sou · H5B311 · 2017-02-28 00:00:00 — Tachonet är ett telematiskt nätverk för utbyte av uppgifter rörande förarkort kopplade till tachographen (färdskrivaren). Utbytet syftar till att säkerställa att varje förare endast har ett fungerande förarkort. på skatte- och trafikområdet m.m. Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Data- skyddsdirektivet gäller inte för behandling av personuppgifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Som redan nämnts är grunden för personuppgiftslagen (1998:204) det ovannämnda dataskyddsdirektivet. börjar en ny EU-förordning, dataskyddsförordningen28, att gälla. Förord- ningen utgör en ny generell reglering för personuppgiftsbehandling inom EU. Den kommer att ersätta det nuvarande dataskydds- direktivet och den nu gällande personuppgiftslagen (1998:204) kommer att upphöra. Dataskyddsförordningen föranleder en över- syn av alla författningar inom området för personuppgiftsbehand- ling. Regeringen har därför tillsatt ett flertal utredningar för detta ändamål. Inom ramen för detta uppdrag har det inte varit möjligt att klart förutse hur det lagstiftningsarbetet kommer att utformas. Dataskyddsförordningen kommer att bli tillämplig på person- uppgiftsbehandling som sker helt eller delvis på automatisk väg eller med uppgifter som ska ingå i ett register. 28 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförord- ning), EUT L 119, , s. 1. syftet med förordningen är att ytterligare harmonisera och effektivi- sera skyddet för personuppgifter, för att förbättra den inre markna- dens funktion och öka enskildas kontroll över sina personuppgifter. En EU-förordning är direkt tillämplig i och behöver därför inte implementeras i svensk lagstiftning. Länder, myndig- heter, företag m.fl. har på sig att anpassa sig till den nya för- ordningen. Hur den nya förordningen kommer att påverka exempel- vis personuppgiftslagen är när detta skrivs oklart. Även om förord- ningen är direkt tillämplig i medlemsstaterna både förutsätter och möjliggör den kompletterande nationella bestämmelser. Det finns ett förhållandevis stort utrymme att behålla eller införa särregler- ingar för personuppgiftsbehandling som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet, utföra en arbetsuppgift av allmänt intresse eller behandla uppgifter i samband med myndighetsutövning. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204, PuL). Bestämmelserna i har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. PuL följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bland annat personuppgiftsansvar, grundläggande krav för behandling av personuppgifter, information till den registrerade, skadestånd och straff. PuL är tillämplig även utanför område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande be- stämmelser i en annan lag eller förordning. Det finns en stor mängd sådana bestämmelser i särskilda registerförfattningar som främst reglerar hur olika myndigheter får behandla personuppgifter, men det finns också sådana bestämmelser i regleringar som primärt har andra syften än att reglera personuppgiftsbehandling. PuL kompletteras av bestämmelser i personuppgiftsförord- ningen (1998:1191) som bland annat pekar ut Datainspektionen som tillsynsmyndighet enligt PuL. förordningen att meddela närmare föreskrifter om bland annat i vilka fall behandling av personuppgifter är tillåten och vilka krav som ställs på den personuppgiftsansvarige. PuL innehåller bland annat bestämmelser om hur personupp- gifter får behandlas. Personuppgifter är enligt 2 § PuL all slags in- formation som direkt eller indirekt kan hänföras till en fysisk per- son som är i livet. I samma bestämmelse anges att behandling av personuppgifter är varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgifter får enligt 10 § PuL behandlas bara om den regi- strerade har lämnat sitt samtycke till behandlingen eller om be- handlingen är nödvändig enligt vissa i bestämmelsen uppräknade fall. Personuppgifter får behandlas om behandlingen är nödvändig för att ett avtal med den registrerade ska kunna fullgöras eller åt- gärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas (10 § a), den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet (10 § b), vitala intressen för den registrerade ska kunna skyddas (10 § c), en arbetsuppgift av allmänt intresse ska kunna utföras (10 § d), den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning (10 § e), eller ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den person- liga integriteten (10 § f). I 23 och 24 §§ PuL anges när information om behandling av per- sonuppgifter ska lämnas. Enligt 23 § ska den personuppgiftsansva- rige, i samband med att uppgifter om en person samlats in från personen själv, självmant lämna den registrerade information om behandlingen av uppgifterna. Om personuppgifterna har samlats in från någon annan källa än den registrerade, ska den personuppgifts- ansvarige enligt 24 § första stycket PuL självmant lämna den regi- strerade information om behandlingen av uppgifterna när de regi- Enligt andra stycket samma paragraf behöver information enligt första stycket inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. I 25 § första stycket PuL anges vilken information som ska läm- nas av den personuppgiftsansvarige till den registrerade. Informa- tionen ska omfatta uppgift om den personuppgiftsansvariges iden- titet, uppgift om ändamålen med behandlingen, och all övrig infor- mation som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. I andra stycket samma paragraf anges att information inte behöver lämnas om så- dant som den registrerade redan känner till. I 7 § 1 lagen (2013:1164) om elektroniska vägtullssystem anges att en betalningsförmedlare, när ett avtal om förmedling av vägtull träffas med en väganvändare, ska informera denne om den behand- ling av personuppgifter som avtalet medför och om väganvändarens rättigheter enligt PuL. Vidare anges i 25 § tredje stycket samma lag att det är betalningsförmedlaren som är personuppgiftsansvarig enligt PuL för den behandling av personuppgifter som verksamheten innebär. 5.9.4Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling anges i 2 kap. 6 § andra stycket regerings- formen att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den en- skildes personliga förhållanden. Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § första stycket regeringsformen under vissa förutsättningar göras genom lag. Regleringen i regeringsformen innebär att viss personuppgiftsbehandling måste regleras i lag. Av förarbetena till 2 kap. 6 § andra stycket regeringsformen (prop. 2009/10:80 s. 180 ff. och 250) framgår bland annat följande. Bestämmelsen träffar inte åtgärder som en enskild vidtar i för- hållande till en annan enskild. Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har. Vad som avses med övervak- ning respektive kartläggning får bedömas med utgångspunkt från vad som enligt normalt språkbruk läggs i dessa begrepp. ”enskilds personliga förhållanden” avses här ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretess- lagen (2009:400). Vid bedömning av vilka åtgärder som kan anses utgöra ett ”betydande intrång” ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas. Även åtgärdens ända- mål och andra omständigheter kan ha betydelse vid bedömningen. Bestämmelsen omfattar endast sådana intrång som på grund av åtgärdens intensitet eller omfattning eller av hänsyn till uppgifter- nas integritetskänsliga natur eller andra omständigheter innebär ett betydande ingrepp i den enskildes privata sfär. En åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, exempelvis insamling av uppgifter av visst slag för beslut om t.ex. beskattning eller liknande, kan i många fall anses innebära kartläggning av enskildas förhållan- den. Så torde fallet vara i fråga om ett stort antal uppgiftssamlingar som det allmänna förfogar över. En mycket stor mängd informa- tion som rör enskildas personliga förhållanden finns t.ex. lagrad i , , och Kronofogde- myndighetens olika databaser. Vid bedömning av vad som kan anses utgöra ett betydande intrång bör flera omständigheter vägas in, t.ex. uppgifternas karaktär och omfattning, ändamålet med behandlingen av uppgifterna och omfattningen av utlämnandet av uppgifter till andra som sker utan stöd av offentlighets- principen. Dock bör den närmare avgränsningen av grundlags- bestämmelsens tillämpningsområde inte påverkas av sekretesslag- stiftningens utformning. 5.9.5Behandling av uppgifter i beskattningsverksamhet I lagen (2001:181) om behandling av personuppgifter i beskattningsverksamhet (SdbL) finns bestämmelser om behandling av uppgifter i beskattningsverksamhet. Enligt 1 kap. 1 § i lagen ska bestämmelserna i den tillämpas om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt 1 kap. 4 § i lagen får uppgifter behandlas bland annat för tillhandahållande av information som behövs hos Skatte- verket för fastställande av underlag för samt bestämmande, redovis- ning, betalning och återbetalning av skatter och avgifter samt revision och annan analys- eller kontrollverksamhet. Med skatt avses samt- liga de skatter som det åligger att handlägga. Av 1 kap. 6 § SdbL följer att är personuppgiftsansvarigt för den behandling av personuppgifter som verket ska utföra. I beskatt- ningsverksamheten ska det enligt 2 kap. 1 § SdbL finnas en samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för vissa i lagen särskilt angivna ända- mål (beskattningsdatabas). I 2 kap. finns närmare bestämmelser om beskattningsdatabasen. I databasen får enligt 2 kap. 2 § uppgifter behandlas om personer som omfattas av den verksamhet som anges i 1 kap. 4 §. Beträffande dessa personer får det enligt 2 § förord- ningen (2001:588) om behandling av uppgifter i beskattningsverksamhet i beskattningsdatabasen behandlas upp- gifter från bland annat vägtrafikregistret. består av olika delar och används till en rad olika ändamål. återspeglar även innehållet i olika myndig- hetsbeslut. En rad myndigheter, men även ägare, kan också lämna uppgifter till vägtrafikregistret. Informationen från registret är av väsentlig betydelse för polisen i dess trafikövervaknings- och spaningsarbete. Vad som ska föras in i registret regleras genom lagen (2001:558) om vägtrafikregister och förordningen (2001:650) om vägtrafikregister. Det finns även myndighetsföreskrifter. Uppgifterna i registret är i princip offentliga och allmänheten har enligt offentlighetsprincipen rätt att ta del av uppgifterna, i den mån offentlighets- och sekretesslagen (2009:400) inte hindrar det. Nästan alla slag av motordrivna fordon som inte anses vara i internationell vägtrafik måste registreras i vägtrafikregistret för att få användas (12–16 §§ lagen om vägtrafikregister). Ett avställt fordon får bara användas under begränsade förutsättningar. Viss möjlighet finns att meddela tillfällig registrering (21–28 §§ samma lag). Den som använder ett oregistrerat eller avställt fordon i strid mot be- stämmelserna i lagen om vägtrafikregister kan ådra sig straffansvar (29–31 §§ samma lag). Vissa uppgifter som förs in i vägtrafikregistret anses utgöra person- uppgifter, men det finns även rent fordonstekniska uppgifter. Justitiekanslern har ansett att tekniska uppgifter om ett fordon inte är att betrakta som personuppgifter, även om fordonet i sig kan härledas till en person och uppgiften om vem som äger ett visst for- don är att betrakta som en personuppgift.29 En uppgift om att ett visst fordon är belagt med körförbud hänför sig till fordonsägaren på ett konkret sätt och torde därför utgöra en personuppgift, enligt regeringens uppfattning i propositionen Lag om vägtrafikregister, m.m. (prop. 2000/01:95 s. 98). Regeringen har vidare i förarbetena avseende trängselskatt (prop. 2003/04:145 s. 98 ff.) gjort bedöm- ningen att ett fordons registreringsnummer är att anse som en personuppgift. Datainspektionen har uttalat att den anser att alla uppgifter om ett fordon vars registrerade ägare är en fysisk person (även enskild firma) är att betrakta som personuppgifter när upp- gifterna behandlas tillsammans med ett registreringsnummer eller chassinummer.30 I bilagor till förordningen om vägtrafikregister finns detaljerade bestämmelser om vilka uppgifter som ska föras in i registret i fråga om fordonsregistrering, körkortsregistrering, yrkestrafik- och taxi- trafikregistrering, registrering av felparkeringsavgifter, registrering av trängselskatt, registrering av yrkeskompetensbevis, registrering av kontroller av kör- och vilotider samt registrering av infrastruk- turavgifter på väg. I fråga om registrering av trängselskatt ska det bland annat föras in uppgifter om passage av en betalstation (kom- mun, tidpunkt och skattebelopp för passagetidpunkten), beslut om trängselskatt och tilläggsavgift, betalning, utfärdad betalningsupp- maning, överlämnande till , användnings- förbud och övriga uppgifter som behövs av administrativa skäl vid handläggningen av trängselskatteärenden. I bilaga 8 regleras enligt samma modell som avseende tränselskatten vilka uppgifter som ska föras in i registret avseende infrastrukturavgifter på väg. 29Justitiekanslerns uttalande finns återgivet i betänkande Vägtrafik- registrering (SOU 1998:162). 30Se Datainspektionens remissyttrande över Vägtrafikregisterutredning- ens betänkande Transportstyrelsens databaser på vägtrafikområdet – integritet och effektivitet (SOU 2010:76). Ett sätt att kontrollera efterlevnaden av regler om en avståndsbase- rad skatt kan vara genom övervakningskameror vid vägkanten. Det gör att hänsyn kan behövas tas till bestämmelserna i kameraöver- vakningslagen (2013:460). Lagens syfte är att tillgodose behovet av kameraövervakning för berättigade ändamål som enskilda skyddas mot otillbörliga intrång i den personliga integriteten (1 §). Med kameraövervakning avses användning av övervaknings- utrustning, det vill säga övervakningskameror och övrig övervak- ningsutrustning. Med övervakningskameror avses TV-kameror, andra optiskelektroniska instrument och därmed jämförbara ut- rustningar (2 §). Med uttrycket ”därmed jämförbara utrustningar” avses t.ex. instrument som kan utnyttja sådan elektromagnetisk strålning som röntgen och radiofrekvent strålning (prop. 2012/13:115 s. 26). Lagen träffar kameror som kan användas för personöver- vakning, det vill säga övervakning där personer kan identifieras. Ett annat krav är att övervakningskameran ska vara uppsatt. Med uppsatt avses att placeringen av kameran ska ha en viss varaktighet. En kamera som endast används helt kortvarigt är alltså inte en övervakningskamera som omfattas av lagens tillämpningsområde. Med uttrycket ”utan att manövreras på platsen” avses att den fortlöpande hanteringen av utrustningen inte sker på plats. Detta innebär att lagen inte är tillämplig på handhållna kameror. Endast det förhållandet att en kamera sätts i gång på stället eller fungerar med inbyggd automatik innebär inte att den manövreras på platsen och att lagen inte är tillämplig (prop. 1989/90:119 s. 40 och prop. 2012/13:115 s. 26). Kameraövervakningslagen skiljer på platser som allmänheten har tillträde till och platser där allmänheten inte har tillträde (5 §). Kameraövervakning på platser där allmänheten har tillträde är i regel tillståndspliktig. På platser där allmänheten inte har tillträde krävs i regel inget tillstånd för kameraövervakning, under förut- sättning att en fysisk person utför övervakningen som ett led i en verksamhet av rent privat natur (6 §).31 Det innebär att övervakning som bedrivs av en juridisk person inte träffas av undantaget.32 För 31Det finns bestämmelser i som reglerar hemlig kränkande fotografering i en privat miljö där samtycke saknas (4 kap. 6 a §). 2012/13:115 s. 45. övervakning i parkeringshus gäller att sådan är tillåten efter anmälan till , om syftet är att förebygga, avslöja eller utreda brott (15 §). Liksom kameraövervakningslagen reglerar personuppgiftslagen (1998:204, PuL) behandling av personuppgifter. Om det finns en annan lag som har avvikande bestämmelser går dessa före PuL:s bestämmelser. Kameraövervakningslagen är en sådan lag som gäller före PuL (6 §). Noteras kan dock att när det gäller den efterfölj- ande behandlingen av ljud- och bildupptagningen, t.ex. lagring och bearbetning, gäller kameraövervakningslagen endast för den behand- ling som utförs av den som är ansvarig för kameraövervakningen eller som sker för dennes räkning. Kameraövervakningslagen gäller inte om behandling görs av någon annan utomstående. Då gäller i stället PuL eller registerförfattning.33 Kameraövervakning ska bedrivas lagligt, enligt god sed och med tillbörlig hänsyn till enskildas personliga integritet (7 §). När kamera- övervakning är laglig framgår av bestämmelserna i kameraövervak- ningslagen, men kan också framgå av . Vad som är god sed kan exempelvis framgå av allmänna råd och branschöverens- kommelser. Sammanfattningsvis är alltså kameraövervakningslagen tillämp- lig för en fast monterad kamera på allmän plats och där personer kan identifieras. Om inte tillstånd ges för övervakningen av läns- styrelsen är den olaglig (8 §). I vissa situationer, som regleras i 10 §, behövs dock inte tillstånd. Tillstånd krävs till exempel inte vid övervakning som bedriver vid automatisk hastig- hetsövervakning och inte heller vid övervakning som bedrivs av i form av vägtrafikövervakning vid betalstationer som används för uttag av trängselskatt eller infrastrukturavgifter. Kameraövervakning av en plats dit allmänheten inte har tillträde får bedrivas om den som ska övervakas har samtyckt till detta (22 §). Kameraövervakning får bedrivas utan samtycke om övervakningen behövs för att förhindra olyckor och övervakningsintresset väger tyngre än den enskildes intresse av att inte bli övervakad (23 §). Huvudregeln är att det finns en upplysningsplikt vid kamera- övervakning (25 §). Detta gäller både för platser som allmänheten har tillträde till och för sådana platser som allmänheten inte har 2012/13:115 s. 39. Från integritetssynpunkt är det viktigt att den som övervakas får kännedom om övervakningen och att övervakningen inte är dold. Normalt sker upplysning om kameraövervakning genom skyltning. Annat verksamt sätt går också att använda. Kraven på vad som kan anses vara en verksam upplysning kan dock variera beroende på vilket område som ska övervakas och vilka personer som kan komma att övervakas. Upplysning ska lämnas om vem som bedriver kameraövervakning, om detta inte framgår av förhållandena på platsen. Den som bedriver övervakningen ska vid förfrågan informera den övervakade om ändamålet med övervak- ningen (26 §). Till kravet på upplysning om kameraövervakning finns undantag i 27 §. Till exempel behöver inte lämna upplysning om övervakning som avser automatisk hastig- hetsövervakning. Den som bedriver kameraövervakning får inte behandla material som inhämtats genom kameraövervakning för ändamål som är oförenliga med det som materialet samlades in för (28 §). Detta innebär att den som bedriver kameraövervakning måste säkerställa att bilder och ljud inte behandlas för nya ändamål som är oförenliga med det ursprungliga ändamålet. Tillgång till bild- och ljudmaterial från kameraövervakning får inte ges till fler personer än vad som behövs för att övervakningen ska kunna bedrivas (29 §). Med tillgång avses all hantering av det inspelade materialet. Den som bedriver kameraövervakning ska vidta lämpliga tek- niska och organisatoriska åtgärder för att skydda det upptagna bild- och ljudmaterialet (30 §). Den som för någon annans räkning har hand om kameraöver- vakning får utföra kameraövervakningen bara i enlighet med instruk- tioner från den som bedriver kameraövervakningen. Det ska vidare finnas ett skriftligt avtal mellan den som bedriver kameraövervak- ningen och den som har hand om övervakningen för hans eller hennes räkning (31 §). Material från kameraövervakning av en plats till vilken allmän- heten har tillträde får bevaras . Länsstyrel- sen får besluta om längre bevarandetid i enskilda fall. Material från kameraövervakning av en plats dit allmänheten inte har tillträde får inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen av uppgifterna. längre får bevaras ska det förstöras, med vissa undantag (32 §). Om material från kameraövervakning används i någon annan verksamhet hos den som bedriver kameraövervakningen tillämpas, i stället för 32 §, regleringen i PuL eller annan författning som gäller för behandling av personuppgifter i den verksamheten (33 §). Den som tar befattning med en uppgift som har inhämtats genom kameraövervakning får inte obehörigen röja eller utnyttja det som han eller hon på detta sätt har fått veta om någon enskilds personliga förhållanden (37 §). Som obehörigt röjande anses inte att någon fullgör uppgiftsskyldighet som följer av lag eller förord- ning, t.ex. sekretessreglering. Det kan bland annat handla om att lämna ut material till brottsbekämpande myndigheter eller rädd- ningstjänst för att förebygga eller begränsa verkningarna av en olycka (32 kap. 3 a § offentlighets- och sekretesslagen [2009:400]). Offentlighetsprincipen kommer till uttryck genom bland annat regler i 2 kap. tryckfrihetsförordningen om allmänna handlingars offentlighet, den så kallade handlingsoffentligheten. Handlings- offentligheten innebär att enskilda som huvudregel har rätt att ta del av allmänna handlingar hos en myndighet, även elektroniska handlingar, exempelvis sådana som finns i vägtrafikregistret.