prop · H60333 · 2019-01-07 00:00:00 — Dessutom får en myndighet behandla känsliga personuppgifter, om det är nödvändigt för handläggningen av ett ärende. Vidare får känsliga personuppgifter behandlas av en myndighet i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (prop. 2017/18:105 s. 83 f.). Vid behandling av personuppgifter som sker enbart med stöd av 3 kap. 3 § första stycket dataskyddslagen är det enligt andra stycket förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Reglering av behandling av känsliga personuppgifter i vägtrafikdatalagen Liksom i dataskyddslagen bör i vägtrafikdatalagen begreppet känsliga personuppgifter användas som benämning på de särskilda kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen. Den behandling av känsliga personuppgifter som förekommer i Transport- styrelsens verksamhet på vägtrafikområdet avser främst uppgifter om hälsa i den del av verksamheten som rör behörigheter. Vid handläggning av ansökningar om körkort och taxiförarlegitimation är t.ex. uppgifter om en persons medicinska förhållanden av central betydelse. persons hälsa är vidare av betydelse vid handläggning av ärenden om alkolås och körkortsingripanden. Även biometriska uppgifter i form av fotografier av körkortsinnehavare behöver behandlas av Transport- styrelsen. De andra i artikel 9.1 i dataskyddsförordningen uppräknade uppgifterna torde normalt inte förekomma i Transportstyrelsens verksamhet, men det kan inte helt uteslutas att även sådana uppgifter kan behöva behandlas. Detta särskilt med hänsyn till Transportstyrelsens skyldighet att behandla personuppgifter som förekommer i handlingar som skickas till myndigheten, oavsett om de är nödvändiga för myndighetens verksamhet eller inte. Inte sällan ligger det i den enskildes intresse att känsliga uppgifter om honom eller henne kan behandlas och beaktas av myndigheten. Transportstyrelsen har således behov av att kunna behandla känsliga personuppgifter automatiserat i sin verksamhet. Undantaget i artikel i dataskyddsförordningen ger rätt att behandla känsliga personuppgifter om det är nödvändigt av hänsyn till ett viktigt allmänt intresse. Som regeringen konstaterar i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 83) kan det inte råda något tvivel om att det är ett viktigt allmänt intresse att myndigheter kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt. Att Transportstyrelsen kan sköta sin verksamhet på vägtrafikområdet utgör således ett viktigt allmänt intresse. Med hänsyn till vägtrafikregistrets syfte – att ge tillgång till de uppgifter som är registrerade där – anser regeringen att det även utgör ett viktigt allmänt intresse att Transportstyrelsen har möjlighet att behandla känsliga personuppgifter för att lämna ut till andra aktörer i enlighet med ändamålen i vägtrafikdatalagen. En annan fråga är att ett utlämnande kan hindras av bestämmelser om sekretess för uppgiften. Ett ytterligare krav enligt artikel i dataskyddsförordningen är att det viktiga allmänna intresset framgår av unionsrätten eller medlemsstaternas nationella rätt. Transportstyrelsens uppgifter på vägtrafikområdet är fastställda genom en mängd olika författningar på vägtrafikområdet (se avsnitt 5.3) och myndighetens behandling av personuppgifter kommer att regleras i den föreslagna vägtrafikdatalagen. Kravet på reglering i nationell rätt är därmed uppfyllt. Vidare ställs krav på att lagstiftningen ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Som framgår av avsnitt 7.4 anser regeringen att de författningar som reglerar Transportstyrelsens verksamhet på vägtrafikområdet utgör en godtagbar rättslig grund för myndighetens behandling av personuppgifter. Regeringen anser därmed att författningarna även uppfyller kraven i artikel på att vara proportionerliga mot syftet med behandlingen och inte oförenliga med det grundläggande skyddet för personuppgifter (jfr prop. 2017/18:105 s. 84). I vägtrafikdatalagen finns bestämmelser som säkerställer skyddet för de registrerades integritet, t.ex. i form av behörighets- och sökbegränsningar. I OSL finns vidare bestämmelser om sekretess som ytterligare stärker skyddet för de registrerades person- uppgifter. Även kravet på säkerhetsåtgärder torde därmed vara uppfyllt. Sammanfattningsvis anser regeringen att de krav som ställs upp i artikel i dataskyddsförordningen för att känsliga personuppgifter ska få 2018/19:33 behandlas med hänsyn till ett viktigt allmänt intresse är uppfyllda för den personuppgiftsbehandling som sker inom ramen för Transportstyrelsens verksamhet på vägtrafikområdet. Bestämmelserna i artikel 9 i dataskyddsförordningen om när känsliga personuppgifter får behandlas är direkt tillämpliga. Medlemsstaterna får dock införa mer specifika bestämmelser i fråga om behandling av känsliga personuppgifter som sker med stöd av artikel 6.1 c och e (artikel 6.2 och skäl 10). Transportstyrelsens behandling av känsliga personuppgifter skedde med stöd av främst 8 § PUF, men även med stöd av den s.k. missbruksregeln i 5 a § PUL. En motsvarande och något utökad rätt för myndigheter att behandla känsliga personuppgifter finns nu i 3 kap. 3 § dataskyddslagen. Enligt första punkten i bestämmelsen får myndigheter och andra som omfattas av offentlighetsprincipen behandla känsliga personuppgifter, om uppgifterna har lämnats till den personuppgifts- ansvarige och behandlingen krävs enligt lag. Med stöd av bestämmelsen kan känsliga personuppgifter behandlas för att uppfylla krav på t.ex. diarieföring och skyldighet att ta emot e-post som följer av OSL och förvaltningslagen. Enligt andra punkten i 3 kap. 3 § dataskyddslagen får en myndighet behandla känsliga personuppgifter om det är nödvändigt för handläggningen av ett ärende. Bestämmelsen motsvarar 8 § PUF och ger myndigheten möjlighet att behandla känsliga personuppgifter om det är nödvändigt för handläggningen av ett ärende. Slutligen får, enligt tredje punkten i bestämmelsen, känsliga personuppgifter behandlas av en myndighet i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Bestämmelsen möjliggör behandling av känsliga personuppgifter inom ramen för en myndighets faktiska verksamhet, dvs. sådan verksamhet som inte utgör handläggning av ärenden. Det kan t.ex. röra sig om att myndigheten besvarar en fråga från en medborgare som via e-post uppgett känsliga personuppgifter eller inom myndigheten i samband med utvärdering av den egna verksamheten (se prop. 2017/18:105 s. 88 f.). Den generella reglering om behandling av känsliga personuppgifter som finns i dataskyddslagen motsvarar i stort den reglering som Transport- styrelsen tidigare stödde sin behandling av känsliga personuppgifter på. En viss utvidgning av möjligheten att behandla känsliga personuppgifter har dock skett. Regeringen gör bedömningen att Transportstyrelsens behov av att behandla känsliga personuppgifter tillgodoses genom den generella regleringen i dataskyddslagen. Några särskilda bestämmelser i detta avseende behövs därför inte i vägtrafikdatalagen. Bestämmelsen i dataskyddslagen reglerar när behandling av känsliga personuppgifter får ske. Att känsliga uppgifter får behandlas innebär dock inte med automatik att de även får lämnas ut. Begränsningar kan följa av bestämmelser om sekretess för uppgifterna. Sökbegrepp som avslöjar känsliga personuppgifter är typiskt sett förknippade med särskilda risker i integritetshänseende. Regeringen delar därför Datainspektionens uppfattning att sökbegränsningar avseende känsliga personuppgifter bör regleras i lag. Enligt 3 kap. 3 § andra stycket dataskyddslagen (2018:218) är det förbjudet att utföra sökningar i syfte att Prop. 2018/19:33 få fram ett urval av personer grundat på känsliga personuppgifter. Förbudet gäller dock endast i den mån det inte finns bestämmelser i en annan lag eller förordning som avviker från detta. Bland de sökbegrepp som får användas vid sökning i vägtrafikregistret finns inga känsliga personuppgifter. Om ingen begränsning införs i vägtrafikdata- lagen, skulle regeringen dock vara oförhindrad att införa sådana sökbegrepp oavsett syftet med sökningen. Detta gäller även vid sökningar i andra uppgifter än de som ingår i vägtrafikregistret. Till skillnad från förslaget i utkastet till lagrådsremiss anser regeringen att det bör införas en begränsning av möjligheten att använda känsliga personuppgifter vid sökning inte bara i vägtrafikregistret, utan i alla personuppgifter som omfattas av lagens tillämpningsområde. I likhet med det som gäller för dataskyddslagen bör det enligt vägtrafikdatalagen vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. En sådan sökbegränsning, som alltså utgår från syftet med sökningen, hindrar inte att sökmöjligheter införs för andra ändamål, t.ex. i syfte att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård, dvs. då syftet med sökningen inte är att identifiera ett urval av individer. Frågor om ytterligare sökbegränsningar i gemensamt tillgängliga behandlas i avsnitt 7.18.3. Regeringens bedömning: Sådan behandling av personuppgifter om fällande domar i brottmål, lagöverträdelser som innefattar brott och straffprocessuella tvångsmedel som är nödvändig i Transportstyrelsens verksamhet på vägtrafikområdet som rör fordon, behörigheter, tillstånd och tillsyn, kan ske med stöd av EU:s dataskyddsförordning. särskilda bestämmelser i vägtrafikdatalagen behövs därmed inte. Utredningen gör inte någon motsvarande bedömning. Bedömningen i utkastet till lagrådsremiss: Överensstämmer med Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens bedömning: Enligt artikel 10 i dataskydds- förordningen får personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder endast behandlas under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. fullständigt register över fällande domar i brottmål får dock endast föras under kontroll av en myndighet. Regeringens bedömning i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 97) är att artikel 10 i förordningen, för svenskt vidkommande, tar sikte på personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straff- Artikeln har i huvudsak samma lydelse som i dataskyddsdirektivet, även om tillämpningsområdet beträffande brottmålsdomar har begränsats till att enbart omfatta fällande Vidare är en betydande skillnad i förordningen jämfört med direktivet att det inte finns någon möjlighet för medlemsstaterna att på denna grund begränsa behandlingen av personuppgifter om avgöranden i tvistemål och administrativa sanktioner. Av artikel 10 i dataskyddsförordningen följer bl.a. att uppgifter om lagöverträdelser får behandlas om det sker ”under kontroll av myndighet”, vilket enligt regeringens bedömning i propositionen Ny dataskyddslag 2017/18:105 s. 99) innebär att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter som Enligt 3 kap. 8 § dataskyddslagen får myndigheter behandla sådana personuppgifter som avses i artikel 10 i dataskydds- Det är Transportstyrelsen som för vägtrafikregistret och som är personuppgiftsansvarig för den behandling av personuppgifter som sker inom ramen för registret. Uppgifter om vissa fällande domar och överträdelser ingår bland de uppgifter som Transportstyrelsen är skyldig att registrera och som styrelsen har behov av att behandla i sin ärende- Behandlingen av uppgifter om fällande domar i brottmål och överträdelser sker under kontroll av en myndighet, Transportstyrelsen, och bedöms därmed förenlig med dataskyddsförordningen. i dataskyddsförordningen föranleder därför ingen särskild Det bör dock påpekas att behandlingen i det enskilda fallet måste leva upp till dataskyddsförordningens krav i övrigt för att vara tillåten, t.ex. principerna för behandling i artikel 5. Regeringens bedömning: EU:s dataskyddsförordnings bestämmelser om identifieringsnummer föranleder inte några särskilda bestämmelser Utredningen gör inte någon motsvarande bedömning. Bedömningen i utkastet till lagrådsremiss: Överensstämmer med Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens bedömning: I 22 § PUL finns särskilda bestämmelser om när personnummer och samordningsnummer får Paragrafen innebär att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. med anledning av artikel 8.7 i dataskyddsdirektivet, som föreskriver att medlemsstaterna ska bestämma på vilka villkor ett nationellt identi- fikationsnummer eller något annat vedertaget sätt för identifiering får Personnummer och samordningsnummer anses inte som känsliga personuppgifter i dataskyddsförordningens mening men har ändå en särställning genom att medlemsstaterna ges möjlighet att införa särskilda villkor för behandlingen (artikel 87). alltså inget krav på reglering i detta avseende, men av artikeln följer att om medlemsstaterna bestämmer särskilda villkor för sådan behandling, måste Prop. 2018/19:33 lämpliga skyddsåtgärder för de registrerades fri- och rättigheter enligt Något uttryckligt sådant krav finns inte enligt dataskyddsdirektivet. Det finns inte heller några uttalanden i skälen till dataskyddsförordningen som konkretiserar vilken typ av skyddsåtgärder det bör vara frågan om. I denna del finns alltså utrymme för medlems- staterna att själva bedöma vilka skyddsåtgärder som kan uppfylla kraven i dataskyddsförordningen. Regeringen bedömer i propositionen Ny dataskyddslag att en sär- reglering av personnummer och samordningsnummer i dataskyddslagen är motiverad. Regeringen anser att den intresseavvägning som sker enligt 22 § PUL ligger väl i linje med dataskyddsförordningens intentioner och att bestämmelsen är flexibel och väl avpassad för att förhindra omotiverad behandling av personnummer och samordningsnummer. Bestämmelsen i 3 kap. 10 § dataskyddslagen är därför utformad på motsvarande sätt som 22 § PUL. Av 3 kap. 11 § dataskyddslagen framgår att regeringen får meddela föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten (se prop. s.101 f.). Av 5 § LVTR framgår att vägtrafikregistret har till ändamål att tillhandahålla uppgifter om personer som på olika sätt har anknytning till vägtrafikområdet. En översiktlig beskrivning av vilka uppgifter som avses finns i 6 § LVTR och en närmare uppräkning av uppgifterna i bilagorna till FVTR. Bland dessa uppgifter finns personnummer och samordnings- nummer. Bestämmelserna har ansetts förenliga med PUL. Även framöver kommer det att finnas behov av att registrera uppgifter om personnummer och samordningsnummer. I avsnitt 7.6 föreslås att det ska införas en upplysningsbestämmelse i den nya vägtrafikdatalagen om att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vilka uppgifter som ska registreras. Eftersom en sådan registrering har ansetts förenlig med PUL så är den även förenlig med dataskyddslagen och därmed även med dataskyddsförordningen. Mot den bakgrunden gör regeringen bedömningen att dataskyddsförordningens bestämmelser om identifieringsnummer inte föranleder några särskilda bestämmelser i vägtrafikdatalagen. Regeringens förslag: Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utredningens förslag: Utredningen föreslår inte någon sådan Förslaget i utkastet till lagrådsremiss: Överensstämmer delvis med I utkastet till lagrådsremiss anges att tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver. Bestämmelsen har även justerats lagtekniskt. Remissinstanserna: Datainspektionen ifrågasätter bestämmelsen eftersom den redan gäller enligt de grundläggande principerna i dataskyddsförordningen och anser att bestämmelsen behöver ges ett mer konkret innehåll som avvägts mot det intrång i integriteten som behandlingen kan innebära. Skälen för regeringens förslag: Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg medför allmänt sett en risk för intrång i den personliga integriteten. sådant intrång är särskilt stor om det – som ibland är fallet i Transport- styrelsens verksamhet – rör sig om integritetskänsliga uppgifter. har rätt att använda uppgifterna och hur de sprids är omständigheter som påverkar risken för intrång i den personliga integriteten. I artikel 5.1 f i dataskyddsförordningen har det införts en princip om integritet och konfidentialitet. Det innebär att den personuppgiftsansvarige (se artikel 5.2) med användning av lämpliga tekniska eller organisatoriska åtgärder ska vidta åtgärder som säkerställer lämplig säkerhet för Sådana åtgärder ska omfatta skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom Vilka allmänna skyldigheter den personuppgiftsansvarige har anges i kapitel IV i dataskyddsförordningen. I artiklarna 24.1 och 32 i dataskyddsförordningen preciseras att den personuppgiftsansvarige är skyldig att se till att en lämplig säkerhetsnivå för behandlingen av Detta ska, enligt samma bestämmelser, ske bl.a. genom att den personuppgiftsansvarige vidtar lämpliga tekniska och Vilka faktorer som ska beaktas vid valet av åtgärder framgår av artikel 25 i dataskyddsförordningen. bl.a. vara utformade för ett effektivt genomförande av dataskyddsprinciper Den personuppgiftsansvarige ska enligt artikel 25.2 i dataskyddsförordningen vidta åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med Vidare ska personuppgifterna som huvudregel inte utan den registrerades medverkan göras tillgängliga för ett obegränsat antal fysiska personer. Även om skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången till personuppgifter kan sägas följa av dataskydds- förordningen, som Datainspektionen påpekat, anser regeringen att bestämmelser om vilka säkerhetsåtgärder som ska vidtas i en viss verksamhet utgör ett sådant specifikt krav på personuppgiftsbehandling som enligt artikel 6.2 får fastställas i nationell rätt. För skyddet av den enskildes personliga integritet är det enligt regeringens uppfattning viktigt att det uttryckligen säkerställs att personuppgifter i Transportstyrelsens verksamhet görs tillgängliga bara för de medarbetare som behöver uppgifterna för sitt arbete. Regeringen anser därför att en sådan bestämmelse bör införas i vägtrafikdatalagen. ansvarige är således alltid skyldig att pröva varje medarbetares behov av tillgång till personuppgifter utifrån vad arbetsuppgifterna kräver och begränsa tillgången i enlighet med det. Till skillnad från Datainspektionen anser regeringen att detta utgör en tillräckligt tydlig ram för den begränsning av tillgången till personuppgifter som den personuppgifts- ansvarige ska vidta och den övergripande bedömning som ska ske av att tillgången till personuppgifter är proportionerlig i förhållande till det integritetsintrång det kan medföra. Det kan dock även finnas behov av att ange mer detaljerade riktlinjer för hur tillgången till personuppgifter bör avgränsas för de enskilda Även i sådana fall görs en proportionalitetsbedömning. 2018/19:33 Sådana riktlinjer är inte lämpliga att införa i lag. I stället bör det i vägtrafikdatalagen upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om säkerhets- åtgärder, se avsnitt 7.22. Särskilda regler för behandling av gemensamt Regeringens förslag: I stället för bestämmelser om register och data- baser ska den nya lagen innehålla särskilda bestämmelser om behandling av uppgifter som görs eller har gjorts gemensamt tillgängliga i Transportstyrelsens verksamhet på vägtrafikområdet. Behandling som utförs av en enskild tjänsteman eller inom en begränsad grupp personer, t.ex. genom vanlig ordbehandling eller e- post, ska inte omfattas av dessa bestämmelser. Regleringen om gemensamt tillgängliga uppgifter ska inte gälla när personuppgifter behandlas med stöd av bestämmelserna om diarie- Utredningens förslag: Överensstämmer inte med regeringens. Utredningen föreslår en indelning i databaser. Remissinstanserna: Datainspektionen anser att en uppdelning på olika databaser innebär fördelar ut ett integritetsperspektiv. välkomnar användningen av begreppet databas och tillstyrker den indelning i fyra databaser som föreslås, men efterlyser ett mer klarläggande resonemang kring gränsdragningen mellan gemensamt tillgängliga uppgifter och andra uppgifter. registerbegreppet ersätts med begreppet databas. Förslaget i utkastet till lagrådsremiss: Överensstämmer med Remissinstanserna: anser inte att begreppet register bör utgå till förmån för begreppet gemensamt tillgängliga uppgifter, eftersom begreppet register är teknikneutralt och inte har spelat ut sin roll. konstaterar att förslaget att utforma lagstiftningen teknikneutralt korrelerar väl med arkivlagstiftningen. Skälen för regeringens förslag Begreppet ”gemensamt tillgängliga uppgifter” Den nya lagen kommer att gälla för all automatiserad behandling av personuppgifter i Transportstyrelsens verksamhet på vägtrafikområdet. Det innebär att inte bara uppgifter som behandlas i för verksamheten gemensamma uppgiftssamlingar, t.ex. register eller ärendehanterings- system, kommer att omfattas utan även sådan behandling som utförs av en enskild tjänsteman eller en begränsad grupp personer, t.ex. vanlig ordbehandling och e-postkommunikation. Som regeringen framhållit i bl.a. förarbetena till åklagardatalagen är risken för otillbörliga intrång i den 2018/19:33 personliga integriteten större när personuppgifter används av flera gemensamt i verksamheten än när personuppgifter behandlas av en enskild tjänsteman vid den egna datorn utan att någon annan har åtkomst till uppgifterna (prop. 2014/15:63 s. 79). Det bör därför införas särskilda och mer begränsande regler för behandling av uppgifter som används av eller i vart fall är tillgängliga för fler än ett fåtal personer. Frågan är då hur man bör avgränsa den personuppgiftsbehandling för vilken mera begränsande regler bör gälla. I tidigare lagstiftning om personuppgiftsbehandling har termerna register och databas använts för att definiera uppgifter som har gjorts tillgängliga för en större krets. Till respektive register har sedan knutits regler om åtkomst, sökmöjligheter m.m. Termen register har dock kritiserats, bl.a. därför att det har en teknisk anknytning och dagens datasystem normalt inte byggs som traditionella register. Också termen databas har en stark teknisk anknytning och leder tanken till ett visst, i tekniskt avseende avgränsat, informationssystem. Det är inte ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator, utan att det hindrar en effektiv hantering av uppgifterna för olika sammanställningar m.m. Utvecklingen av datorsystemen går generellt mot att behandling av personuppgifter i traditionella register överges.