prop · H60333 · 2019-01-07 00:00:00 — Regeringen finner därför inte skäl att i detta sammanhang generellt ompröva tidigare ställningstaganden eller göra någon ytterligare analys av om den personuppgiftsbehandling som krävs är proportionell mot det legitima mål som eftersträvas. När en ny internationell överenskommelse ingås som innefattar krav på behandling av personuppgifter är det givetvis den som ingår överenskommelsen som noggrant ska överväga om den behandling av personuppgifter som krävs enligt åtagandet är proportionerlig i förhållande till skyddet för den enskildes personupp- gifter. Möjligheten för Transportstyrelsen att behandla personuppgifter för de ändamål som omfattas av myndighetens verksamhet som rör fordon, behörigheter, tillstånd och tillsyn är inte begränsad till svenska myndigheter och aktörer. Det innebär att i de fall det internationella samarbetet sker i en form som omfattas av något av dessa ändamål, kan behandlingen ske även med stöd av det ändamålet. Överföring av uppgifter till tredjeländer och internationella organisationer Dataskyddsförordningen innehåller bestämmelser om överföring av personuppgifter till tredjeländer eller internationella organisationer. Som en allmän princip för överföring av personuppgifter anges i artikel 44 att överföring av personuppgifter som är under behandling eller är avsedda att behandlas efter det att de har överförts till ett tredjeland eller en internationell organisation bara får ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser, uppfyller villkoren i kapitel 5 i dataskyddsförord- ningen. Om kommissionen har beslutat att tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet, eller den internationella organisationen i fråga säkerställer en adekvat skyddsnivå, får person- uppgifter överföras enligt artikel 45 i dataskyddsförordningen. I avsaknad av ett beslut om adekvat skyddsnivå får en personuppgiftsansvarig eller ett personuppgiftsbiträde, enligt artikel 46, endast överföra personuppgifter till ett tredjeland eller en internationell organisation efter att ha vidtagit lämpliga skyddsåtgärder. Bindande företagsbestämmelser utgör exempel på en lämplig skyddsåtgärd. Ytterligare ett villkor är att lagstadgade rättigheter och effektiva rättsmedel för registrerade finns tillgängliga. Om det inte finns ett beslut från kommissionen eller om lämpliga skyddsåtgärder saknas får en överföring, eller uppsättning av överföringar, av personuppgifter till ett tredjeland eller en internationell organisation endast ske om något av de villkor som anges i artikel 49 i dataskydds- förordningen är uppfyllt. De inledande villkoren i artikel 49.1 a–c gäller inte för åtgärder som vidtas av myndigheter som ett led i myndighetsutövning (artikel 49.3). Någon sådan begränsning finns inte för övriga undantag i artikeln. En överföring kan enligt artikel 49.1 d i dataskyddsförordningen ske om den är nödvändig av viktiga skäl som rör allmänintresset. Det krävs då att allmänintresset är erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av (artikel 49.4). Det är alltså allmänintresset i sig som ska vara erkänt i unionsrätten eller den nationella rätten. En överföring är även tillåten om den är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller skydda den registrerades eller andra personers grundläggande intressen, när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke (artikel 49.1 e och f). Slutligen är en överföring från ett register som är avsett att ge allmänheten information tillåten under vissa förutsättningar enligt artikel . Bestämmelserna i kapitel 5 i dataskyddsförordningen är direkt tillämpliga. En behandling av personuppgifter i enlighet med ett internationellt åtagande får alltså inte ske i strid med dessa bestämmelser. Om ett beslut om adekvat skyddsnivå har fattats för ett tredjeland eller en 2018/19:33 internationell organisation får Transportstyrelsen behandla personupp- gifter för att lämna ut dem i enlighet med ett internationellt åtagande. Som framgår av avsnitt 7.1 är ett av syftena med vägtrafikdatalagen att ge tillgång till uppgifterna i vägtrafikregistret. Om ett internationellt åtagande skulle kräva att Transportstyrelsen lämnar ut personuppgifter till ett tredjeland eller en internationell organisation för vilka ett beslut om adekvat skyddsnivå saknas, bör överföringen av personuppgifter således omfattas av bestämmelsen i artikel om överföring av personupp- gifter från ett register som är avsett att ge allmänheten information. En överföring kan även vara nödvändig av viktiga skäl som rör allmänintresset i enlighet med artikel 49.1 d. Sammantaget bedömer regeringen att bestämmelserna i kapitel 5 i dataskyddsförordningen inte torde hindra den behandling av personuppgifter som Transportstyrelsen kan behöva utföra för att fullgöra ett internationellt åtagande. 7.13.3Behandling av personuppgifter för att tillhandahålla information till andra Regeringens förslag: Personuppgifter som behandlas i Transport- styrelsens verksamhet på vägtrafikområdet ska också få behandlas när det är nödvändigt för att tillhandahålla information till –eller regeringen, –en annan myndighet eller en enskild, om uppgifterna lämnas med stöd av lag eller förordning, eller –en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation. En förutsättning för utlämnande till en utländsk myndighet, ett EU- organ eller en mellanfolklig organisation ska vara att utlämnandet sker med anledning av medlemskap i unionen eller i enlighet med en internationell konvention som har tillträtt eller ett av godkänt avtal med en främmande stat eller en mellanfolklig organisation. Utredningens förslag: Överensstämmer delvis med regeringens. Utredningens föreslagna ändamål omfattar inte utlämnande till ett EU- organ eller en mellanfolklig organisation och inte utlämnande med stöd av en internationell konvention. Remissinstanserna har inte yttrat sig i denna del. Förslaget i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens förslag I avsnitt 7.9–7.13 redovisas vilka de primära och sekundära ändamålen bör vara för Transportstyrelsens verksamhetsområden fordon, behörig- heter, tillstånd och tillsyn. Vissa sekundära ändamål bör dock gälla för alla verksamhetsområden. Liksom utredningen anser regeringen att dessa gemensamma ändamål bör anges särskilt i vägtrafikdatalagen. framgår nedan finns det ett visst utrymme att tillhandahålla uppgifter även för andra ändamål än de i lagen angivna, under förutsättning att det nya ändamålet inte kan anses oförenligt med insamlingsändamålet (finalitetsprincipen). Som regeringen betonar i avsnitt 7.7 är dock målsättningen att de sekundära ändamålen ska vara så heltäckande som möjligt och omfatta merparten av Transportstyrelsens uppgiftslämnande. Det bör betonas att uppgiftslämnande kan ske inom ramen för något av de primära ändamålen, exempelvis när uppgiftslämnandet är en del av Transportstyrelsens handläggning av ärenden. Som konstateras i avsnitt 7.7 bör ändamålsbestämmelserna i vägtrafik- datalagen innehålla ett nödvändighetskrav. Tillhandahållande av personuppgifter till regeringen eller Som angetts i avsnitt 7.4 finns det ett antal författningar med bestämmelser som medför att uppgifter får lämnas ut. Bestämmelserna innebär således inte en uppgiftsskyldighet, utan enbart att utlämnande är tillåtet. Ett exempel på en sådan bestämmelse är 10 kap. 15 § OSL. I bestämmelsen anges att sekretess inte hindrar att uppgift lämnas till regeringen eller . Liksom utredningen anser regeringen att det av vägtrafik- datalagen uttryckligen bör framgå att uppgifter får behandlas för att tillhandahålla information till eller regeringen. Tillhandahållande av information med stöd av lag eller förordning Som nämns ovan redovisas i avsnitt 7.9–7.13 vilka de primära och sekundära ändamålen bör vara för Transportstyrelsens verksamhets- områden fordon, behörigheter, tillstånd och tillsyn. De sekundära ändamålen anges inte uttömmande, men målsättningen är ändå att de ska vara så heltäckande som möjligt och omfatta merparten av Transport- styrelsens uppgiftslämnande. I den mån en skyldighet att lämna ut uppgifter inte skulle omfattas av de specifika ändamålsbestämmelserna behövs dock även ett generellt ändamål som medger att personuppgifter behandlas för att uppfylla uppgiftsskyldigheten. Av 10 kap. 28 § OSL framgår att sekretess inte hindrar att en uppgift lämnas till en myndighet, om uppgiftsskyldighet följer av lag eller förordning. Myndigheter är vidare i vissa fall enligt lag eller förordning skyldiga att på begäran lämna ut uppgifter till andra. En myndighet är till exempel enligt reglerna i 6 kap. 5 § OSL skyldig att på begäran av en annan myndighet lämna ut uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Vidare finns det ett antal författningar med bestämmelser som medför att uppgifter får lämnas ut. Bestämmelserna innebär således inte, som de ovan beskrivna, en uppgiftsskyldighet, utan enbart att utlämnande är tillåtet. Ett exempel på en sådan bestämmelse är generalklausulen i 10 kap. 27 § OSL, som innebär att en sekretessbelagd uppgift får lämnas till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Myndigheterna lämnar inte enbart ut uppgifter för att tillgodose andras behov. En myndighet kan även lämna ut uppgifter på eget initiativ, till exempel för att kunna utföra en uppgift i den egna verksamheten. 2018/19:33 till exempel ske med stöd av 10 kap. 2 § OSL, som anger att sekretess inte hindrar att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Ett annat exempel är 10 kap. 18 §, som anger att sekretess inte hindrar att en uppgift lämnas till en myndighet, om uppgiften behövs där för förundersökning, rättegång, ärende om disciplinansvar eller skiljande från anställning eller annat rättsligt förfarande vid myndighet mot någon rörande hans eller hennes deltagande i verksamheten vid den myndighet där uppgiften förekommer. När bestämmelser om uppgiftslämnande har införts i lagstiftningen får det förutsättas att det gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften ska eller får lämnas ut. Som utredningen föreslår, bör det därför i vägtrafikdatalagen införas en bestämmelse som medger att uppgifter som får behandlas för något av de primära ändamålen får lämnas ut till andra myndigheter eller enskilda om uppgiften ska eller får lämnas ut enligt lag eller förordning. Tillhandahållande av personuppgifter till utländska myndigheter och organ Samarbetet inom EU och det internationella samarbetet i övrigt på vägtrafiklagstiftningens område blir alltmer omfattande. Samverkan över gränserna innebär att svenska myndigheter i allt högre utsträckning behandlar uppgifter genom utlämnande till myndigheter i andra länder. I vissa fall krävs även att utländska myndigheter ges möjlighet till direktåtkomst till uppgifterna, se t.ex. artikel 16 i trafiktillstånds- förordningen och artikel 12 i Prümrådsbeslutet. I den utsträckning utlämnandet av uppgifter utgör ett bindande internationellt åtagande är det ändamål som föreslås i avsnitt 7.13.2 tillämpligt. När det gäller EU-samarbetet är mycket av den personuppgiftshantering som sker reglerad i särskilda förordningar som gäller som svensk lag. Sådana särskilda bestämmelser finns dock . Vidare kan bestämmelserna vara utformade som ett frivilligt informationsutbyte snarare än som ett bindande krav. För att uppgiftslämnande ska kunna ske även i sådana fall och för att möjliggöra direktåtkomst till uppgifter i de fall det krävs, bör det som utredningen föreslår införas en särskild ändamålsbestämmelse som medger uppgiftslämnande som sker i enlighet med EU-rättsliga bestämmelser. Som utredningen föreslår, och i likhet med vad som gäller enligt LVTR, bör en motsvarande ändamåls- bestämmelse införas som medger uppgiftslämnande som sker med stöd av internationella överenskommelser som efter godkännande har tillträtt. Av tydlighetsskäl och i likhet med bl.a. utlänningsdatalagen anser regeringen att det uttryckligen bör framgå att ändamålet även omfattar uppgiftslämnande med anledning av bestämmelser i konventioner. Utredningen har föreslagit att personuppgifter ska få behandlas om uppgiftslämnande följer av en internationell överenskommelse som har godkänt eller av en EU-rättsakt. I 2 kap. 15 § polisdatalagen (2010:361) har begreppet ansetts innebära att bestämmelsen är tillämplig endast när den internationella överenskommelsen innehåller ett åläggande att lämna ut uppgifter, och alltså inte när informationsutbytet är frivilligt. 2018/19:33 Regeringen delar utredningens uppfattning att även ett frivilligt informationsutbyte som sker i enlighet med en internationell överens- kommelse bör omfattas av ändamålet. Personuppgifter bör därmed få behandlas om utlämnandet av uppgifterna sker med anledning av medlemskap i unionen eller i enlighet med en internationell konvention som har tillträtt eller ett av godkänt avtal med en främmande stat eller en mellanfolklig organisation. Om sekretess gäller för uppgiften får, enligt 8 kap. 3 § OSL, uppgiften inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte utlämnande sker i enlighet med särskild föreskrift i lag eller förordning eller om uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. Ytterligare begränsningar av möjligheterna att lämna ut uppgifter till ett tredjeland eller en internationell organisation kan följa av kapitel 5 i dataskyddsförordningen, se avsnitt 7.13.2 under rubriken av uppgifter till tredjeländer och internationella organisationer. Med samma motivering som i nämnda avsnitt bedömer regeringen att bestämmelserna i kapitel 5 i dataskyddsförordningen inte torde hindra Transportstyrelsen från att utföra nödvändig personuppgiftsbehandling för att tillhandahålla information till ett tredjeland eller en internationell organisation i enlighet med en EU-rättsakt, en internationell konvention som har tillträtt eller ett av godkänt avtal med en främmande stat eller en mellanfolklig organisation. Tillhandahållande av personuppgifter till den registrerade själv Utredningen har föreslagit ett särskilt ändamål för utlämnande av uppgifter till den registrerade själv. I propositionen Ändring i lagen om vägtrafikregister (prop. 2014/15:143 s. 10) bedömde regeringen att ett utlämnande till den registrerade av egna personuppgifter inte kunde anses oförenligt med de ändamål för vilka uppgifterna samlats in. Något särskilt ändamål för sådant utlämnande infördes således inte. Enligt regeringens uppfattning finns det inte nu skäl att göra en annan bedömning. Regeringens förslag: Personuppgifter som behandlas enligt de primära ändamålsbestämmelserna i lagen ska få behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Utredningens förslag: Överensstämmer inte med regeringens. Utred- ningen föreslår att finalitetsprincipen inte ska tillämpas i Transport- styrelsens verksamhet. Remissinstanserna: Har inte yttrat sig i denna del. Förslaget i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen ifrågasätter bestämmelsen då detta redan följer av vad som kommer att gälla enligt artikel 5 i dataskyddsförordningen. Om bestämmelsen ska finnas kvar anser inspektionen att det i bestämmelsen bör hänvisas till artikel 5.1 b i är positiva till att finalitetsprincipen förs in i lagen. Skälen för regeringens förslag: Som framgår av föregående avsnitt ska vissa ändamål gälla för alla Transportstyrelsens verksamhetsområden. avsnitt 7.7 betonar regeringen att målsättningen är att ändamålen i vägtrafikdatalagen ska vara så heltäckande som möjligt. nedan finns det dock ett visst utrymme att behandla personuppgifter även för andra ändamål än de i lagen angivna, under förutsättning att det nya ändamålet inte kan anses oförenligt med insamlingsändamålet (finalitets- Finalitetsprincipen regleras i artikel 5.1 b i ordningen och innebär att personuppgifter som har samlats in för ett visst ändamål inte senare får behandlas på ett sätt som är oförenligt med I artikeln anges uttryckligen att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. behandling är således tillåten enligt dataskyddsförordningen under förutsättning att lämpliga skyddsåtgärder för den registrerades rättigheter och friheter vidtas. Vidare finns exempel på kriterier som ska beaktas vid bedömningen av om en behandling är förenlig med insamlingsändamålet i artikel 6.4 i dataskyddsförordningen. Enligt regeringens bedömning bör finalitetsprincipen utgöra den yttersta ram inom vilken personuppgifter får behandlas enligt vägtrafikdatalagen. Det bör därför av tydlighetsskäl införas en bestämmelse som anger att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med Med en sådan utformning anser regeringen, till skillnad från Datainspektionen, att bestämmelsen inte behöver innehålla någon uttrycklig hänvisning till artikel 5.1 b i dataskyddsförordningen. Denna bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål i vägtrafikdatalagen en sådan ändamålsbegränsning som kan införas i nationell rätt med stöd av artikel 6.3 i dataskyddsförordningen. 7.14 Behandling av känsliga personuppgifter Regeringens förslag: Det ska vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Regeringens bedömning: Vägtrafikdatalagen bör i övrigt inte innehålla någon särskild regel om behandling av känsliga personuppgifter. Utredningens förslag: Överensstämmer inte med regeringens. Utredningen föreslår att känsliga personuppgifter ska få behandlas endast om det är absolut nödvändigt för ändamålet med behandlingen. Remissinstanserna har inte yttrat sig i denna del. Bedömningen i utkastet till lagrådsremiss: Överensstämmer delvis med regeringens. Utkastet innehöll dock inte något förslag till sökförbud avseende känsliga personuppgifter. Remissinstanserna: Datainspektionen efterfrågar lagreglering om sökbegränsningar, särskilt i fråga om känsliga personuppgifter. Skälen för regeringens bedömning I dataskyddsförordningens artikel 9.1 finns ett generellt förbud mot att behandla särskilda kategorier av personuppgifter, s.k. känsliga person- uppgifter. Det gäller uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. I förhållande till motsvarande förbud i artikel 8 i dataskyddsdirektivet har genetiska och biometriska uppgifter liksom uppgifter om sexuell läggning lagts till i dataskyddsförordningen. När det gäller tillägget av sexuell läggning får detta dock redan anses ingå i begreppet sexualliv (jfr prop. 2000/01:126 s. 31 och prop. 2007/08:95 s. 125–129). Från förordningens förbud görs i artikel 9.2 en rad undantag som möjliggör behandling av känsliga personuppgifter i vissa fall. Om den registrerade uttryckligen har lämnat sitt samtycke till behandling av sådana personuppgifter för ett eller flera specifika ändamål så får uppgifterna behandlas (9.2 a). Vidare får känsliga personuppgifter behandlas bl.a. om behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade (9.2 e) eller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse som har sin grund i unionslagstiftningen eller i en medlemsstats nationella lagstiftning (). Det sistnämnda undantaget gäller under förutsättning att den lagstiftning som ger stöd för behandlingen står i proportion till det eftersträvade syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Dessa krav måste således vara uppfyllda för att undantaget ska vara tillämpligt. Medlemsstaterna får, även när det gäller känsliga personuppgifter, behålla eller införa mer specifika bestämmelser i fråga om behandling som sker med stöd av artikel 6.1 c och e (artikel 6.2 och skäl 10). I rubriken till artikel 9 i dataskyddsförordningen anges att bestämmelsen avser behandling av särskilda kategorier av personuppgifter. I skäl 10 och 51 omnämns dessa uppgifter i stället som känsliga respektive särskilt känsliga personuppgifter. I propositionen Ny dataskyddslag gör regeringen bedömningen att det väl inarbetade begreppet känsliga person- uppgifter bör användas som samlingsbegrepp för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som räknas upp i artikel 9.1 i dataskyddsförordningen. Regeringen gör även bedömningen att behandling av känsliga personuppgifter endast får ske under de 2018/19:33 förutsättningar som anges i dataskyddsförordningen. Vidare anges att undantagen från förbudet att behandla känsliga personuppgifter är direkt tillämpliga (se prop. 2017/18:105 s. 74 f.). När det gäller undantaget i artikel för behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse konstaterar regeringen att begreppet inte är definierat i vare sig dataskyddsdirektivet eller data- skyddsförordningen och att dess innebörd inte har utvecklats närmare av . Enligt regeringen är det vidare svårt att på ett generellt plan definiera vad som skiljer ett allmänt intresse från ett viktigt allmänt intresse. Det torde dock stå klart att verksamhet som innefattar myndig- hetsutövning utgör ett viktigt allmänt intresse. När det gäller myndigheters behandling anser regeringen att det också måste anses utgöra ett viktigt allmänt intresse att svenska myndigheter, även utanför området för myndighetsutövning, kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt. Enligt regeringens uppfattning finns det därför ett behov av en tydlig reglering som tillåter viss behandling av känsliga personuppgifter hos myndigheterna. Regeringen konstaterar att det i många fall finns sådana bestämmelser, men att det inte kan tas för givet att det för all offentlig verksamhet redan finns sådana lämpliga och särskilda åtgärder som krävs enligt artikel i dataskyddsförordningen för att känsliga person- uppgifter ska få behandlas. Regeringen bedömer därför att det behövs särskilda bestämmelser i dataskyddslagen som är tillämpliga för alla myndigheter och som uppfyller kraven i artikel i dataskydds- förordningen. För behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse har det därför införts bestämmelser i 3 kap. 3 § första stycket dataskyddslagen som innebär att en myndighet eller ett annat organ som omfattas av offentlighetsprincipen får behandla känsliga personupp- gifter om uppgifterna har lämnats till den personuppgiftsansvarige och behandlingen krävs enligt lag.