prop · H60333 · 2019-01-07 00:00:00 — Behandlingen får i dessa fall anses ske inom ramen för verksamheten som rör fordon, behörigheter, tillstånd och tillsyn. Slutligen bör vägtrafikdatalagen, liksom dataskyddsförordningen, endast tillämpas om behandlingen av personuppgifter är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. Sammanfattningsvis föreslår regeringen således att lagen ska tillämpas på behandling av personuppgifter i Transportstyrelsens verksamhet på vägtrafikområdet som rör fordon, behörigheter, tillstånd och tillsyn, om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. Verksamhet som faller utanför lagens tillämpningsområde Med den föreslagna lösningen kommer behandling av personuppgifter i samband med de interna och administrativa åtgärder som kan förekomma i Transportstyrelsens verksamhet i huvudsak att falla utanför lagens tillämpningsområde (jfr dock föregående avsnitt angående vissa administrativa personuppgifter såsom mobiltelefonnummer och e- postadress). Exempel på interna åtgärder kan vara Transportstyrelsens framtagande av handböcker och policydokument m.m. Personuppgifter torde dock sällan behandlas i dessa fall. Som exempel på administrativa områden kan nämnas personal- och lokalfrågor och ekonomihantering. Regeringen delar vidare utredningens och Transportstyrelsens bedömning att Transportstyrelsens överprövning av länsstyrelsebeslut som rör lokala trafikföreskrifter bör falla utanför lagens tillämpnings- område. Inte heller Transportstyrelsens arbete med analys och uppföljning av vägtransportsystemets utformning och funktion, trafiksäkerhet samt forskning och utveckling omfattas av lagens föreslagna tillämpnings- område. I den mån det blir aktuellt med hantering av personuppgifter i denna verksamhet, undantaget den som är relaterad till Strada (se nedan), torde behandlingen endast vara av ringa omfattning. Det är därmed inte heller i dessa fall motiverat med en sektorsspecifik kompletterande reglering i förhållande till dataskyddsförordningen. gav en särskild utredare i uppdrag att utreda vissa frågor, bl.a. mandat och integritets- och sekretessfrågor, när det gäller vägtrafikolycksregistret Strada (Acquisition). Uppdraget, inklusive förslag till en ny lag som ska reglera den personuppgiftsbehandling som sker i Strada, redovisades i promemorian Strada Transportstyrelsens olycksdatabas (2016:20) . Promemorian bereds nu i . Regeringen anser att det inte är lämpligt att föregripa den beredningen och Strada behandlas därför inte i denna remiss. Behandling av andra uppgifter än personuppgifter Dataskyddsförordningen definierar personuppgifter som varje upplysning som avser en identifierad eller identifierbar fysisk person. Behandling av uppgifter om t.ex. juridiska personer omfattas således inte av förordningen (jfr skäl 14 i förordningen). Av skäl 27 framgår att förordningen inte heller gäller behandling av personuppgifter som avser avlidna personer. Som angetts ovan kan en nationell författning alltjämt omfatta sådan verksamhet som faller utanför dataskyddsförordningens tillämpnings- område och därmed utsträckas till att omfatta exempelvis behandling av uppgifter om juridiska personer och avlidna personer. Datainspektionens synpunkt vill regeringen dock framhålla att det förhållandet att vissa bestämmelser i lagen gäller även vid behandling av uppgifter om juridiska och avlidna personer inte medför att dataskyddsförordningen blir tillämplig vid behandling av uppgifter som inte utgör personuppgifter. innehåller inte enbart personuppgifter, utan även uppgifter om t.ex. juridiska personer och tekniska uppgifter om fordon som inte kan hänföras till någon identifierad eller identifierbar fysisk person som är i livet. Enligt LVTR gäller dock bestämmelserna om bl.a. ändamål, direktåtkomst, rättelse och skadestånd enbart behandling av personuppgifter. Även om juridiska personer och avlidna inte har samma behov av integritetsskydd som levande fysiska personer finns det, som också utredningen anser, skäl att tillämpa vissa grundläggande bestämmelser i vägtrafikdatalagen även på andra uppgifter än personuppgifter. Liksom enligt dagens reglering bör bestämmelserna om innehåll, gallring och sökbegrepp tillämpas även på uppgifter om juridiska personer och avlidna. Till sådana uppgifter räknas inte enbart uppgifter om t.ex. ett företags namn och adress, utan även t.ex. tekniska uppgifter om ett fordon som ägs av en juridisk person eller som är registrerat på en avliden person omfattas. Regeringen delar således Åkeriföretags uppfattning att även uppgifter om juridiska och avlidna personer är skyddsvärda. När det gäller personuppgiftsansvaret för behandlingen av sådana uppgifter, se avsnitt 7.5. Eftersom behovet av integritetsskydd för de olika uppgifterna skiljer sig åt finns det dock enligt regeringens uppfattning inte skäl att införa samma skyddsregler för uppgifter om juridiska personer och avlidna som för fysiska personer som är i livet. Exempelvis bör det, liksom , inte uppställas krav på att uppgifter om juridiska personer och avlidna behandlas endast i enlighet med de i lagen angivna ändamålen. Vidare bör bestämmelser motsvarande dataskyddsförordningens bestämmelser om den registrerades rättigheter inte införas för juridiska eller avlidna personer. Transportstyrelsen har således t. ex. inte någon särskild informationsskyldighet i dessa fall. Inte heller bör särskilda regler om skadestånd och rättelse införas för juridiska eller avlidna personer, eftersom dessa regler syftar till att ge ersättning för respektive minimera den personliga kränkning som en felaktig personuppgiftsbehandling kan innebära. Att sådana bestämmelser inte införs i förhållande till juridiska eller avlidna personer förtar dock inte myndighetens eget intresse av och ansvar för att de uppgifter som behandlas är riktiga och att rätta felaktiga uppgifter. Bestämmelserna om tillgången till personuppgifter och avskiljande av personuppgifter syftar till att skydda den enskildes personliga integritet genom att säkerställa att uppgifter endast är tillgängliga för dem som behöver uppgifterna för sitt arbete. Även om det inte finns samma skyddsbehov för uppgifter om juridiska personer och avlidna personer som för levande fysiska personer anser regeringen att det saknas skäl att låta dessa uppgifter vara tillgängliga för anställda hos Transportstyrelsen som saknar behov av uppgifterna. Även dessa bestämmelser bör således vara tillämpliga på behandling av uppgifter om juridiska personer och avlidna. Förhållandet till annan reglering Regeringens förslag: Vägtrafikdatalagen ska i fråga om behandling av personuppgifter komplettera EU:s dataskyddsförordning. annat följer av vägtrafikdatalagen eller föreskrifter som har meddelats i anslutning till den lagen ska även lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen gälla. Hänvisningar till EU:s dataskyddsförordning ska vara dynamiska, avse förordningen i den gällande lydelsen. Utredningen framför inte något motsvarande förslag. Förslagen i utkastet till lagrådsremiss: Överensstämmer med Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens förslag: Dataskyddsförordningen är direkt tillämplig, vilket innebär begränsningar av möjligheten att införa eller behålla nationella bestämmelser om dataskydd. antal artiklar förutsätter eller medger dock nationella bestämmelser som kompletterar eller föreskriver undantag från förordningens bestämmelser. Enligt skäl 8 i förordningen är det då även, om det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga, möjligt att införliva delar av förordningen i nationell rätt. De kompletterande bestämmelser av generell karaktär som har ansetts nödvändiga eller lämpliga finns i dataskyddslagen och i förordningen (2019:219) med kompletterande bestämmelser till EU:s dataskydds- Dessa bestämmelser utgör tillsammans med dataskydds- förordningens bestämmelser till viss del tillräcklig reglering för vägtrafikområdet, men det finns även behov av mer precisa sektors- specifika bestämmelser för att komplettera de generella bestämmelserna. Sådana bestämmelser bör tas in i den nya vägtrafikdatalagen. det inte finns några avvikande bestämmelser i vägtrafikdatalagen eller en förordning som har meddelats med stöd av den, bör dock bestämmelserna i dataskyddslagen och anslutande föreskrifter tillämpas. Vägtrafikdatalagen kommer således att omfatta sådan personuppgifts- behandling som omfattas av dataskyddsförordningen, dvs. automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. definieras i artikel 4.6 i dataskyddsförordningen som varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. därmed att omfatta all automatiserad behandling av personuppgifter, oavsett vilket datasystem eller register som används, och viss Tillämpningen av lagen är vidare oberoende av om behandlingen sker hos en enskild tjänsteman eller i ett system där personuppgifter och handlingar är gemensamt tillgängliga i verksamheten. Som framgår av avsnitt 7.2 är dock lagens tillämpningsområde begränsat till en viss typ av verksamhet. I fråga om hänvisningar i vägtrafikdatalagen till dataskyddsförord- ningen anser regeringen att de, liksom merparten av hänvisningarna i dataskyddslagen, ska vara dynamiska, dvs. avse förordningen i den vid Prop. 2018/19:33 varje tidpunkt gällande lydelsen, för att säkerställa att den direkt tillämpliga förordningen får genomslag. Regeringen anser att en sådan hänvisningsteknik är lämplig då en hänvisning till en bestämmelse i dataskyddsförordningen är av upplysande karaktär, såsom hänvisningarna i 2 kap. 5 § 6 om ändamål. I 2 kap. 19 § finns en bestämmelse som föreskriver undantag från dataskyddsförordningens bestämmelser i fråga om den registrerades rätt till rättelse. Undantaget motiveras av en balans mellan den registrerades skydd enligt dataskydds- förordningen och den personuppgiftsansvariges verksamhet eller en tredje parts personliga integritet. Även i detta fall anser regeringen att det är mest lämpligt med en dynamisk hänvisning för att säkerställa att balansen består även efter en eventuell ändring av dataskyddsförordningen. Som framhållits i tidigare lagstiftningsärenden (jfr prop. 2009/10:85 s. 68 och 125 och prop. 2014/15:63 s. 79) är risken för otillbörliga intrång i den personliga integriteten större när personuppgifter används av flera gemensamt i en verksamhet än när sådana uppgifter behandlas av en enskild tjänsteman vid den egna datorn utan att någon annan har åtkomst till personuppgifterna. Regeringen anser därför att det bör införas särskilda och mer begränsande regler för behandling av personuppgifter som används av eller i vart fall är tillgängliga för fler än ett fåtal personer, se avsnitt 7.18. 7.4Rättslig grund för behandling av personuppgifter Regeringens bedömning: Sådan behandling av personuppgifter som är nödvändig i Transportstyrelsens verksamhet till följd av författningar på vägtrafikområdet som rör fordon, behörigheter, tillstånd och tillsyn, kan ske med stöd av EU:s dataskyddsförordning. Det finns inte något behov av författningsändringar i detta avseende. Den personuppgiftsansvarige är skyldig att se till att den konkreta personuppgiftsbehandlingen uppfyller EU:s dataskyddsförordnings krav på personuppgiftsbehandling. Utredningen gör inte någon motsvarande bedömning. Bedömningen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterfrågar en tydligare beskrivning av vilka uppgifter som faller under respektive rättslig grund och ett ställningstagande till om en konsekvensbedömning enligt artikel 35 krävs och om det i så fall räcker att den genomförs som ett led i lagstiftningsarbetet. Skälen för regeringens bedömning Dataskyddsförordningen utgår från att varje behandling av personupp- gifter måste vila på en av de rättsliga grunder som räknas upp i artikel 6.1. 2018/19:33 Grunderna innefattar att behandlingen ska vara nödvändig för att utföra den fastställda uppgiften. Bestämmelsen motsvarar i stora drag artikel 7 i dataskyddsdirektivet, som har genomförts i svensk rätt genom 10 § PUL. Uppräkningen i artikel 6.1 är uttömmande. Om inget av dessa villkor är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande och flera rättsliga grunder kan därför vara tillämpliga för en och samma behandling. Det är dock inte tillräckligt att behandlingen är laglig enligt artikel 6.1 i dataskyddsförordningen, dvs. att den är rättsligt grundad. Den personupp- giftsansvarige måste också uppfylla kraven i övriga bestämmelser i förordningen, t.ex. de allmänna principerna i artikel 5. I artikel 7 och 8 anges närmare villkor för tillämpningen av artikel 6.1 a, dvs. den rättsliga grund som utgår från den registrerades samtycke. När det gäller behandling som avser särskilda kategorier av personuppgifter (känsliga personuppgifter) eller personuppgifter som rör fällande domar i brottmål samt överträdelser anges ytterligare villkor i artiklarna 9 och 10. För att följa kraven i artikel 6.1 c och 6.1 e får medlemsstaterna enligt artikel 6.2 fastställa specifika krav för behandlingen av personuppgifter och andra åtgärder för att anpassa tillämpningen av förordningens bestämmelser och säkerställa en laglig och rättvis behandling. Kravet i artikel 6.3 första stycket på att grunden för behandling av personuppgifter enligt artikel 6.1 c och e ska vara fastställd i unionsrätten eller den nationella rätten utgör ett ytterligare villkor för tillämpning som ska vara uppfyllt. Även syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan vidare innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. de allmänna villkor som ska gälla, vilken typ av uppgifter som ska behandlas, ändamålsbegränsningar och lagringstid. Artikel 6.3 ställer också krav på att, i fråga om grunden för personupp- giftsbehandling, unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. I fråga om kravet på proportionalitet uttalar regeringen i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 50) att utgångspunkten bör vara att dataskyddsförordningens krav är uppfyllt i fråga om de rättsliga förpliktelser, de uppgifter av allmänt intresse och den myndighetsutövning som fastställs i enlighet med svensk rätt. Den personuppgiftsansvarige behöver därmed inte göra någon propor- tionalitetsbedömning avseende regleringen av den rättsliga grunden för behandlingen, utan kan utgå från att svensk rätt uppfyller detta krav. Däremot måste behandlingen vara nödvändig i förhållande till den rättsliga grunden och följa de grundläggande principerna i artikel 5. Slutligen berör artikel 6.4 den prövning som ska göras i situationen att en behandling sker för andra ändamål än de ursprungliga, den s.k. finalitetsprövningen. Bedömningen i propositionen Ny dataskyddslag Regeringen konstaterar i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 48 f.) när det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c), som ett led i myndighetsutövning eller för att utföra en uppgift av allmänt intresse (artikel 6.1 e) att det även måste finnas ett annat stöd i rättsordningen än det som ges i dataskyddsförordningen. I artikel 6.3 första stycket i dataskyddsförordningen anges det nämligen att den grund för behandlingen som avses i artikel 6.1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personupp- giftsansvarige omfattas av. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av den personuppgiftsbehandling som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten att utöva myndighet. Regeringen konstaterar vidare att en rättslig grund är fastställd i enlighet med svensk rätt om den följer av författning eller beslut som meddelats i enlighet med regeringsformens bestämmelser. Regeringen gör bedömningen att det inte behövs någon ytterligare nationell reglering på generell nivå för att sådan behandling av personuppgifter som är nödvändig för att uppfylla en rättslig förpliktelse, som ett led i den personuppgiftsansvariges myndighetsutövning eller för att utföra en uppgift av allmänt intresse ska kunna ske med stöd av de rättsliga grunderna i artikel 6.1 c och e i dataskyddsförordningen (s. 52 f.). Det finns dock enligt regeringens uppfattning skäl att ta in vissa förtydligande bestämmelser i den generella regleringen. Av 2 kap. 1 § dataskyddslagen framgår således att en rättslig förpliktelse utgör en rättslig grund för behandling av personuppgifter om förpliktelsen följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Vidare följer av 2 kap. 2 § dataskyddslagen att som rättslig grund kan åberopas dels en uppgift av allmänt intresse som följer av lag eller annan författning eller av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, dels myndighetsutövning som sker enligt lag eller annan författning. Det finns rättslig grund för Transportstyrelsens behandling av personuppgifter Transportstyrelsen bedriver en omfattande verksamhet på vägtrafik- området. Styrelsens uppgifter framgår av ett flertal författningar och kräver i stor utsträckning behandling av personuppgifter för att kunna utföras. Inledningsvis kan nämnas Transportstyrelsens skyldighet att föra vägtrafikregistret enligt 7 § LVTR, där ett stort antal personuppgifter om bl.a. fordonsägare och innehavare av olika behörigheter och tillstånd ska registreras. Regeringen föreslår att motsvarande skyldighet för Transport- styrelsen att registrera personuppgifter förs in i den nya vägtrafikdata- lagen. Personuppgifter behandlas även i stor utsträckning i styrelsens ärendehandläggning, t.ex. vid beslut avseende körkort enligt KKL, taxiförarlegitimation och taxitrafiktillstånd enligt TTL, tillstånd att bedriva yrkesmässig trafik enligt YTL och trängselskatt enligt lagen om Även i styrelsens tillsynsverksamhet behandlas personupp- För en mer utförlig beskrivning av verksamheten, se avsnitt 5.3. Transportstyrelsens uppgifter är regelmässigt av allmänt intresse och innefattar i stor utsträckning myndighetsutövning. I vissa fall utgör de även rättsliga förpliktelser. På ett övergripande plan bör det framhållas att de uppgifter som Transportstyrelsens personuppgiftsbehandling avser till följd av författningsreglerad verksamhet har stöd i nationell rätt. dock enligt regeringen inte möjligt att som Datainspektionen efterfrågar peka ut samtliga författningsbestämmelser som kan utgöra rättslig grund för den personuppgiftsbehandling som är tillåten inom ansvarsområdena och ange vilken rättslig grund som är tillämplig i varje enskilt fall. i stället generellt konstateras att myndighetsutövning i inte kan ske Det kan därför enligt regeringens mening förutsättas att den rättsliga grunden för personuppgiftsbehandling som sker som ett led i myndighetsutövning är fastställd i nationell rätt på det sätt som Vidare är de uppgifter som statliga myndigheter utför generellt uppgifter av allmänt intresse. verksamhet och uppdrag är enligt regeringen reglerade på ett sådant sätt att dataskyddsförordningens krav på att grunden för behandlingen ska vara fastställd i nationell rätt är uppfyllt. Detsamma gäller när den rättsliga grunden är en rättslig förpliktelse som en myndighet åläggs genom en författning och som kräver personuppgiftsbehandling. myndigheter kan, vid sidan av sina uppgifter och uppdrag, sägas ha En myndighets uppdrag enligt myndighets- instruktionen eller ett regleringsbrev kan i vissa fall vara en fastställd rättslig förpliktelse i dataskyddsförordningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst register (jfr prop. s. 53). Den personuppgiftsansvarige har vidare ett generellt ansvar för att inte utföra någon olaglig behandling av personuppgifter (jfr artikel 5.2 i Enligt artikel 6.3 andra stycket i dataskyddsförordningen krävs bl.a. att medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. proportionalitet i dataskyddsförordningens reglering återspeglar det krav som ställer på lagstiftaren i en rättsstat. 19 § RF får inte lagar och andra föreskrifter meddelas i strid med Regeringen bedömer att det är mycket ovanligt att svensk rätt inte uppfyller krav (jfr prop. 2017/18:105 s. 50). Utgångspunkten bör därför vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighets- utövning som fastställs i enlighet med svensk rätt (jfr avsnitt 7.4). måste behandlingen av personuppgifter vara nödvändig i förhållande till den rättsliga grunden (artikel 6.1 b–f) och följa principerna i artikel 5. denna bakgrund kan det enligt regeringen förutsättas att när de bestämmelser som utgör grund för behandling av personuppgifter på vägtrafikområdet infördes, bedömdes de uppfylla mål av allmänt intresse och vara proportionella mot det legitima mål som eftersträvades. Regeringen bedömer vidare att syftet med sådan behandling som är nödvändig för att fullgöra rättsliga förpliktelser regelmässigt framgår i de författningar eller beslut som ger stöd för förpliktelsen. därför inte skäl att i detta sammanhang generellt ompröva tidigare ställningstaganden beträffande samtliga berörda lagar. Någon ytterligare analys av om lagstiftningen är proportionell mot det legitima mål som eftersträvas är enligt regeringens mening inte heller motiverad. Däremot finns det enligt regeringen ett behov av att införa särskilda ändamål för Transportstyrelsens behandling av personuppgifter på vägtrafikområdet. Sådana bestämmelser föreslås i avsnitt 7.9–13. Utöver den behandling av personuppgifter som krävs i Transport- styrelsens egen verksamhet, behandlar myndigheten personuppgifter för att lämna ut uppgifter till andra myndigheter och enskilda. Även i dessa situationer krävs att personuppgiftsbehandlingen är nödvändig för grunden för behandlingen, dvs. den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen (jfr artikel 6.1 c och e). Behandlingen måste även ha stöd i lag eller förordning. Transportstyrelsen är i vissa fall enligt lag eller förordning skyldig att på begäran lämna ut uppgifter till andra. Enligt exempelvis 6 kap. 5 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, ska en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Transportstyrelsen tillhandahåller vidare på begäran av den registrerade eller vissa myndigheter utdrag som avser registreringen av bl.a. fordon, behörigheter och yrkes- och taxitrafik (se 4 kap. 6–10 §§ FVTR). Uppgifter som avser trängselskatt ska på begäran lämnas till när det behövs för verkets handläggning av ett ärende om trängselskatt (se 4 kap. 10 a § FVTR). Regeringen har inte för avsikt att begränsa denna tillgång till uppgifter.