prop · GZ0380 · 2012-02-20 00:00:00 — Lagen anger den grundläggande ramen för behandling av personuppgifter. Särreglering i lag eller förordning gäller emellertid framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger, är en garanti för att behovet av särregler över- vägs noga i den ordning som gäller för författningsgivning. Personuppgiftslagen innehåller generella bestämmelser för all behand- ling av personuppgifter. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, exempelvis att samla in, söka, bevara och sprida uppgifter. Lagen omfattar i princip endast behandling av personuppgifter som är helt eller delvis automati- serad. Även behandling kan dock omfattas, nämligen om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt personuppgiftslagen ska en personuppgiftsansvarig se till att personuppgifter behandlas bara om det är lagligt. Den personuppgifts- ansvarige ska vidare se till att personuppgifter behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, att de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och att personuppgifter Prop. 2011/12:80 inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vidare reglerar personuppgiftslagen när behandling av uppgifter är tillåten. Detta är i princip fallet när den registrerade har lämnat sitt samtycke eller när behandlingen är nödvändig av olika angivna skäl, bl.a. för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet och för att den personuppgiftsansvarige, eller tredje man till vilken personuppgifter lämnas ut, ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Personuppgiftslagen förbjuder andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brott- mål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden. Det finns dock ett bemyndigande för regeringen, eller den myndighet som regeringen bestämmer, att meddela föreskrifter om undantag från förbudet. Datainspektionen har meddelat sådana före- skrifter; 1998:3, jfr 9 § personuppgiftsförordningen (1998:1191). trädde vissa ändringar av personuppgiftslagen i kraft, som innebär att lagen i viss utsträckning utformas enligt en s.k. missbruksmodell (prop. 2005/06:173). Regleringen tar därmed inte sikte på själva hanteringen av personuppgifterna utan på att uppgifterna inte får missbrukas till skada för någons personliga integritet. Behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka bild- och ljudupptagningar, undantas från de flesta av personuppgifts- lagens detaljerade hanteringsregler. Sådan behandling tillåts utan andra restriktioner än att den registrerades personliga integritet inte får kränkas. I lagen (2001:558) och förordningen (2001:650) om vägtrafikregister finns bestämmelser om behandling av personuppgifter i samband med registrering av fordon. Lagen innehåller bestämmelser om registrering av uppgifter om personer samt om motordrivna fordon och släpfordon i ett vägtrafikregister. Registret har i huvudsak till ändamål att tillhandahålla information till myndigheter, företag och organisationer som i sin verksamhet behöver information om fordon, fordonsägare och körkorts- innehavare. Ändamålen omfattar även att ge information till enskilda och till utländska myndigheter som är i behov av uppgifter i registret. Transportstyrelsen är personuppgiftsansvarig för behandlingen av personuppgifter i registret. I lagen (1998:620) om belastningsregister finns bestämmelser som rör belastningsregistret. Registret ska, såvitt nu är av intresse, innehålla uppgifter om den som genom dom, beslut, strafföreläggande eller före- läggande av ordningsbot har ålagts påföljd för brott. Det huvudsakliga ändamålet med registret är att ge information om sådana belastnings- uppgifter som behövs i verksamhet hos vissa angivna myndigheter samt hos övriga myndigheter vid sådan lämplighetsprövning, tillstånds- Prop. 2011/12:80 prövning eller annan prövning som anges i författning. (1999:1134) om belastningsregister framgår att Transportstyrelsen har rätt att få uppgifter ur registret och att myndigheten får ha direktåtkomst till dessa uppgifter. är personuppgiftsansvarig för behandlingen av personuppgifter i registret. I offentlighets- och sekretesslagen (2009:400) finns bestämmelser som gör det möjligt för myndigheter att utbyta uppgifter trots att dessa omfattas av sekretess. En utgångspunkt i offentlighets- och sekretesslagen är att en uppgift som omfattas av sekretess inte får röjas för en utländsk myndighet eller mellanfolklig organisation. Det får dock enligt 8 kap. 3 § ske i två situa- tioner. Den ena är när utlämnandet sker i enlighet med en särskild före- skrift i lag eller förordning. Med lag likställs EU-förordningar (se prop. 1998/99:18 s. 41 och 75 samt prop. 1999/2000:126 s. 160 och 283). En uttrycklig bestämmelse i en sådan författning om att uppgifter får lämnas till en utländsk myndighet eller mellanfolklig organisation innebär alltså att sekretessen inte hindrar att uppgiften lämnas ut. Den andra situationen är när uppgiften i motsvarande fall skulle få lämnas till en svensk myndighet och det enligt den utlämnande myndigheten står klart att det är förenligt med svenska intressen att uppgiften lämnas ut. Vissa sekretessbrytande bestämmelser finns i 10 kap. offentlighets- och sekretesslagen. Sekretessbelagda uppgifter får enligt 10 kap. 2 § lämnas ut från en myndighet till en annan om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Om en uppgiftsskyldighet följer av lag eller förordning hindrar enligt 10 kap. 28 § första stycket sekretess inte att uppgifter lämnas ut till en annan myndighet. Av generalklausulen i 10 kap. 27 § följer att sekretess- belagda uppgifter som huvudregel får lämnas ut till en annan myndighet efter en intresseavvägning som innebär att det ska vara uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Bestämmelser om att uppgifter får lämnas ut finns i lagen (1998:620) och förordningen (1999:1134) om belastningsregister samt i förord- ningen (2001:650) om vägtrafikregister. är ett automatiserat register som bland annat innehåller uppgifter om behörighet att föra fordon i yrkesmässig trafik och om tillstånd att bedriva sådan trafik. Registret har till ändamål att tillhanda- hålla information till myndigheter, företag och organisationer som i sin verksamhet behöver information om bland annat fordon, fordonsägare och den som har tillstånd att bedriva yrkesmässig trafik. omfattar även att ge information till enskilda som är i behov av uppgifter i registret samt att tillhandahålla uppgifter till en utländsk myndighet när uppgiftsutlämnandet följer av en internationell överenskommelse som efter godkännande har tillträtt eller en EU-rättsakt. Registret förs av Transportstyrelsen, som också är personuppgifts- ansvarig för registret. regleras i lagen (2001:558) och förordningen (2001:650) om vägtrafikregister. Myndigheter, företag och organisationer som i sin verksamhet hanterar fordon eller behöver information om fordon, fordonsägare, körkortsinne- havare eller den som har tillstånd att bedriva yrkesmässig trafik har möjlighet att få direktåtkomst till vägtrafikregistret. Direktåtkomst till vägtrafikregistret får även medges en utländsk myndighet när uppgifts- utlämnandet följer av en internationell överenskommelse som efter godkännande har tillträtt eller en EU-rättsakt. Det är Transportstyrelsen som efter prövning av en ansökan beslutar om direktåtkomst ska beviljas. finns det cirka 4 800 användare med direktåtkomst. har i betänkandet Transportstyrelsens databaser på trafikområdet integritet och effektivitet (SOU 2010:76) presenterat ett förslag till ny reglering som ska ersätta lagen och förordningen om vägtrafikregister. Utredningen föreslår att lagen om vägtrafikregister ska ersättas av två lagar; en som reglerar behandling av personuppgifter i Transportstyrelsens verksamhet avseende fordon, behörigheter, tillstånd och tillsyn på vägtrafikområdet och en som inne- håller de grundläggande bestämmelserna om fordons registrering. Den huvudsakliga behandlingen av personuppgifter föreslås ske i fyra data- baser: fordons-, behörighets-, tillstånds- och tillsynsdatabasen. För behandlingen i respektive databas föreslås särskilda och uttömmande ändamål som i stort sett motsvarar dagens reglering. I samtliga databaser föreslås personuppgifter få behandlas för att tillhandahålla information som behövs för en utländsk myndighets verksamhet i den utsträckning som följer av en internationell överenskommelse som efter godkännande har tillträtt eller om det följer av en EU-rättsakt. Betänkandet bereds inom . Det förekommer ett omfattande informationsutbyte mellan de europeiska myndigheter som ansvarar för nationella register över fordonsuppgifter. Informationsutbytet sker till viss del automatiserat genom den tekniska plattformen EUCARIS (and ). EUCARIS är inget EU-rättsligt system utan bygger på ett avtal som ingicks av femton EU-medlemsstater . har ännu inte skrivit under avtalet, men deltar i informationsutbytet och utbyter genom detta vissa fordonsuppgifter. EUCARIS är ett slutet kommunikationsnätverk där förfrågningar skickas direkt mellan s.k. core-servrar i de anslutna staterna. Den nationella core-servern är i sin tur kopplad till det nationella fordons- registret. Genom säker inloggning kan vägtrafikregistermyndigheterna i de stater som omfattas av samarbetet göra förfrågningar via nätverket. När en förfrågan skickas från exempelvis till loggar och Prop. 2011/12:80 kontrollerar den belgiska servern uppgifter om vem som gör sökningen och att denne är behörig att göra den. Förfrågan skickas sedan vidare till den svenska servern som loggar att en förfrågan har gjorts från och sedan skickar förfrågan vidare till det . Frågan besvaras helt automatiskt. Till nätverket är knutet regler om data- säkerhet samt det format och den teknik som ska användas vid utbyte av uppgifter. Uppgiftsutbytet i EUCARIS sker via fyra olika applikationer. Den första heter Eucaris och rör i första hand tekniska data som exempelvis tillverkare och bilmodell, men systemet indikerar också om ett fordon är anmält stulet. Vissa stater, dock inte , utbyter även körkorts- uppgifter. Den andra applikationen heter File-transfer och avser utbyte av bötesinformation. Den används endast av och . De stater som utbyter fordonsuppgifter med stöd av Prümrådsbeslutet gör det via en tredje applikation som kallas Prüm. Genom denna applikation utbyts uppgifter om fordons ägare och inne- havare och uppgifter om fordonet. Slutligen ska uppgifter om väg- transportföretag utbytas genom en fjärde applikation kallad ERRU. TACHOnet är en teknisk plattform för informationsutbyte mellan EU:s medlemsstater i fråga om utfärdande och kontroll av färdskrivare och förarkort knutna till färdskrivare. Det elektroniska systemet är uppbyggt kring en centralenhet till vilken alla medlemsstater är kopplade. Förfrågningar skickas till centralenheten där de samlas och lagras för att sedan besvaras. 6.4Utbyte av uppgifter enligt trafiktillståndsförordningen 6.4.1Hur ska uppgiftsutbytet gå till? Regeringens bedömning: EUCARIS bör användas som teknisk plattform för utbyte av uppgifter om vägtransportföretag. Varje medlemsstat bör ansvara för personuppgifter i sina respektive register. Den nationella kontaktpunkten bör ansvara för användningen av uppgifter överförda från utländska register över vägtransport- företag. Promemorians bedömning: Överensstämmer delvis med regeringens. I promemorian behandlas inte frågan om personuppgiftsansvaret mellan aktörerna. Remissinstanserna: Datainspektionen kan inte bedöma eller tillstyrka förslagen utan en närmare beskrivning av hur informationsutbytet är tänkt att fungera. Vidare efterlyser inspektionen ett tydliggörande av hur personuppgiftsansvaret ska fördelas mellan de inblandade aktörerna. Skälen för regeringens bedömning: Enligt trafiktillstånds- förordningen ska varje medlemsstat föra ett nationellt elektroniskt register över de vägtransportföretag som har beviljats tillstånd att bedriva Prop. 2011/12:80 yrkesmässig trafik. sammankopplade och tillgängliga på gemenskapsnivå genom nationella kontaktpunkter. Varje medlemsstats nationella kontaktpunkt ska ha åtkomst till samtliga medlemsstaters nationella elektroniska register. Gemensamma bestämmelser för genomförandet av denna samman- koppling ska antas av kommissionen. Kommissionen har i förordning (EU) nr 1213/2010 fastställt sådana bestämmelser. Systemet för sammankoppling av de nationella elektroniska registren kallas ERRU (European Registers of Road Transport Undertakings) och ska tillhandahålla medlemsstaterna tillförlitliga och säkra uppgifter på ett organiserat sätt. ERRU-systemet utgörs av en struktur med en centralenhet (motsvarande TACHOnet) och en ohierarkisk struktur (motsvarande EUCARIS). I systemet med en centralenhet sker kommunikationen alltid via centralenheten, medan kommunikationen i den ohierarkiska strukturen sker direkt mellan servrar i de anslutna staterna. Medlemsstaterna kan välja vilken av de två strukturerna de vill använda sig av. Uppgifter mellan de två systemen utbyts via centralenheten. I centralenheten ska endast loggningsuppgifter lagras. Centralenheten ska förvaltas av kommissionen, som också ansvarar för drift och underhåll av nätet och centralenheten samt för den allmänna säkerheten. Vid behandling av personuppgifter i enlighet med trafiktillståndsförordningen gäller bestämmelserna i och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutionerna och gemenskaps- organen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter16. Datainspektionen har efterlyst ett tydliggörande av hur personuppgifts- ansvaret ska fördelas mellan de inblandade aktörerna Av Kommissionens förordning (EU) nr 1213/2010 framgår att varje medlemsstat ska ansvara för sitt nationella system. Medlemsstater som använder en ohierarkisk struktur ska ansvara för loggningsuppgifter som rör transaktioner via ohierarkiska förbindelser, dvs. direkt mellan de behöriga myndigheterna. Den nationella kontaktpunkten ska ansvara för tillgången till överförda uppgifter och för fortsatt användning och uppdatering av uppgifter efter tillgången. Transportstyrelsen kommer således att vara personuppgifts- ansvarig för uppgifter i vägtrafikregistret och för uppgifter i belastningsregistret, medan utländska myndigheter ansvarar för uppgifter i sina respektive register. Transportstyrelsen ansvarar, i egenskap av nationell kontaktpunkt (se avsnitt 6.5), för att uppgifter från utländska register endast behandlas och lämnas ut i enlighet med artikel 16.2 i trafiktillståndsförordningen. Uppgifter som har inhämtats från ett utländskt register kommer inte att lagras i vägtrafikregistret, utan hanteras som ett ärende hos Transportstyrelsen. I förekommer ett omfattande utbyte av fordonsuppgifter via EUCARIS. EUCARIS är ett säkert och väl fungerande automatiskt system där förfrågningar besvaras direkt. Information behöver därför inte lagras i samma utsträckning som i TACHOnet. 16 EGT L 8, , s. 1 (Celex 32001R0045). förbättringar av systemet görs också lättare i EUCARIS än i TACHOnet. 2011/12:80 Enligt regeringens mening bör därför EUCARIS användas som teknisk plattform för utbytet av uppgifter om vägtransportföretag för del. Systemet för att utbyta uppgifter om vägtransportföretag förutsätter att utländska kontaktpunkter ges direktåtkomst till vissa uppgifter i vägtrafikregistret (se vidare avsnitt 6.4.5). Av artikel 16.2 i trafiktill- ståndsförordningen framgår att även uppgifter om allvarliga överträdelser av gemenskapsregler rörande vägtransporter ska utbytas. Uppgifter om överträdelser får bevaras i separata register. För del finns uppgifterna dels i belastningsregistret, dels, såvitt avser sanktions- avgifter, i vägtrafikregistret. Direktåtkomst till dessa uppgifter behöver inte medges utan det är tillräckligt att uppgifterna görs tillgängliga på begäran. Av avsnitt 6.5 framgår att avsikten är att uppgifterna i belast- ningsregistret ska förmedlas till de utländska kontaktställena via Transportstyrelsen. 6.4.2EU-rättsliga krav på innehållet i det nationella registret över vägtransportföretag Enligt artikel 16.1 i trafiktillståndsförordningen ska varje medlemsstat föra ett nationellt elektroniskt register över de vägtransportföretag som av en behörig myndighet utsedd av medlemsstaten har beviljats tillstånd att bedriva yrkesmässig trafik. Uppgifter av betydelse ska vara tillgäng- liga för alla behöriga myndigheter. De nationella elektroniska registren ska enligt artikel 16.2 åtminstone innehålla följande uppgifter: a)företagets namn och rättsliga status, b)etableringsställets adress, c)namn på de trafikansvariga som har utsetts och uppfyller villkoren i fråga om gott anseende och yrkeskunnande, eller i förekommande fall en legal företrädares namn, d)typ av tillstånd, antal fordon som tillståndet omfattar och i före- kommande fall gemenskapstillståndets och de bestyrkta kopiornas serie- nummer, e)antal, kategori och typ av allvarliga överträdelser enligt artikel 6.1 b vilka har gett upphov till en fällande dom eller en sanktion , samt f)namnet på personer som har förklarats olämpliga att leda ett företags transportverksamhet, så länge som dessa personers goda anseende inte har återupprättats i enlighet med artikel 6.3, samt tillämpliga åtgärder för återupprättande. För tillämpningen av punkten e) får medlemsstaterna till och med välja att endast låta det nationella elektroniska registret omfatta de allvarligaste överträdelserna enligt bilaga IV till trafiktillståndsförordningen. Vidare får medlemsstaterna välja att bevara de uppgifter som avses i punkterna e) och f) i separata register, så länge uppgifterna direkt eller på begäran kan göras tillgängliga för samtliga Senast vid utgången av ska medlems- nationella elektroniska register vara sammankopplade och tillgängliga på gemenskapsnivå genom nationella kontaktpunkter. Gemensamma bestämmelser för genomförandet av sammankopplingen ska antas av Kommissionen. Minimikrav för de uppgifter som ska föras in i registret framgår av Kommissionens beslut av om minimikrav för de uppgifter som ska föras in i det nationella elektroniska registret över vägtransportföretag (nedan Kommissionens beslut om minimikrav). Av beslutet framgår att med en legal företrädare i artikel 16.2 c avses ett företags juridiska ombud. Av artikel 6.2 a tredje stycket trafiktillståndsförordningen framgår att det nationella registret över vägtransportföretag i förekommande fall ska innehålla skälen för att anse det oskäligt att i ett visst fall besluta att kravet på gott anseende inte är uppfyllt. Vidare framgår av artikel 16.3 att uppgifter om ett företag som har fått tillståndet tillfälligt indraget eller återkallat ska finnas kvar i registret från den tidpunkt då åtgärden upphörde att gälla varefter de ska tas bort. Uppgifter om personer som har förklarats olämpliga att bedriva yrkesmässig trafik ska på motsvarande sätt finnas kvar i registret så länge deras goda anseende inte har återupprättats, men ska därefter tas bort. Slutligen ska skälen till att ett tillstånd tillfälligt dragits in eller återkallats eller till en olämplighetsförklaring, liksom åtgärdens varaktighet registreras. 6.4.3Innehållet i vägtrafikregistret och belastningsregistret innehåller uppgifter om vägtransportföretag. En uppräkning av de uppgifter i registret som avser yrkestrafiken finns i bilaga 3 till förordningen (2001:650) om vägtrafikregister. De regi- strerade uppgifterna utgörs bland annat av identifieringsuppgifter (punkt 1) såsom namn, personnummer och adress, tillståndsuppgifter (punkt 2) såsom slag av tillstånd och eventuellt gemenskapstillstånd, fordon som har anmälts att användas med stöd av ett trafiktillstånd, olämplighetstid vid avslag, villkor och begränsningar i tillståndet, namn på den trafikansvarige, antal utfärdade kopior av gemenskapstillståndet, beslut om varning eller återkallelse, olämplighetstid vid återkallelse och vem eller vilka personer som avses. Punkt 5 reglerar vilka belastnings- uppgifter avseende tillstånd till yrkesmässig trafik eller biluthyrning som ska registreras. Uppgifterna utgörs av utländska domar eller andra likvärdiga avgöranden enligt nuvarande 5 kap. 15 § YTL, beslut eller anmälningar enligt nuvarande 8 kap. 2 eller 4 § YTF eller 10 eller 12 § förordningen (1998:780) om biluthyrning från andra myndigheter som rör tillståndshavaren samt återkallelsegrund. Registret kommer även att innehålla uppgifter om påförda sanktionsavgifter vid vissa överträdelser av bestämmelser på kör- och vilotidsområdet. innehåller, såvitt nu är av intresse, uppgifter om den som genom dom, beslut, strafföreläggande eller föreläggande av ordningsbot har ålagts påföljd för brott samt uppgifter om vilka brott den registrerade har gjort sig skyldig till. Uppgifterna motsvarar de uppgifter som avses i artikel 16.2 punkten e) trafiktillståndsförordningen. Av artikel 6.2 b i förordningen framgår att Kommissionen har till uppgift att upprätta en förteckning över kategori, typ och allvarlighetsgrad i fråga Prop. 2011/12:80 om allvarliga överträdelser av gemenskapsregler, utöver de som anges i bilaga IV till förordningen. 6.4.4Vägtrafikregistret kompletteras och används Regeringens förslag: Utöver uppgifter om rätten att bedriva yrkes- mässig trafik ska det i vägtrafikregistret föras in uppgifter som i övrigt behövs för tillämpningen av förordning (EG) nr 1071/2009. Regeringens bedömning: Det bör inte inrättas ett nytt register över vägtransportföretag. Det närmare innehållet i vägtrafikregistret liksom bestämmelser om gallring av uppgifter bör regleras i förordning. Promemorians förslag och bedömning: Överensstämmer med rege- ringens. Remissinstanserna: Datainspektionen efterlyser en redogörelse för hur det ska säkerställas att uppgifter gallras inom föreskriven tid. Skälen för förslaget och bedömningen: Som framgått ovan inne- håller vägtrafikregistret merparten av de uppgifter som anges i artikel 16.2 punkterna ad och f i trafiktillståndsförordningen och i Kommissionens beslut om minimikrav. De belastningsuppgifter som ska finnas registrerade enligt artikel 16.2 e i trafiktillståndsförordningen återfinns i belastningsregistret. Det saknas således anledning att upprätta ett nytt nationellt register över vägtransportföretag. Att belastnings- uppgifterna i huvudsak registreras i ett separat register är tillåtet enligt trafiktillståndsförordningens bestämmelser. Av 6 § 3 b lagen (2001:558) om vägtrafikregister framgår att det i vägtrafikregistret ska föras in uppgifter som i övrigt behövs för tillämp- ningen av yrkestrafiklagen. Härmed avses uppgifter som inte rör behörighet att föra fordon i yrkesmässig trafik eller rätten att bedriva sådan trafik. Eftersom villkoren för att bedriva yrkesmässig trafik nu kommer att regleras av trafiktillståndsförordningen måste även uppgifter som behövs för tillämpningen av denna förordning kunna föras in i registret. 6 § 3 b lagen om vägtrafikregister ska ändras i enlighet härmed. innehåller redan merparten av de uppgifter om vägtransportföretag som ska registreras enligt trafiktillstånds- förordningen.