prop · H60333 · 2019-01-07 00:00:00 — anser regeringen att det finns behov av att inskränka rätten till rättelse enligt dataskyddsförordningen av uppgift om registrerad fordonsägare. I det enskilda fallet skulle det dock kunna saknas behov av en sådan inskränkning. En generell begränsning av rätten till rättelse kan därför inte anses nödvändig eller proportionell i förhållande till syftet. Rättelse bör således kunna ske, men i fråga om uppgift om registrerad fordonsägare endast under förutsättning att det kan ske utan skada för någon annan än den registrerades rättigheter och friheter. Att den registrerades begäran om rättelse skulle kunna leda till skada för den registrerade själv har regeringen svårt att se. En sådan möjlighet till begränsning i enlighet med artikel 23.1 i föreslås därför inte. Genom de föreslagna begränsningarna och de bestämmelser, om bl.a. ändamål, skyddsåtgärder och bevarande av uppgifter, som i övrigt gäller för behandling av personuppgifter enligt vägtrafikdatalagen bedömer regeringen att den föreslagna bestämmelsen är förenlig med kraven i artikel 23.2 i dataskyddsförordningen. En rättelse enligt LVTR och PUL förutsätter som utgångspunkt att kommunikation sker inför rättelsen, vilket kan ta , medan dataskyddsförordningen kräver att rättelse sker utan onödigt dröjsmål. Med hänsyn till att införande i vägtrafikregistret ofta är förenat med rättsverkningar, bedöms att kommunikation som föregår en rättelse medför ett nödvändigt dröjsmål. Bestämmelser om kommunikation bedöms därför förenliga med dataskyddsförordningen. I vägtrafikdata- lagen bör därmed anges att den vars rätt berörs ska ges möjlighet att yttra sig om denne är känd och ett yttrande inte är uppenbart obehövligt. En bestämmelse som innebär att kommunikation inte ska ske om det är uppenbart obehövligt finns även i 25 § förvaltningslagen. Viss vägledning om när det är uppenbart obehövligt med kommunikation torde således kunna hämtas från praxis avseende den bestämmelsen. I detta sammanhang bör även nämnas förhållandet till den av utredningen föreslagna möjligheten för den registrerade fordonsägaren att begära omprövning av ett beslut senast från beslutet eller, om det finns särskilda skäl, . En sådan ordning skulle, liksom dagens möjlighet till omprövning enligt FVTR, vara tillämplig parallellt med möjligheten till rättelse . Efter att tiden för omprövning har löpt ut kan rättelse ske, men enbart i den utsträckning som det kan ske utan skada för den registrerade eller andras rättigheter eller friheter. Enligt regeringens uppfattning skulle en sådan lösning kunna vara godtagbar. 2018/19:33 7.22 Regeringens förslag: Personuppgifter ska avskiljas när de inte längre behövs i Transportstyrelsens löpande verksamhet. Upplysningsbestämmelser ska införas som anger att regeringen kan meddela ytterligare föreskrifter om säkerhetsåtgärder till skydd för personuppgifter och om gallring av personuppgifter. Regeringens bedömning: Vidarebehandling av personuppgifter för arkivändamål av allmänt intresse ska enligt EU:s dataskyddsförordning inte anses vara oförenlig med de ursprungliga ändamålen. Någon särskild rättslig grund behöver inte fastställas för sådan vidare- behandling. Det bör inte införas några särskilda bestämmelser om gallring i vägtrafikdatalagen. Personuppgifter får i enlighet med EU:s data- skyddsförordning bevaras elektroniskt så länge det är nödvändigt med hänsyn till ändamålen med behandlingen eller om behandlingen sker enbart för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Transportstyrelsen tillstyrker förslaget men föreslår vissa förtydliganden. anser att de registrerade uppgifterna ska bevaras. Förslaget och bedömningen i utkastet till lagrådsremiss: Överensstämmer i sak med regeringens, men har justerats lagtekniskt och språkligt. Remissinstanserna: Datainspektionen efterfrågar lagreglering gällande säkerhetsåtgärder som tillförsäkrar att behandlingen blir proportionerlig i förhållande till intrånget i den enskildes personliga integritet. anser att det är bra att det inte i lagen införs en rigid gallringsregel och att uppgifter och handlingar överförs till system för bevarande, men framhåller att det är viktigt att får behålla sin föreskriftsrätt på områdena. Skälen för regeringens förslag och bedömning Allmänt om gallring enligt gällande rätt Varje svensk medborgare har enligt 2 kap. 1 § TF en grundlagsfäst rätt att ta del av allmänna handlingar. En förutsättning för att denna handlings- offentlighet ska kunna utnyttjas är att handlingar bevaras hos myndig- heterna. Redan bestämmelserna i kan således sägas medföra en skyldighet för myndigheterna att bevara och ordna allmänna handlingar så att det går att hitta bland dem och att vårda dem så att de inte skingras och förstörs. Enligt 2 kap. 18 § TF ska bestämmelser om hur allmänna handlingar ska bevaras och om gallring av sådana handlingar meddelas i lag. Bestämmelser om myndigheters skyldighet att bevara allmänna handlingar, på vilket sätt bevarande ska ske och gallring finns i arkivlagen (1990:782), arkivförordningen (1991:446) och föreskrifter (RA-FS och RA-MS). I dessa bestämmelser anges bland annat hur en handling ska framställas, förvaras och skyddas. Där finns också bestämmelser om gallring och avhändande av allmänna handlingar. Huvudprincipen enligt arkivlagstiftningen är att allmänna handlingar ska bevaras. Det kommer till uttryck i 3 § arkivlagen, som anger att myndigheternas arkiv som huvudregel ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Det följer dock av 10 § arkivlagen att allmänna handlingar under vissa förutsättningar får gallras. Med gallring avses att en handling förstörs på ett eller annat sätt. Vanliga pappershandlingar förstörs fysiskt. För elektroniska handlingar innebär gallring vanligtvis att viss information raderas från databäraren. Med gallring menas inte bara att rent faktiskt förstöra en allmän handling eller uppgifter i en sådan handling. Gallring innebär också att vidta åtgärder med en allmän handling som medför förlust av betydelsebärande data, förlust av möjliga sammanställningar, förlust av sökmöjligheter eller förlust av möjligheter att bedöma handlingens autenticitet (RA-FS 1997:4 senast ändrad genom RA-FS 2012:1). Det kan till exempel innebära gallring att skriva ut en elektronisk handling i pappersform och därefter förstöra den elektroniska handlingen. Även om informationen finns kvar på papper kan möjligheten att få fram informationen ha försämrats. När det gäller gallring är arkivlagens bestämmelser subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning, har de bestämmelserna företräde (10 § tredje stycket arkivlagen). Av 14 § arkivförordningen framgår att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller förordning. Om det i författningar som rör myndigheters behandling av personuppgifter inte finns några särskilda regler om gallring, ska således arkivlagens bestämmelser om bevarande som huvudprincip tillämpas. Grundprincipen i arkivlagstiftningen är således att allmänna handlingar ska bevaras. Några särskilda hänsyn till vilken risk bevarandet kan medföra ur integritetshänseende ska inte tas. Bestämmelser om gallring föranleds i stället vanligtvis av kostnads- och utrymmesskäl. Medan utgångspunkten i arkivlagstiftningen är att bevara allmänna handlingar, syftar dataskyddsförordningens bestämmelser, liksom bestämmelserna i , till att säkerställa fysiska personers rätt till skydd av personuppgifter. Vid all personuppgiftsbehandling gäller enligt artikel 5.1 e i dataskyddsförordningen principen om lagringsminimering. Principen innebär att personuppgifter som huvudregel inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Samma princip gällde enligt artikel 6.1 e i dataskydds- direktivet, som genomfördes i 9 § första stycket i PUL. Huvudregeln har alltså inte ändrats. Personuppgifter får dock lagras i den mån uppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska 2018/19:33 ändamål. Den förlängda bevarandetiden gäller under förutsättning att lämpliga tekniska och organisatoriska åtgärder vidtas i enlighet med kraven i artikel 89.1. I artikel 89.1 anges att behandling av personuppgifter för arkivändamål av allmänt intresse ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Dessa skyddsåtgärder ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Vidare gäller enligt artikel 6.2 i dataskyddsförordningen att specifika nationella bestämmelser för att anpassa tillämpningen av förordningens bestämmelser och för att säkerställa en laglig och rättvis behandling får införas när behandlingen grundar sig på en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller myndighets- utövning. Vid sådan behandling av personuppgifter gäller även enligt artikel 6.3 att särskilda nationella bestämmelser om bl.a. lagringstid är tillåtna för att anpassa tillämpningen av förordningens bestämmelser. Begreppet arkivändamål av allmänt intresse definieras inte i data- skyddsförordningen. I dataskyddsdirektivet används begreppet historiska ändamål. Det är oklart om någon skillnad i innebörd är avsedd. Den närmare innebörden av begreppet arkivändamål av allmänt intresse får därför klargöras i rättstillämpningen, särskilt i förhållande till begreppet historiska forskningsändamål som i dataskyddsförordningen ofta används i samma bestämmelser. Här bör även nämnas att regeringen har beslutat att ge en särskild utredare i uppdrag att göra en bred översyn av arkivområdet. Det övergripande syftet är att säkerställa samhällets tillgång till allmänna handlingar både nu och (dir. 2017:106). Regeringen har i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 110) anfört att det står klart att den behandling av personuppgifter som utförs för att uppfylla de krav som ställs i arkivlagen och anslutande föreskrifter måste anses ske för arkivändamål av allmänt intresse. Däremot anser regeringen att behandling av personuppgifter som utförs för att uppfylla krav på bevarande för andra syften, såsom exempelvis kravet på arkivering av räkenskapsinformation enligt bokföringslagen (1999:1078), inte utgör behandling för arkivändamål av allmänt intresse. Det är dock en annan sak att det, när kravet på bevarande för andra syften inte längre kvarstår, kan finnas skäl att bevara även sådan information för arkiv- ändamål av allmänt intresse, t.ex. för att arkivlagen kräver det. Regeringen konstaterar vidare i propositionen att den behandling av personuppgifter som myndigheter och andra utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar utgör en vidarebehandling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1b i dataskyddsförordningen inte anses som oförenlig med de ursprung- liga ändamålen. Det krävs då inte någon annan rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (skäl 50). Av 3 kap. 6 § dataskyddslagen framgår vidare att känsliga person- uppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Bestämmelsen förtydligar bl.a. att dataskyddsförordningen och data- skyddslagen inte hindrar att allmänna handlingar arkiveras och bevaras eller att arkivmaterial tas om hand av en arkivmyndighet (se prop. 2017/18:105 s. 115 f.). I fråga om offentlighetsprincipen konstaterar regeringen att dataskydds- förordningen inte hindrar att det nuvarande synsättet, att arkivlag- stiftningen har företräde framför PUL, bibehålls, dock nu i förhållande till dataskyddsförordningen. Tvärtom säkerställs offentlighetsprincipens ställning genom artikel 86 i förordningen som anger att personuppgifter i allmänna handlingar får lämnas ut i enlighet med unionsrätten eller en medlemsstats nationella rätt, för att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med förordningen (se prop. 2017/18:105 s. 116). Gallringsbestämmelser som gäller i verksamheten LVTR innehåller inte några särskilda bestämmelser om bevarande och gallring av uppgifter. I stället har regeringen bemyndigats att, till skydd för den enskildes integritet, meddela föreskrifter om begränsning av rätten att bevara uppgifter. Med stöd av bemyndigandet har bestämmelser om gallring av uppgifter i vägtrafikregistret förts in i FVTR. Gallrings- bestämmelserna gäller dock endast i den mån inte har meddelat föreskrifter om att uppgifter ska gallras eller att uppgifter ska bevaras. har utfärdat myndighets- specifika föreskrifter om återlämnande och gallring hos Transportstyrelsen (RA-MS 2013:12). Regeringen och har således meddelat föreskrifter som innebär undantag från huvudregeln att allmänna handlingar ska bevaras. I den mån inte särskilda gallringsbestämmelser kan åberopas gäller dock arkivlagens bestämmelser om bevarande och gallring för Transportstyrelsens verksamhet. Som angetts ovan har regeringen i propositionen Ny dataskyddslag (prop. 2017/18:105) bedömt att den behandling av personuppgifter som myndig- heter och andra organ utför när de som en följd av arkivlagens bestämmelser arkiverar sina allmänna handlingar utgör en vidarebehand- ling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b i dataskyddsförordningen inte anses som oförenlig med de ursprungliga ändamålen, och det krävs därför inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Personuppgifter som inte är allmänna handlingar För personuppgifter som inte är allmänna handlingar gällde tidigare bestämmelserna i 9 § första stycket i och tredje stycket PUL. Av de bestämmelserna följde att personuppgifter som huvudregel inte fick bevaras än vad som var nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlades. Det medförde bland annat att person- uppgifter i minnesanteckningar eller utkast till beslut eller skrivelser som behandlades av en tjänsteman i ett ordbehandlingsprogram och som inte hade tagits om hand för arkivering skulle tas bort ur systemet eller avidentifieras när de inte längre behövdes för sitt ändamål. En motsvarande, direkt tillämplig, bestämmelse finns nu i artikel 5.1 e i dataskyddsförordningen. Manuellt behandlade personuppgifter i allmänna handlingar För personuppgifter i allmänna handlingar som behandlas manuellt gäller att de som huvudregel ska bevaras. Gallring får dock ske om det finns stöd för det i föreskrifter eller beslut av . För Transport- styrelsen gäller till exempel föreskrifter och allmänna råd om gallring av handlingar av tillfällig eller ringa betydelse (RA-FS 1991:6, ändrad 1997:6 och 2012:2) och föreskrifter om återlämnande och gallring hos Transportstyrelsen (RA-MS 2013:12). Enligt regeringens mening finns det inte någon anledning att ändra på den ordningen. Automatiserat behandlade personuppgifter i allmänna handlingar Dagens teknik medför att en i princip obegränsad mängd personuppgifter kan bevaras elektroniskt hos myndigheterna. Ett elektroniskt bevarande ökar möjligheten att på ett enkelt sätt söka och sammanställa uppgifter, något som också kan öka risken för integritetsintrång. En metod att minska integritetskänsligheten är att se till att uppgifter som inte längre behövs i en myndighets verksamhet gallras ur myndighetens datasystem. För detta krävs särskilda bestämmelser om gallring av uppgifter i myndighetens verksamhet. Som utredningen anför finns det omständigheter som talar för att, liksom enligt nuvarande vägtrafikregisterlagstiftning, införa särskilda bestäm- melser om gallring i den nya vägtrafikdatalagstiftningen. I Transport- styrelsens verksamhet på vägtrafikområdet behandlas en omfattande mängd personuppgifter som avser ett stort antal personer. Behandlingen sker i flera fall utan den enskildes samtycke och personuppgifterna används vid myndighetsutövning gentemot enskilda personer. Vissa av de personuppgifter som behandlas utgör känsliga personuppgifter. Det finns också personuppgifter som inte hör till denna kategori, men ändå kan uppfattas som integritetskänsliga. Som exempel kan nämnas uppgifter om enskildas ekonomiska förhållanden, överträdelser och registrerade fordonspassager vid vissa platser. I syfte att minska risken för integritetsintrång har utredningen övervägt att föreslå att personuppgifter som behandlas automatiserat som huvudregel ska gallras då de inte längre behövs i verksamheten, dock senast efter ett visst antal år. Regeringen eller den myndighet som regeringen bestämmer skulle i ett sådant system ges rätt att föreskriva såväl kortare gallringsfrister som undantag från gallring med hänsyn till verksamhetens behov eller för arkivändamål. Utredningen har dock kommit fram till att det vore olyckligt med en sådan huvudregel, särskilt med hänsyn till behovet av att bevara uppgifter för forskningsändamål och utvärderingar. I stället talar enligt utredningen starka skäl för att behålla dagens system, med vissa särskilda bestämmelser om gallring, i den nya vägtrafikdatalagstiftningen. Det finns även omständigheter som talar för bevarande av uppgifter som huvudregel. När det gäller personuppgifter som behandlas i ett ärende finns det i allmänhet ett stort intresse av att uppgifterna bevaras, eftersom behovet av insyn och tillsyn är stort där. Enskilda har intressen att bevaka i många av de ärendetyper som handläggs av Transportstyrelsen och betydelsen av insyn är därför framträdande. Till det kommer att handläggningen av ärenden innebär myndighetsutövning mot enskild, vilket gör att det finns ett betydande behov av tillsyn. Vid Transport- styrelsens handläggning av bl.a. tillsynsärenden torde myndigheten ofta ha behov av att ta fram uppgifter från tidigare ärenden. En alltför omfattande gallring av Transportstyrelsens handlingar skulle minska möjligheterna till insyn för de registrerade och möjligheterna för myndigheten att använda uppgifter från tidigare ärenden. Vidare talar allmänhetens intresse av insyn i verksamheten för att bevarande bör vara utgångspunkten. Möjligheten för till exempel forskare eller journalister att granska transportverksamheten på vägtrafikområdet skulle minska avsevärt om personuppgifter i elektroniska handlingar som utgångspunkt ska gallras. Som påpekat kan även motorhistoriska skäl tala mot gallring som huvudregel. Mot denna bakgrund gör regeringen liksom utredningen bedömningen att den nuvarande ordningen bör fortsätta att gälla. Någon generell gallringsbestämmelse bör således inte föras in i lagen. Ur ett integritets- perspektiv finns det dock, som också utredningen anser, behov av specifika gallringsregler i vissa fall. I varje enskilt fall får då göras en avvägning mellan integritets- och offentlighetsintresset. Enligt regeringen görs en sådan intresseavvägning lämpligen, liksom , i föreskrifter meddelade av regeringen eller den myndighet som regeringen bestämmer. Regeringen har således inte för avsikt att inskränka före- skriftsrätt på området. En upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om gallring av personuppgifter bör därför införas i vägtrafik- datalagen. Sådana nationella bestämmelser om lagringstid är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen, eftersom behandlingen grundar sig på en rättslig förpliktelse, en uppgift av allmänt intresse eller myndighetsutövning. Avskiljande av inaktuella personuppgifter Regeringens förslag om att arkivlagens bestämmelser om bevarande och gallring som huvudregel ska gälla för personuppgifter som behandlas automatiserat innebär ett behov av att överväga särskilda regler som säkerställer att uppgifter som inte längre behövs i verksamheten bevaras i Transportstyrelsens datasystem på ett sätt som gör att de inte finns tillgängliga för myndighetens samtliga handläggare. Det är en stor mängd uppgifter som behandlas för de olika ändamålen inom verksamheterna fordon, behörigheter, tillstånd och tillsyn och uppgifterna är ofta tillgängliga för många anställda på Transportstyrelsen. Regeringen anser därför liksom utredningen att de uppgifter som är nödvändiga för den löpande verksamheten, t.ex. för att handläggningen av ett ärende har avslutats, ska avskiljas och inte längre vara tillgängliga för all den personal som arbetar i sådan verksamhet. Utredningen föreslår att endast ett fåtal anställda, främst tjänstemän vid Transportstyrelsens arkiv, ska ha direkt tillgång till de avskilda upp- gifterna. Dessa personer kan i sin tur se till att handläggare eller besluts- fattare som har behov av att vid handläggning av nya ärenden behandla redan avskilda uppgifter får sådan tillgång. I avsnitt 7.17 föreslås en allmän bestämmelse om att den personuppgiftsansvariga myndigheten ska begränsa den interna åtkomsten av personuppgifter till det som var och en 2018/19:33 behöver för att fullgöra sina arbetsuppgifter. Utan särreglering blir den bestämmelsen tillämplig även på den interna åtkomsten till avskilda uppgifter. Eftersom regeringen menar att samma krav på behov bör gälla för att en tjänsteman ska få tillgång till avskilda uppgifter behövs inte någon särskild begränsningsbestämmelse av åtkomsten till uppgifter i bestämmelsen om avskiljande. Det är en annan sak att det sannolikt ofta är en betydligt snävare krets av tjänstemän som kommer att bedömas ha behov av att få tillgång till avskilda personuppgifter. Regleringen som rör avskiljande bör vara allmänt hållen. Hur avskiljandet ska göras bör den personuppgiftsansvarige själv få bestämma. Det får dock inte innebära informationsförlust av något slag. En metod är att uppgifterna avställs t.ex. till Transportstyrelsens e-arkiv. Vidare bör det överlämnas till Transportstyrelsen att bedöma när personuppgifterna ska avskiljas och att utarbeta regler och rutiner för detta. Det torde inte vara ovanligt att uppgifter som är av betydelse för Transport- styrelsens handläggning och därmed ska avskiljas är av betydelse för andra myndigheters ärendehandläggning. Det bör därför inte finnas något hinder mot att avskilda uppgifter omfattas av direktåtkomst eller utlämnande på annat sätt. Det kan finnas behov för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om avskiljande av personuppgifter, varför en upplysningsbestämmelse om detta bör införas i vägtrafikdatalagen. Som påpekat finns bestämmelser om bl.a. överföring av uppgifter till system för bevarande i föreskrifter (RA-FS 2009:1) och allmänna råd om elektroniska handlingar (upp- tagningar för automatiserad behandling). Kapitel IV i dataskyddsförordningen innehåller bestämmelser om skyldig- heter för personuppgiftsansvariga och personuppgiftsbiträden att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att kraven i förordningen uppfylls och att den registrerades rättigheter skyddas. Datainspektionen efterfrågar lagreglering i fråga om säkerhetsåtgärder som tillförsäkrar att behandlingen blir proportionerlig i förhållande till det integritetsintrång som den kan innebära för den enskilde. Avskiljande av inaktuella personuppgifter som behandlas ovan är exempel på en sådan säkerhetsåtgärd som avses i dataskyddsförordningen.