prop · H60333 · 2019-01-07 00:00:00 — Person- uppgifter behandlas i allt större utsträckning i avancerade ärende- hanteringssystem som länkas samman med varandra, ibland med digital dokumenthantering. I sådana system kan information struktureras på ett sådant sätt att systemet, utöver att tjäna som ett verksamhetsstöd för ärendehanteringen, även i praktiken tillgodoser samma behov som traditionella personregister genom att olika sökingångar skapas. Det huvudsakliga syftet med insamlingen av personuppgifter är i dessa fall oftast utförandet av en viss arbetsuppgift, inte att registrera uppgifterna i ett personregister. För vägtrafikregistrets del utgör dock även registreringen av uppgifter ett huvudsyfte. Utredningen föreslår att termen databas ska användas för uppgifter som används gemensamt i verksamheten. Avsikten är inte att tekniskt reglera hur uppgifter ska organiseras, utan termen har enligt förslaget endast en juridisk innebörd. Efter det att utredningen lämnade sitt betänkande har i nyare registerförfattningar i stället för register eller databas uttrycket gemensamt tillgängliga uppgifter använts, se t.ex. 3 kap. åklagardatalagen (2015:433) och 3 kap. skattebrottsdatalagen (2017:452) samt de nya lagarna, lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område och lagen (2018:1696) om behandling av personuppgifter inom brottsdatalagens område, som ersätter de först nämnda lagarna. Som en följd av detta, och för att tydliggöra att någon teknisk anknytning inte avses, anser regeringen, till skillnad från , att även den nya regleringen på vägtrafikområdet bör ges en mer generell utformning genom användningen av uttrycket gemensamt tillgängliga uppgifter för sådana personuppgifter för vilka mer begränsande regler bör gälla. En sådan ordning stämmer också väl överens med utredningens syfte att införa en rättslig, men inte teknisk, avgränsning för de uppgifter som används gemensamt i verksamheten. En uppgift anses vara gemensamt tillgänglig om den registreras och lagras på ett sådant sätt att ett flertal tjänstemän inom en myndighet har möjlighet att vid behov och i olika sammanhang ta del av uppgiften direkt på automatiserad väg. Det väsentliga i sammanhanget är inte på vilket sätt uppgifter tekniskt lagras utan den faktiskt åsyftade tillgängligheten. Den form av behandling som ska särskiljas bör därför definieras med avseende på det faktiska förhållande som är avgörande för behovet av särreglering, nämligen att uppgifterna är gemensamt tillgängliga i verksamheten. Den nya lagen bör därför innehålla särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. I och med att uttrycket gemensamt tillgänglig enbart har en rättslig innebörd understryks lagstiftningens teknikneutralitet. Som framgår av avsnitt 7.6 anser regeringen att det inarbetade namnet vägtrafikregistret, trots vad som anförts ovan, fortsatt bör användas som beteckning på den samling uppgifter som ska finnas registrerad hos Transportstyrelsen. Gränsdragningen mellan behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga och annan behandling Det ligger i sakens natur att det inte är enkelt att dra en tydlig gräns mellan uppgifter som är gemensamt tillgängliga och andra uppgifter. Som Transportstyrelsen framhåller bör denna gränsdragning klarläggas så långt det är möjligt. Det avgörande bör vara om uppgifterna är åtkomliga för en bestämd och begränsad personkrets eller inte. I det följande anger regeringen de principer som bör ligga till grund för gränsdragningen. Som regeringen uttalade i förarbetena till åklagardatalagen bör en grund- läggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga vara att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna (prop. 2014/15:63 s. 80). Uppgifter som endast ett fåtal personer har rätt att ta del av bör dock inte anses som gemensamt tillgängliga. Att en uppgift ”är tillgänglig” för en viss person bör förstås så att personen har såväl faktisk möjlighet att ta del av uppgiften som rättslig behörighet till det. Det bör däremot inte spela någon roll hur många personer som faktiskt tar del av de aktuella uppgifterna. Det bör inte heller ha någon betydelse om den som har tillgång till uppgiften kan påverka den eller bara läsa den. Det innebär till att börja med att personuppgifter blir att anse som gemensamt tillgängliga om de behandlas för att en obestämd krets – t.ex. alla Transportstyrelsens handläggare eller en viss större enhet inom myndigheten – ska kunna ta del av uppgifterna. Om den införda uppgiften genom tekniska begränsningar har åtkomstskyddats i sådan utsträckning så att den rent faktiskt inte är tillgänglig för fler än en eller ett fåtal tjänstemän, är dock uppgiften inte att anse som gemensamt tillgänglig. Det innebär att uppgifter i ärenden som handläggs hos Transportstyrelsen huvudsakligen kommer att vara gemensamt tillgängliga, även om ett visst ärende bara behandlas av en eller ett fåtal tjänstemän. Också andra uppgifter som är tillgängliga för en i förväg obestämd krets av personer bör som huvudregel anses gemensamt tillgängliga. Begreppet ”gemensamt tillgängliga uppgifter” kommer således att täcka inte enbart register i traditionell bemärkelse utan alla uppgiftssamlingar som är avsedda för en obestämd krets av personer. har till syfte att tillgodose informationsbehovet dels inom olika delar av myndigheten, dels hos andra myndigheter och enskilda. Det anförda innebär att de uppgifter i det nuvarande vägtrafikregistret som inte har åtkomstbegränsats nära nog alltid kommer att anses vara gemensamt tillgängliga. Även i vissa fall där den personkrets som har tillgång till uppgifterna är bestämd och avgränsad, t.ex. de som arbetar vid en viss organisatorisk enhet i Transportstyrelsen, bör personuppgifterna anses vara gemensamt Det gäller t.ex. då uppgifterna är tillgängliga för ett större antal bestämda personer. De personuppgifter som behandlas och som involverar ett flertal tjänstemän som gemensamt behandlar viss information bör alltså regelmässigt anses som gemensamt tillgängliga. Uppgifter bör dock inte anses som gemensamt tillgängliga enbart därför att två eller flera personer har tillgång till dem. Kan man redan från början konstatera att personuppgifterna endast kommer att vara tillgängliga för en avgränsad krets bestående av en handfull personer bör uppgifterna alltså inte anses vara gemensamt tillgängliga. motiverar särskilda regler för gemensamt tillgängliga uppgifter gör sig nämligen inte lika starkt gällande när bara ett fåtal personer har tillgång till uppgifterna som när många personer har tillgång till dem. En förutsättning för att uppgifterna inte ska anses vara gemensamt till- gängliga måste dock vara att kretsen som har tillgång till dem är liten. Ordbehandling och behandling genom e-post där avsikten är att enbart enstaka tjänstemän ska ha tillgång till uppgifterna i de aktuella dokumenten innebär att uppgifterna inte anses vara gemensamt till- gängliga i verksamheten. Om ett ärende eller ett projekt enbart engagerar en avgränsad krets, bestående av ett fåtal på förhand utpekade personer eller funktioner, bör de uppgifter som behandlas inom ramen för ärendet eller projektet normalt inte betraktas som gemensamt tillgängliga. vara fallet t.ex. vid ett starkt åtkomstbegränsat ärende. Ett exempel på det motsatta är att uppgifterna har lagts in i vägtrafikregistret utan särskilda begränsningar för att kunna vara tillgängliga för all personal som behöver få tillgång till dem. Så snart det är fråga om fler än ett fåtal personer som har tillgång till uppgifterna bör utgångspunkten vara att uppgifterna anses vara gemensamt tillgängliga. Utredningen anser att storleken på personkretsen som har möjlighet att ta del av en uppgift bör vara grundläggande för bedömningen av om en uppgift ska anses vara gemensamt tillgänglig eller inte. går det dock inte att ange en exakt gräns för när personkretsen ska medföra det ena eller andra utfallet av bedömningen. I förarbetena till polisdata- lagen uttalade regeringen att det i lag inte bör anges någon exakt gräns för när personkretsen är så stor att personuppgifterna som behandlas anses vara gemensamt tillgängliga. Även andra omständigheter bör i det enskilda fallet kunna vägas in i bedömningen av om personuppgifter ska betraktas som gemensamt tillgängliga eller inte. Regeringen ansåg dock att det var lämpligt att ange en tumregel för hur många personer ett fåtal kunde anses utgöra i den polisiära verksamheten och uttalade att ett tiotal personer var väl avvägt (prop. 2009/10:85 s. 129). Samma bedömning gjordes i förarbetena till åklagardatalagen (prop. 2014/15:63 s. 82) och skattebrotts- datalagen (prop. 2016/17:89 s. 86 f.). verksamhet är annorlunda strukturerad än dessa myndigheters utgör inte detta skäl att för Transportstyrelsens del avvika från denna bedömning. 2018/19:33 Enligt regeringens uppfattning bör alltså samma tumregel kunna tillämpas för Transportstyrelsens verksamhet. När det talas om en bestämd krets bör detta inte uppfattas som att det alltid från början måste kunna anges exakt vilka tjänstemän eller vilken krets av tjänstemän som avses få tillgång till uppgifterna. Bedömningen blir naturligtvis enklare om man på förhand vet att endast ett fåtal eller en större krets kommer att behandla uppgifterna. Även i de fall där detta inte står klart från början kan man oftast av arbetsuppgiftens art och storlek sluta sig till om uppgifterna sannolikt kommer att behandlas av ett fåtal tjänstemän eller av en större krets. Enligt regeringens uppfattning bör bestämmelserna om gemensamt tillgängliga uppgifter, på samma sätt som enligt åklagardatalagen och lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område, inte gälla för sådan behandling av person- uppgifter som görs med stöd av bestämmelserna om diarieföring m.m. Skälen för detta redovisas i avsnitt 7.13.1. Personuppgifter som får göras gemensamt Regeringens förslag: Personuppgifter som omfattas av lagens tillämpningsområde får göras gemensamt tillgängliga. I lagen ska det upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om sådana Utredningens förslag: Överensstämmer i sak med regeringens. Utredningen föreslår dock en indelning i databaser och inte användning av begreppet gemensamt tillgängliga uppgifter. Remissinstanserna har inte yttrat sig i denna del. Förslaget i utkastet till lagrådsremiss: Överensstämmer med Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens förslag: Utredningen föreslår att det ska finnas fyra databaser med registrerade uppgifter om fordon, behörigheter, tillstånd och tillsyn som ska få användas gemensamt i verksamheten för de i vägtrafikdatalagen angivna ändamålen. Enligt förslaget ska regeringen få meddela föreskrifter om vilka uppgifter som ska finnas i databaserna och som därmed kan användas gemensamt i Transportstyrelsens verk- samhet på vägtrafikområdet. Någon begränsning i fråga om vilka uppgifter som ska få göras gemensamt tillgängliga görs inte. Transportstyrelsen föreslås enligt den nya lagen få behandla person- uppgifter för ett antal specificerade primära ändamål i sin verksamhet som rör fordon, behörigheter, tillstånd och tillsyn på vägtrafikområdet. Ändamålen tar främst sikte på den personuppgiftsbehandling som sker vid Transportstyrelsens handläggning av olika typer av ärenden. t.ex. om ärenden om registrering av fordon, beviljande av olika behörig- heter, utfärdande av tillstånd att bedriva olika typer av verksamheter på vägtrafikområdet och ärenden som rör tillsyn på vägtrafikområdet. 2018/19:33 ärende handläggs vanligtvis av en handläggare, men det kan inte uteslutas att flera handläggare kan vara inblandade i samma ärende, exempelvis om ärendet pågår eller är av större omfattning. Ett ärende kan vidare kräva en åtgärd när den ordinarie handläggaren av något skäl är frånvarande. De registrerade uppgifterna kan även ha betydelse för flera olika ärenden. Det finns således behov av att i Transportstyrelsens verksamhet kunna göra samtliga registrerade uppgifter tillgängliga för flera handläggare. Som redogjorts för utgör samlingen av uppgifter på vägtrafik- området en viktig samhällsresurs som förser såväl myndigheter som enskilda med en stor mängd uppgifter från vägtrafikområdet. Att ge tillgång till de uppgifter som finns registrerade hos Transportstyrelsen är ett av syftena med vägtrafikdatalagen. I den nya lagen föreslås därför ändamål som gör det möjligt att behandla personuppgifter för att lämna ut uppgifter till andra myndigheter och enskilda. Uppgifterna kan inhämtas, i den mån de inte omfattas av sekretess, antingen genom en kontakt med Transportstyrelsen i ett enskilt fall eller genom direktåtkomst till upp- gifterna (jfr avsnitt 7.20.1 i fråga om direktåtkomst). För att verksamheten ska kunna bedrivas effektivt bör dels flera handläggare inom myndigheten, dels andra myndigheter och enskilda kunna ta del av uppgifterna utan att några ytterligare begränsningar ställs upp. Det förhållandet att det är möjligt att göra uppgifter på vägtrafikområdet gemensamt tillgängliga innebär naturligtvis inte någon skyldighet att göra det. Det kan t.ex. finnas anledning att begränsa åtkomsten till vissa uppgifter av känsligt slag, exempelvis belastningsuppgifter, i ett ärende för andra än den eller dem som arbetar med ärendet. I vilken utsträckning möjligheten att begränsa åtkomsten bör utnyttjas bör dock överlämnas till Transportstyrelsen att avgöra i det enskilda fallet. Det kan också finnas skäl för regeringen eller Transportstyrelsen att genom föreskrifter eller på annat sätt verka för enhetlig tillämpning i fråga om vilka uppgifter som inte lämpligen bör göras gemensamt tillgängliga. 7.18.3Sökbegränsningar för gemensamt tillgängliga personuppgifter Regeringens förslag: I lagen ska det upplysas om att regeringen kan meddela föreskrifter om tillåtna sökbegrepp. Vid sökning i gemensamt tillgängliga personuppgifter ska endast de sökbegrepp som anges i sådana föreskrifter få användas. Sökbegränsningen ska inte gälla vid sökning i en viss handling. Utredningens förslag: Överensstämmer delvis med regeringens. Utredningen förhåller sig inte till sökning i gemensamt tillgängliga uppgifter. Remissinstanserna: Transportstyrelsen tillstyrker förslaget. Förslaget i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterfrågar lagreglering av sök- begränsningar, särskilt i fråga om känsliga personuppgifter. anser vidare att innebörden av begreppet ”i en viss handling” bör klargöras. Skälen för regeringens förslag: En av de från integritetssynpunkt viktigaste aspekterna vid behandling av personuppgifter är i vilken utsträckning uppgifter kan sökas och sammanställas. Ju större möjligheter det finns att på olika sätt sammanställa uppgifter om enskilda, desto större blir riskerna för intrång i enskildas integritet. I lagstiftning som rör personuppgiftsbehandling finns därför som regel olika bestämmelser som begränsar möjligheten att söka och sammanställa information, t.ex. bestämmelser om vilka sökbegrepp som får användas eller andra typer av sökbegränsningar. Enligt 10 § LVTR får för sökning i vägtrafikregistret endast användas de sökbegrepp som regeringen beslutar om. En uttömmande uppräkning av de sökbegrepp som får användas finns i 4 kap. 1 och 2 §§ FVTR. Den nya lagen bör, som anges i avsnitt 7.18.1, vara teknikneutral och endast fastställa ramarna för Transportstyrelsens personuppgiftsbehand- ling. Om det inte införs några sökbegränsningar i den nya lagstiftningen skulle den – med hänsyn till mängden information som finns hos Transportstyrelsen – skapa utrymme för kvalificerade former av kart- läggning av enskildas personliga förhållanden, vilket i sig kan utgöra ett intrång i den personliga integriteten. Ett annat skäl till att införa sökbegränsningar har samband med den s.k. begränsningsregeln i 2 kap. 3 § tredje stycket TF. Den innebär att en sammanställning som innehåller personuppgifter inte anses förvarad hos en myndighet om myndigheten saknar rättslig befogenhet att göra sammanställningen. Den utgör då följaktligen inte heller en allmän handling. Syftet med begränsningsregeln är att hindra allmänheten från att göra anspråk på att få del av sammanställningar av uppgifter ur upp- tagningar hos myndigheten som myndigheten själv, av integritetsskäl, är rättsligen förhindrad att ta fram i sin egen verksamhet. Det kan exempelvis vara fallet om myndigheten endast får använda vissa angivna sökbegrepp. Integritetsskyddet ska alltså i dessa fall upprätthållas även om 2 kap. TF åberopas (jfr prop. 2015/16:65 s. 85). Mot denna bakgrund bör det enligt regeringens uppfattning även i den nya lagstiftningen finnas bestämmelser om sökbegränsningar för uppgifter som är gemensamt tillgängliga. I motsats till de förbud att använda vissa sökbegrepp som finns i många nya registerförfattningar anser utredningen att det i vägtrafikdatalagstiftningen i stället bör regleras vilka sökbegrepp som får användas. Enligt utredningen är en sådan ordning mer fördelaktig ut ett integritetsperspektiv och det blir lättare att överblicka de sökningar som är möjliga att göra. Regeringen delar utredningens uppfattning och anser att regleringen bör utformas på liknande sätt som , dvs. med en grundläggande bestämmelse i lag som anger att endast sådana sökbegrepp som regeringen har beslutat om får användas, men som överlåter åt regeringen att besluta om vilka sökbegrepp som ska få användas vid sökning i de gemensamt tillgängliga uppgifterna. Sökbegrepp som avslöjar känsliga personuppgifter är typiskt sett förknippade med särskilda risker i integritetshänseende. Regeringen delar därför Datainspektionens uppfattning att sökbegränsningar som gäller känsliga personuppgifter bör regleras i lag, se avsnitt 7.14. 2018/19:33 I fråga om de sökbegränsningar som föreslås kan det konstateras att de integritetsrisker som motiverar inskränkningarna inte gör sig gällande i samma utsträckning när det är fråga om sökningar i ett begränsat material, exempelvis en viss handling. Det är från effektivitetssynpunkt dessutom rimligt att en tjänsteman som arbetar i ett elektroniskt dokument får söka fritt i det dokumentet genom att t.ex. använda sedvanliga sökfunktioner i ett ordbehandlingsprogram. Det finns därför inte skäl att införa sökbegränsningar vid sökning i en viss handling, vilket bör framgå av lagen. Begreppet i en viss handling används på motsvarande sätt i t.ex. 3 kap. 6 § åklagardatalagen (2015:433) och 3 kap. 7 § skattebrottslagen (2017:452). Med anledning av Datainspektionens synpunkt vill regeringen framhålla att med begreppet handling avses en färdig elektronisk handling, dvs. en handling som har getts en bestämd, fixerad form som kan återskapas gång på gång. Regeringens förslag: Direktåtkomst till personuppgifter ska få medges endast för vissa särskilt angivna ändamål och endast för personuppgifter som har gjorts gemensamt tillgängliga. huvudregel endast få medges till uppgifter i den uppgiftssamling som benämns vägtrafikregistret, dvs. inte till bl.a. elektroniska handlingar. Den registrerade ska dock alltid kunna få direktåtkomst till sina egna Den som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. En upplysningsbestämmelse ska införas som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela före- skrifter om i vilken utsträckning direktåtkomst får förekomma, om undantag från förbudet att medge direktåtkomst till bl.a. elektroniska handlingar och om behörighet och säkerhet vid direktåtkomst. Vid sökning genom direktåtkomst i en annan stats register över vägtransportföretag enligt artikel 16 i och rådets förordning (EG) nr 1071/2009 får den svenska kontaktpunkten behandla uppgifter endast i den utsträckning den andra staten tillåter det och behandlingen i motsvarande fall hade varit tillåten enligt EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, vägtrafikdatalagen och föreskrifter som har meddelats i anslutning till dessa lagar. Utredningens förslag: Överensstämmer delvis med regeringens. Utredningen förslår inte någon bestämmelse om direktåtkomst enligt artikel 16 i förordning (EG) nr 1071/2009. Remissinstanserna: Datainspektionen är positiv till utredningens förslag, men anför särskilt i fråga om direktåtkomst till körkortsfotografier att en sådan åtkomst innebär en stor potentiell spridning av fotografierna, vilket innebär att det krävs en noggrann undersökning av vilket sekretesskydd som kommer att gälla för uppgifterna hos . ser det som mycket positivt att kan medges direktåtkomst till körkortsfotografier. anser att myndigheten, liksom andra brottsbekämpande myndigheter, bör kunna få direktåtkomst till körkortsfotografier för identifiering i brottsbekämpande verksamhet. Transportstyrelsen välkomnar förslaget att den enskilde ska kunna få direktåtkomst till sina egna uppgifter. Bussarbetsgivarna, , och Svenska Taxiför- bundet anser att direktåtkomst även bör kunna medges för att komplettera eller kontrollera medlemsregister och för att göra en s.k. urvalsdragning. Förslagen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterfrågar en mer utförlig reglering i lag av de skyddande åtgärder som behöver vidtas och en tydligare redovisning av vilka avvägningar som gjorts vid proportiona- litetsbedömningen. Transportstyrelsen anför att det finns behov av att ge även andra aktörer än direktåtkomst till elektroniska handlingar, t.ex. rådgivande läkare. anser att förslaget är för brett utformat och att specifika utlämnanden i stället bör regleras som utlämnande på medium för automatiserad behandling. anser att de även bör få direktåtkomst till uppgifter om personer med skyddade personuppgifter. Skälen för regeringens förslag Det finns ingen legaldefinition av begreppet direktåtkomst i svensk rätt. Den grundläggande innebörden anses dock vara att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av. Den myndighet som lämnar ut uppgifter genom direktåtkomst fattar således inte beslut om utlämnande av uppgifter i varje enskilt fall. I stället måste en förhandsprövning göras av allt utlämnande som kan komma att ske genom direktåtkomst, t.ex. i fråga om utlämnandets förenlighet med OSL. Den faktiska begränsningen av direktåtkomsten görs sedan med hjälp av olika tekniska lösningar beroende på hur omfattningen av direktåtkomsten har begränsats i det enskilda fallet. Begränsningar kan exempelvis göras genom olika behörighetsnivåer eller tillgång endast till vissa bestämda uppgifter, såsom uppgifter i en viss databas eller i vissa dokument. har i rättsfallet HFD 2015 ref. 61 ansett att gränsdragningen mellan vad som är direktåtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella upptagningen kan anses förvarad hos den mottagande myndig- heten enligt 2 kap. 3 § TF, dvs. om den är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas.