den registrerades samtycke till behandlingen. Huvudregeln bör därför vara att den registrerade inte kan motsätta sig behandling av personuppgifter som är tillåten enligt lagen. Det bör framgå av vägtrafikdatalagen att behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. Bestämmelsen gäller för all behandling av person- uppgifter inom ramen för vägtrafikdatalagens tillämpningsområde. Den registrerade har dock enligt 11 § PUL rätt att motsätta sig behandling som sker för direkt marknadsföring genom att begära en s.k. direktreklamspärr, vilket även i fortsättningen bör framgå. 11Se t.ex. lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och lagen (2005:258) om läkemedelsförteckning. 12Se lagen (2006:378) om lägenhetsregister. Vårt förslag: Följande bestämmelser i ska vara tillämpliga vid behandling av personuppgifter i Transportstyrelsens verksamhet: –definitioner (3 §), –förhållandet till offentlighetsprincipen m.m. (8 §), –grundläggande krav på behandlingen av personuppgifter (9 §, med undantag för paragrafens första stycke d), –behandling av personnummer (22 §), –säkerheten vid behandling (30 och 31 §§ samt 32 § första stycket), –överföring av personuppgifter till tredjeland (33–35 §§), –personuppgiftsombudets uppgifter m.m. (36 § andra stycket och 38–41 §§), –upplysningar till allmänheten om vissa behandlingar (42 §), –tillsynsmyndighetens befogenheter (43, 44 §§, 45 § första stycket och 47 §), och –överklaganden (51 §) Förbud enligt 44–45 §§ PUL ska inte få förenas med vite. Nedan redovisas i vilken utsträckning bör vara tillämpliga vid behandling av personuppgifter i Transport- styrelsens verksamhet. Definitioner (3 §) I 3 § PUL definieras vissa begrepp som är centrala när behandling av personuppgifter ska regleras. En hänvisning till 3 § finns i den gällande LVTR. Vi har inte funnit anledning att definiera begrepp som förekommer i den av oss föreslagna lagen på något annat sätt än i 3 § PUL. För att undvika missförstånd är det tvärtom viktigt att de begrepp som används i de två lagarna har samma innebörd. Förhållandet till offentlighetsprincipen m.m. (8 §) I 8 § första stycket PUL finns en erinran om att PUL inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. TF som reglerar allmänna handlingars offentlighet. I paragrafens andra stycke anges att bestämmelserna inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen gäller för person- uppgiftsbehandling hos Transportstyrelsen. Enligt vår bedömning bör en hänvisning till bestämmelsen i 8 § PUL tas in i vägtrafikdatalagen i klargörande syfte, så att det inte råder någon tvekan om att tillämpningen av vägtrafikdatalagen inte får strida mot 2 kap. TF. Grundläggande krav på behandling av personuppgifter (9 §) En av de viktigaste bestämmelserna i fråga om behandling av personuppgifter finns i 9 §. Där uppställs vissa grundläggande krav på den personuppgiftsansvarige. Dessa bestämmelser är tillämpliga vid personuppgiftsbehandling i Transportstyrelsens verksamhet på vägtrafikområdet. I första stycket a) och b) anges att den person- uppgiftsansvarige ska se till att personuppgifter endast behandlas om det är lagligt och att personuppgifter alltid ska behandlas på ett korrekt sätt och i enlighet med god sed. Enligt e)–h) ska den ansvarige se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgifter behandlas än som är nödvändigt, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Det är naturligt att dessa krav alltjämt tillämpas även vid behandling av personuppgifter i Transportstyrelses verksamhet på vägtrafikområdet avseende fordon, behörigheter, tillstånd och tillsyn. Den nya lagen bör således hänvisa till 9 § första stycket a), b) och e)–h). I 9 § första stycket c) anges att personuppgifter får samlas in bara för särskilda, uttryckligt angivna ändamål. För att tydliggöra att personuppgifter endast får samlas in för preciserade ändamål bör det tas in en hänvisning till 9 § första stycket c) i vägtrafik- datalagen. I 9 § punkten d) anges att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna Punkten d) ger uttryck för den s.k. finalitetsprincipen. Vi anser att det inte bör tas in några hänvisningar till denna bestämmelse i vägtrafikdatalagen. I stället bör vägtrafikdatalagen, som vi redogjort för i avsnitt 8.4.4, uttömmande ange för vilka ändamål uppgifter får behandlas i Transportstyrelsens verksamhet på vägtrafikområdet. En sådan ordning stärker integritetsskyddet och innebär andra slag av begränsningar av möjligheterna till personuppgiftsbehandling än de som anges i 9 § d). I 9 § första stycket i) och tredje stycket finns bestämmelser om hur länge uppgifter får bevaras. Dessa regler bör gälla för sådana handlingar som inte är allmänna handlingar. För övriga handlingar gäller dock arkivlagens regler. Behandling av personnummer (22 §) I 22 § PUL föreskrivs att uppgifter om personnummer eller sam- ordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Personnummer bör således inte användas av ren slentrian.13 Bestämmelserna innebär att den personuppgiftsansvarige måste göra en intresse- avvägning. Tyngden av de skäl som talar för att behandlingen av personnummer är påkallad måste således vägas mot behovet av skydd för den personliga integriteten. Principen bör enligt regeringens mening gälla även vid behandling i Transportstyrelsens verksamhet. Av integritetsskäl kan det vara nödvändigt att använda personnummer med hänsyn till den större säkerhet för en riktig identifiering som detta innebär. Vägtrafikdatalagen bör därför hänvisa även till 22 § PUL. Säkerheten vid behandling (30 och 31 §§ samt 32 § första stycket) I 30–32 §§ PUL finns vissa regler om hur den personuppgifts- ansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Dessa bestämmelser är tillämpliga vid personuppgiftsbehandling i Transportstyrelsens verksamhet på vägtrafikområdet och de bör gälla där även fortsättningsvis. 13 och , Personuppgiftslagen, en kommentar, tredje uppl., s. 280 ff. hänvisning till bestämmelserna bör alltså föras in i vägtrafikdata- lagen. Med hänsyn till att tillsynsmyndigheten inte bör ha möjlighet att förena förbud med vite (se avsnittet Tillsyns- myndighetens befogenheter) bör någon hänvisning till 32 § andra stycket PUL inte göras. Överföring av personuppgifter till tredje land (33–35 §§) Personuppgifter som är under behandling får enligt 33 § PUL inte föras över till tredje land, dvs. en stat som inte ingår i EU eller är ansluten till det Europeiska Ekonomiska Samarbetsområdet (EES), om inte det mottagande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Regeringen har också möjlighet enligt 35 § att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. Vi anser att förbudet mot överföring till tredje land som inte har acceptabla skyddsnivåer och de undantag från förbudet som föreskrivs, bör vara tillämpliga även på behandling enligt den av oss föreslagna lagstiftningen. Regeringen bör även ha möjlighet att föreskriva om undantag från förbudet. Hänvisning bör således göras till 33–35 §§ PUL. Personuppgiftsombudets uppgifter m.m. (36 § andra stycket och 38– 41 §§) Automatiserade behandlingar av personuppgifter ska enligt 36 § första stycket anmälas till tillsynsmyndigheten (Datainspektionen). Anmälan behöver dock enligt 3 § personuppgiftsförordningen (1998:1191) inte göras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning. Någon skyldighet att anmäla de behandlingar som utförs med stöd av vägtrafikdatalagen finns således inte, varför någon hänvisning till 36 § första stycket PUL inte behövs. Enligt 36 § andra stycket ska den personuppgiftsansvarige om denne utser ett personuppgiftsombud anmäla detta till Datainspek- tionen. Även ett entledigande ska anmälas hos Datainspektionen. Om ett sådant ombud utses ska bestämmelserna i 38–40 §§ tillämpas. I ombudets skyldigheter ingår bl.a. att se till att behand- lingen av personuppgifter sker på ett lagligt sätt och att hjälpa den registrerade att få rättelse. Dessa bestämmelser bör alltjämt vara tillämpliga i Transportstyrelsens verksamhet. Regeringen har enligt 41 § PUL möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll oavsett om det finns ett personuppgiftsombud eller inte. Denna möjlighet bör regeringen enligt vår mening ha även i fråga om sådana behandlingar som utförs inom Transport- styrelsens verksamhet. Vissa upplysningar till allmänheten (42 §) Enligt 42 § PUL ska den personuppgiftsansvarige, till var och en som begär det, lämna upplysningar om de behandlingar av person- uppgifter som utförs och som inte har anmälts till Datainspek- tionen. Eftersom behandling av personuppgifter inom Transport- styrelsen är författningsreglerad har styrelsen ingen skyldighet att till Datainspektionen anmäla vilka behandlingar som utförs. Bestämmelsen är tillämplig på de behandlingar som Transport- styrelsen utför i verksamheten, men innebär ingen skyldighet att lämna ut sekretesskyddad information. Det är från integritets- synpunkt viktigt att den enskilde på ett snabbt och enkelt sätt kan få besked av Transportstyrelsen vilka behandlingar som utförs. En hänvisning till 42 § bör därför tas in i vägtrafikdatalagen. befogenheter (43 och 44 §§, 45 § första stycket och 47 §) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot de personuppgiftsansvariga. Datainspektionen har enligt 43 § PUL möjlighet att på begäran få tillgång till personuppgifter, upplys- ningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. Bestämmelsen gäller för Transportstyrelsen och bör vara tillämplig även fortsättningsvis.