sou · GYB376d2 · 2011-01-01 00:00:00 — I databaserna finns en mängd uppgifter och en del uppgifter är, typiskt sett, av integritetskänsligt slag. Från integritetssynpunkt är det emellertid inte lämpligt att den personuppgiftsansvarige själv kan bestämma vilka ändamål som inte kan anses vara oförenliga med de ursprungliga ändamålen. Det ligger enligt vår uppfattning inte i linje med de integritetsintressen som finns att låta en oprecis bestämmelse avgöra i vilken utsträckning en senare behandling av uppgifterna är tillåten. Ändamålsbestämmelsernas centrala betydelse för integritets- skyddet gör att principiella skäl med styrka talar för att det i vägtrafikdatalagen uttryckligen bestäms för vilka ändamål behandlingen får ske. Vi föreslår därför att vägtrafikdatalagens ändamålsbestämmelser ska vara uttömmande. Den tydlighet som följer med en uttömmande reglering underlättar även för tillämparna. För att en behandling av personuppgifter ska vara tillåten krävs alltså att den är tillåten enligt de angivna ändamålen, eller avser utlämnande enligt en uppgiftsskyldighet i lag eller förordning eller till , regeringen eller den registrerade själv (se om det sistnämnda i avsnitt 8.4.6). Det är alltså inte tillåtet att behandla personuppgifter som har samlats in för de tillåtna ändamålen för något annat ändamål, även om detta ändamål inte skulle vara oförenligt med de tillåtna ändamålen (jämför finalitets- principen i 9 § första stycket d PUL); en sådan senare behandling för ett annat ändamål är tillåten bara om behandlingen avser utlämnande i de fall som angetts. I allmänhet finns det ett behov av att behandla samma personuppgifter för flera av de särskilda ändamål som vi föreslår. Transportstyrelsens verksamhet är omfattande och mångsidig och det finns därför inte sällan behov av att behandla samma personuppgift för samtliga ändamål. då en personuppgift samlas in står det dock inte alltid klart för vilka övriga ändamål än det för stunden aktuella som den enskilda personuppgiften senare kan komma att behöva behandlas. Personuppgifter ska därför anses insamlade för samtliga ändamål, om inte annat anges då en personuppgift samlas in, t.ex. i information som lämnas till den registrerade. En personuppgift som har samlats in för att användas i ett fordonsregistreringsärende kan senare användas för ett annat ändamål som anges i lagen om behandlingen är nödvändig. Vi anser dock inte att detta särskilt behöver framgå av lagtexten. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser 8.4.5Ändamålsbestämmelsernas betydelse i förhållande till personuppgifter och andra uppgifter Vi har inte funnit anledning att göra någon annan bedömning i denna fråga än vad regeringen gjorde vid införandet av LVTR. Regeringen uttalade följande (prop. 2000/01:95 s. 76). Kravet på preciserade ändamål i EG:s dataskyddsdirektiv och person- uppgiftslagen gäller när personuppgifter samlas in. Den person- uppgiftsansvarige är sedan skyldig att se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Att bestämmelserna endast avser person- uppgifter beror på att det är för sådana uppgifter som det är särskilt viktigt med ett starkt skydd för den personliga integriteten. Beroende på vilken behandling som utförs är informationen i vissa avseenden att anse som personuppgifter. Med personuppgifter avses enligt person- uppgiftslagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Onödiga hinder bör emellertid inte ställas upp för användningen av den information som finns i vägtrafikregistret. Längre gående begränsningar för registret än EG:s dataskyddsdirektiv och person- uppgiftslagen kräver bör därför inte införas. Skälet härför är att informationen i registret skall kunna utnyttjas på ett effektivt sätt. I lagen bör det därför anges att personuppgifter i registret bara får behandlas för vissa angivna ändamål. Utformning av ändamålsreglerna innebär härigenom att hinder för spridande av uppgifter saknas så länge det inte rör sig om personuppgifter. Vissa bestämmelser kommer dock att gälla för uppgifter om juridiska personer och uppgifter som inte utgörs av person- uppgifter, vilket vi redogör för i avsnitt 7.5.5. 8.4.6Gemensamma bestämmelser för databaserna Vi anser att det finns skäl att reglera ändamålen med behandlingen för varje databas för sig. Skillnaderna i ändamål mellan databaserna är i vissa avseenden så stora att lagstiftningen annars skulle bli svåröverskådlig. Vi redogör närmare för ändamålsbestämmelserna för de olika databaserna i avsnitt 9.3, 10.3, 11.3 och 12.3. Vissa bestämmelser anser vi dock kan vara gemensamma för databaserna. Vi redogör för dessa nedan. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser Utlämnande av personuppgifter för andra ändamål I den utsträckning som Transportstyrelsen har en skyldighet att enligt lag eller förordning lämna ut uppgifter för annat än de tillåtna ändamålen bör den skyldigheten få fullgöras oberoende av den föreslagna vägtrafikdatalagen. Vi föreslår därför en bestämmelse om att personuppgifter som behandlas i Transportstyrelsens verksamhet i enlighet med de i lagen tillåtna ändamålen får lämnas ut av Transportstyrelsen till andra, oavsett ändamålet med utlämnandet, om det enligt lag eller annan förordning åligger Transportstyrelsen att tillhandahålla sådan information. Med detta avses uppgiftsskyldighet enligt 10 kap. 28 § OSL, dels andra författningsreglerade skyldigheter att lämna ut uppgifter. Även skyldigheten enligt 4 kap. 11 § riksdagsordningen att på begäran lämna utskott upplysningar och yttranden avses. Enligt 6 kap. 5 § OSL ska en myndighet på begäran av en annan myndighet lämna ut uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelser om sekretess eller av hänsyn till arbetets behöriga gång. har detta inte ansetts utgöra en uppgiftsskyldighet i nu aktuellt hänseende. I flera lagstiftningsärenden har en motsatt bedömning gjorts (se tex. 2009/10:85 s. 121 och prop. 2008/09:96 s. 80.). Även Transport- styrelsens utlämnande av uppgifter enligt 6 kap. 5 § OSL bör således omfattas av denna bestämmelse. Det bör dock noteras att behandling av personuppgifter genom att lämna ut dem endast får göras om de aktuella uppgifterna inte omfattas av sekretess. I sammanhanget bör särskilt nämnas den sekretess som gäller för personuppgifter när det finns skäl att anta att mottagaren kommer att behandla uppgifterna i strid med PUL (21 kap. 7 § OSL). Den föreslagna ändamålsbestämmelsen inverkar inte på Transport- styrelsens skyldighet att lämna ut personuppgifter i enlighet med grundlag, såsom på begäran av enskild enligt offentlighets- principen. Gemensamt för allt det uppgiftsutlämnande som behandlats i det föregående är att det sker med stöd av författningar som påbjuder eller tillåter utlämnande. När bestämmelser om sådant uppgiftsutlämnande har införts får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskildas personliga integritet, vid vilket man funnit att uppgiften ska eller får lämnas ut. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser vår mening anledning att förhindra att personuppgifter som finns i verksamheten lämnas ut i dessa fall. Det bör vidare anges att personuppgifter även får behandlas för att tillhandahålla information till och regeringen. Enligt 10 kap. 15 § OSL hindrar sekretess inte att uppgift lämnas till eller regeringen. Slutligen anser vi att det inte finns skäl som talar emot att personuppgifter som behandlas enligt de tillåtna ändamålen lämnas ut till den registrerade själv, om sekretess inte hindrar det. Vi föreslår därför en uttrycklig bestämmelse om detta. Särskilt om statistik och forskning m.m. 2000/01:95 s. 78 angav regeringen att det av 9 § PUL följer att uppgifter i vägtrafikregistret kan användas för statistik och forskning. Någon ändring i detta avseende är inte avsedd. Eftersom vägtrafikdalagens ändamålsbestämmelser är uttömmande bör det dock uttryckligen i lagen anges att redan insamlade personuppgifter också får behandlas för historiska, statistiska eller vetenskapliga ändamål. Transportstyrelsen har således alltjämt möjlighet att behandla redan insamlade personuppgifter för statistiska ändamål, både officiellt reglerad statistik och sådan statistik som är en mer intern angelägenhet eller som i vart fall inte är författningsreglerad. Transportstyrelsen har anfört att det inte finns någon klar koppling till lagen (2001:99) om den officiella statistiken. Denna lag gäller för statistikansvariga myndigheters verksamhet inom ramen för den officiella statistiken. För respektive statistikområde finns det en statistikansvarig myndighet som regeringen utser (1 § andra stycket). Lagen innehåller även bestämmelser om sådana myndig- heters övriga statistikverksamhet. För området transporter och kommunikationer, som omfattar vägtrafiken, är det myndigheten som är statistikansvarig myndighet och som beslutar om statistikens innehåll och omfattning. Transportstyrelsen lämnar vissa fordons- och yrkestrafikuppgifter till Trafikanalys. Någon särskild koppling till lagen om den officiella statistiken är enligt vår mening inte nödvändig. Den föreslagna bestämmelsen om att personuppgifter som behandlas enligt de i lagen tillåtna ändamålen även får behandlas för statistiska, vetenskapliga och historiska ändamål ger ett uttryckligt Vägtrafikdatalagens bestämmelser om behandling som sker i databaser stöd för Transportstyrelsens behandling av tidigare insamlade uppgifter i databaserna för att framställa statistik till bl.a. Trafikanalys. Att tillåta direktåtkomst till uppgifter enbart för statistiska, historiska eller vetenskapliga ändamål är enlig vår bedömning däremot inte nödvändigt. Transportstyrelsen kan emellertid tillhandahålla avidentifierade statiska uppgifter till externa aktörer utan att bestämmelserna om behandling av personuppgifter i vägtrafikdatalagen behöver tillämpas. Föreskrifter om vilka personuppgifter som får behandlas för ett ändamål Som framgår i avsnitt 8.4.3 har de tillåtna ändamålen med behandlingen angetts på ett förhållandevis generellt sätt. Vi har inte ansett att det är lämpligt och möjligt med bestämmelser med större precision i lag. När det gäller de ändamål som avser behandling i verksamhet som inte är författningsreglerad finns det dock anledning att av integritetsskäl precisera vilka personuppgifter som ska få behandlas för dessa ändamål. Vi föreslår därför att regeringen bemyndigas att meddela föreskrifter om vilka personuppgifter som får behandlas för ett visst ändamål. I avsnitt 9.4.2, 10.4.2, 11.4.2 och 12.4.2 lämnar vi förslag till sådana förordningsbestämmelser. 8.5Vilka uppgifter får behandlas i en databas? Vårt förslag: Regeringen ska få meddela föreskrifter om vilka personuppgifter och andra uppgifter som får behandlas i databaserna. Särskilda förutsättningar ska gälla för behandling av känsliga personuppgifter i databaserna. Ändamålsbestämmelsen (5 §) i LVTR innehåller en uttömmande uppräkning av vilka personer som det får finnas uppgifter om i registret. Innehållsbestämmelsen i (6 §) kompletterar ändamåls- Vägtrafikdatalagens bestämmelser om behandling som sker i databaser bestämmelsen och innehåller en översiktlig uppräkning av vilka uppgifter som får förekomma i registret. 6 § avser att ge en tydlig bild av vägtrafikregistrets innehåll (prop. 2000/01:95, s. 100.). I 6 § anges att det i vägtrafikregistret får föras in uppgifter som avser bl.a. motordrivna fordon, släpfordon samt ägarna till dessa, uppgifter om behörigheter och tillstånd, trängselskatt och felparkeringsavgifter. Det anges uttryckligen att personuppgifter endast får föras in för de ändamål som anges i 5 §. I bilagor till FVTR finns mycket detaljerade uppräkningar av innehållet i registret. Bilagorna är i stort sett uttömmande. Transportstyrelsen får föra in uppgifter som behövs av administrativa skäl vid handläggningen av ärenden. 8.5.2Regleringen av innehållet i databaserna Personuppgifter definieras i PUL som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Förutom personuppgifter kan det i en databas förekomma uppgifter som är hänförliga till juridiska personer och uppgifter som inte är att betrakta som personuppgifter. Ändamålsbestämmelserna styr över vilka personuppgifter som får samlas in och behandlas enligt vägtrafikdatalagen. PUL ställer krav på att personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen samt att inte fler personuppgifter får behandlas än vad som är nödvändigt med hänsyn till ändamålen. Detta innebär en såväl kvalitativ som kvantitativ begränsning i fråga om vilka personuppgifter som får behandlas. Alla personuppgifter som behövs för det ändamål för vilken behandlingen utförs får därmed behandlas. En fråga som vi har att ta ställning till är vem som ska göra bedömningen av vilka personuppgifter som får behandlas i databaserna; , regeringen eller den personuppgiftsansvarige myndigheten. Vi anser generellt att detaljfrågor bör regleras i förordning eller myndighetsföreskrifter för att undvika att en reglering som kan komma att behöva ändras ofta måste prövas av (se avsnitt 7.2.2). Den behandling som vi nu avser att reglera sker i en mycket omfattande och mångskiftande verksamhet där en stor mängd personuppgifter behandlas. En detaljreglering i lag av innehållet i databaserna, på samma sätt som i LVTR, riskerar att försvåra ett rationellt utnyttjande av informationstekniken i verksamheten, inte Vägtrafikdatalagens bestämmelser om behandling som sker i databaser minst med hänsyn till behovet av flexibilitet. Det har framkommit att det finns stora praktiska tillämpningsproblem med en sådan författningsteknisk lösning, eftersom lagen fortlöpande behöver revideras. Med hänsyn härtill skulle ett alternativ vara att låta ändamåls- bestämmelserna helt styra vilka personuppgifter som får samlas in och fortsättningsvis behandlas. En sådan ordning innebär att bedömningen av vilka personuppgifter som får behandlas skulle ankomma på den personuppgiftsansvarige myndigheten, dvs. De ändamål som anges i ändamålsbestäm- melserna är emellertid relativt generellt hållna och hänsynen till skyddet av den personliga integriteten gör att det enligt vår mening inte är lämpligt att helt överlåta åt Transportstyrelsen att bedöma vilka uppgifter som får behandlas. Det skulle enligt vår mening också innebära en risk för att innehållet i databaserna ökar och att en onödig mängd uppgifter tynger systemet och gör det mindre överskådligt. Med hänsyn härtill och då ett av de främsta syftena är att skydda otillbörliga intrång i den personliga integriteten bör det enligt vår mening ankomma på regeringen att göra de närmare integritets- avvägningar som ska göras vid regleringen av vilka personuppgifter som får behandlas. Vi anser att den föreslagna ordningen är godtagbar från integritetssynpunkt, inte minst mot bakgrund av att integritetskänsliga uppgifter kringgärdas av sekretess som är ägnad att förhindra obehörig insyn och spridning. Vi föreslår dock att Transportstyrelsen – beroende på uppgifternas integritets- känslighet och efter praktiska behov – ska få meddela närmare föreskrifter om vissa uppgiftskategorier (se avsnitt 8.11.2). I förordningen bör det slås fast för vilka personer det överhuvudtaget kan bli aktuellt med behandling av personuppgifter eller andra uppgifter. En ordning där det endast anges vilka uppgifter som får behandlas utan att personkretsen uttryckligen anges innebär att den enskilde måste sluta sig till detta genom att konstatera vilka uppgifter som får behandlas om en person. Genom den föreslagna ordningen kommer enskilda att direkt i förordningen få en överblick av om de finns eller kan finnas registrerade hos Transportstyrelsen. Mot bakgrund av den rättsverkan som följer av en registrering av ett fordon och dess ägare eller innehavare samt då databaserna fungerar som en resurs för att tillhandahålla viss information till samhället är det också nödvändigt att – förutom regleringen av Vägtrafikdatalagens bestämmelser om behandling som sker i databaser vilka personer som det får finnas uppgifter om – i förordningen reglera vilka uppgifter som ska finnas i databaserna. Det finns enligt vår mening inte något som hindrar att denna reglering sker i förordning. 8.5.3Behandling av känsliga uppgifter m.m. Känsliga personuppgifter och uppgifter om lagöverträdelser m.m. intar en särskild ställning när det gäller behandling av person- uppgifter. Vi har i avsnitt 7.12 redovisat hur vi anser att sådana uppgifter ska hanteras generellt. När det gäller behandling i en databas måste åtskillnad göras mellan registreringen av uppgifter i elektroniska handlingar och annan registrering. För hanteringen av känsliga uppgifter i elektroniska handlingar (ärendedatabas) krävs särskilda bestäm- melser, vilka vi redogör för i avsnitt 8.10.3. När det gäller behandlingen av uppgifter i en databas som avser registrering av mer traditionell karaktär (informationsdatabas), är det av avgörande betydelse ur ett integritetsperspektiv att det inte finns allmänt sökbara uppgifter som avslöjar enskildas hälsa m.m. Sådana uppgifter ska således få förekomma endast om det är absolut nödvändigt. När det gäller dessa uppgifter gäller den generella bestämmelsen om hantering av känsliga uppgifter som vi har redogjort för i avsnitt 7.12. 8.5.4Administrativa och tekniska uppgifter I FVTR anges att vägtrafikregistret får innehålla de administrativa uppgifter som behövs för den aktuella verksamheten. Vi anser emellertid att denna bestämmelse är nödvändig. Behandling av personuppgifter som inte kan hänföras till de registrerade personerna som omfattas av Transportstyrelsens verksamhet på vägtrafikområdet avseende fordon, behörigheter, tillstånd och tillsyn, utan endast till den administrativa skötseln av denna verksamhet, omfattas enligt vårt förslag inte av vägtrafikdatalagen. Enligt vår uppfattning utgör behandling av sådana personuppgifter ett led i myndigheternas administrativa verksamhet. Vid behandling av dessa uppgifter ska i stället PUL tillämpas. Samma gäller behandlingen av personuppgifter som sker Vägtrafikdatalagens bestämmelser om behandling som sker i databaser när Transportstyrelsen beslutar att tilldela någon en möjlighet till direktåtkomst eller direktanmälan, eller den behandling av personuppgifter som sker för att Transportstyrelsen ska kunna lämna ut uppgifter till den som är registrerad i databaserna genom annat elektroniskt utlämnande än direktåtkomst (se mer om detta i avsnitt 7.5.3). Detta hindrar emellertid inte att personuppgifter från den administrativa verksamheten behandlas tillsammans med de uppgifter som används gemensamt i den materiella verksamheten avseende fordon, behörigheter, tillstånd och tillsyn på vägtrafik- området, utan särskilt stöd i vägtrafikdatalagen, under förutsättning att behandlingen sker i enlighet med ändamålen för databasen. Som exempel på vad som kan anses utgöra rent administrativa uppgifter kan nämnas uppgift om vem som handlägger ett ärende eller till vilken enhet ett ärende tillhör. Uppgifter om den som har beviljats direktåtkomst eller direktanmälan bör enligt vår mening få behandlas tillsammans med andra uppgifter i en databas för att förhindra obehörig användning eller åtkomst till uppgifter i databaserna, utan att det särskilt behöver anges i vägtrafikdatalagen. Även de personuppgifter om den registrerade som Transport- styrelsen samlar in och behandlar endast av administrativa skäl, t.ex. ett mobiltelefonnummer, i syfte att tillhandahålla information, får behandlas tillsammans med uppgifter från databaserna, under förutsättning att behandlingen sker i enlighet med ändamålen för databaserna. Behandling av uppgifter av teknisk karaktär som används uteslutande eller huvudsakligen för att ett datasystem ska fungera, t.ex. koder som anger på vilket sätt en viss uppgift ska lagras i systemet, anser vi inte heller behöver regleras särskilt. Sådana uppgifter har inte någon egentlig anknytning till innehållet i en databas utan utgör närmast en del av de tekniska lösningarna i ett datasystem och får således behandlas utan att det anges i den föreslagna lagstiftningen. En förutsättning är dock att de tekniska uppgifterna, ensamma eller tillsammans med andra uppgifter, inte tillför någon sakinformation som kan hänföras till de registrerade personerna. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser Vårt förslag: Regeringen ska alltjämt få meddela föreskrifter om vilka sökbegrepp som får användas i databaserna. I 10 § LVTR anges att för sökning i vägtrafikregistret får endast användas de begrepp som regeringen har beslutat om. Dessa sökbegrepp regleras i 4 kap. FVTR. Transportstyrelsen har anfört att den begränsning som finns i tillåtna sökbegrepp innebär, främst när det gäller körkorts- och yrkestrafikfrågor, att det inte är möjligt för Transportstyrelsen att fullgöra vissa myndighetsuppgifter. Detta gäller bl.a. krav på uppföljande utvärdering och forskning inom körkort- och yrkestrafikområdet, något som Transportstyrelsen inte kan tillhandahålla information för. Det har också funnits tillfällen då Transportstyrelsen inte har kunnat bistå med tillhandahållande av information i samband med att regeringsuppdrag ska genomföras. Enligt Transportstyrelsen bör därför styrelsen medges att använda långt fler sökbegrepp än de som finns . 8.6.3Allmänt om sökbegrepp och sökbegränsningar I en databas kan uppgifter sökas och sammanställas med olika sök- begrepp och användaren bestämmer utfallet av sökningen genom de sökbegrepp han eller hon väljer att använda. Vilka sökbegrepp som får användas för att ta fram uppgifter ur databaserna har betydelse för frågan vad som är att anse som allmänna handlingar i databasen och därmed omfattas av offentlighetsprincipen enligt 2 kap. TF. Möjligheterna till sammanställningar har betydelse på två sätt; dels i fråga om vilka tekniska möjligheter som finns avseende sammanställningar, dels i fråga om vilka legala inskränkningar i möjligheterna till sammanställningar som finns. För att en handling ska vara allmän hos en myndighet krävs att den Vägtrafikdatalagens bestämmelser om behandling som sker i databaser är förvarad hos myndigheten, 2 kap. 3 § första stycket andra meningen TF. Den tekniska aspekten är av betydelse eftersom en upptagning, som kan uppfattas endast med tekniska hjälpmedel, enligt 2 kap. 3 § andra stycket TF anses förvarad hos en myndighet endast om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. En sammanställning av uppgifter ur en upptagning för automatiserad behandling anses dock förvarad hos myndigheten endast om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder. Allt det som myndigheten faktiskt kan göra tillgängligt med rutinbetonade åtgärder utgör således i princip allmän handling som envar har rätt att ta del av om sekretess inte hindrar det. Det gäller även om myndigheten tidigare aldrig gjort den efterfrågade sammanställningen och oavsett om myndigheten behöver den för sin verksamhet eller ej. Sådana sammanställningar utgör s.k. potentiella handlingar. Elektroniskt lagrade handlingar som har ett fixerat innehåll som går att återskapa gång på gång, t.ex. e-brev eller protokoll i elektronisk form, utgör s.k. färdiga elektroniska handlingar. Enligt den s.k. begränsningsregeln i 2 kap. 3 § tredje stycket TF anses en sammanställning av uppgifter ur en upptagning för automatiserad behandling dock inte förvarad hos myndigheten om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig.