prop · H60333 · 2019-01-07 00:00:00 — Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Transportstyrelsen anser att det bör övervägas om informationsförmedlarnas tillgång till vägtrafikregistret bör regleras Bedömningen i utkastet till lagrådsremiss: Överensstämmer med Remissinstanserna: anser att frågor om bl.a. format vid utlämnande, avtalsvillkor eller licenser och avgifter bör klargöras i det fortsatta arbetet. Skälen för regeringens bedömning: Den nuvarande regleringen av vägtrafikregistret innehåller inte några generella regler om annat elektroniskt utlämnande av uppgifter än direktåtkomst. förordningen saknar särskilda bestämmelser om elektroniskt utlämnande Som för all personuppgiftsbehandling krävs dock att utlämnandet av uppgifter uppfyller kraven i artiklarna 5 och 6. artikel 5.1 a krävs exempelvis att behandlingen är laglig och korrekt i förhållande till den registrerade. För att säkerställa detta ska det för varje personuppgiftsbehandling göras en proportionalitetsbedömning, där behovet av den konkreta behandlingen ska vägas mot den registrerades intresse av personlig integritet. Om utlämnandet innefattar känsliga personuppgifter eller uppgifter om lagöverträdelser måste även kraven i artiklarna 9 och 10 vara uppfyllda. Vidare följer av artiklarna 24.1 och 32 att den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen utförs i enlighet med förordningen och att en lämplig säkerhetsnivå säkerställs. Elektroniskt utlämnande på annat sätt än genom direktåtkomst sker i många olika situationer inom Transportstyrelsens verksamhet på Uppgifter lämnas t.ex. ut genom e-post, sms-tjänster, filöverföring och tonvalssignalering per telefon. Utlämnande kan ske både på begäran av mottagaren för att uppgifterna ska användas i dennes verksamhet eller på Transportstyrelsens initiativ för att myndigheten ska fullgöra sina uppgifter på vägtrafikområdet. privatpersoner sker ofta genom sms-, telefon- och webbtjänster. information med andra myndigheter, t.ex. , och , sker i stället ofta genom en direkt dataförbindelse mellan aktörernas olika system i form av t.ex. filöverföring eller samkörning av Uppgifter lämnas också ut elektroniskt till privata bolag, t.ex. försäkringsbolag och besiktningsorgan. tion med exempelvis parter och ombud via e-post kan också innebära att personuppgifter lämnas ut. Som utredningen lyfter fram är det från ett effektivitetsperspektiv viktigt att myndigheter har möjlighet att utnyttja automatiserade förfaranden i sin Om elektroniskt utlämnande inte får ske, måste den utlämnande myndigheten göra utskrifter på papper och skicka till Mottagaren måste därefter eventuellt vidta åtgärder för att överföra uppgifterna till elektronisk form igen. som onödigt ineffektiv och tidskrävande, särskilt som exempelvis myndig- heter i allt större utsträckning övergår till helt elektronisk informations- Utlämnande av personuppgifter elektroniskt kan dock innebära risker för den personliga integriteten. Sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den med information som hämtas från andra källor. inte skillnaden mellan uppgifter på papper och elektroniska uppgifter Med modern teknik kan text på papper förhållandevis enkelt omvandlas till elektroniska uppgifter. Skyddet för den personliga integriteten kan dock upprätthållas på andra sätt än genom en begränsning av formen för utlämnande. styrelsen får enligt förslaget till vägtrafikdatalag endast behandla personuppgifter för utlämnande för vissa i lagen angivna ändamål eller för ändamål som inte är oförenliga med dessa ändamål. personuppgifterna är en myndighet, styrs dennas personuppgifts- behandling vanligtvis av särskilda författningar med ändamålsbestäm- melser som reglerar för vilka ändamål behandling får ske. personuppgiftsansvariga myndigheten, enligt artiklarna 24 och 25 i data- skyddsförordningen, skyldig att vidta lämpliga tekniska och organisa- toriska åtgärder, såsom pseudonymisering, för att säkerställa att behand- lingen av personuppgifter sker i enlighet med förordningen. ansvarar således för att överföringen sker på ett säkert sätt och att den registrerades rättigheter skyddas. Utlämnande av uppgifter ska också föregås av en sekretessprövning. Enligt regeringens uppfattning är data- skyddsförordningens och vägtrafikdatalagens allmänna bestämmelser om krav och begränsningar för behandling av personuppgifter genom I likhet med LVTR ska vägtrafikdatalagen därmed inte innehålla några särskilda bestämmelser om utlämnande av person- uppgifter i annan elektronisk form än genom direktåtkomst. Transportstyrelsen anser att det bör övervägas om informations- förmedlares tillgång till vägtrafikregistret bör regleras särskilt. Informationsförmedlarna förmedlar uppgifter i vägtrafikregistret till olika Prop. 2018/19:33 aktörer och är i denna egenskap personuppgiftsbiträden till Transport- styrelsen enligt avtal med myndigheten. De är därmed enligt artikel 28 i dataskyddsförordningen skyldiga att uppfylla förordningens krav på behandling av personuppgifter. Det rör sig om tekniska och organisa- toriska åtgärder som säkerställer att behandlingen av personuppgifter uppfyller kraven i förordningen och skyddar den registrerades rättigheter. I personuppgiftsbiträdesavtalet ska hanteringen av personuppgifter regleras bl.a. med avseende på behandlingens art, varaktighet och ändamål, liksom vilka personuppgifter som får behandlas. Även de frågor om t.ex. format vid utlämnande och avtalsvillkor som tar upp hanteras lämpligen av parterna. Med hänsyn till detta anser regeringen att det i vart fall inte finns skäl att särskilt reglera informationsförmedlares tillgång till personuppgifter. Regeringens bedömning: Samkörning bör inte regleras särskilt i vägtrafikdatalagen. Utredningens förslag överensstämmer inte med regeringens bedömning. Utredningen föreslår att samkörning inte ska få ske om syftet med åtkomsten är att komplettera eller kontrollera kund- eller medlemsregister eller om syftet är att göra en s.k. urvalsdragning och att regeringen ska få meddela ytterligare föreskrifter om begränsningar i rätten till samkörning. Remissinstanserna: Transportstyrelsen delar utredningens uppfattning att det inte finns skäl att reglera de fall där samkörning är tillåten, men anser i motsats till utredningen att det saknas skäl att behålla det nuvarande förbudet mot samkörning inom uppdragsverksamheten. , , anser att samkörning ska få ske i syfte att göra urvals- och totalundersökningar för forskningsändamål. Bedömningen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna: Justitiekanslern anser att det behövs en tydligare intresseavvägning för att bedöma om de ökade integritetsrisker som en utökad möjlighet till samkörning innebär är motiverade. Skälen för regeringens bedömning: Med samkörning avses förenklat uttryckt att ett personregister tillförs personuppgifter från andra personregister genom att uppgifterna i registren bearbetas maskinellt tillsammans. Samkörning anges i 3 § PUL som ett exempel på en åtgärd som är att anse som behandling av personuppgifter, men är inte särskilt reglerat i lagen. Begreppet samkörning används inte explicit i dataskyddsförordningen. Av definitionen av behandling i artikel 4.2 framgår dock att förfarandet är att se som en behandling av person- uppgifter i förordningens mening. Om inget annat regleras i vägtrafik- datalagen är behandling genom samkörning således tillåten om den håller sig inom dataskyddsförordningens och vägtrafikdatalagens ramar, bl.a. med avseende på angivna ändamål. 2018/19:33 Samkörning mellan vägtrafikregistret och andra system sker i bl.a. följande fall. Med stöd av 2 kap. 3 § lagen (2001:184) om behandling av uppgifter i verksamhet har samkörning mellan vägtrafikregistret och register etablerats. samkörs även med system. I syfte att utbyta uppgifter om efterlysta fordon och registreringsskyltar används , ett efterlysningssystem, och Schengens informationssystem (SIS). Vidare sker samkörning med försäkringssystemet, som är ett system som används av försäkringsbolagen för att sätta en bilmärkeskod för det unika fordonet. Av utredningen framgår vidare att Transportstyrelsen ser behov av möjligheter till samkörning utan att uppgifter ska tillföras registret, vilket krävs enligt dagens reglering. Det kan exempelvis bli aktuellt för att ta fram underlag för forskning som har anknytning till vägtrafikområdet. Liksom Transportstyrelsen delar regeringen utredningens uppfattning att det saknas skäl att reglera de fall där samkörning är tillåten. Något generellt förbud mot samkörning är enligt regeringens mening inte heller motiverat. Om syftet med åtkomsten är att komplettera eller kontrollera kund- eller medlemsregister eller att göra en s.k. urvalsdragning, är det enligt dagens reglering inte tillåtet att genom samkörning hämta uppgifter till vägtrafikregistret. Utredningen har inte funnit skäl att göra någon annan bedömning i denna del. Transportstyrelsen gör motsatt bedömning och anser att det nuvarande förbudet mot samkörning inom uppdrags- verksamheten inte bör finnas kvar och ser inga integritetsproblem med att tekniken för samkörning får utnyttjas även inom denna verksamhet. Även VTI framför liknande synpunkter. Vid övervägande av i vilken utsträckning samkörning bör tillåtas krävs det att den registrerades rätt till skydd av personuppgifter beaktas och noga övervägs. Till skydd för den enskildes personuppgifter föreslår regeringen i denna remiss en relativt omfattande och specificerad ändamålsreglering. Bland dessa ändamål finns behandling av personuppgifter som är nödvändig för tillhanda- hållande av information om fordon som behövs för att komplettera eller kontrollera kund- eller medlemsregister eller för att göra en s.k. urvalsdragning. Vidare följer det både direkt av den i dataskydds- förordningen angivna finalitetsprincipen och motsvarande bestämmelse i vägtrafikdatalagen att personuppgifter inte får behandlas för något ända- mål som är oförenligt med det för vilket de samlades in. Finalitetsprincipen kan därmed sägas ha ersatt särskilda bestämmelser om samkörning. Detta har haft till följd att sådana bestämmelser inte längre har ansetts motiverade till exempel i patientdatalagen (2008:355). I denna lag saknas motsvarigheten till föregående registerlags bestämmelser om samkörning. Inte heller i nyare registerförfattningar finns bestämmelser om sam- körning. Som Justitiekanslern har påpekat kan en sådan ordning innebära en i förhållande till dagens reglering något utvidgad möjlighet till sam- körning. Som angetts ovan sätter dock ändamålsbestämmelserna gränser för vilken behandling som får ske. I enlighet med övrig registerlagstiftning anser regeringen att en rimlig avvägning mellan skyddet för den enskildes personuppgifter och verksamhetsskäl är att tillåta sådan samkörning av uppgifter som sker inom ramen för lagens ändamål. Samkörning bör således inte regleras särskilt i vägtrafikdatalagen. 7.20.1Rättigheterna enligt dataskyddsförordningen och dataskyddslagen I dataskyddsförordningens tredje kapitel behandlas den registrerades rättigheter. Kapitlet avser rätten till information (artiklarna 13 och 14) och tillgång till personuppgifter (artikel 15). Vidare behandlas rätten till rättelse (artikel 16), radering (artikel 17), begränsning av behandling (artikel 18) och dataportabilitet (artikel 20). Slutligen behandlas rätten att göra invändningar (artikel 21) och att motsätta sig automatiskt individuellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälningsskyldighet för det fall rättelse, radering eller begränsning av behandling sker (artikel 19). Den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte absoluta utan kan enligt artikel 23 i dataskyddsförordningen begränsas under vissa, i artikeln angivna, förutsättningar. Enligt 5 kap. 1 § dataskyddslagen gäller inte artiklarna 13–15 i dataskyddsförordningen om information och tillgång till personuppgifter sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet gäller undantaget för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt OSL. Artikel 15 i dataskydds- förordningen om den registrerades rätt till tillgång gäller inte person- uppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande (5 kap. 2 § dataskyddslagen). Slutligen får regeringen meddela ytterligare före- skrifter om begränsningar enligt artiklarna 23, 89.2 och 89.3 i dataskydds- förordningen (5 kap. 3 § dataskyddslagen). Nedan behandlas behovet av kompletterande bestämmelser i vägtrafik- datalagen avseende den registrerades rättigheter. Rätten till rättelse av felaktiga uppgifter behandlas separat i avsnitt 7.21. Regeringens bedömning: Vägtrafikdatalagen bör inte innehålla några särskilda bestämmelser om rätten till information. Utredningens förslag: Utredningen föreslår en hänvisning till 23 och 25 §§ PUL. Remissinstanserna har inte yttrat sig i denna del. Bedömningen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens bedömning: Bestämmelser om att den personuppgiftsansvarige självmant ska lämna viss information till den registrerade finns i artiklarna 13 och 14 i dataskyddsförordningen. 2018/19:33 artikel 13.4 respektive artikel 14.5 a följer att den registrerade inte behöver informeras, om och i den mån denne redan förfogar över informationen. Motsvarande bestämmelser, om än inte lika utförliga, finns i artiklarna 10 och 11 i dataskyddsdirektivet, vilka i svensk rätt har genomförts genom 23–25 §§ PUL. I kapitel 5 i dataskyddslagen görs undantag från vissa av dataskyddsförordningens skyldigheter och rättigheter. Exempelvis gäller inte rätten till information för uppgifter som omfattas av sekretess. Några särregler i förhållande till PUL finns inte i dagens vägtrafikregister- lagstiftning. Av utredningen framgår att det inte heller framöver finns något behov av särregler. Vägtrafikdatalagen bör därmed inte innehålla några särskilda bestämmelser som begränsar den registrerades rätt till information. 7.20.3Rätten till tillgång till personuppgifter Regeringens bedömning: Vägtrafikdatalagen bör inte innehålla några särskilda bestämmelser om rätten till tillgång till personuppgifter. Utredningens förslag: Överensstämmer inte med regeringens. Utredningen föreslår en begränsning i den enskildes rätt till tillgång till personuppgifter. Remissinstanserna har inte yttrat sig i denna del. Bedömningen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens bedömning: Enligt artikel 15 i dataskydds- förordningen har den registrerade rätt till tillgång till personuppgifter och viss annan särskilt angiven information. Rätten innebär att den registrerade har rätt att av den personuppgiftsansvarige få bekräftelse på om person- uppgifter som rör honom eller henne behandlas eller inte. Om sådana uppgifter behandlas ska den registrerade få tillgång till uppgifterna och viss ytterligare information. I stora delar motsvarar bestämmelsen rätten till information enligt 26 § PUL, rätt till s.k. registerutdrag. Under vissa förutsättningar är det möjligt att med stöd av artikel 23.1 i dataskyddsförordningen begränsa tillämpningsområdet för denna rättig- het. Sådana begränsningar måste ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa angivna viktiga intressen. I kapitel 5 i dataskyddslagen görs undantag från vissa av dataskydds- förordningens skyldigheter och rättigheter. Exempelvis gäller enligt 5 kap. 1 § dataskyddslagen inte rätten till tillgång uppgifter som omfattas av sekretess. Vidare gäller rätten till tillgång som huvudregel inte personupp- gifter som finns i löpande text som utgör utkast eller minnesanteckning (5 kap. 2 § dataskyddslagen). Utredningen föreslår att vägtrafikdatalagen ska hänvisa till 26 § PUL, med den begränsningen att informationen inte behöver omfatta uppgifter i en handling som har kommit in till eller som har upprättats av Transport- styrelsen, om den enskilde redan har tagit del av handlingens innehåll. I ett sådant fall ska det i stället framgå av informationen att handlingen behandlas av myndigheten. Om den enskilde begär det, ska dock informa- Prop. 2018/19:33 tionen även omfatta uppgifterna i en sådan handling. Liknande bestämmelser har föreslagits i promemorior som innehåller förslag till anpassningar av lagar till dataskyddsförordningens bestämmelser, t.ex. i promemoria Anpassning av lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar till dataskyddsförordningen. I propositionen Anpassning till EU:s dataskyddsförordning av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar (prop. 2017/18:115 s. 24) instämmer regeringen dock i Datainspektionens bedömning att sådana bestämmelser utgör en begränsning i den enskildes rätt till tillgång till sådan information. Som Datainspektionen framhåller kan den personuppgiftsansvarige, om denne behandlar en stor mängd uppgifter om den registrerade, efterfråga vilken information eller vilken behandling som en begäran enligt artikel 15 i förordningen avser innan informationen lämnas ut (se skäl 63). I ett sådant sammanhang bör den personuppgiftsansvarige kunna efterfråga om den registrerades begäran omfattar information som lämnats ut . Vidare konstateras att, enligt artikel 12.5 i dataskyddsförordningen, den person- uppgiftsansvarige kan ta ut en rimlig kostnad eller vägra tillmötesgå en begäran, om den är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art. Enligt regeringens bedömning fanns det mot den bakgrunden inte skäl att göra undantag i lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar från artikel 15 i förordningen. Enligt regeringens bedömning finns det inte heller skäl att i vägtrafikdatalagen göra undantag från artikel 15 i data- skyddsförordningen. Regeringens bedömning: Vägtrafikdatalagen bör inte innehålla några särskilda bestämmelser om rätten till radering. Utredningens förslag: Utredningen föreslår en hänvisning till 28 § PUL. Remissinstanserna har inte yttrat sig i denna del. Bedömningen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens bedömning: Rätten till radering eller, som den också kallas, rätten att bli bortglömd, finns i artikel 17 i dataskydds- förordningen. Den ersätter rätten till utplåning enligt artikel 12.b i dataskyddsdirektivet, som i svensk rätt har genomförts genom 28 § PUL, tillsammans med rätten till blockering och rättelse (se avsnitt 7.20.5 och 7.21). I 11 § LVTR hänvisas till 28 § PUL. Rätten till utplåning gäller alltså för personuppgifter i vägtrafikregistret. Rätten till radering i artikel 17 i dataskyddsförordningen är direkt tillämplig. Någon hänvisning till bestämmelsen behöver således inte tas in i vägtrafikdatalagen. Av artikel 17.3 b i dataskyddsförordningen framgår att rätten till radering inte 2018/19:33 gäller i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. är ett offentligt register som Transportstyrelsen ska föra. Den behandling av personuppgifter som utförs sker regelmässigt med stöd av artikel 6.1 c eller e i dataskydds- förordningen, dvs. under sådana förhållanden som anges i artikel 17.3 b. Under sådana omständigheter, och med beaktande av att någon begränsning i fråga om utplåning av uppgifter enligt 28 § PUL inte finns i 11 § LVTR, finns det inte heller i den nya lagen anledning att begränsa rätten till radering. 7.20.5Rätten att begära begränsning av behandling och att göra invändningar Regeringens bedömning: Vägtrafikdatalagen bör inte innehålla några särskilda regler om rätten att begära begränsad behandling eller rätten att göra invändningar. Utredningens förslag: Utredningen föreslår en hänvisning till 28 § PUL och en särskild bestämmelse som anger att tillåten behandling av personuppgifter som huvudregel får ske även om den enskilde motsätter sig det. Remissinstanserna har inte yttrat sig i denna del. Bedömningen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens bedömning: Enligt artikel 18 i dataskydds- förordningen har den registrerade rätt att under vissa förutsättningar kräva att behandlingen av personuppgifter begränsas. Med begränsning avses en markering av lagrade personuppgifter i syfte att begränsa behandlingen av dessa (artikel 4.3 i dataskyddsförordningen). Om den registrerade bestrider att personuppgifterna är riktiga eller har gjort en invändning mot behandling av uppgifterna enligt artikel 21.1 i dataskydds- förordningen, ska den personuppgiftsansvarige begränsa behandlingen uppgifternas riktighet kontrolleras eller en bedömning görs av vems berättigade skäl som väger tyngst, den registrerades eller den person- uppgiftsansvariges (artikel 18.1 a och d). Behandlingen ska även begränsas om den är olaglig eller om personuppgifterna inte längre behövs för ändamålen med behandlingen (artikel 18.1 b och c). Att behandlingen ska begränsas innebär enligt huvudregeln i artikel 18.2 att personuppgifter inte får behandlas på något annat sätt än att lagras. Undantag görs dock bl.a. för det fall behandlingen sker av skäl som rör ett viktigt allmän- intresse. Rätten till begränsning av behandling ersätter den åtgärd som i artikel 12.b i dataskyddsdirektivet benämns som blockering och som i svensk rätt har genomförts genom 28 § PUL, tillsammans med rätten till radering och rättelse (se avsnitt 7.20.4 och 7.21). Den registrerades rätt enligt dataskyddsförordningen till begränsning av behandling av person- uppgifter är dock utförligare än bestämmelserna om blockering i PUL. Enligt 11 § LVTR gäller rättelsebestämmelsen i PUL vid behandling av personuppgifter enligt LVTR. Enligt artikel 21 i dataskyddsförordningen har den registrerade rätt att invända mot behandling av personuppgifter i vissa fall. En motsvarande rättighet föreskrivs även i dataskyddsdirektivet, men den är genomförd i PUL endast såvitt avser direkt marknadsföring (11 § PUL). I 5 § 5 LVTR hänvisas till 11 § PUL. Jämfört med dagens reglering utvidgas således rätten att göra invändningar genom dataskyddsförordningen. Rätten att göra invändningar enligt artikel 21.1 i dataskydds- förordningen avser endast behandling av personuppgifter som grundar sig på artikel 6.1 e eller f i dataskyddsförordningen. För Transportstyrelsens del innebär det att invändningar endast får göras mot behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i styrelsens myndighetsutövning (artikel 6.1 e). Myndigheter får nämligen inte grunda sin rätt till behandling av personuppgifter på den allmänna intresseavvägningen enligt artikel 6.1 f i dataskyddsförordningen när de fullgör sina uppgifter. Begränsningen innebär vidare att rätten att göra invändningar inte gäller vid behandling av personuppgifter som är nödvändig exempelvis för att en myndighet ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c), såsom en skyldighet att föra ett offentligt register.