sou · GYB376d2 · 2011-01-01 00:00:00 — Däremot föreslog ett bemyndigande för regeringen, eller den myndighet som regeringen bestämmer, att meddela föreskrifter om utlämnande av uppgifter i registret. Om det uppkom behov därav kunde regeringen med stöd härav, enligt uppfattning, besluta om nödvändiga begränsningar och regler i övrigt om direktåtkomst och annat utlämnande av uppgifter ur registret. I förslaget till förordning togs även in ett bemyndigande för att besluta om anslutning till vägtrafikregistret för datakommunicering. Regeringen, som höll med om att det inte fanns något skäl att införa ett förbud mot direktåtkomst, ansåg emellertid att integritetsaspekterna gjorde sig starkt gällande när det gällde möjligheten till direktåtkomst (prop. 2000/01:95 s. 80). Enligt regeringen var det därför viktigt att begränsningar i fråga om direktåtkomst alltjämt förekom och frågan borde inte enbart överlåtas på den personuppgiftsansvarige. I stället menade regeringen att frågan skulle regleras i författning. I LVTR togs därför in en bestämmelse som begränsar möjligheterna att medge direktåtkomst till personuppgifter för särskilt angivna ändamål. Regeringen ansåg av hänsyn till den personliga integriteten att direktåtkomst inte borde tillåtas om syftet med direktåtkomsten är att komplettera eller kontrollera kund- eller medlemsregister eller om syftet är att göra en s.k. urvalsdragning. När det gäller frågor som avser direktåtkomst anser vi att de överväganden som gjordes av regeringen vid införandet av LVTR bör gälla även för det fortsatta utbytet genom direktåtkomst. Enligt vår uppfattning är det alltjämt viktigt att begränsningar i fråga om direktåtkomst förekommer. Vi anser i likhet med regeringen att frågor om direktåtkomst inte enbart bör överlåtas på den personuppgiftsansvarige. Möjligheten till direktåtkomst ska därför alltjämt regleras i lag. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser Direktåtkomst ska endast vara möjlig till den information som finns i databaserna. Det ska alltså krävas att uppgifterna är gemensamt tillgängliga. Det är ur ett integritetsperspektiv rimligt att de särskilda, mer begränsade reglerna om gemensamt tillgängliga uppgifter tillämpas. Direktåtkomst bör således endast medges till databaserna. En annan sak är att det finns skäl att ha olika regler för direktåtkomst till uppgifter respektive handlingar i en databas. regleras direktåtkomsten på så sätt att det i LVTR anges att direktåtkomst får medges till personuppgifter för sådana ändamål som anges i 5 § 1–3 i enlighet med föreskrifter meddelade av regeringen. Bestämmelsen begränsar möjligheterna att medge direktåtkomst till personuppgifter för vissa särskilt angivna ändamål. Det finns enligt vår mening inte skäl att ändra den lagtekniska ordning som gäller. I fråga om direktåtkomst är det viktigt att väga behovet av direktåtkomst mot hänsynen till den enskildes personliga integritet. Integritetsaspekterna måste tillmätas central betydelse vid bedömningen av i vilken omfattning direktåtkomst bör medges. Enbart det förhållandet att uppgifter om en enskild persons förhållanden samlas in och bevaras kan uppfattas som ett intrång i den personliga integriteten. Ju fler aktörer som har tillgång till uppgifter genom direktåtkomst, desto mer påtagligt är risken för integritetsintrång. Direktåtkomst kan också minska möjligheterna att kontrollera den vidare användningen av uppgifterna. Vi anser därför, i likhet med vad regeringen anförde vid införandet av LVTR, att av hänsyn till den personliga integriteten bör direktåtkomst inte tillåtas om syftet med direktåtkomsten är att komplettera eller kontrollera kund- eller medlemsregister eller om syftet är att göra en s.k. urvalsdragning. Särskilda regler bör av integritetsskäl gälla för direktåtkomst till elektroniska handlingar. Vi redogör för våra överväganden i den delen i avsnitt 8.10.5. Vi är även av uppfattningen att det särskilt i lagen bör anges att den som har medgetts direktåtkomst ska se till att tillgången till personuppgifter begränsas till vad varje tjänsteman eller anställd behöver för att kunna fullgöra sina uppgifter. Närmare föreskrifter om direktåtkomst ska kunna meddelas av regeringen eller den myndighet som regeringen bestämmer. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser 8.8.5Direktåtkomst till egna uppgifter Enligt Transportstyrelsen kan styrelsen inte erbjuda den registrerade direktåtkomst till egna uppgifter. Vi anser inte att det finns några integritetsskyddsskäl som talar emot att den registrerade får ha direktåtkomst till sina egna uppgifter som behandlas i någon av Transportstyrelsens databaser eller att uppgifterna på annat sätt lämnas ut elektroniskt till den registrerade. I stället kan sådan elektronisk tillgång, både i form av direktåtkomst och annan elektronisk åtkomst, bidra till att det blir enklare för den registrerade att kontrollera sina uppgifter och göra gällande sina rättigheter, t.ex. om det har blivit något fel. Vi föreslår därför en bestämmelse om att den registrerade får ha direktåtkomst till uppgifter om sig själv. Någon erinran om att detta gäller endast om uppgifterna inte omfattas av sekretess i förhållande till den registrerade själv är inte nödvändig. Sekretess hindrar typiskt sett inte att den enskilde får ut uppgifter om sig själv, 12 kap. 1 § OSL, och de undantag som finns torde inte aktualiseras (se 25 kap. 6 §, 28 kap. 2 § och 35 kap. 3 § OSL.) Någon särskild författningsreglering krävs inte för att utlämnande av personuppgifter på medium för automatiserad behandling ska vara tillåten. Vi finner inte heller skäl att införa någon sådan reglering när det gäller enskilda, se även nedan. 8.8.6Inga regler om utlämnande på medium för automatiserad behandling Det bör observeras att frågan endast berör sättet för utlämnande och inte huruvida personuppgifter över huvud taget får lämnas ut. Ett utlämnade på medium för automatisk behandling är en form av behandling av personuppgifter och är som sådan tillåten under förutsättning att utlämnandet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Offentlighetsprincipen innebär, som ovan påpekats, inte någon skyldighet för en myndighet att lämna ut en handling i elektronisk form. Om E-offentlighetskommitténs förslag genomförs kommer en regel att införas som innebär en rätt att få ut en elektronisk handling i elektronisk form, om detta inte är olämpligt (se avsnitt 8.8.3). Vägtrafikdatalagens bestämmelser om behandling som sker i databaser PUL och dataskyddsdirektivet saknar särbestämmelser som reglerar om eller under vilka förutsättningar uppgifter får lämnas ut i elektronisk form. Någon åtskillnad mellan elektroniskt utlämnande av personuppgifter och utlämnande som sker på papper görs således inte. Inte heller görs någon åtskillnad mellan olika former av utlämnande i 21 kap. 7 § OSL, som föreskriver att sekretess gäller för personuppgifter, om det kan antas att ett utlämnande skulle medföra att uppgifterna behandlas i strid mot PUL. Särskild författningsreglering krävs således inte för att utlämnande av personuppgifter på medium för automatiserad behandling ska vara tillåten. Frågan är om det finns skäl att begränsa möjligheten till annat elektroniskt utlämnande av uppgifter. Ett elektroniskt utlämnande av personuppgifter förenklar och effektiviserar tillgången till en myndighets offentliga information. Därigenom ökar möjligheterna till insyn och kontroll av myndigheternas verksamhet. Möjligheten till ett elektroniskt utlämnande blir i allmänhet också enklare och billigare för myndigheterna. Ett elektroniskt utlämnande stärker även de mål som har fastställts i den nationella handlingsplanen för e- förvaltning (Fi2008/491/OFA) om att öka tillgängligheten för företagare och medborgare att använda offentliga tjänster. Likaså är det förenligt med PSI-direktivets syfte. Ett sådant utlämnande ligger även i linje med de tankar som ligger bakom förslag till en skyldighet att elektroniskt lämna ut uppgifter om det begärs av en enskild med stöd av offentlighetsprincipen. Mot detta ska ställas att person- uppgifter som på ett eller annat vis lämnas ut i elektronisk form som regel innebär att det, i förhållande till utlämnande i annan form, t.ex. muntligt eller på papper, blir enklare för mottagaren att bearbeta uppgifterna och att sprida dem vidare. Detta kan i sin tur tala för att det kan finnas skäl att ha särskilda begränsningar även för annat elektroniskt utlämnande av personuppgifter än direkt- åtkomst. När det gäller utlämnande till myndigheter eller, i OSL:s mening, med myndigheter jämställt organ, talar effektivitetsskäl med betydande styrka för att myndigheter, som bedriver verksamhet och i den verksamheten har ett behov av uppgifter från data- baserna, ska kunna erhålla uppgifter genom användning av modern informationsteknik, efter en prövning av om utlämnandet är förenligt med vägtrafikdatalagens bestämmelser och OSL. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser I takt med att myndigheterna inom den offentliga förvaltningen i allt större utsträckning övergår till fullständig elektronisk informationshantering ter sig begränsningar av möjligheten till elektroniskt informationsutbyte mellan myndigheterna i motsvarande grad mindre lämpligt. Även i de fall en s.k. registerförfattning inte finns för den mottagande myndighetens behandling, anser vi att det saknas anledning att befara att personuppgifter av den mottagande myndigheten kommer att behandlas för andra syften än vad den utlämnande myndigheten kunnat ta i beaktande vid sitt beslut att, efter vederbörlig prövning enligt vägtrafikdatalagen och OSL, utlämna uppgifterna. Risken för otillbörliga integritetsintrång bör inte öka i nämnvärd mån på grund av att utlämnandet sker på medium för automatiserad behandling i stället för på papper. Enligt vår mening finns därför inte tillräcklig anledning att föreslå en särbestämmelse som begränsar möjligheterna att till en myndighet lämna ut personuppgifter på medium för automatiserad behandling. sker sådant informationsutlämnande bl.a. till besiktnings- organ (som är att jämställa med myndighet enligt OSL och utför myndighetsutövning), polisen, och . Utlämnande till dessa mottagare sker dels för att fullgöra de tillåtna ändamålen med behandlingen av personuppgifter, dels på grund av författningsreglerad uppgiftsskyldighet. Det har inte framkommit något som ger anledning att begränsa detta informationsutbyte. Snarare talar utvecklingen för det motsatta. Givetvis åligger det Transportstyrelsen att göra övervägningar utifrån hänsyn till säkerhets- och integritetsfrågor vid valet mellan att lämna ut personuppgifter på automatiserat medium eller på pappersutskrift. När det gäller elektronisk överföring till enskilda finns det inte heller någon anledning att införa några begränsande regler för ett sådant informationsutbyte. har Transportstyrelsens ett sådant informationsutbyte med bl.a. försäkringsbolag. Utlämnandet till dessa mottagare sker dels för att fullgöra de tillåtna ändamålen med behandlingen av personuppgifter, dels på grund av författningsreglerad underrättelseskyldighet. Givetvis åligger det Transportstyrelsen även här att göra övervägningar utifrån hänsyn till säkerhets- och integritetsfrågor vid valet mellan att lämna ut personuppgifter på automatiserat medium eller på pappersutskrift. När det gäller våra överväganden att elektroniskt lämna ut uppgifter om den registrerade till den registrerade själv hänvisas till avsnitt 8.8.5. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser Vi har således från integritetssynpunkt inte någon erinran mot detta informationsutbyte. 8.8.7Särskilt om uppgifter på Internet Internet är ett vanligt sätt att göra information tillgänglig. En öppen publicering av personuppgifter på Internet är en form av utlämnande som till vissa delar skiljer sig från andra former av utlämnande. Utgångspunkten i vårt förslag är att 33 § PUL ska tillämpas i Transportstyrelsens verksamhet på vägtrafikområdet (se avsnitt 7.9). Som vi har redogjort för i avsnitt 3.5.5 har förbudet mot att överföra personuppgifter till ett tredjeland, som inte säkerställer en adekvat skyddsnivå, genom ett EU-domstols- avgörande delvis förlorat i betydelse1 Det förhärskande synsättet i är att inte någon internetpublicering som sker från en server som innehas av någon som är etablerad inom EU och EES innebär en överföring av personuppgifter i den mening som avses i 33 § PUL.2 Det anses inte heller ha någon betydelse var den server på vilken uppgifterna finns lagrade faktiskt är placerad. Det som har betydelse är om den som har servern är etablerad inom EU och EES och därmed underkastad lagstiftning som genomför data- skyddsdirektivet. I kommentaren till PUL har dock särskilt noterats att dom berörde öppen publicering på Internet och att resonemanget inte utan vidare kan anses tillämplig på publiceringen av internationella nät, eller Internetpublicering med åtkomstskydd eller internationell e-postkommunikation.3 Mot denna bakgrund bedömer vi att det inte är nödvändigt att införa någon särreglering av Transportstyrelsens möjligheter att publicera personuppgifter på Internet av den anledningen att det skulle vara fråga om ett överförande av personuppgifter till tredjeland. Transportstyrelsen måste naturligtvis vid eventuell publicering på Internet, som vid all annan behandling, överväga om de allmänna förutsättningarna för en sådan behandling av personuppgifterna är uppfyllda. Detta innebär att Transportstyrelsen måste göra en bedömning av om ändamålen är uppfyllda. 1EG-domstolens dom i det s.k. Bodil-målet (dom i mål C-101/01, 2003 s. I-2971). 2Sören och , Personuppgiftslagen, En kommentar, s. 379. 3Samma källa, s. 379. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser 2010:76 Dessutom krävs en bedömning av det lämpliga, bl.a. från integritetssynpunkt, i en eventuell publicering. Vårt förslag: Personuppgifter ska få behandlas för tillhanda- hållande av information i Transportstyrelsens verksamhet på vägtrafikområdet avseende fordon, behörigheter, tillstånd och tillsyn om det behövs för att fullgöra en för bindande internationell överenskommelse. Personuppgifter i databaserna ska även få behandlas för tillhandahållande av information som behövs för en utländsk myndighets verksamhet i den utsträckning som följer av en internationell överenskommelse som efter godkännande har tillträtt eller om det följer av en EU-rättsakt. Vid den allmänna behandlingen av personuppgifter kan det ibland finnas anledning att föra över uppgifter till utlandet. Vi har övergripande beskrivit det internationella informationsutbytet i avsnitt 4.10. Det finns inte några särskilda bestämmelser om utlämnande av uppgifter till utlandet i LVTR. Samma bestämmelser gäller för detta utlämnande som för utlämnande av personuppgifter i allmänhet. Även i dessa fall åligger det Transportstyrelsen att pröva dels om ett utlämnande till utlandet stämmer överens med vägtrafik- registrets ändamålsbestämmelser, dels – om ett utlämnande blir aktuellt – vilka särskilda villkor som bör uppställas för att förhindra att risker från säkerhetssynpunkt m.m. uppkommer. Enligt 10 kap. 1 § RF ingås överenskommelse med annan stat eller med en mellanfolklig organisation av regeringen. Regeringen får enligt 10 kap. 2 § första stycket RF dock inte ingå en för riket bindande internationell överenskommelse utan att har godkänt denna, om överenskommelsen förutsätter att lag ändras, upphävs eller att ny lag stiftas eller om den i övrigt gäller ämne i vilket ska besluta. Samma gäller enligt 10 kap. 2 § tredje stycket RF om överenskommelsen är av större vikt. Regeringen kan dock underlåta att inhämta godkännande av Vägtrafikdatalagens bestämmelser om behandling som sker i databaser överenskommelsen, om rikets intresse kräver det. I sådana fall ska regeringen i stället överlägga med innan överens- kommelsen ingår. Enligt 10 kap. 3 § får regeringen uppdra åt förvaltningsmyndighet att ingå internationell överenskommelse i fråga där överenskommelsen inte kräver eller medverkan. Regeringen har i 20 kap. 10 § FVTR bemyndigat Transportstyrelsen att ingå en sådan internationell överenskommelse som berör frågor om utbyte av information på elektronisk väg inom styrelsens kompetensområde. Även i de fall ett informationsutbyte grundas på en internationell överenskommelse, måste ändamålsbestämmelsen vara uppfylld för att ett utlämnande ska kunna ske. Möjligheten för Transportstyrelsen att lämna ut uppgifter i vägtrafikregistret är således inte begränsat till svenska myndigheter och aktörer. Det finns en möjlighet att, om ändamåls- bestämmelserna i 5 § punkterna 2–3 LVTR är uppfyllda, bevilja direktåtkomst till uppgifter i vägtrafikregistret för utländska aktörer. Transportstyrelsen har t.ex. beviljat i direktåtkomst till uppgifter i fordonsregistreringen. Transportstyrelsens informationsutbyte via EUCARIS (se avsnitt 4.10.1) som innebär att utländska vägtrafikregistermyndigheter har direktåtkomst till uppgifter i registret sker med stöd av samma ändamål. En bestämmelse om direktåtkomst reglerar endast tillåtligheten av ett visst tillvägagångssätt för att lämna ut uppgifter. En sådan bestämmelse har alltså inte någon självständig sekretessbrytande effekt; den är inte att se som en uppgiftsskyldighet enligt 10 kap. 28 § OSL (se bl.a. prop. 2004/05:164 s. 83 och 2006/07:46 s. 80). Möjligheterna för t.ex. en myndighet att vid informationsutbyte med en annan myndighet överföra uppgifter genom att medge den senare direktåtkomst till uppgifter som behandlas automatiserat begränsas därför inte sällan av sekretess. Eftersom direktåtkomst innebär att den mottagande myndigheten fritt kan avgöra vilka uppgifter – inom ramen för den beviljade direktåtkomsten – den vill ta del av, blir uppgifterna att anse som utlämnade i och med att direktåtkomst medges. Det spelar ingen roll om den mottagande myndigheten faktiskt tar del av en viss uppgift eller inte. En myndighet kan därför inte tillåta en annan myndighet direktåtkomst till uppgifter som, vid en sekretessprövning, den senare myndigheten inte med säkerhet skulle ha rätt att ta del av (prop. 2007/08:160 s. 73). Vägtrafikdatalagens bestämmelser om behandling som sker i databaser 3 § OSL får en sekretessbelagd uppgift inte röjas för en utländsk myndighet eller mellanfolklig organisation annat än om utlämnandet sker i enlighet med en särskild föreskrift om detta i lag eller förordning eller om uppgiften i motsvarande fall skulle få utlämnas till en svensk myndighet och det enligt den utlämnande myndigheten står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. Enligt 4 kap. 12 § FVTR får uppgifter i vägtrafikregistret lämnas ut till en utländsk myndighet om utlämnandet följer av en internationell överenskommelse som har tillträtt. Bestämmelsen är sekretessbrytande och innebär att uppgifter som omfattas av sekretess kan lämnas ut. Bestämmelsen är tillämplig när den internationella överenskommelsen ålägger att lämna ut ett visst slag av uppgifter. Däremot gäller den inte för överenskommelser där det endast anges att utlämnande får ske (jfr. 2009/10:85 s. 330). I sådana fall får en prövning göras enligt 8 kap. 3 § OSL. Den innebär inte heller att uppgifter kan lämnas ut utan stöd av ändamålsbestämmelsen i lagen. Bestämmelsen i 4 kap. 12 § FVTR innebär dock inte att bestäm- melserna i 33–35 §§ PUL om överföring av personuppgifter till tredje land inte behöver tillämpas. Enligt 33 § är det förbjudet att överföra personuppgifter till tredje land om landet inte har en adekvat nivå för skyddet av personuppgifter. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmandelandet och reglerna för behandlingen i tredjeland. I 34–35 §§ föreskrivs undantag från förbudet. Bl.a. är det tillåtet att föra över uppgifter till en stat som har anslutit sig till dataskyddskonventionen. Transportstyrelsen måste därför även försäkra sig om att den mottagande staten har en adekvat nivå för skydd av personuppgifter innan några personuppgifter lämnas ut. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser Med hänvisning till det arbete som pågår inom EU avseende tillgång till information om fordon och föraruppgifter samt elektronisk överföring av sådan information mellan medlems- staterna har Transportstyrelsen ansett det som angeläget att även ändamålet i denna del ses över för att, om så är möjligt och lämpligt, reglera möjligheten att hämta och lämna information till EU:s olika medlemsstater i de fall där informationslämnandet anses följa av gemenskapsrätten. Med den ökade internationaliseringen och den ökade rörligheten för såväl personer som kapital har samarbete mellan vägtrafik- registermyndigheter i olika länder, men även det polisära samarbetet med krav på tillgång till fordonsuppgifter, ökat. Samarbetet regleras i stor utsträckning i olika författningar och EU-rättsakter, men även genom internationella överenskommelser. Transportstyrelsen har behov av att utbyta information med andra länder. En ny reglering av behandlingen av personuppgifter i Transportstyrelsens verksamhet bör därför inte ställa onödiga hinder för ett sådant informationsutbyte. Utredningen har erfarit att det föreligger oklarheter om vad som gäller enligt dagens reglering när internationella överenskommelser ingås, om behandlingen inte är i överensstämmelse med de ändamål som gäller för behandlingen av uppgifter. Det är därför önskvärt med ett förtydligande i de delar där det råder oklarheter om vad som gäller. 8.9.4Transportstyrelsens behandling av personuppgifter i det internationella samarbetet En självklar utgångspunkt i vårt arbete är att på bästa sätt ska kunna fullgöra sina internationella åtaganden. Om det finns ett förpliktande i en bindande internationell överenskommelse för Transportstyrelsen att samla in, bearbeta eller lämna ut uppgifter till en utländsk aktör måste detta åtagande kunna fullgöras med modern teknik. Detta bör gälla även i de fall den internationella överenskommelsen förutsätter ett frivilligt informationsutbyte. Vägtrafikdatalagens bestämmelser om behandling som sker i databaser Den nya lagen bör därför ge möjlighet till personuppgifts- behandling i internationellt samarbete. Transportstyrelsens internationella arbete regleras i olika författningar. Som exempel kan nämns att enligt 8 kap. 1–3 §§ förordningen (2004:865) om kör- och vilotider samt färdskrivare, m.m. ska Transportstyrelsen utbyta uppgifter och och på särskild begäran av en stat inom EES. För att fullgöra dessa åtagande måste Transportstyrelsen kunna behandla personuppgifter. Samarbetet regleras även i olika internationella överens- kommelser. Internationella överenskommelser kan ingås antingen av , regeringen eller av Transportstyrelsen med stöd av bemyndigandet i 20 kap. 10 § FVTR. Det är bl.a. med stöd av detta bemyndigande som Transportstyrelsen deltar i informationsutbyte via EUCARIS och TACHO-net (se avsnitt 4.10.1). Överens- kommelser som har underkastats godkännande är Prümrådsbeslutet (se avsnitt 4.10.2). Det krävs enligt vår uppfattning en särskild ändamåls- bestämmelse som ger stöd för Transportstyrelsens behandling av uppgifter som sker inom ramen för det internationella samarbetet, även när detta sker i enlighet med internationella överens- kommelser. Det finns inte något sådant ändamål i LVTR. Genom att införa en sådan ändamålsbestämmelse kommer Transport- styrelsens möjligheter att ingå avtal om informationsutbyte inom Transportstyrelsens kompetensområde att bli större. Detta innebär en utvidgning av ändamålen i förhållande till vad som gäller .