prop · H60333 · 2019-01-07 00:00:00 — Generellt kan sägas att möjligheten till direktåtkomst ökar riskerna för intrång i den personliga integriteten, eftersom det typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. Dataskyddsförordningen saknar särskilda bestämmelser om elektroniskt utlämnande av personuppgifter. Som för all personuppgiftsbehandling krävs dock att utlämnandet av uppgifter genom direktåtkomst uppfyller kraven i artiklarna 5 och 6. Enligt artikel 5.1 a krävs exempelvis att behandlingen är laglig och korrekt i förhållande till den registrerade. För att säkerställa detta ska det för varje personuppgiftsbehandling göras en proportionalitetsbedömning, där behovet av den konkreta behandlingen ska vägas mot den registrerades intresse av personlig integritet. Om utlämnandet innefattar känsliga personuppgifter eller uppgifter om lagöverträdelser, måste även kraven i artiklarna 9 och 10 vara uppfyllda. Vidare följer av artiklarna 24.1 och 32 att den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen utförs i enlighet med förordningen och att en lämplig säkerhetsnivå säkerställs. Hur bör frågan om direktåtkomst regleras i vägtrafikdatalagen? Enligt 8 § LVTR får direktåtkomst till personuppgifter medges endast för vissa angivna ändamål. Vidare krävs enligt 4 kap. 4 § FVTR att personuppgiftsbehandlingen är tillåten enligt PUL och att behörighets- och säkerhetsfrågorna är lösta på ett sätt som är tillfredsställande från integritetssynpunkt. Som nämnts ovan regleras inte utlämnande genom direktåtkomst särskilt i dataskyddsförordningen. Dataskyddsförordningens krav på proportiona- litet är inte någon nyhet, eftersom samma krav gällde enligt dataskyddsdirektiv. Liksom utredningen anser regeringen därmed att direktåtkomst till uppgifter på vägtrafikområdet fortsatt bör kunna medges. Modern teknik har medfört att information på ett enkelt sätt kan sökas, sammanställas och överföras mellan myndigheter. Direktåtkomst innebär regelmässigt effektivitetsvinster för den mottagande myndigheten, eftersom handläggande tjänstemän inte behöver begära ut de uppgifter som behövs för bedömningen av ett enskilt fall från den utlämnande myndigheten; tjänstemannen kan själv söka den information som krävs i den utlämnande myndighetens personuppgiftssamling. Även för den utlämnande myndigheten kan direktåtkomst innebära fördelar, om resurser annars skulle ha avsatts för att hantera de förfrågningar om utlämnande som kommer in från andra myndigheter. Direktåtkomst kan även innebära fördelar från informationssäkerhetssynpunkt, eftersom utlämnande på annat sätt än genom direktåtkomst, t.ex. via e-post, allmänt sett innebär ett mindre säkert överförande av uppgifter, eftersom obehöriga då lättare kan få tillgång till dem. Regeringen anser, i likhet med vad som gäller enligt LVTR, att fördelarna med att kunna tillåta direktåtkomst står i rimlig proportion till de risker som en sådan åtkomst innebär för den enskildes Det är dock av stor vikt, inte minst av integritetsskyddsskäl, att den närmare omfattningen av direktåtkomsten regleras så precist som möjligt. Avsikten är att uppgifterna på vägtrafikområdet som huvudregel ska vara tillgängliga för samhället i stort. fanns det drygt 11 700 slutanvändare i Transportstyrelsens tjänster direktåtkomst och direktanmälan. Även om direktåtkomst sammantaget med den stora mängden uppgifter i registret utgör en risk för intrång i enskildas personliga integritet är det enligt regeringens uppfattning varken lämpligt eller möjligt att i lag reglera vilka myndigheter och enskilda som ska kunna få del av uppgifterna genom direktåtkomst. Mot denna bakgrund och eftersom ett grundläggande syfte med vägtrafikregistret är att ge tillgång till uppgifterna i det, anser regeringen att den nuvarande strukturen, där direktåtkomst endast får medges för särskilt angivna ändamål, är ändamålsenlig och proportionerlig. Direktåtkomst bör kunna medges för i princip alla tillåtna ändamål enligt vägtrafikdatalagen. Trots de synpunkter som lämnats av Bussarbetsgivarna, , och anser regeringen dock, med tanke på de speciella integritetsrisker som är förknippade med direktåtkomst, att sådan åtkomst inte heller fortsättningsvis bör kunna medges om mottagarens syfte är att komplettera eller kontrollera kund- eller medlemsregister eller liknande register eller att göra en s.k. urvalsdragning för direkt marknadsföring av information om fordonsägare. I motsats till anser regeringen därmed att möjligheterna till direktåtkomst inte är för brett utformade. Vidare anser regeringen att det är lämpligt att de särskilda, mer begränsande, reglerna om gemensamt tillgängliga uppgifter alltid tillämpas när någon får del av uppgifter genom direktåtkomst. Direktåtkomst bör därför endast kunna medges för uppgifter som har gjorts gemensamt tillgängliga enligt 3 kap. vägtrafikdatalagen. Det innebär att direktåtkomst till uppgifter som Transportstyrelsen registrerar endast för att fullgöra en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift inte kommer att kunna medges. Med anledning av synpunkt vill regeringen framhålla att även skyddade personuppgifter kan göras gemensamt tillgängliga och därmed omfattas av direktåtkomst, med beaktande av tillämplig sekretessreglering. I fråga om direktåtkomst till körkortsfotografier för , Säkerhetspolisen och Kustbe- vakningen, se avsnitt 7.10.3. Transportstyrelsen registrerar inte enbart uppgifter utan även elektroniska handlingar som kommer in till eller upprättas av myndig- heten. Begreppet handling definieras i 2 kap. 3 § första stycket TF. Förutom framställningar i skrift eller bild, s.k. konventionella handlingar, omfattar tryckfrihetsförordningens handlingsbegrepp upptagningar som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. En speciell sorts upptagning är vad som i lagtexten benämns som ”upptagning för automatiserad behandling”. En elektronisk handling anses motsvara en sådan upptagning (jfr prop. 2001/02:70 s. 19 f. och 2 kap. 1 § föreskrifter och allmänna råd om elektroniska handlingar [upptagningar för automatiserad behandling], RA-FS 2009:1). Genom en ändring i 2 kap. 3 § TF, som trädde i kraft , har det i förvaringshänseende gjorts en åtskillnad mellan, å ena sidan, 2018/19:33 färdiga elektroniska handlingar och, å andra sidan, handlingar som utgör sammanställningar av uppgifter ur en upptagning för automatiserad behandling, också benämnda potentiella handlingar. Någon legal definition av de båda handlingsslagen har dock inte införts. Åtskillnaden mellan handlingsslagen har betydelse för frågan om en upptagning är en allmän handling eller inte. Från huvudregeln om när upptagningar ska anses förvarade hos en myndighet finns nämligen två undantag som endast tar sikte på sammanställningar av uppgifter ur en upptagning för automatiserad behandling. Undantagen, eller inskränkningarna, gör ingen skillnad mellan inkomna och upprättade handlingar. Det första undantaget föreskrivs i 2 kap. 3 § andra stycket andra meningen TF och innebär att en sammanställning av uppgifter ur en upptagning bara anses förvarad hos myndigheten, om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder. Sammanställningar som inte kan tas fram genom rutinbetonade åtgärder anses däremot inte förvarade hos myndigheten och utgör alltså inte allmänna handlingar. Det andra undantaget i fråga om förvaringskriteriet föreskrivs i 2 kap. 3 § tredje stycket samma lag och innebär att en sammanställning av uppgifter ur en upptagning inte anses förvarad hos myndigheten om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig, den s.k. begränsningsregeln. Transportstyrelsen kan inte påverka innehållet i en elektronisk handling som sänds till myndigheten. Handlingar som sänds till Transportstyrelsen kan innehålla även integritetskänsliga uppgifter som rör förhållanden som inte är nödvändiga för ett ärende hos myndigheten. Det kan också förekomma att myndigheten, vid upprättandet av en handling, behöver behandla sådana uppgifter som har lämnats i ett ärende. Av integritetsskäl anser regeringen därför att utgångspunkten bör vara att direktåtkomst inte ska medges andra myndigheter och enskilda till färdiga elektroniska handlingar i ett ärende hos myndigheten. Som framgår av utredningen kan det dock i undantagsfall finnas skäl att medge vissa aktörer direktåtkomst till sådana handlingar. Som exempel kan nämnas att den del av som handlägger fordonsskatteärenden har direktåt- komst till vissa av Transportstyrelsens handlingar på detta område. Skatte- verket har även direktåtkomst till bilder från passager av trängselskatte- portaler. Som Transportstyrelsen anfört skulle direktåtkomst till handlingar kunna aktualiseras även för andra aktörer, t.ex. läkare som är rådgivare till Transportstyrelsen i fråga om medicinska bedömningar i ärenden gällande körkort eller taxiförarlegitimation. I fråga om samman- ställningar, potentiella handlingar, är dessa att betrakta som allmänna handlingar endast om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder och, om sammanställningen innehåller personuppgifter, har befogenhet enligt lag eller förordning att göra det. Transportstyrelsen tar fram sådana sammanställningar, med beaktande av de sökbegränsningar som gäller enligt FVTR. Med hänsyn till de begränsningar som TF innehåller för när en upptagning ska anses vara förvarad hos en myndighet och de sökbegränsningar som föreslås (se avsnitt 7.19.3), finns det enligt regeringens uppfattning inte skäl att generellt hindra direktåtkomst till potentiella handlingar. Sammanfattningsvis anser regeringen att direktåtkomst som huvudregel endast ska få medges till uppgifter i uppgiftssamlingen vägtrafikregistret. Detta innebär att direktåtkomst som huvudregel inte får medges till exempelvis en färdig elektronisk handling i ett ärende. Direktåtkomst till en potentiell handling bestående av uppgifter som ingår i vägtrafikregistret kan dock medges, under förutsättning att handlingen kan framställas med hjälp av tillåtna sökbegrepp. Som framgår ovan har t.ex. direktåtkomst till vissa färdiga elektroniska handlingar. Även andra aktörer kan ha berättigade behov av sådan åtkomst. Enligt regeringens uppfattning bör därför regeringen eller den myndighet som regeringen bestämmer kunna meddela föreskrifter om undantag från förbudet att medge direktåtkomst till andra uppgifter än de som ingår i vägtrafik- registret. I lagen begränsas alltså möjligheten att medge direktåtkomst på så sätt att direktåtkomst endast får medges till gemensamt tillgängliga uppgifter i vägtrafikregistret för vissa särskilda ändamål. Ändamålen bör i sak motsvara de ändamål för vilka direktåtkomst får medges enligt LVTR. Vidare framgår av lagen att den som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till det som varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter. Mot denna bakgrund och eftersom ett grundläggande syfte med lagen är att ge tillgång till den information som finns i vägtrafikregistret anser regeringen, till skillnad från Datainspektionen, att de föreslagna bestämmelserna innebär att lagen innehåller tillräckliga ramar för skyddet av den enskildes personliga integritet. Liksom enligt nuvarande reglering anser regeringen att det bör överlåtas åt regeringen eller den myndighet som regeringen bestämmer att meddela närmare föreskrifter om omfattningen av direktåt- komsten och om behörighet och säkerhet i fråga om direktåtkomst. Enskildas direktåtkomst till uppgifter om sig själva Den registrerade får enligt 8 § andra stycket LVTR ha direktåtkomst till personuppgifter i vägtrafikregistret som avser honom eller henne själv. Regeringen bedömde i propositionen Ändring i lagen om vägtrafik- register (prop. 2014/15:143 s. 10 f.) att ett utlämnande till den registrerade av egna personuppgifter inte kunde anses oförenligt med de ändamål för vilka uppgifterna samlades in. Det fanns enligt regeringen inte heller något annat skäl som talade mot att låta den enskilde ha direktåtkomst till egna personuppgifter i vägtrafikregistret. En sådan åtkomst ansågs också nödvändig för att kunna utföra vissa typer av e-tjänster, t.ex. för att göra sådana anmälningar via formulär på Transportstyrelsens hemsida som innebär att uppgifter hämtas ur vägtrafikregistret. Enligt regeringen fanns det inte heller skäl för att i författning begränsa rätten till direktåtkomst till egna personuppgifter till någon viss typ av uppgifter i vägtrafikregistret. Risken för en okontrollerad spridning av uppgifter fick, när det gällde den registrerades egna uppgifter, bedömas som mycket liten. Sådan direktåtkomst bedömdes därför vara möjlig inte endast till uppgifter om fordonsregistreringen, utan även till t.ex. uppgifter om körkorts- registreringen eller yrkestrafikregistreringen. Regeringen förutsatte dock att Transportstyrelsen, i egenskap av personuppgiftsansvarig myndighet för vägtrafikregistret, vid överföring av personuppgifter hade försäkrat sig 2018/19:33 om att behörighets- och säkerhetsfrågorna var lösta på ett sätt som var tillfredsställande ur integritetssynpunkt. De skäl för direktåtkomst till egna uppgifter som framfördes i ovan nämnda proposition är enligt regeringens mening fortsatt relevanta. Enligt artiklarna 24.1 och 32 i dataskyddsförordningen ska den person- uppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen av personuppgifter utförs i enlighet med förordningen och att en lämplig säkerhetsnivå säkerställs. Eftersom direktåtkomst typiskt sett anses innebära att risken för kränkningar av den enskildes integritet blir större behövs särskilda regler som säkerställer skyddet för personuppgifterna vid direktåtkomst. Det finns några aspekter som är särskilt viktiga. En första fråga är hur uppgifterna sprids och används hos mottagaren. Om kretsen av personer som har tillgång till uppgifterna kan begränsas, är risken för integritetsintrång generellt sett mindre. Mottagaren måste därför begränsa tillgången så mycket som möjligt med hänsyn till den aktuella verksamheten och känsligheten hos personuppgifterna. Anställda bör endast ha elektronisk tillgång till de personuppgifter som de behöver i sitt arbete. När det gäller frågan om anställdas tillgång till personuppgifter föreslår regeringen i avsnitt 7.17 att det i vägtrafikdatalagen införs en särskild bestämmelse enligt vilken Transportstyrelsen har ansvar för att begränsa tillgången till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Denna bestämmelse får anses uppfylla kravet på att uppgifterna inte sprids hos Transportstyrelsen på ett oacceptabelt sätt. En motsvarande begränsning bör dock gälla även hos de myndigheter och enskilda som genom direktåtkomst får tillgång till personuppgifter som Transportstyrelsen behandlar. En särskild regel om det bör införas i den nya lagen. En möjlighet till direktåtkomst behöver alltså inte innebära annat än att en begränsad krets av arbetstagare – eller enbart en viss arbetstagare – hos mottagaren får tillgång till uppgifterna. Ytterligare en aspekt att beakta vid direktåtkomst är att mottagaren endast har direktåtkomst till sådana uppgifter som denne verkligen kan antas ha behov av. Införandet av direktåtkomst bör därför föregås av en analys av vilka uppgifter som är nödvändiga med hänsyn till ändamålen med behandlingen. Innan Transportstyrelsen medger direktåtkomst till personuppgifter ska styrelsen göra en risk- och sårbarhetsanalys. Transportstyrelsen ska då kontrollera att mottagande aktörer har ett tillräckligt skydd för mottagna personuppgifter. Regeringen kan i förordning införa bestämmelser om vilka uppgifter som får omfattas av direktåtkomsten och bestämmelser om att Transportstyrelsen inte får medge någon direktåtkomst innan styrelsen har försäkrat sig om att mottagaren uppfyller kraven på behörighet och säkerhet. Bestämmelser om sekretess till skydd för uppgift om enskilds personliga eller ekonomiska förhållanden finns i första hand i 21–40 kap. OSL. Enligt 22 kap. 1 § första stycket 1 OSL gäller sekretess i verksamhet som avser folkbokföring eller annan liknande registrering av befolkningen och, i den utsträckning som regeringen föreskriver, i annan verksamhet som avser registrering av en betydande del av befolkningen. I 6 § OSF, förtydligas att sådan sekretess gäller i verksamhet som avser Transport- styrelsens vägtrafikregister. Sekretessen gäller för uppgift om enskilds personliga förhållanden, om det av särskild anledning kan antas att den enskilde eller någon närstående till den enskilde lider men om uppgiften röjs och för uppgift i form av fotografisk bild av den enskilde, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till den enskilde lider men. Sekretess gäller vidare enligt 21 kap. 7 § OSL för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med dataskyddsförordningen eller dataskyddslagen. Enligt 35 kap. 4 § OSL gäller sekretess i verksamhet som avser förande av eller uttag ur register, för belastningsuppgift som har tillförts vägtrafikregistret. Sekretessen är i detta fall absolut, vilket innebär att någon skadeprövning inte ska göras om någon begär att få ut uppgifter ur registret. I verksamhet som avser förande av eller uttag ur vägtrafikregistret gäller enligt 18 kap. 10 § OSL sekretess för uppgift om körkorts referensnummer, om det inte står klart att uppgiften kan röjas utan fara för att kontrollen av körkorts äkthet motverkas. Enligt 27 kap. 1 § OSL gäller sekretess i verksamhet som avser bestämmande av skatt eller som avser taxering eller i övrigt fastställande av underlag för bestämmande av skatt för uppgift om en enskilds personliga eller ekonomiska förhållanden. Med skatt jämställs enligt bestämmelsen bl.a. expeditionsavgift och tilläggsavgift enligt lagen om trängselskatt. Sekretess gäller även för beslut i ärenden om trängselskatt, dock endast för uppgift om vilken betalstation eller kontrollpunkt bilen har passerat och tidpunkten för denna passage, se 27 kap. 6 § första stycket 3 och andra stycket OSL. Motsvarande sekretess gäller i fråga om infrastrukturavgifter enligt 29 kap. 5 a § OSL. Sekretess gäller enligt 29 kap. 5 § OSL i ett ärende om prövning av någons lämplighet att ha taxiförarlegitimation enligt TTL eller körkort eller traktorkort enligt KKL för uppgift om den enskildes hälsotillstånd eller andra personliga förhållanden, om det kan antas att den som uppgiften rör eller någon närstående till denne lider betydande men om uppgiften röjs. Sekretessen gäller dock inte beslut i ärendet. I en statlig myndighets verksamhet som består i bl.a. tillståndsgivning eller tillsyn med avseende på transportverksamhet gäller sekretess enligt 30 kap. 23 § OSL, i den utsträckning regeringen meddelar föreskrifter om det, för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat, om det kan antas att den enskilde lider skada om uppgiften röjs, och för uppgift om andra ekonomiska eller personliga förhållanden än de nämnda för den som har trätt i affärsförbindelse eller liknande förbindelse med den som är föremål för myndighetens verksamhet. Slutligen bör det nämnas att sekretessbestämmelser till skydd för den enskilde som huvudregel inte gäller i förhållande till den enskilde själv, se 12 kap. 1 § OSL. 2018/19:33 Bestämmelser om direktåtkomst anses inte ha någon sekretessbrytande verkan (se t.ex. prop. 2004/05:164 s. 83). Regler om direktåtkomst brukar därför ofta kompletteras med sekretessbrytande bestämmelser som är utformade som regler om uppgiftsskyldighet. Dessa formuleras ofta som en rätt för mottagande myndighet att ta del av uppgifter. Om Transportstyrelsen vid handläggningen av ett körkortsärende begär ett yttrande från en annan myndighet, ska Transportstyrelsen enligt 4 kap. 8 § FVTR lämna den andra myndigheten sådana belastningsuppgifter som behövs för att yttrandet ska kunna avges. Motsvarande gäller om Transportstyrelsen vid handläggning av ett yrkestrafikärende, ett taxi- trafikärende, ett ärende om taxiförarlegitimation eller ett ärende om biluthyrning i ärendet begär in ett yttrande från en annan myndighet. På begäran av ska Transportstyrelsen enligt 4 kap. 10 § FVTR lämna de uppgifter i vägtrafikregistret om trängselskatt som behövs för handläggning av ett ärende om trängselskatt. Enligt 4 kap. 13 § FVTR ska uppgift i vägtrafikregistret i form av foto- grafisk bild av en enskild på begäran lämnas ut till , , , Försvarsmakten, Kustbevak- ningen, , , och Kronofogdemyndig- heten. Regeringen har inte för avsikt att inskränka den rätt att ta del av sekretessbelagda uppgifter som vissa myndigheter har enligt FVTR. Av utredningen har inte framkommit något behov av nya sekretess- brytande bestämmelser. Regeringen finner därför inte skäl att föreslå några sådana. Påverkar Högsta förvaltningsdomstolens avgörande utformningen av reglerna om direktåtkomst? Det rättsfall från som redogjorts för ovan (HFD 2015 ref. 61) kan tolkas så att den tekniska utformningen av en myndighets system för utlämnande av uppgifter kan bli avgörande för om utlämnandet ska anses som direktåtkomst eller som annat utlämnande på medium för automatiserad behandling. I det aktuella fallet handlade det om att socialnämnderna inte på egen hand kunde söka information i socialförsäkringsdatabasen, utan ett utlämnande förutsatte att Försäkrings- kassan reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. fick därigenom anses förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. Domstolen ansåg därför att socialnämnderna inte kunde anses ha någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket TF. Detta innebar att förfarandet inte var att betrakta som direktåtkomst. Syftet med vägtrafikdatalagen är att skapa en teknikneutral och flexibel lag som så långt möjligt inte ska behöva förändras i takt med den tekniska utvecklingen eller till följd av förändringar av Transportstyrelsens behov att behandla personuppgifter. Trots att Högsta förvaltningsdomstolens avgörande begränsar vilka tekniska lösningar som fortsättningsvis kommer att bedömas som direktåtkomst, finns det mot den bakgrunden ett behov av regler i vägtrafikdatalagen om direktåtkomst till Transport- styrelsens uppgifter. Hur dessa bestämmelser bör se ut har beskrivits ovan. Sökning genom direktåtkomst i ett utländskt register över vägtransport- I 8 a § LVTR regleras den svenska kontaktpunktens behandling av personuppgifter vid sökning genom direktåtkomst i en annan stats register över vägtransportföretag enligt artikel 16 i och rådets förordning (EG) nr 1071/2009. Av 1 kap. 3 § tredje stycket FVTR framgår att den svenska kontaktpunkten är Transportstyrelsen. Transportstyrelsen får i sådana fall behandla uppgifter endast i den utsträckning som den andra staten tillåter det och behandlingen i motsvarande fall hade varit tillåten i det (jfr prop. 2011/12:80 s. 113 f.). Bestämmelsen bör föras över till vägtrafikdatalagen, men anpassas till den nya regleringen. Behandlingen bör därmed vara tillåten i den utsträckning som den andra staten tillåter den och behandlingen i motsvarande fall hade varit tillåten enligt dataskyddsförordningen, dataskyddslagen, vägtrafik- datalagen och föreskrifter som meddelats i anslutning till dessa lagar. 7.19.2Annat elektroniskt utlämnande än direktåtkomst Regeringens bedömning: Vägtrafikdatalagen bör inte innehålla några särskilda regler om annat elektroniskt utlämnande av personuppgifter än genom direktåtkomst.