prop · H10365 · 2014-01-08 00:00:00 — När det gäller Transportstyrelsen består myndighetens behandling av personuppgifter enligt beslutet enbart av den behandling som behövs för att i egenskap av kontaktställe motta uppgifter som ligger till grund för en sökning av ett utländskt kontaktställe och sedan dokumentera informationsutbytet. För att genomföra beslutets bestämmelser om dataskydd såvitt gäller Transportstyrelsen infördes särskilda bestämmelser i 4 kap. förordningen om vägtrafikregister bl.a. med innebörd att uppgifter som ett utländskt kontaktställe sänder över ska utplånas när sökningen besvarats, om de inte behövs för registrering (4 kap. 5 c §). Någon ytterligare användningsbegränsning ansåg regeringen inte behövdes för Transportstyrelsens del (jfr prop. 2010/11:129 s. 90). CBE-direktivet har till syfte att säkerställa en hög skyddsnivå för samtliga trafikanter inom unionen genom att underlätta gränsöverskridande informationsutbyte om trafiksäkerhetsrelaterade brott och därmed verkställandet av påföljder, när dessa brott begås med ett fordon registrerat i en annan medlemsstat än den medlemsstat där brottet begicks (artikel 1). I ingressen till direktivet anges att trafiksäkerhet är ett av huvudmålen för unionens transportpolitik och att en del av att förbättra trafiksäkerheten är att konsekvent följa upp och utdöma påföljder för trafikbrott (skäl 1). Om uppföljningen av trafikbrott underlättas genom ett effektivare informationsutbyte kan enligt direktivet en preventiv effekt uppnås genom att trafikanter iakttar en större försiktighet (skäl 6 och 7). Enligt direktivet ska vid utredningen av vissa angivna trafikbrott som begåtts med ett fordon som är registrerat i en annan medlemsstat, den medlemsstat där brottet begicks genom sitt nationella kontaktställe få söka information om fordonet och fordonsägaren i fordonsregistret i den medlemsstat där fordonet är registrerat. Medlemsstaterna har redan kommit överens om att ge varandra möjlighet att söka uppgifter i varandras fordonsregister genom Prümrådsbeslutet, se avsnitt 4.2. De möjligheter till informationssökning som föreskrivs i direktivet och bestämmelserna i är utformade på ett likartat sätt. Anledningen till att bestämmelserna i rådsbeslutet inte anses tillräckliga är framförallt att de trafiksäkerhetsrelaterade brott som omfattas av direktivet inte behandlas på ett enhetligt sätt i medlemsstaterna. I vissa stater betraktas de som administrativa förseelser, medan de i andra stater utgör brott. I de medlemsstater där de utgör administrativa förseelser kan Prümrådsbeslutet inte tillämpas eftersom det endast är tillämpligt för brottsbekämpande förfaranden. I ingressen till CBE-direktivet slås emellertid fast att direktivet ska tillämpas oavsett vilken rättslig klassificering ett trafikbrott har i nationell lagstiftning, alltså oberoende av om gärningen är straffbelagd eller sanktionerad på något annat sätt (skäl 6 och 8). Samtliga trafiksäkerhetsrelaterade brott som omfattas av CBE-direk- tivet utgör brott enligt svensk rätt, se avsnitt 7.2. Det innebär att uppgifter om ägaren till ett fordon som har varit inblandat i ett brott kan sökas enligt såväl CBE-direktivet som Prümrådsbeslutet och att de båda rättsakternas tillämpningsområde alltså överlappar varandra. När det gäller utbyte av fordonsuppgifter enligt Prümrådsbeslutet bygger de tekniska lösningarna för direktåtkomsten på . EUCARIS är en teknisk plattform som möjliggör direktåtkomst till anslutna länders fordonsregister. Samma tekniska lösning och programvara som ligger till grund för informationsutbytet enligt Prümrådsbeslutet ska enligt ingressen ligga till grund även för informationsutbytet enligt CBE- direktivet (skäl 9–12). Direktivet har antagits med beaktande av den rättsliga grund som följer av artikel 87.2 Fördraget om europeiska unionens funktionssätt (). Enligt denna artikel får och rådet i enlighet med ordi- narie lagstiftningsförfarande föreskriva regler om bl.a. utbyte av inform- Prop. 2013/14:65 ation för att utveckla polissamarbetet i unionen mellan polisen, tullen och andra brottsbekämpande organ. Kommissionens ursprungliga förslag till direktiv baserades istället på artikel 91.1 c som avser lagstiftningsåtgärder för genomförandet av den gemensamma transportpolitiken. Kommissionen har med anledning av detta gjort ett särskilt uttalande om den rättsliga grunden som fogats till direktivet och av vilket framgår att kommissionen inte anser att den valda rättsliga grunden är lämplig ur ett rättsligt och institutionellt perspektiv. Kommissionen har sedan också väckt talan vid domstolen. Om talan är välgrundad ska domstolen enligt 264 förklara den berörda rättsakten ogiltig. har intervenerat till stöd för och rådet i målet (C-43/12, Europeiska kommissionen mot och Europeiska unionens råd). I artikel 1 anges att direktivets syfte är att säkerställa en hög skyddsnivå för samtliga trafikanter i unionen genom att underlätta informationsutbyte och därmed också verkställandet av påföljder. Tillämpningsområdet är åtta specifika trafiksäkerhetsrelaterade brott som räknas upp i artikel 2. I artikel 3 definieras olika begrepp i direktivet, bl.a. de åtta trafiksäkerhetsrelaterade brott som nämns i artikel 2. Artikel 4 beskriver vilka uppgifter ur de nationella fordonsregistren som ska göras tillgängliga vid automatiska sökningar och hur informationsutbytet ska gå till. Artikel 5 innehåller regler om information till den som misstänks för ett trafikbrott. Enligt artikeln ska en medlemsstat som inleder ett uppföljningsförfarande avseende ett trafikbrott i enlighet med nationell lagstiftning informera ägaren, innehavaren av fordonet eller den på annat sätt identifierade person som misstänks för brottet om detta på sätt som specificeras i artikeln. Av artikeln framgår även att information ska ges på det språk som registreringsbeviset är avfattat på, om detta är känt, eller på ett av de officiella språken i registreringsmedlemsstaten. Till direktivet finns som en bilaga II en mall för hur ett informationsbrev skulle kunna utformas. Artikel 6 innehåller bestämmelser om medlemsstaternas rapportering till kommissionen. Artikel 7 innehåller hänvisningar såväl till rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (EUT L 350, 30.12.2008, s. 60, Celex 32008F0977), nedan dataskyddsrambeslutet, som till Prümrådsbeslutet och genomförandebeslutet. Alla bestämmelser om dataskydd i dataskyddsrambeslutet ska tillämpas på personuppgifter som behandlas enligt direktivet. Därtill ska alla relevanta bestämmelser om dataskydd i Prümrådsbeslutet och genomförandebeslutet tillämpas. Detta innebär att Prümrådsbeslutets artiklar om dataskydd, som rör det automatiserade utbytet av fordonsuppgifter, också är tillämpliga på informationsutbytet enligt CBE-direk- tivet. Artikel 8 innehåller bestämmelser om information om direktivet till unionens trafikanter. Artiklarna 9–11 innehåller kommissionens befogenhet att anta delegerade akter, kommissionens översyn av direktivet och därmed sammanhängande frågor. Enligt artikel 13 trädde direktivet i 2013/14:65 kraft dagen efter det att det offentliggjordes i Europeiska unionens officiella tidning, vilket skedde . Medlemsstaterna ska, enligt artikel 12, ha genomfört direktivet . För en närmare redogörelse av innehållet i direktivet hänvisas till departementspromemorian Ett gränsöverskridande informationsutbyte om trafiksäkerhetsrelaterade brott – Genomförande av och rådets direktiv /82/EU (Ds 2012:47). Enligt artikel 8 i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () har var och en rätt till respekt bl.a. för sitt privat- och familjeliv. En offentlig myndighet får inte inskränka åtnjutandet av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. I artikel 13 i föreskrivs att var och en, vars i konventionen angivna fri- och rättigheter kränkts, ska ha tillgång till ett effektivt rättsmedel inför en nationell myndighet. Detta gäller även om kränkning har förövats av någon under utövning av offentlig myndighet. Innebörden av artikeln är att den enskilde ska ha tillgång till en nationell instans för att kunna få saken prövad och kunna få upprättelse. Bestämmelser av betydelse för automatisk databehandling av personupp- gifter finns också i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (dataskydds- Dataskyddskonventionen trädde i kraft 1985 och har ratificerats av samtliga medlemsstater i EU. Dataskyddskonventionens innehåll kan ses som en precisering av arti- kel 8 i för enskilda vid automatisk databehandling. Dataskyddskonventionens syfte är att säkerställa den enskildes rätt till personlig integritet i samband med behandling av personuppgifter och att förbättra förutsättningarna för ett fritt informationsflöde över gränserna. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste iaktta i sin nationella lagstiftning. Konventionens roll som grundläggande dokument för automatiserad behandling av personuppgifter inom EU har i princip övertagits av data- skyddsdirektivet, se avsnitt 6.1.3. Direktivet omfattar dock inte behand- ling av personuppgifter inom områden som allmän säkerhet, försvar och På dessa områden är dataskyddskonventionen därför Prop. 2013/14:65 fortfarande av betydelse. När det gäller polissamarbete och straffrättsligt samarbete finns numera också dataskyddsrambeslutet, se avsnitt 6.1.4. antog 2001 ett tilläggsprotokoll till Det innehåller bestämmelser om tillsynsmyndigheter och överföring av personuppgifter till länder som inte är bundna av konventionen. har ratificerat tilläggsprotokollet som trädde i kraft . Utöver dataskyddskonventionen har tagit fram sektorsvisa rekommendationer om dataskydd, bl.a. en rekommendation, No. R (87), som reglerar användningen av personuppgifter inom polissektorn. Rekommendationen innehåller speciella skyddsregler för personuppgifter som polisen samlar in, lagrar, använder eller överför med hjälp av automatiserad behandling i syfte att förhindra och bekämpa brott eller upprätthålla allmän ordning. och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31), nedan dataskyddsdirektivet, syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet innehåller generella krav och riktlinjer för all behandling av personuppgifter. Medlemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller inte för sådan behandling av personuppgifter som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Direktivet omfattar således inte statens behandling av personuppgifter i brottsbekämpande verksamhet. Dataskyddsdirektivet har genomförts i svensk rätt genom personuppgiftslagen (1998:204), se avsnitt 6.2.2. Lagen har gjorts generellt tillämplig och omfattar således även sådan verksamhet som faller utanför direktivets tillämpningsområde (prop. 1997/98:44). Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (EUT L 350, 30.12.2008, s. 60, Celex 32008F0977), nedan dataskyddsrambeslutet, ska skydda personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samar- Dataskyddsrambeslutet är endast tillämpligt på uppgifter som över- förs eller görs tillgängliga mellan medlemsstaterna. dataskyddsrambeslutet och andra EU-rättsakter som berör behandling av personuppgifter inom samma område, t.ex. Prümrådsbeslutet, behandlas i rambeslutets artikel 28 samt skäl 39 och 40. Där anges att tidigare rätts- 2013/14:65 akter som innehåller en komplett och enhetlig uppsättning bestämmelser om skyddet av personuppgifter som omfattar alla relevanta aspekter av dataskydd inte bör påverkas av reglerna i dataskyddsrambeslutet. Dataskyddsrambeslutet förpliktar medlemsstaterna att behandla personuppgifter på ett sådant sätt att skyddet för den personliga integriteten värnas. Det innehåller bl.a. bestämmelser om allmänna utgångspunkter för behandlingen av personuppgifter och känsliga personuppgifter, rättelse, radering och gallring av personuppgifter, information till den registrerade samt skadestånd och sanktioner. Till stora delar motsvarar innehållet dataskyddsdirektivet, se avsnitt 6.1.3. Vid genomförandet av dataskyddsrambeslutet bedömdes merparten av rambeslutets artiklar motsvaras av bestämmelser i svensk rätt, dels i personuppgiftslagen, dels i berörda myndigheters registerförfattningar. De kompletterande bestämmelser som krävdes genomfördes i en särskild lag, lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, se vidare avsnitt 6.2.3. 6.1.5Översyn av EU:s dataskyddsreglering Kommissionen har inlett en översyn av EU:s dataskyddsreglering som omfattar både dataskyddsdirektivet och dataskyddsrambeslutet. presenterade kommissionen sitt förslag till en genomgripande reform av regleringen. Reformen omfattar dels en förordning med en generell reglering som ska ersätta dataskyddsdirektivet, dels ett nytt direktiv med särregler för den brottsbekämpande sektorn som ska ersätta det gällande dataskyddsrambeslutet. Till skillnad från dataskyddsrambeslutet ska direktivet inte omfatta endast utbyte av information över gränserna utan även nationell personuppgiftsbehandling inom den brottsbekämpande sektorn. Förhandlingar rörande reformen inleddes . Enligt en bestämmelse i 2 kap. 6 § andra stycket regeringsformen ska var och en gentemot det allmänna vara skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden, se propositionen En reformerad grundlag (prop. 2009/10:80 s. 178 ff.). Skyddet mot intrång får begränsas i lag och bara i den ordning som föreskrivs i 2 kap. regeringsformen. Som exempel på åtgärder som kan innebära kartläggning anges i propositionen bl.a. registrering i vissa av polisens register. Bestämmelsen omfattar dock bara vissa kvalificerade intrång i den personliga integriteten. Vid bedömningen av vad som kan anses utgöra ett betydande intrång ska man enligt förarbetsuttalandena väga in uppgifternas karaktär och omfattning samt ändamålet med behandlingen och omfattningen av utlämnandet av uppgifter till andra. Personuppgiftslagen (1998:204), genom vilken dataskyddsdirektivet genomförts i svensk rätt, har gjorts generellt tillämplig och omfattar alltså även sådan verksamhet som faller utanför direktivets tillämpningsområde. Lagen anger den grundläggande ramen för behandling av personuppgifter. Särreglering i lag eller förordning gäller emellertid framför bestämmelserna i personuppgiftslagen. Personuppgiftslagen innehåller bestämmelser för all behandling av personuppgifter. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, exempelvis att samla in, söka, bevara och sprida uppgifter. Lagen omfattar behandling av personuppgifter som är helt eller delvis automatiserad. Även behandling kan dock omfattas, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Personuppgiftslagens centrala bestämmelser om behandling av personuppgifter finns i 9 §. Där uppställs vissa grundläggande krav på den personuppgiftsansvarige som ska se till att personuppgifter behandlas bara om det är lagligt. Den personuppgiftsansvarige ska vidare se till att personuppgifter behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, att de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 6.2.3Lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen Dataskyddsrambeslutet bedömdes inte kräva några omfattande lagändringar i svensk rätt. Utöver vissa ändringar i myndigheternas registerförfattningar infördes en ny lag (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt arbete inom Europeiska unionen (prop. 2012/13:73, bet. 2012/13:JuU19 rskr. 2012/13:206). Lagen trädde i kraft . Lagen gäller för behandling av personuppgifter i verksamhet som har till syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder, om uppgifterna inom ramen för polissamarbete eller straffrättsligt samarbete görs eller har gjorts tillgängliga eller överförs eller har överförts mellan en svensk myndighet och en annan EU-medlemsstat, , , eller , ett EU-organ eller ett EU-informationssystem. Även uppgifter från ett EU-informationssystem som avser polissamarbete eller straffrättsligt samarbete omfattas av lagen. reglerats i rättsakter antagna före dataskyddsrambeslutet, exempelvis 2013/14:65 utbyte med stöd av Prümrådsbeslutet, undantas dock. Behandling av personuppgifter som rör nationell säkerhet omfattas inte heller av lagen. I lagen regleras bl.a. för vilka ändamål uppgifterna får behandlas och vad som gäller för den fortsatta behandlingen. Lagen anger vidare i vilka situationer personuppgifter får överföras till enskilda, till tredjeland och till internationella organ. Svenska myndigheter åläggs att följa de villkor om användningen som ställts upp av den som överfört uppgifterna eller gjort dem tillgängliga. En svensk myndighet får ange villkor som innebär användningsbegränsningar för utländska mottagare. trädde en ny polisdatalag (2010:361) i kraft (prop. 2009/10:85, bet. 2009/10:JuU19, rskr. 2009/10:255). Lagen ersatte den tidigare polisdatalagen (1998:622). Den nya lagen gäller i stället för personuppgiftslagen och innehåller hänvisningar till de bestämmelser i personuppgiftslagen som ska vara tillämpliga i polisens brottsbekämpande verksamhet. Syftet med den nya lagen är att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Lagen reglerar, med några få undantag, all behandling av personuppgifter i polisens brottsbekämpande verksamhet vid , polismyndigheterna och . Personuppgiftsbehandling i sådan verksamhet som inte är brottsbekämpande, exempelvis hanteringen av förvaltningsärenden, omfattas inte av lagen utan regleras av personuppgiftslagen. Polisen får enligt den nya lagen behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden. Lagen bygger på en uppdelning mellan å ena sidan behandling av gemensamt tillgängliga uppgifter och å andra sidan annan behandling. Uttrycket gemensamt tillgängliga uppgifter har införts som ett teknikneutralt begrepp i stället för begreppen register och databas som tidigare använts för att definiera uppgifter som har gjorts tillgängliga för en större krets. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte vara gemensamt tillgängliga. För behandling av gemensamt tillgängliga uppgifter finns särskilda begränsande bestämmelser för att värna den personliga integriteten. Ett fåtal register regleras särskilt i den nya lagen, bl.a. DNA-register och fingeravtrycksregister. Säkerhetspolisens personuppgiftsbehandling regleras i ett särskilt kapitel. Lagen och förordningen om internationellt poli- I lagen (2000:343) och förordningen (2010:705) om internationellt poli- siärt samarbete regleras samarbetet mellan svenska brottsbekämpande myndigheter och motsvarande myndigheter i andra medlemsstater i Europeiska unionen samt , och . Där regleras bl.a. Prop. 2013/14:65 och samarbetet enligt Prümrådsbeslutet, men även visst annat polissamarbete. De bestämmelser i som motsvarar CBE-direktivets bestämmelser om automatiskt uppgiftsutbyte har i huvudsak genomförts genom ändringar i lagen och förordningen om internationellt polisiärt samarbete, se avsnitt 4.2.2. Lagen är tillämplig inte bara för polismän, utan även för tulltjänstemän och kustbevakningstjänstemän, när dessa enligt lag eller annan författning har polisiära befogenheter. Avvikande bestämmelser om behandling av personuppgifter i lagen och förordningen om internationellt polisiärt samarbete gäller framför reglerna i polisens, och registerförfattningar. I lagen finns bl.a. en bestämmelse som reglerar hur uppgifter som har mottagits från andra stater får användas om den andra staten har ställt upp villkor för användningen, s.k. användningsbegränsningar (3 §). Om en svensk myndighet har fått upplysningar eller bevismaterial från en annan stat ska svenska myndigheter följa villkoren oavsett vad som är föreskrivet i lag eller annan författning så länge dessa inte strider mot en internationell överenskommelse som är bindande för . 6.2.6Lagen och förordningen om vägtrafikregister I lagen (2001:558) och förordningen (2001:650) om vägtrafikregister finns bestämmelser om behandling av personuppgifter i samband med registrering av fordon. Lagen innehåller bestämmelser om registrering av uppgifter om personer samt om motordrivna fordon och släpfordon i ett vägtrafikregister. Registret har i huvudsak till ändamål att tillhandahålla information till myndigheter, företag och organisationer som i sin verksamhet behöver information om fordon, fordonsägare och körkortsinnehavare. Ändamålen omfattar även att ge information till enskilda som är i behov av uppgifter i registret. Vid genomförandet av Prümrådsbeslutet gjordes ändringar i både lagen och förordningen om vägtrafikregister, se avsnitt 4.2.2. har i betänkandet Tranportstyrelsens databaser på vägtrafikområdet – integritet och effektivitet (SOU 2010:76) presenterat ett förslag till ny reglering som ska ersätta lagen och förordningen om vägtrafikregister. Betänkandet bereds i . 7.1Trafiksäkerhetsrelaterade brott i CBE-direktivet I artikel 3 i CBE-direktivet definieras de i artikel 2 uppräknade trafiksäkerhetsrelaterade brotten som utgör direktivets tillämpningsområde, nämligen fortkörning, ej använt bilbälte, rödljuskörning, rattfylleri, drograttfylleri, ej burit hjälm, användning av förbjuden körbana och olaglig 2013/14:65 användning av mobiltelefon eller annan kommunikationsutrustning under körning. Avseende rattfylleri, ej burit hjälm och olaglig användning av mobiltelefon hänvisas i princip bara till den definition av respektive begrepp som finns i medlemsstatens nationella lagstiftning. När det gäller fortkörning kan noteras att brottet enligt definitionen avser både ett överskridande av de hastighetsbegränsningar som gäller för vägen och för det fordon det är fråga om.