prop · H60333 · 2019-01-07 00:00:00 — Av 10 kap. 28 § OSL framgår att sekretess inte hindrar att en uppgift lämnas till en myndighet, om uppgiftsskyldighet följer av lag eller förordning. Vidare finns det ett antal författningar med bestämmelser som medför att uppgifter får lämnas ut. Bestämmelserna innebär således inte, som de ovan beskrivna, en uppgiftsskyldighet, utan enbart att utlämnande är tillåtet. Ett exempel på en sådan bestämmelse är 10 kap. 15 § OSL. I bestämmelsen anges att sekretess inte hindrar att uppgift lämnas till regeringen eller . Vidare finns i 10 kap. 27 § samma lag en generalklausul som innebär att en sekretessbelagd uppgift får lämnas till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Myndigheter lämnar inte enbart ut uppgifter för att tillgodose andras behov. En myndighet kan även lämna ut uppgifter på eget initiativ, till exempel för att kunna utföra en uppgift i den egna verksamheten. Det kan till exempel ske med stöd av 10 kap. 2 § OSL, som anger att sekretess inte hindrar att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Begreppet uppgifter av allmänt intresse omfattar inte bara uppgifter som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. I förordningen med instruktion för Transportstyrelsen har styrelsen getts befogenhet att bedriva viss uppdragsverksamhet. Transportstyrelsen får enligt 9 § sälja uppgifter som avser fordons- registreringen och enligt 12 b § inom sitt verksamhetsområde samverka 2018/19:33 med, lämna bistånd till och i övrigt bedriva uppdragsverksamhet gentemot utländska myndigheter och organisationer i frågor som främst rör regelutveckling och certifiering. Även denna typ av verksamhet är motiverad av ett allmänt intresse. Uppgifter som avser den registrerades personliga förhållanden får dock inte säljas, om de kan antas utgöra ett hot mot dennes personliga integritet. Även Transportstyrelsens behandling av personuppgifter i syfte att lämna ut uppgifter från vägtrafikregistret har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler. Nödvändig behandling av personuppgifter kan därmed ske med stöd av artikel 6.1 c eller e i dataskyddsförordningen. Däremot bör det enligt regeringen av tydlighetsskäl införas särskilda ändamål även för Transport- styrelsens behandling av personuppgifter för uppgiftslämnande. Sådana bestämmelser föreslås i avsnitt 7.9–13. När bestämmelser om uppgiftslämnande har införts i lagstiftningen får det förutsättas att det gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, där man funnit att uppgiften ska eller får lämnas ut. Kravet på konsekvensbedömningar i vissa fall Enligt dataskyddsförordningen ska den personuppgiftsansvarige i vissa fall göra en bedömning av den planerade personuppgiftsbehandlingens konsekvenser för skyddet av personuppgifter (artikel 35). Konsekvens- bedömningen ska enligt förordningen göras om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. En konsekvensbedömning behöver dock i regel inte göras vid behandling som sker med stöd av artikel 6.1 c eller 6.1 e (rättslig förpliktelse, allmänt intresse och myndighets- utövning), om en konsekvensbedömning redan har gjorts vid antagandet av den reglering som utgör den rättsliga grunden för behandlingen (artikel 35.10). I enlighet med de riktlinjer som antagits av den s.k. artikel 29- gruppen är kravet på konsekvensbedömning dessutom primärt tillämpligt på sådana behandlingssituationer som initierats efter det att dataskydds- förordningen började tillämpas och på befintliga behandlingar där riskerna av något skäl har ändrats (Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, WP 248 rev.01). Datainspektionen anser att man i lagstiftningsarbetet bör ta ställning till om en konsekvensbedömning enligt artikel 35 krävs och om det i så fall räcker att den genomförs som ett led i lagstiftningsarbetet. Regeringen kan konstatera att de behandlingar av personuppgifter som regleras i LVTR redan har varit föremål för konsekvensbedömningar vid antagandet av lagen och de övriga författningar som utgör rättslig grund för behandlingen. Vid dessa konsekvensbedömningar finns bland annat överväganden om behand- lingarnas proportionalitet i förhållande till det integritetsintrång som behandlingarna kan innebära. Bedömningen är att integritetsriskerna med behandlingarna av personuppgifter inte på något avgörande sätt har förändrats i och med den nya vägtrafikdatalagen och att det därför inte behövs några nya konsekvensbedömningar enligt artikel 35 i dataskydds- Prop. 2018/19:33 förordningen. Regeringens förslag: Transportstyrelsen ska vara personuppgifts- ansvarig för den behandling av personuppgifter som sker inom ramen för myndighetens verksamhet. Motsvarande ansvar ska gälla vid behandling av uppgifter om juridiska personer och avlidna. En upplysningsbestämmelse ska införas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om Regeringens bedömning: När andra aktörer för in personuppgifter i vägtrafikregistret så är de personuppgiftsbiträden enligt EU:s data- Utredningens förslag: Överensstämmer med regeringens. gör ingen bedömning som motsvarar regeringens. Remissinstanserna: Datainspektionen delar utredningens uppfattning att Transportstyrelsen bör vara personuppgiftsansvarig för den behandling av personuppgifter som sker i databaserna, även när en annan myndighet för in uppgifter i systemet, men förordar den formulering av bestämmelsen som nu föreslås i stället för den som utredningen föreslagit. Förslagen och bedömningen i utkastet till lagrådsremiss: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det bör analyseras ytterligare om andra aktörer som för in uppgifter i vägtrafikregistret ska anses vara personuppgiftsbiträden, i syfte att inte skapa oavsiktliga svårigheter för inblandade aktörer. Skälen för regeringens förslag och bedömning: Dataskyddsförord- ningen förutsätter att det finns en personuppgiftsansvarig för all personuppgiftsbehandling som sker. Enligt artikel 4 i dataskyddsförord- ningen är personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan också den personuppgiftsansvarige, eller de särskilda kriterierna för hur denne ska utses, föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Av 7 § LVTR framgår att Transportstyrelsen för trafikregistret och är personuppgiftsansvarig för registret enligt PUL. I enlighet med detta svarar Transportstyrelsen för att föra in merparten av personuppgifterna i Även andra aktörer kan dock vara ansvariga för att föra in personuppgifter i registret. Exempelvis ligger ansvaret för att föra in vissa uppgifter om parkeringsanmärkningar på och om provverksamhet på (2 kap. 2 § FVTR). ordning är Transportstyrelsen personuppgiftsansvarig även för den behandling av personuppgifter som utförs av dessa myndigheter. Dataskyddsförordningen ger alltså utrymme för en nationell reglering av Som huvudregel bör gälla att den som utför själva behandlingen av personuppgifter också ska ha personuppgiftsansvaret. Den behandling av personuppgifter i vägtrafikregistret som utförs av andra myndigheter än Transportstyrelsen utgör en väldigt liten del av den totala Det är vidare Transportstyrelsen som är tekniskt ansvarig för det datasystem som används för att föra in personuppgifter i Datainspektionen har uppgett att ansvar för den behandling av personuppgifter som Transportstyrelsen utför inte torde utesluta ansvar för behandling av personuppgifter som andra myndigheter för in i systemet, eftersom även lagring av personuppgifter anses vara en behandling av personuppgifter. För den enskilde underlättar det om personuppgiftsansvaret är samlat hos en myndighet och det har inte framkommit annat än att nuvarande ordning fungerar väl. bakgrunden anser regeringen att det inte finns skäl att ändra personuppgiftsansvaret för behandlingen av personuppgifter på Som Lagrådet har anfört bör det dock av lagtexten tydligt framgå att Transportstyrelsen även ansvarar för behandling av personuppgifter som faktiskt utförs av någon annan aktör. Lagrådets förslag bör det därför anges att Transportstyrelsen är person- uppgiftsansvarig för den behandling av personuppgifter som sker inom ramen för myndighetens verksamhet. Med uppgiften som personuppgiftsansvarig följer vissa skyldigheter direkt enligt dataskyddsförordningen. Bland annat ska den personupp- giftsansvarige se till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt (artikel 5.2), att oriktiga personuppgifter rättas (artikel 16) och att den registrerade ersätts för skada som en rättsstridig medfört (artikel 82). bestämmelser om den personuppgiftsansvariges skyldigheter i samband med behandling av personuppgifter finns i kapitel IV i dataskydds- Bland annat regleras hur säkerheten i samband med behandlingen av personuppgifter ska garanteras. Eftersom regeringen anser att Transportstyrelsen ensam bör vara personuppgiftsansvarig, bör och anses behandla personuppgifter för Transportstyrelsens räkning när de för in personuppgifter i vägtrafikregistret och därmed, enligt artikel 4.8 i artikel 28.3 i dataskyddsförordningen framgår att det ska finnas ett biträdesavtal eller en rättsakt som reglerar biträdets hantering av I författningen eller avtalet ska anges bl.a. föremålet för behandlingen, behandlingens varaktighet och typen av personuppgifter. Vidare innehåller artikeln en relativt ingående uppräkning av vad som särskilt ska föreskrivas. Som angetts ovan framgår det av FVTR i vilka delar av vägtrafikregistret som och får föra in uppgifter och även vilken typ av uppgifter det gäller. att det även fortsättningsvis är lämpligt att huvudsakligen reglera personuppgiftsbiträdenas hantering av personuppgifter i författning. bestämmelser införs lämpligen i förordning, medan andra bestämmelser om biträdenas hantering bäst regleras av den personuppgiftsansvarige, Transportstyrelsen, som närmast känner till sin egen verksamhet. upplysningsbestämmelse om att regeringen kan meddela sådana bör därför tas in i motsvarande ordning gäller enligt dagens reglering anser inte regeringen . 2018/19:33 att det, som Datainspektionen varit inne på, finns skäl att befara att det genom denna ordning skapas oavsiktliga svårigheter för de inblandade. Dataskyddsförordningen gäller inte behandling av uppgifter om juridiska personer och avlidna. Vägtrafikdatalagen föreslås dock i vissa delar vara tillämplig även på behandling av sådana uppgifter (avsnitt 7.2). Dit hör bl.a. bestämmelser om innehåll, gallring och sökbegrepp. Transportstyrelsen bör därmed ha ett visst ansvar även för behandlingen av de uppgifterna. Ansvaret innebär motsvarande skyldigheter som personuppgiftsansvaret i fråga om de krav som lagen ställer på behandling av uppgifter om juridiska personer och avlidna. Av artikel 37.1 i dataskyddsförordningen framgår att Transportstyrelsen även är skyldig att utse ett dataskyddsombud. Dataskyddsombudet har bl.a. till uppgift att övervaka efterlevnaden av dataskyddsförordningen, jfr artikel 39. Personuppgifter som ska registreras Regeringens förslag: Transportstyrelsen ska för de primära ändamål som anges i lagen med hjälp av automatiserad behandling registrera Uppgiftssamlingen ska benämnas vägtrafikregistret. Det införs en upplysningsbestämmelse om att regeringen kan meddela föreskrifter om vilka personuppgifter som ska registreras och Utredningens förslag: Överensstämmer delvis med regeringens. Utredningen föreslår dock att uppgifter ska kunna registreras för samtliga ändamål, alltså även de sekundära, som anges i lagen. Remissinstanserna: Datainspektionen anser att innehållet i databaserna bör regleras uttömmande i förordning, eventuellt med en precisering i Förslagen i utkastet till lagrådsremiss: Överensstämmer med Remissinstanserna: Datainspektionen anser det inte tillräckligt med en upplysning om att de personuppgifter som ska registreras i vägtrafik- registret kommer att framgå i förordning, utan menar att lagen måste innehålla de skyddande ramarna för att säkerställa att behandlingen är Skälen för regeringens förslag: Ändamålsbestämmelserna ska styra över vilka personuppgifter som får samlas in och behandlas enligt I författningar är det vanligt att man delar upp ändamålen i primära och sekundära, se vidare avsnitt 7.7 under rubriken Generellt om ändamålsbestämmelsernas utformning. personuppgifter får endast ske med stöd av ett primärt ändamål. Dataskyddsförordningen ställer krav på att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålen med behandlingen (artikel 5.1 c). Detta innebär en såväl kvalitativ som kvantitativ begränsning i fråga om vilka personuppgifter som får All personuppgiftsbehandling som är nödvändig för ett visst ändamål får dock utföras. Med hänsyn till detta skulle ett alternativ vara att låta ändamålsbestämmelserna helt styra vilka personuppgifter som får samlas in och fortsättningsvis behandlas. En sådan ordning innebär att bedömningen av vilka personuppgifter som får behandlas skulle ankomma på den personuppgiftsansvariga myndigheten, dvs. Även om vägtrafikdatalagens ändamål föreslås vara relativt noggrant preciserade gör hänsynen till skyddet av den enskildes personliga integritet ändå att regeringen delar utredningens bedömning att det inte är lämpligt att helt överlåta åt Transportstyrelsen att bedöma vilka personuppgifter som får behandlas. En sådan ordning skulle även kunna innebära en risk för att en onödig mängd uppgifter registreras, vilket tynger systemet och gör det mindre överskådligt. Regeringen anser i stället att det bör regleras vilka personuppgifter som ska registreras. Att bestämmelserna om vilka personuppgifter som ska registreras även gäller för andra uppgifter än personuppgifter framgår av den föreslagna bestämmelsen i 1 kap. 3 §, jfr Som framgår av avsnitt 7.2 omfattar lagen all automatiserad behandling av personuppgifter, oavsett vilket datasystem eller register som används. Lagen omfattar därmed dels behandling av de enskilda personuppgifter som registreras i dagens vägtrafikregister, dels annan behandling av personuppgifter som förekommer i myndighetens verksamhet, t.ex. behandling av uppgifter i handlingar som har kommit in till eller upprättats av myndigheten och som behandlas i myndighetens ärendehanterings- Bestämmelsen i vägtrafikdatalagen om vilka personuppgifter som ska registreras bör dock enligt regeringens uppfattning endast avse de enstaka personuppgifter som ska registreras. I fråga om registrering av handlingar tillämpas i stället bestämmelserna i 5 kap. 1 § OSL, om registrering av allmänna handlingar som har kommit in till eller upprättats av en myndighet. Frågan är då på vilken normgivningsnivå enstaka personuppgifter ska regleras. Innehållet i vägtrafikregistret regleras genom en översiktlig uppräkning i 6 § LVTR av vilka uppgifter som ska förekomma i registret och en detaljerad uppräkning av uppgifterna i bilagorna till FVTR. utredningen har det framkommit att det finns stora praktiska tillämpningsproblem med denna författningstekniska lösning, eftersom lagen fortlöpande behöver revideras på grund av vägtrafikområdets Regeringen delar utredningens uppfattning att den nuvarande lösningen riskerar att försvåra en rationell behandling av personuppgifter i Transportstyrelsens verksamhet. personuppgifter faller inom tillämpningsområdet för 2 kap. 6 § andra stycket RF, måste dock den huvudsakliga regleringen ske i lag så att, som Datainspektionen påpekar, den innehåller de skyddande ramarna för att säkerställa att behandlingen av personuppgifter är proportionerlig. Enligt 2 kap. 6 § andra stycket RF är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. avgränsas alltså på ett sådant sätt att det enbart omfattar de mest ingripande intrången i den enskildes privata sfär. innehåller en mycket stor mängd uppgifter om enskildas personliga förhållanden. Flertalet personuppgifter används i Transportstyrelsens verksamhet för att fatta beslut i ärenden som den enskilde frivilligt själv har inlett, t.ex. en ansökan om körkortstillstånd eller tillstånd att bedriva taxitrafik. Den enskilde är således ofta medveten om och har samtyckt till den behandling av personuppgifter som sker, men behandling kan också ske utan den enskildes direkta vetskap. Som framgår av avsnitt 7.4 åberopas inte samtycke som rättslig grund för Transport- styrelsens behandling av personuppgifter. Den rättsliga grunden anges i stället vara att behandlingen av personuppgifter regelmässigt är av allmänt intresse och i stor utsträckning innefattar myndighetsutövning. I vissa fall kan behandlingen också vara nödvändig för att fullgöra en rättslig förpliktelse. Behandlingen av personuppgifter torde därmed ske utan samtycke i den bemärkelse som avses i 2 kap. 6 § andra stycket RF. Även om avsikten med insamlingen av personuppgifter inte är att kartlägga enskilda personer, utan att möjliggöra för Transportstyrelsen att handlägga ärenden och i övrigt uppfylla de krav som vägtrafiklag- stiftningen ställer på myndigheten, skulle en sådan kartläggning i praktiken ändå kunna anses bli följden av registreringen. Frågan är då om en sådan kartläggning ska anses utgöra ett betydande intrång i den enskildes personliga integritet som gör att grundlagsskyddet blir tillämpligt. Vid bedömningen av vad som kan anses utgöra ett betydande intrång har regeringen uttalat att flera omständigheter bör vägas in. Uppgifternas karaktär och omfattning utgör två faktorer att beakta. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Därutöver kan givetvis mängden uppgifter vara en betydelsefull faktor i sammanhanget. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan således normalt anses vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Även omfattningen av utlämnande av uppgifter till andra som sker utan stöd av offentlighetsprincipen kan vara av betydelse vid bedömningen. Regeringen har dock ansett att den närmare avgränsningen av grundlagsbestämmelsens tillämpningsområde inte bör påverkas av sekretesslagstiftningens utformning och uttalat att även andra omständigheter måste beaktas vid bedömningen av om föreskrifter omfattas av bestämmelsen. En sådan omständighet kan exempelvis vara på vilket sätt och för vilka syften en mottagare hanterar utlämnade uppgifter. Vad som utgör ett betydande integritetsintrång måste även bedömas utifrån de samhällsvärderingar som råder vid varje givet tillfälle (prop. 2009/10:80 s. 182 f.). Omfattningen av personuppgifter i vägtrafikregistret skulle kunna tala för att intrånget i den enskildes personliga integritet ska anses betydande. I motsatt riktning talar dock att ett syfte med registret är att ge tillgång till de registrerade uppgifterna, dvs. att säkerställa att vissa personuppgifter på vägtrafikområdet finns tillgängliga hos Transportstyrelsen för att kunna tillhandahållas olika aktörer som har behov av informationen. Även den omständigheten att flertalet personuppgifter används i Transportstyrelsens verksamhet för att fatta beslut i ärenden som den enskilde frivilligt själv har inlett, t.ex. en ansökan om körkortstillstånd, taxiförarlegitimation eller tillstånd att bedriva yrkesmässig trafik, talar mot att behandlingen av personuppgifter ska anses medföra ett betydande intrång i den enskildes Det stora flertalet personuppgifter i registret är inte av känslig karaktär och omfattas inte av sekretess. Drygt 11 700 användare har direktåtkomst till utpekade delar av dessa uppgifter. Enligt regeringens uppfattning kan behandlingen av dessa personuppgifter inte anses ha ett sådant skyddsvärde att den bör omfattas av grundlagsskyddet för den personliga De relativt få uppgifter som är av känslig karaktär är främst det som i registret benämns belastningsuppgifter, t.ex. domar och andra uppgifter om överträdelser, grund för återkallelse av körkort eller taxiförar- legitimation och anmälan från läkare att en registrerad person är olämplig att inneha körkort eller taxiförarlegitimation. Även uppgifter om passage av en betalstation eller en kontrollpunkt för trängselskatt eller infra- strukturavgift kan anses vara av känslig karaktär. omfattas av absolut sekretess enligt 35 kap. 4 § 3 OSL. sekretesskydd gäller enligt 27 kap. 1 § och 6 § andra stycket samma lag för uppgift om vilken betalstation eller kontrollpunkt en bil har passerat och tidpunkten för passagen. Direktåtkomst till dessa uppgifter kan därmed endast beviljas den enskilde själv eller myndigheter där motsvarande sekretesskydd gäller. Det kan alltså inte sägas finnas någon risk för extern spridning av uppgifterna. Ändamålet med behandlingen av belastningsuppgifterna är att Transportstyrelsen ska få underlag för att bedöma om en behörighet eller ett tillstånd ska återkallas eller om någon annan åtgärd bör vidtas. Som nämnts ovan har den registrerade frivilligt ansökt om behörigheten eller tillståndet och är väl medveten om att åtgärder kan vidtas vid exempelvis misskötsamhet. Med hänsyn till den skyltning och kameraövervakning som sker vid betalstationer och kontrollpunkter för trängselskatt eller infrastrukturavgift bör den enskilde även vara väl medveten om de passager som äger rum och den behandling av uppgifter som blir följden av den. Även om det rör sig om känsliga uppgifter bedömer regeringen mot den bakgrunden att behandlingen av uppgifterna inte medför ett betydande intrång i den enskildes personliga integritet i den bemärkelsen som avses i RF och som medför att den ska anses omfattas av grundlagsskyddet för den personliga integriteten. Sammanfattningsvis är alltså syftet med registret att ge tillgång till de registrerade uppgifterna, inte att kartlägga enskilda personer. uppgifter är inte av känslig karaktär och tillhandahålls en stor mängd De relativt sett få uppgifter som är av känslig karaktär är omgärdade av ett starkt sekretesskydd som gör att det inte kan sägas finnas någon risk för obehörig insyn och extern spridning av uppgifterna. Behandlingen av känsliga uppgifter har vidare sin grund i ett ursprungligen frivilligt agerande från den enskildes sida. Mot denna bakgrund anser regeringen sammantaget att registreringen m.m. av uppgifter i vägtrafikregistret visserligen utgör ett intrång i den enskildes personliga integritet, men inte ett så betydande intrång att grundlagsskyddet i 2 kap. 6 § andra stycket RF blir tillämpligt. Med hänsyn till den mycket stora mängd uppgifter som Transport- styrelsen ska samla in är det inte lämpligt att i lag precisera samtliga Vägtrafikdatalagen föreslås dock innehålla förhållandevis Genom att knyta registreringen av uppgifter till de i lagen särskilt angivna och förhållandevis utförligt Prop. 2018/19:33 preciserade primära ändamålen bedömer regeringen att lagen innehåller ett