prop · H60333 · 2019-01-07 00:00:00 — tillräckligt skydd för den enskildes personliga integritet. Från integritets- synpunkt får det anses lämpligt att det är regeringen som ska göra de närmare integritetsavvägningarna vid bedömningen av vilka specifika personuppgifter som ska registreras, inte minst mot bakgrund av att integritetskänsliga uppgifter vanligtvis omfattas av sekretess som är ägnad att förhindra obehörig insyn och spridning. Av lagen bör det därför framgå att endast sådana uppgifter som behövs för de primära ändamål som anges i lagen ska registreras. I likhet med Datainspektionen anser regeringen att det närmare innehållet bör preciseras i förordning. Någon vidaredelegation till myndighet blir således inte aktuell. Det finns ofta ett behov av att hänvisa till av uppgifter på vägtrafikområdet, t.ex. i andra författningar. sker detta genom en hänvisning till vägtrafikregistret. Motsvarande behov kommer att finnas även framöver. Av avsnitt 7.18.1 framgår att regeringen anser att begreppet register inte ska användas som beteckning på uppgifter som har gjorts gemensamt tillgängliga i verksamheten och för vilka särskilda regler, om t.ex. åtkomst och sökbegrepp, ska gälla. Detta talar mot att fortsätta använda namnet vägtrafikregistret för den samling uppgifter som finns registrerade hos Transportstyrelsen. För att fortsatt använda namnet vägtrafikregistret talar dock att namnet är väl inarbetat och känt av samhället i stort. Eftersom avsikten nu är att endast använda namnet vägtrafikregistret som beteckning på Transportstyrelsens samlade uppgifter på vägtrafikområdet som rör fordon, behörigheter, tillstånd och tillsyn, och således inte knyta några särskilda regler och rättsverkningar av personuppgiftsbehandling specifikt till begreppet register, anser regeringen att namnet ”vägtrafikregistret” fortsatt kan användas trots vad som anges om begreppet register i avsnitt 7.18.1. 7.7Allmänt om ändamål för personuppgiftsbehandling Regeringens förslag: I vägtrafikdatalagen ska det anges för vilka ändamål behandling av personuppgifter får förekomma. Ändamålen ska delas in i primära och sekundära. De primära ändamålen ska avse behandling av personuppgifter för att tillgodose de behov som finns inom Transportstyrelsens verksamhet på vägtrafikområdet. Dessa ändamål ska anges uttömmande i lagen. De sekundära ändamålen ska avse behandling av olika typer av utlämnande av personuppgifter. I fråga om behandling av insamlade personuppgifter för andra sekundära ändamål än de som anges i lagen ska den s.k. finalitetsprincipen tillämpas. En generell förutsättning ska vara att personuppgifts- behandling endast får ske om det är nödvändigt för att uppnå ändamålen. Utredningens förslag innebär, till skillnad från regeringens, att ändamålen ska anges uttömmande och att den s.k. finalitetsprincipen inte ska tillämpas. 2018/19:33 Remissinstanserna har inte yttrat sig i denna del. Förslagen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens förslag Dataskyddsförordningen tillåter nationella bestämmelser om ändamål Dataskyddsförordningens regelverk har till syfte att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. I artikel 5 i dataskyddsförordningen anges vissa grundläggande principer som den personuppgiftsansvarige måste leva upp till vid behandling av personuppgifter. Enligt artikel 5.1 b ska person- uppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Uppgifterna får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål, den s.k. finalitetsprincipen (se närmare avsnitt 7.13.4). Bestämmelserna innebär bland annat att den personuppgifts- ansvarige redan vid insamlingen av uppgifterna måste bestämma för vilket eller vilka ändamål insamlingen sker. De innebär också att vidarebefordran av uppgifter måste föregås av en prövning av om mottagarens ändamål är förenligt med de ursprungliga ändamålen eller inte. Utöver detta framgår av artikel 6 att behandlingen av personuppgifter är laglig endast om den registrerade antingen har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig av något av de i artikeln uppräknade skälen. De två skäl som främst är aktuella i fråga om uppgifter på vägtrafikområdet är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (punkt 1 c) eller att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning (punkt 1 e). Det bör noteras att det är möjligt för myndigheter att stödja behandling av personuppgifter på en intresse- avvägning. Medlemsstaterna ges enligt både artikel 6.2 och 6.3 andra stycket ett visst utrymme att specificera villkoren för när behandling av personuppgifter får ske och hur det ska gå till. I syfte att anpassa tillämpningen av dataskyddsförordningens bestämmelser för att följa artikel 6.1 c och e, får enligt artikel 6.2 särskilda bestämmelser införas eller behållas i nationell lagstiftning. Särskilda bestämmelser om t.ex. för vilka ändamål personuppgifter får behandlas, får för samma syfte införas i den rättsliga grunden enligt artikel 6.3. I propositionen Ny dataskyddslag (prop. 2017/18:105 s. 48) anför regeringen att dataskyddsförordningen inte ställer något krav på att de särskilda ändamålen ska vara fastställda i författning, men att det inte heller finns någonting som hindrar att detta görs, förutsatt att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). Oavsett om ändamålen fastställts i författning eller inte poängterar regeringen dock att det alltid är den personuppgiftsansvarige som ansvarar för, och ska kunna visa, att principerna i artikel 5 följs (artikel 5.2). Generellt om ändamålsbestämmelsernas utformning Utöver dataskyddsförordningens generella ram för hur personuppgifter får samlas in och vidarebehandlas anser regeringen att vägtrafikdatalagen bör innehålla en mer verksamhetsanpassad ram i form av specifika verksamhetsbestämmelser, som slår fast för vilka ändamål person- uppgifter ska kunna behandlas i den verksamhet som lagen omfattar. Specifika ändamålsbestämmelser är av central betydelse för skyddet av den enskildes personliga integritet. Bestämda ändamål definierar vilka uppgifter som får behandlas och hur uppgifterna får behandlas, vilket begränsar den personuppgiftsansvariges handlingsfrihet. En sådan ändamålsreglering i nationell rätt är proportionerlig i förhållande till den enskildes intresse av skydd för sin personliga integritet och är även i övrigt förenlig med dataskyddsförordningens bestämmelser. Det är vanligt att man i författningar som reglerar myndigheters person- uppgiftsbehandling delar upp ändamålen med behandlingen av personuppgifter i primära och sekundära. De primära ändamålen avser att tillgodose de behov som finns att behandla personuppgifter i de berörda myndigheternas egen verksamhet. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter som myndigheten samlat in för ett primärt ändamål får behandlas för att lämnas ut till enskilda eller till andra myndigheter i syfte att tillgodose deras behov. Transportstyrelsen har enligt 5 § förordningen med instruktion för Transportstyrelsen ansvaret för vägtrafikregistret och är enligt 7 § LVTR registerhållare. Som tidigare nämnts är ett primärt syfte med registret att bistå samhället i stort, och inte bara den egna verksamheten, med uppgifter om fordon och personer som på olika sätt har anknytning till vägtrafik- området. Uppgifter kan således behöva samlas in för att tillgodose inte bara Transportstyrelsens behov utan även andra aktörers. Mot den bakgrunden anser utredningen att en indelning i primära och sekundära ändamål inte är lämplig i fråga om vägtrafikregistret. Att det kan finnas enstaka uppgifter som inte kan sägas ha direkt betydelse för Transportstyrelsens egen verksamhet, i meningen styrelsens ärende- hantering, talar för utredningens bedömning. Även uppgiften att föra vägtrafikregistret är dock en del av Transportstyrelsens verksamhet. I registerföringen ingår att samla in alla de uppgifter som enligt lag och förordning ska finnas i registret. Mot den bakgrunden anser regeringen att en uppdelning i primära och sekundära ändamål är lämplig och, i likhet med flertalet övriga registerförfattningar, bör införas i vägtrafikdatalagen. Ändamålsregleringen i de nu gällande registerförfattningarna har utformats på lite olika sätt. Antingen har det uttömmande angetts för vilka ändamål behandling får ske, eller så har de i lagen angivna ändamålen kompletterats med en möjlighet att, i enlighet med finalitetsprincipen, behandla uppgifter även för ändamål som inte är oförenliga med de ändamål för vilka uppgifterna samlades in. I exempelvis åklagardatalagen (2015:433), utlänningsdatalagen (2016:27) och skattebrottsdatalagen (2017:452) har den senare typen av reglering valts. Lagarna innehåller en uttömmande uppräkning av de primära ändamålen, medan uppräkningen av de sekundära ändamålen inte är uttömmande utan i stället begränsas av finalitetsprincipen. Utredningen föreslår en uttömmande uppräkning av vägtrafikdatalagens ändamål, utan hänvisning till finalitetsprincipen. 2018/19:33 Vidare har utredningen föreslagit att vägtrafikdatalagens ändamåls- bestämmelser ska innehålla ett behovskrav. Av artikel 6 i dataskydds- förordningen framgår dock att behandling av personuppgifter är tillåten endast om behandlingen är nödvändig i förhållande till den rättsliga grunden. Samma rekvisit bör därför användas i vägtrafikdatalagens ändamålsbestämmelser. Behandling av personuppgifter får således inte ske slentrianmässigt, utan en bedömning av om behandlingen är nödvändig för det aktuella ändamålet måste göras innan en behandling påbörjas. Enligt betyder det svenska ordet nödvändig att någonting absolut fordras eller inte kan underlåtas. Det unionsrättsliga begreppet har dock inte denna strikta innebörd. Nödvän- dighetsrekvisitet i artikel 7 i dataskyddsdirektivet har t.ex. inte ansetts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas. Detta synsätt kommer till uttryck i dom i målet Huber mot , som rörde tolkningen av motsvarande nödvändighetsrekvisit i artikel 7 e i direktivet (C-524/06, EU:C:2008:724). uttalade att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. På motsvarande sätt bör det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag, jfr propositionen Ny dataskyddslag (prop. 2017/18:105 s. 46 f.) Regleringen av de primära ändamålen Oavsett vilken modell för ändamålsreglering som väljs bör utgångs- punkten vara att de tillåtna ändamålen anges så tydligt och fullständigt som möjligt. Ändamålsbestämmelserna bör enligt regeringens mening utformas så att de återspeglar Transportstyrelsens verksamhet och ger myndigheten möjlighet att utföra sina arbetsuppgifter. En snävare omfattning av ändamålen än så skulle försämra myndighetens möjlighet att kunna bedriva en effektiv verksamhet. bör bestämmelserna tillgodose befogade integritetsintressen. Mot den bakgrunden föreslår regeringen, i likhet med utredningen, att de primära ändamålen ska anges uttömmande. För regeringens del är det avgörande att Transportstyrelsens verksamhet på vägtrafikområdet består av många sinsemellan olika uppgifter. Det innebär att det är en utmaning att hitta en optimal balans mellan verksamhetsintressen och integritetsskyddsintressen. Eftersom i stort sett all informationshantering inom verksamheten sker med stöd av datorer och informationen i stor utsträckning innehåller personuppgifter, skulle å ena sidan en alltför detaljerad och begränsande reglering riskera att försämra Transportstyrelsens förutsättningar att uppfylla de krav som lagstiftningen ställer på myndigheten. Å andra sidan är så tydliga och fullständigt angivna ändamål som möjligt en fördel ur ett integritetsperspektiv. Utredningens förslag till ändamålsbestämmelser bygger på vad som har gällt enligt LVTR, men de har strukturerats på ett annat sätt och ändamålen är mer preciserade. Regeringen anser, i likhet med utredningen, att de primära ändamålen bör anges så detaljerat som möjligt, med beaktande av myndighetens möjligheter att bedriva sin verksamhet på ett effektivt sätt. Som utredningen föreslår bör de primära och sekundära ändamålen redovisas i skilda paragrafer i vägtrafikdatalagen. Vilka de primära respektive sekundära ändamålen bör vara behandlas i avsnitt 7.9–13. En grundtanke med förslaget är att det inom Transport- styrelsen bör vara tillåtet att använda sig av uppgifter som har samlats in för ett visst ändamål, t.ex. för ett ärende om körkortsbehörighet, för ett annat sådant ändamål, t.ex. ett ärende om taxiförarlegitimation, om Transportstyrelsen har behov av detta och det är tillåtet enligt den reglering som gäller för Transportstyrelsens verksamhet. Likaså bör det vara tillåtet att använda information som samlats in i ett ärende om t.ex. tillstånd att bedriva yrkesmässig trafik för att senare utreda om tillståndet bör dras in tillfälligt eller återkallas. Regleringen av de sekundära ändamålen En annan fråga är om de sekundära ändamålen, som syftar till att beskriva för vilka ändamål uppgifter som har samlats in för ett primärt ändamål får tillhandahållas andra, också bör anges uttömmande. Det finns fördelar med utredningens förslag att i vägtrafikdatalagen uttömmande ange för vilka ändamål personuppgifter får behandlas. Lagstiftaren kan då sägas en gång för alla ha bestämt i vilken utsträckning personuppgifter ska få behandlas för att spridas till andra. Under förutsättning att ändamålen är tydligt avgränsade står det genom en sådan reglering klart både för tillämpare och för andra vilken personuppgiftsbehandling som får förekomma med stöd av den aktuella lagen. I förarbetena till flera registerförfattningar har man dock gjort bedömningen att det inte är möjligt att i en lag om person- uppgiftsbehandling på ett tillräckligt preciserat sätt ange alla de situationer där utlämnande av personuppgifter kan komma att aktualiseras. Det finns alltid en risk att något välmotiverat ändamål faller utanför, särskilt om de anges detaljerat. Vidare kan det uppkomma tolkningsproblem. Målsättningen är att vägtrafikdatalagens sekundära ändamål ska vara så heltäckande som möjligt och omfatta merparten av Transportstyrelsens uppgiftslämnande. Registerförfattningar innehåller vanligtvis en uttryck- lig reglering som motsvarar finalitetsprincipen (se t.ex. 1 kap. 5 § 4 lagen [2001:181] om behandling av uppgifter i beskattnings- verksamhet och 2 kap. 5 § patientdatalagen [2008:355]). Enligt regeringens bedömning bör finalitetsprincipen även fortsättningsvis utgöra den yttersta ram inom vilken personuppgifter får behandlas i Transportstyrelsens verksamhet på vägtrafikområdet. Finalitetsprincipen gäller visserligen enligt artikel 5.1 b i dataskyddsförordningen vid sådan behandling. Enligt regeringens uppfattning finns det dock av tydlighets- skäl anledning att införa en bestämmelse i lagen som anger att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlings- ändamålen (se avsnitt 7.13.4). Denna bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål i lagen en sådan ändamålsbegränsning som får införas i nationell rätt enligt artikel 6.3 i dataskyddsförordningen. 2018/19:33 I syfte att åstadkomma ett fullgott integritetsskydd kompletteras den föreslagna ändamålsregleringen med andra bestämmelser som sätter gränser för behandlingen, bl.a. bestämmelser om tillgången till uppgifter och om gallring. Det bör vidare framhållas att ett utlämnande alltid måste vara förenligt med reglerna i OSL, vilket ger ett grundläggande integritets- skydd i Transportstyrelsens verksamhet. Den nu gällande ändamålsbestämmelsen avser bl.a. verksamhet för vilken stat eller kommun ansvarar enligt lag eller annan författning (5 § 1 LVTR). Enligt förarbetena till LVTR omfattar bestämmelsen även verksamhet som bedrivs av enskilda aktörer till vilka stat och kommun har delegerat uppgifter (jfr prop. 2000/01:95 s. 76). Det kan vara fråga om verksamhet som en myndighet ansvarar för men som har överlåtits till en enskild aktör vad gäller själva utförandet. Regeringen avser inte att göra någon ändring i detta avseende. Särskilda ändamål för olika Regeringens förslag: Särskilda ändamål ska gälla för behandling av personuppgifter i Transportstyrelsens verksamhet som rör fordon, behörigheter, tillstånd och tillsyn. Regeringens bedömning: Det behövs inte något särskilt ändamål som reglerar Transportstyrelsens möjlighet att behandla person- uppgifter för att kunna utföra intern kontroll, utvärdering, uppföljning och planering av verksamheten. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att en uppdelning på olika databaser innebär fördelar ut ett integritetsperspektiv, men anser att det bör tydliggöras i vilken databas uppgifter om tillsyn ska registreras och hur uppgifter i de olika databaserna ska få användas på tillsynsområdet. är positivt till en trafikslagsövergripande vidareutveckling av författningar som rör registerhållning och anser att den föreslagna indelningen i databaser som rör fordon, behörigheter, tillstånd och tillsyn är lämplig att använda även för övriga trafikslag. tillstyrker den indelning i fyra databaser som föreslås men anser att tillsynsdatabasen bör utvecklas till att omfatta all tillsynsverksamhet. Förslaget och bedömningen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna har inte yttrat sig i denna del. Skälen för regeringens förslag och bedömning innehåller en stor mängd uppgifter av skilda slag och behovet av skydd för uppgifterna skiljer sig åt. att uppgifterna rättsligt ska grupperas i särskilda databaser och att särskilda ändamål ska gälla för varje databas. uppfattning att det ur ett integritetsperspektiv är fördelaktigt att låta särskilda ändamålsbestämmelser gälla för personuppgiftsbehandling inom olika områden (se dock avsnitt 7.18 angående tillämpningen av begreppet gemensamt tillgängliga uppgifter i stället för databas). För skyddet av den enskildes personliga integritet är det av särskild betydelse att ändamålsregleringen görs tydligare och mer precis än nuvarande reglering. Regeringen delar även utredningens bedömning att de särskilda ända- målen ska gälla oavsett om behandlingen av personuppgifter sker hos en enskild handläggare eller om gemensamt tillgängliga uppgifter behandlas. Till skillnad från utredningen gör dock regeringen bedömningen att ändamålsbestämmelserna inte bör delas upp i skilda paragrafer beroende på om uppgifterna är gemensamt tillgängliga eller inte. Frågan är då hur indelningen av ändamålsbestämmelserna bör göras. En tänkbar lösning är att låta de områden som regleras i de nio bilagorna till FVTR styra den rättsliga indelningen av ändamålen. Med specifika bestämmelser för respektive verksamhetsområde skulle detta dock innebära en mycket omfattande reglering som riskerar att bli svåröver- skådlig och leda till att Transportstyrelsen inte kan bedriva sin verksamhet på ett effektivt sätt. Liksom utredningen anser regeringen att en rättslig indelning som utgår från Transportstyrelsens huvudsakliga verksamhet på vägtrafikområdet, dvs. verksamheten som rör fordon, behörigheter, tillstånd och tillsyn, är mer ändamålsenlig. En sådan indelning tydliggör sambandet mellan behandlingen av personuppgifter och myndighetens övergripande upp- gifter. Vidare blir regleringen överskådlig och en upprepning av bestämmelser kan i stor utsträckning undvikas. Indelningen behöver inte heller ändras så snart Transportstyrelsen tilldelas en ny uppgift som ryms inom de övergripande uppgifterna. Som påpekar återspeglar indelningen även den verksamhet som bedrivs på järnvägs-, luftfarts- och sjöfartsområdena vilket underlättar om man skulle vilja införa en trafikslagsövergripande registrering. En eventuell nackdel med denna uppdelning är att samma bestämmelser inte alltid kan gälla för samtliga personuppgifter som behandlas inom ett visst verksamhetsområde. Exempelvis kommer det i fordonsverksamheten att förekomma dels integritetskänsliga och sekretessbelagda uppgifter (t.ex. uppgifter om trängselskatt), dels uppgifter som i princip ska vara tillgängliga för allmänheten (t.ex. uppgifter om fordon och fordonsägare). Sammantaget anser regeringen dock att fördelarna med denna uppdelning överväger nackdelarna både när det gäller skyddet för den enskildes personliga integritet och i fråga om Transportstyrelsens möjligheter att bedriva sin verksamhet på ett effektivt sätt. Datainspektionen och Transportstyrelsen har pekat på vissa brister i utredningens förslag till tillsynsdatabas. Regeringen har förståelse för myndigheternas uppfattning. Genom att knyta ändamålen till den behandling av personuppgifter som är nödvändig i Transportstyrelsens verksamhet som rör fordon, behörigheter, tillstånd och tillsyn, utan att begränsa behandlingen till de personuppgifter som finns i respektive databas som utredningen föreslagit, tillgodoses myndigheternas synpunkter. Det behövs inget särskilt ändamål för intern kontroll, utvärdering, uppföljning och planering av Transportstyrelsens egen verksamhet Utredningen föreslår att det ska införas särskilda ändamålsbestämmelser som ger stöd för behandling av personuppgifter för intern kontroll, utvärdering, uppföljning och planering av Transportstyrelsens egen verksamhet. I lagstiftningsärendet om behandling av personuppgifter i brottsbekämpande verksamhet uttalade Lagrådet att en ändamålsbestämmelse som tar sikte på planering, uppföljning och utvärdering av verksamheten var obehövlig (prop. 2004/05:164 s. 179). Lagrådet ansåg att sådan verksamhet är en integrerad del av själva verksamheten och inte någon fristående aktivitet som behöver regleras särskilt. Någon motsvarande bestämmelse har av det skälet inte införts i t.ex. utlänningsdatalagen (2016:27), se prop. 2015/16:65 s. 64. Regeringen instämmer i utredningens ståndpunkt att det är angeläget att vägtrafik- datalagens ändamålsbestämmelser är så tydliga som möjligt. finns det intresse av att myndigheternas personuppgiftshanteringsregler utformas på ett enhetligt sätt. Mot denna bakgrund anser regeringen att det inte finns tillräckliga skäl att göra en annan bedömning av hur det grund- läggande regelverket bör utformas när det gäller Transportstyrelsens verksamhet på vägtrafikområdet. Regeringen föreslår därför inte heller i vägtrafikdatalagen något särskilt ändamål som avser intern kontroll, utvärdering, uppföljning och planering av Transportstyrelsens egen verk- samhet. I de följande avsnitten diskuteras vilka de primära respektive sekundära ändamålen för behandling av personuppgifter i Transportstyrelsens verk- samhet på vägtrafikområdet bör vara. 7.9.1Behandling av personuppgifter i Transportstyrelsens verksamhet Regeringens förslag: Personuppgifter ska få behandlas i Transport- styrelsens verksamhet som rör fordon om det är nödvändigt för att hantera frågor om –fordons registrering eller användning eller därmed sammanhängande frågor, –typgodkännande eller enskilt godkännande, –huruvida ett fordon och dess utrustning är tillförlitligt från säkerhets- synpunkt och i övrigt lämpligt för trafik, eller