sou · GYB376d2 · 2011-01-01 00:00:00 — Om Datainspektionen efter en begäran enligt 43 § inte kan få tillräckligt med underlag för att konstatera om behandlingen av personuppgifter är laglig, får myndigheten enligt 44 § vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem. Dessa bestämmelser gäller för Transportstyrelsen. Vägtrafikdatalagen ger Transportstyrelsen stort utrymme att behandla personuppgifter. Detta talar enligt vår bedömning för att Datainspektionen alltjämt bör kunna förbjuda viss behandling om en begäran enligt 43 § inte ger tillräckligt underlag. Den nya lagen bör således hänvisa till 44 § när det gäller möjligheten att meddela förbud. I 45 § första stycket anges att Datainspektionen – om den konstaterar att personuppgifter behandlas felaktigt – ska försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Om det inte går att få till stånd rättelse eller om saken är brådskande, får Datainspektionen enligt vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifter på något annat sätt än att lagra dem. Det kan tyckas självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse om inspektionen skulle finna brister i hanteringen av personuppgifter. En hänvisning till 45 § första stycket kan därför anses som onödig. Vi anser dock att det är av stort värde att den lag vi föreslår klart och tydligt visar att Datainspektionens kontroll- funktion är betydelsefull. Ett sätt att visa detta på är att undanröja varje tvekan, såväl inom berörda myndigheter som hos den enskilde, om vilka instrument Datainspektionen har att tillgå i sin verksamhet. Vi anser mot bakgrund av det sagda och även med beaktande av vad som anförts ovan beträffande 44 § att en hänvisning bör göras till 45 § första stycket både när det gäller påpekanden och förbud. Som angetts ovan har Datainspektionen enligt både 44 och 45 §§ möjlighet att förena ett förbud enligt respektive bestämmelse med vite. Enligt allmänna rättsgrundsatser bör vite inte användas mellan statliga myndigheter14. Regeringen har med denna motivering i flera propositioner valt att inte ge Datainspektionen någon sådan möjlighet15. Vi delar denna uppfattning och föreslår därför att ett förbud enligt 44 eller 45 § inte får förenas med vite. Detta medför att det i vägtrafikdatalagen särskilt bör anges att ett förbud enligt 44 eller 45 § inte får förenas med vite. Vidare innebär det att lagen inte bör hänvisa till 45 § andra stycket och 46 §. 14Jfr Lavin, Viteslagstiftningen, en kommentar, s. 34 ff. 15Se bl.a. prop. 2004/05:164 s. 54, prop. 2006/07:46, s. 105 och prop. 2009/10:85, s. 90. Enligt 47 § PUL har Datainspektionen rätt att hos förvaltnings- rätten i det län där Datainspektionen är belägen ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Bestämmelsen har sin grund i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet artikel 28.3), där det anges att varje nationell tillsynsmyndighet ska ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Bestämmelsen bör vara tillämplig även vid behandling enligt den föreslagna vägtrafikdatalagen. Straff (49 §) Bestämmelsen i 49 § PUL föreskriver ansvar för överträdelser av olika bestämmelser i . Lagrådet har i tidigare lagstiftnings- ärende ansett att bestämmelsen enligt legalitetsprincipen inte kan ges motsvarande tillämpning beträffande överträdelser av bestäm- melser i den föreslagna särlagstiftningen. En hänvisning till 49 § PUL kan därför endast få den innebörden att ansvar inträder i händelse av överträdelser av de paragrafer i som i övrigt ska gälla och som är straffsanktionerade. Vägtrafikdatalagen skulle därför kunna innehålla en hänvisning till PUL för dessa situationer. Emellertid kommer behandlingen av personuppgifter enligt vägtrafikdatalagen att utföras av personer som är anställda vid en statlig myndighet och som redan omfattas av bestämmelserna om tjänstefel m.m. i . I tidigare lagstiftningsärenden har bl.a. regeringen gjort bedömningen att det inte torde bli aktuellt att tillämpa straffbestämmelsen i PUL mot någon anställd inom polisen och Tullverket16. Regeringen har vidare uttalat att även reglerna om disciplinansvar för tjänsteförseelse enligt lagen (1994:260) om offentlig anställning bör vägas in när man bedömer behovet av en regel om straffansvar17. Vi delar denna bedömning och menar att någon hänvisning till bestämmelsen om straffansvar inte heller bör göras i den föreslagna vägtrafikdatalagen. 1997/98:97 s. 109, prop. 2004/05:164 s. 55. 2009/10:85 s. 91. Överklagande (51 § första stycket) I 51 § första stycket PUL föreskrivs att Datainspektionens beslut om annat än föreskrifter får överklagas hos allmän förvaltnings- domstol. Vårt förslag om att Datainspektionen ska kunna meddela förbud enligt 44 § eller 45 § första stycket PUL innebär att en hänvisning också bör göras till 51 § första stycket (jfr 2 kap. 2 § polisdatalagen [2010:361] [prop. 2009/10:85]). Enligt 51 § andra stycket får Datainspektionen bestämma att dess beslut ska gälla även om det överklagas. Frågan är om denna bestämmelse ska gälla för behandling enligt vägtrafikdatalagen. Det kan finnas skäl som talar både för och emot detta. Systematiska skäl kan tala för att regleringen bör utformas på samma sätt, oavsett vem beslutet gäller. Emellertid måste verksamhetsskäl anses tala mot införandet av en sådan möjlighet. De uppgifter som finns i Transportstyrelsens databaser utgör en mycket viktig samhälls- resurs och det bör därför inte vara möjligt att genom interimistiska beslut hindra Transportstyrelsens behandling av personuppgifter. Vid en samlad bedömning anser vi därför att Datainspektionen inte bör ges möjlighet att meddela interimistiska beslut i här aktuella fall. Hänvisning i den nya lagen bör därför göras endast till 51 § första stycket PUL. Enligt nu gällande LVTR 34 § får Transportstyrelsens beslut som avser information och rättelse enligt PUL överklagas till Förvaltningsrätten i . Enligt andra stycket samma lag krävs prövningstillstånd vid överklagande till kammarrätten. Några skäl som ger anledning att föreslå en annan ordning har inte fram- kommit. Någon hänvisning till 52–53 §§ PUL är därför inte nödvändig. I 11 § LVTR stadgas att bestämmelserna i om rättelse och skadestånd gäller vid behandling enligt denna lag eller av föreskrifter som har meddelats med stöd av lagen. Vi kommer att föreslå en liknande ordning i vägtrafikdatalagen, dock med undantag för uppgifter om vem som är registrerad fordonsägare (avsnitt 13.3–13.4). Någon hänvisning till 28 och 48 §§ PUL i denna bestämmelse är därför inte nödvändig. Vårt förslag: Transportstyrelsen är personuppgiftsansvarig för den behandling av personuppgifter som utförs enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen. Enligt LVTR är det Transportstyrelsen som är personuppgifts- ansvarig för den behandling av personuppgifter som utförs, även i de fall det är en annan myndighet än Transportstyrelsen som svarar för att uppgifter förs in i databaserna på vägtrafikområdet. Vi har inte funnit skäl att göra någon förändring av detta. Transport- styrelsen ska därför alltjämt vara personuppgiftsansvarig för den behandling som utförs enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen. Vårt förslag: Lagen ska innehålla ändamålsbestämmelser som anger vilken personuppgiftsbehandling som är tillåten. Ändamålsbestämmelserna ska gälla för all behandling av person- uppgifter inom ramen för lagens tillämpningsområde. Den föreslagna vägtrafikdatalagen är generellt tillämplig på all behandling av personuppgifter inom Transportstyrelsens verksamhet på vägtrafikområdet avseende fordon, behörigheter, tillstånd och tillsyn, oavsett om behandlingen sker hos en enskild tjänsteman eller i en databas där uppgifterna är gemensamt tillgängliga i verksamheten. Det innebär att lagens bestämmelser ska tillämpas på all behandling av uppgifter, oavsett om det gäller e- posthantering, enkel ordbehandling eller förandet av omfattande gemensamma databaser. Vi anser att ändamålsbestämmelserna ska gälla för all annan behandling som utförs inom ramen för lagens tillämpningsområde. Det kan i annat fall råda tveksamhet för vilket ändamål personuppgifter får behandlas när behandlingen inte sker i en databas. 7.12Behandlingen av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Vårt förslag: Känsliga personuppgifter enligt 13 § PUL ska få behandlas endast om det är absolut nödvändigt för syftet med behandlingen. När personuppgifter behandlas i databaserna ska även särskilda bestämmelser gälla. LVTR innehåller ingen särskild bestämmelse om behandling av känsliga personuppgifter. 7.12.2Behandling av känsliga personuppgifter Vid behandling av uppgifter intar känsliga personuppgifter en särställning. Enligt 13 § PUL gäller ett principiellt förbud mot behandling av känsliga personuppgifter. Med känsliga person- uppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Från förbudet att behandla sådana uppgifter görs sedan undantag för vissa situationer. I Transportstyrelsens verksamhet förekommer det att känsliga personuppgifter behandlas, särskilt när det gäller verksamheten avseende behörigheter. Verksamheten enligt t.ex. körkorts- och yrkestrafiklagstiftningen är till sin karaktär sådan att känsliga personuppgifter förekommer i sammanhang där uppgifterna är adekvata och relevanta, eftersom de har betydelse för verksamheten. Vissa av de i 13 § PUL angivna uppgifterna torde dock normalt inte förekomma i Transportstyrelsens verksamhet, utan de uppgifter som närmast är aktuella är uppgifter som rör hälsa. Vid handläggningen av körkortsärenden är t.ex. uppgifter om en persons sjukdom, skada eller dylikt av central betydelse (se 5 kap. 3 § KKL). Det kan dock inte uteslutas att uppgifter som t.ex. avslöjar religiös övertygelse kan förekomma. För att uppnå skydd för intrång i den personliga integriteten är det viktigt att reglera hur samtliga känsliga personuppgifter som avses i 13 § PUL får lov att behandlas i Transportstyrelsens verksamhet. Vi föreslår därför en bestämmelse med innebörden att sådana personuppgifter får behandlas om uppgiften är absolut nödvändig för syftet med behandlingen. Härmed markeras att en särskild försiktighet måste iakttas inte bara då en känslig personuppgift samlas in utan även varje gång uppgiften senare på nytt behandlas. Kravet innebär inte att känsliga uppgifter endast undantagsvis får behandlas, men att användandet av känsliga uppgifter begränsas till sådana tillfällen då Transportstyrelsen i praktiken inte har något alternativ, utan måste behandla dem. För att behandlingen ska vara tillåten krävs det dessutom att behandlingen är tillåten enligt de angivna ändamålsbestämmelserna. Likaså krävs det att övriga bestämmelser om behandlingen följs för att behandlingen ska få genomföras. Att i detalj reglera vilka uppgifter som får antecknas och i vilka fall detta får ske, är inte möjligt. Det går inte att förutse de olika situationer som kan uppstå. Att i vägtrafikdatalagen genom detaljbestämmelser begränsa tillåtligheten av behandling av känsliga personuppgifter är inte lämpligt. Av hänsyn till skyddet för den personliga integriteten bör dock, som kommer att föreslås i det följande, ytterligare begränsningar i tillåtligheten att behandla sådana uppgifter kunna föreskrivas i förordning. Vi anser att en bestämmelse om känsliga personuppgifter ska vara generell, dvs. den bör gälla för såväl behandling i databaserna som för annan behandling. Det ska inte heller spela någon roll för vilket ändamål som uppgiften behandlas, utan reglerna ska gälla för alla behandlingar. Vi föreslår dock ett undantag i begränsningen och det gäller vid behandlingen av elektroniska handlingar i databaserna (se avsnitt 8.10.3). 7.12.3Behandlingen av uppgifter om lagöverträdelser m.m. Enligt 21 § PUL är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administra- tiva frihetsberövanden. Dessa uppgifter är således inte känsliga i dataskyddsdirektivets eller PUL:s mening men är naturligtvis ändå av ömtålig art integritetsmässigt sett. I Transportstyrelsens verksamhet finns behov av att behandla dessa uppgifter, eftersom de tillmäts betydelse i bl.a. ärenden om körkort, yrkestrafiktillstånd Transportstyrelsen har därför medgetts direktåtkomst till RPS:s belastnings- och misstankeregister. RPS underrättar även Transportstyrelsen om dom, beslut, strafföre- läggande eller föreläggande av ordningsbot som den registrerade har gjort sig skyldig till (se 5 kap. FVTR). FVTR innehåller också vissa bestämmelser om Transportstyrelsens behandling av sådana uppgifter. Vi föreslår därför ingen inskränkning av Transportstyrelsens rätt att behandla uppgifter om lagöverträdelser m.m. i förhållande till vad som följer av PUL. Vid Transportstyrelsens behandling av uppgifter om lagöverträdelser m.m. gäller således vad som följer av 21 § PUL. När det gäller frågor om behandling av uppgifter om lagöverträdelser av andra aktörer än Transportstyrelsen har vi gjort överväganden i avsnitt 14.7–14.8. 7.12.4Särskilt om 5 a § PUL I detta sammanhang bör särskilt omnämnas 5 a § i PUL som trädde i kraft . Genom bestämmelsen infördes för- enklade regler för behandling av personuppgifter i ostrukturerat material såsom löpande text och ljud och bild som får utföras fritt så länge som det inte innebär en kränkning av den registrerades personliga integritet. Det undantagna området innefattar behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Avgränsningen har således knutits till materialets struktur. Bestämmelsen har endast betydelse för automatiserad behandling av personuppgifter. I det undantagna området ingår produktion av löpande text i ordbehandlingsprogram och korrespondens med e-post under förutsättning att materialet inte ingår i eller ska infogas i en databas med en personuppgifts- anknuten struktur, som t.ex. ett ärendehanteringssystem. De uppgifter som hanteras av Transportstyrelsen i e-post, föredragningspromemorior och beslutskoncept och liknande kommer att omfattas av de allmänna reglerna i vägtrafikdatalagen. Det innebär att bestämmelserna om personuppgiftsansvar, förhållandet till PUL, ändamålsbestämmelsen och bestämmelser om behandling av känsliga uppgifter m.m. och bestämmelsen om Om endast PUL varit tillämplig på denna behandling hade den varit undantagen från ändamåls- bestämmelserna och bestämmelserna om förbudet mot att behandla känsliga uppgifter m.m. Genom vårt förslag kommer även hanteringen av sådant ostrukturerat material att omfattas av tillämpliga bestämmelser i vägtrafikdatalagen. Vårt förslag: I fråga om bevarande och gallring gäller arkivlagen (1990:782) och arkivförordningen (1991:46). Regeringen ska få meddela föreskrifter om begränsningar i rätten att bevara uppgifter och om digital arkivering. I fråga om bevarande och gallring av personuppgifter som inte är allmänna handlingar ska 9 § PUL gälla. Bestämmelser om bevarande av myndigheters och vissa andra organs arkiv samt bestämmelser om arkivmyndigheter finns i arkivlagen (1990:782) och arkivförordningen (1991:446). Arkiv- lagen föreskriver att allmänna handlingar ska bevaras så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och förvaltningen samt forskningens behov (3 §). Enligt 10 § arkivlagen får gallring ske med beaktande av dessa ändamål och av att arkiven utgör en del av kulturarvet. LVTR innehåller inte särskilda bestämmelser om gallring, utan istället har regeringen i 37 § LVTR bemyndigats att meddela begränsningar i fråga om rätten att bevara uppgifter. föreslog i sitt betänkande (SOU 1998:162, s. 469) att det uttryckligen skulle framgå att uppgifter som inte behövdes för sitt ändamål skulle gallras. Regeringen var dock av uppfattningen att det skulle vara olyckligt med en bestämmelse om gallring som avsåg samtliga i registret ingående uppgifter, inte minst med hänsyn till forskningens behov. Eftersom LVTR är avsedd att utgöra en yttre ram för tillåten behandling av personuppgifter menade regeringen att lagen inte borde innefatta särskilda bestämmelser om gallring, utan istället ett bemyndigande för regeringen att, till skydd för den enskildes integritet, inskränka rätten att bevara handlingar (prop. 2000/01:95, s. 85). I 3 kap. 1 § FVTR anges att uppgifter i vägtrafikregistret gallras i enlighet med vad som föreskrivs i det kapitlet om inte har meddelat föreskrifter om att uppgifter ska gallras eller att uppgifter ska bevaras. Det har således i förordningen överlåtits åt att meddela närmare föreskrifter om att en uppgift kan gallras vid en senare eller en tidigare tidpunkt än vad gallringsbestämmelserna i anger eller om undantag från gallringsbestämmelserna. I FVTR finns särskilda gallringsregler för vissa uppgifter i registret. har utfärdat myndighetsspecifika föreskrifter om gallring och annan arkivhantering när det gäller gallring hos Transportstyrelsen (myndighetsspecifika föreskrifter om gallring och annan arkivhantering, RA-MS 2010:35 Föreskrifter om ändring av föreskrifter [RA-MS 2009:58] om gallring hos Transportstyrelsen). I 2 § anges att Transportstyrelsen får gallra eller återlämna vissa i föreskrifterna upptagna handlingar. I 3 § anges att Transportstyrelsen får gallra uppgifter i vägtrafik- registret under förutsättning att uppgifter som upptas i bilaga 2 till föreskrifterna undantas och bevaras. I andra stycket anges att Transportstyrelsen ska besluta om gallringsfrister för uppgifter i vägtrafikregistret. Dessa föreskrifter trädde i kraft . Så länge som Transportstyrelsen inte har specificerat några nya gallringsföreskrifter gäller dock de frister som anges i FVTR. Sedan Transportstyrelsen övertog länsstyrelsernas verksamhet på körkorts- och yrkestrafikområdet har gallringen inom yrkestrafikområdet utretts. Yrkestrafikområdet har därvid fått nya gallringsfrister (RA-MS 2010:35), medan körkortsområdet återstår att utreda. Transportstyrelsen har anfört att det finns skäl att utreda förhållandet mellan de i FVTR fastställda gallringsbestämmelserna och gallringsföreskrifter. Enligt Transportstyrelsen bör frågan diskuteras med utgångspunkt i om vissa dokument ska gallras om den registrerade uppgiften gallras i vägtrafikregistret. Som ett exempel har Transportstyrelsen framfört att om en körkortsinnehavare avlider ska uppgifterna gallras enligt FVTR, medan körkortsfotografiet enligt gallrings- föreskrifter ska bevaras. Transportstyrelsen har vidare påtalat att det finns ett behov av att tydliggöra gallringsreglerna för de s.k. övriga uppgifter som finns i vägtrafikregistret och som består av uppgifter som behövs av administrativa skäl vid handläggningen av ett ärende. När stora mängder personuppgifter samlas hos myndigheter uppstår oundvikligen integritetsrisker, i synnerhet som dagens teknik tillåter att avancerade sammanställningar av information görs på ett enkelt sätt. En metod att minska integritetskänsligheten är att se till att uppgifter som inte längre behövs för en myndighets verksamhet avlägsnas från myndighetens databaser eller register. Detta kan göras genom bl.a. bestämmelser om gallring eller bestämmelser som föreskriver begränsningar i möjligheten att behandla uppgifterna i myndighetens verksamhet. Vid utformningen av gallringsbestämmelser måste det beaktas att vissa uppgifter behöver bevaras för framtiden för att offentlighetsprincipen inte ska bli verkningslös. Uppgifter får i princip aldrig gallras i sådan omfattning att det äventyrar arkivens roll som en del av kulturarvet eller något av de tre huvudändamålen med arkivverksamheten. Även efter en genomförd gallring måste arkiven kunna tillgodose rätten att ta del av allmänna handlingar, rättsskipningens och förvaltningens behov samt forskningsbehov. Regeringen har i detta sammanhang uttalat att det inte går att undantagslöst föreskriva att samtliga uppgifter ska gallras när de inte längre behövs för verksamheten. Tvärtom behövs enligt regeringen en avvägning mellan integritets- och offentlighets- intresset, inte minst i då mängder av uppgifter endast finns i elektroniskt form (se prop. 2009/10:85, s. 205). föreskrivs i 2 kap. 18 § TF att grundläggande bestämmelser om hur allmänna handlingar ska bevaras samt om gallring och annat avhändande av sådana handlingar ska meddelas i lag. I fråga om personuppgifter som behandlas i myndighets- verksamhet tillämpas i första hand bestämmelserna i arkivlagen (1990:782) och arkivförordningen (1991:446). Arkivlagen föreskriver att allmänna handlingar ska bevaras så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov (3 §). Allmänna handlingar får enligt 10 § samma lag endast gallras om återstående arkivmaterial kan tillgodose dessa ändamål. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser (10 § tredje stycket). Enligt 14 § arkivförordningen får statliga myndigheter gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , eller enligt särskilda gallringsföreskrifter i lag eller förordning. Arkivlagens utgångspunkt är således att allmänna handlingar ska bevaras. Att uppgifter arkiverats hindrar inte att uppgifterna på samma sätt som tidigare är sökbara och tillgängliga i verksamheten. En myndighets arkiv bildas av de allmänna handlingar från myndighetens verksamhet och sådana handlingar som enligt 2 kap. 9 § TF (minnesanteckningar, utkast och koncept) som myndigheten beslutar ska tas om hand för arkivering. Upptagning för automatisk databehandling som är tillgänglig för flera myndigheter, så att de hos dessa utgör allmänna handlingar, ska dock bilda arkiv endast hos en av dessa myndigheter, i första hand den myndighet som svarar för huvuddelen av upptagningen. Gallring enligt föreskrifter görs för att begränsa arkivens omfattning och för att arkiven inte ska tyngas av handlingar som saknar påtagligt informationsvärde, dvs. gallring görs av både ekonomiska skäl och hanteringsskäl (se prop. 2009/10:85, s. 206). Gallring enligt görs av hänsyn till skyddet för den personliga integriteten. Hur länge personuppgifter får bevaras regleras allmänt i PUL som ett grundläggande krav på behandling av personuppgifter. I 9 § första stycket i) PUL anges att den personuppgiftsansvarige ska se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter får dock bevaras för historiska, statistiska eller vetenskapliga ändamål. I dessa fall får dock personuppgifterna inte bevaras än vad som är nödvändigt för dessa ändamål. För myndigheter gäller emellertid 8 § PUL om förhållandet till offentlighetsprincipen och myndigheternas arkivbildning. Denna bestämmelse innebär bl.a. att PUL inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. PUL ställer alltså inga krav på att personuppgifter som är allmänna handlingar ska utplånas eller