prop · H803124 · 2021-03-11 00:00:00 — Dataskyddsförordningen syftar till att upprätthålla en hög och enhetlig skyddsnivå för personuppgifter utan att hindra flödet av sådana uppgifter inom unionen. Förordningen är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör kompletterande bestämmelser i nationell rätt. 5.2 Offentlighet och sekretess Allmänt om offentlighet och sekretess Offentlighets- och sekretesslagen (2009:400), förkortad OSL, innehåller bestämmelser om myndigheters och vissa andra organs hantering av allmänna handlingar. Lagen innehåller vidare bestämmelser om tystnadsplikt i det allmännas verksamhet och om förbud att lämna ut allmänna handlingar. I fråga om lagens tillämpningsområde anges i 2 kap. 1 § OSL att förbud att röja eller utnyttja en uppgift enligt den lagen eller enligt lag eller förordning som OSL hänvisar till gäller för myndigheter. Enligt 2 kap. 4 § OSL ska vissa organ som anges i bilagan till OSL jämställas med myndigheter vid tillämpningen av den lagen. När det gäller enskild verksamhet i övrigt kan det finnas särskilda bestämmelser om tystnadsplikt i andra författningar. Bestämmelser om tystnadsplikt finns t.ex. för anställda inom den privata hälso- och sjukvården. Sekretess gäller inte bara i förhållande till enskilda utan också mellan myndigheter (8 kap. 1 § OSL). I vissa fall finns det dock behov av att kunna bryta sekretessen, t.ex. om myndigheter behöver utbyta uppgifter för att kunna utföra sina uppdrag. Sekretessregleringen innehåller därför särskilda sekretessbrytande bestämmelser. Enligt 10 kap. 28 § OSL hindrar inte sekretess att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. Enligt 24 kap. 8 § första stycket OSL gäller sekretess i sådan särskild verk- samhet hos en myndighet som avser framställning av statistik för uppgift om en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Med särskild verksamhet som avser fram- ställning av statistik menas statistikframställning utan anknytning till något särskilt ärende. Vidare ska verksamheten vara skild från annan verksamhet hos myndigheten, t.ex. genom att vara organiserad som en 2020/21:124 egen enhet eller liknande. Sekretess gäller för uppgifter som avser enskilds personliga eller ekonomiska förhållanden. Härigenom skyddas inte bara sådana uppgifter som innehåller identitetsbeteckningar som namn eller personnummer utan även uppgifter som över huvud taget – direkt eller indirekt – kan hänföras till en viss enskild. Enligt huvudregeln är sekretessen absolut, vilket innebär att uppgifterna ska hemlighållas utan någon prövning av om ett utlämnande medför någon risk för skada eller men. I tredje stycket finns undantag som anger när uppgifter som omfattas av statistiksekretess ändå kan lämnas ut. En uppgift som behövs för forsknings- eller statistikändamål och en uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde får lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Detsamma gäller en uppgift som avser en avliden och som rör dödsorsak eller dödsdatum, om uppgiften behövs i ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen (2008:355). 6En ny lag om Transportstyrelsens olycksdatabas 6.1En ny lag införs Regeringens förslag: En ny lag om behandling av personuppgifter i Transportstyrelsens databas över olyckor och personskador i trafiken ska införas. Promemorians förslag överensstämmer i sak med regeringens. I promemorian föreslås att bestämmelser om att Transportstyrelsen för trafiksäkerhetsändamål ska föra en databas över olyckor inom transportområdet förs in såväl i den föreslagna lagen som i Transportstyrelsens instruktion. Remissinstanserna: Remissinstanserna, utom , tillstyrker eller har ingen invändning mot förslaget att reglera behandlingen av personuppgifter i databasen genom en ny lag och förslaget att databasen förs av Transportstyrelsen. anser att det vore bättre med en samlad bild över samtliga skador genom försorg. påpekar att en proportionalitetsbedömning måste göras i det fortsatta lagstiftningsarbetet. , som getts tillfälle att yttra sig över ett utkast till lagrådsremiss, avstyrker förslaget mot bakgrund av bristen på integritetsanalyser och på grund av ofullständig och oklar reglering då behandlingen utgör ett sådant betydande integritetsintrång som avses i 2 kap. 6 § regeringsformen. Skälen för regeringens förslag I Strada samlas uppgifter om trafikolyckor och om de personskador som olyckan har lett till. Den behandling av personuppgifter som utförs i Strada har sedan databasen inrättades skett med stöd av personuppgiftslagen (1998:204) och av EU:s dataskyddsförordning. Sedan inrättandet har databasen varit föremål för flera utredningar. Framför allt har frågan om en författningsreglering av personuppgiftsbehandlingen i Strada varit aktuell. Denna fråga behandlas i betänkandena Fordonslag m.m. (SOU 2001:29), Transportinspektionen – Ansvarslag för vägtrafiken m.m. (SOU 2008:44) och Olycksregister och djupstudier på transportområdet (SOU 2014:24). Bakgrunden har främst varit att det rättsliga stödet för hanteringen av känsliga personuppgifter i Strada har ansetts oklart. Även frågan om huruvida sjukvårdens rapportering borde säkerställas genom en lagstadgad rapporteringsskyldighet har lyfts fram liksom hur Strada ska göras till ett bättre och mer användbart verktyg i trafiksäkerhetsarbetet. Samtliga utredningar gör bedömningen att Strada bör författningsregleras. En särskild lag införs Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Beträffande begreppet kartläggning anges följande i förarbetena till bestämmelsen (prop. 2009/10:80 s. 180). En åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, exempelvis insamling av uppgifter av visst slag för beslut om t.ex. beskattning eller liknande, kan – även om avsikten inte är att kartlägga enskilda – i många fall anses innebära kartläggning av enskildas förhållanden. Så torde fallet vara i fråga om ett stort antal uppgiftssamlingar som det allmänna förfogar över. Integritetsskyddet enligt 2 kap. 6 § regeringsformen är dock inte absolut utan kan under vissa förutsättningar begränsas genom lag (se 20 § regeringsformen). Mot bakgrund av att insamling av uppgifter till Strada har skett under förhållandevis och avser ett stort antal olyckor innehåller databasen uppgifter om en betydande del av befolkningen. innehåller uppgifter om själva olyckan och dess händelseförlopp. finns uppgifter om den som varit inblandad i olyckan, om de personskador som uppstått och, i förekommande fall, om det finns misstanke om påverkan från alkohol eller andra ämnen. huvudsakligen från och från sjukvården. Frågan är då om det intrång i den personliga integriteten som behandlingen kan innebära är betydande. Bestämmelsen i 2 kap. 6 § andra stycket regeringsformen är avsedd att endast omfatta vissa kvalificerade intrång i den personliga integriteten. Vid bedömningen av hur ingripande intrånget kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det naturligt att stor vikt läggs vid uppgifternas karaktär och ändamålet med behandlingen. Därutöver kan mängden uppgifter vara en betydelsefull faktor i sammanhanget. utlämnandet av uppgifter till andra som sker utan stöd av offentlighetsprincipen kan vara av betydelse. Det kan också beaktas på vilket sätt och för vilka syften mottagaren av uppgifterna hanterar utlämnande uppgifter (jfr prop. 2009/10:80 s. 175 f.). Uppgifter om de personskador som en trafikolycka lett till är till sin Också uppgifter om misstänkt alkohol- påverkan kan anses vara integritetskänsliga även om de inte behandlas som Uppgifterna i Strada används inte bara av Transportstyrelsen utan också av andra myndigheter och privata aktörer som forskare och intresseorganisationer. Uppgifterna lämnas i många fall ut genom direktåtkomst. Uppgifternas karaktär och det omfattande utlämnandet av uppgifterna talar för att behandlingen innebär ett betydande intrång i den personliga integriteten. Det ska dock beaktas att det rör sig om en förhållandevis avgränsad mängd uppgifter om en enskild registrerad, även om antalet registrerade är stort. Det är fråga om uppgifter som hänför sig till en viss isolerad händelse. anknytning till olyckan samlas in. Utifrån uppgifterna går det inte att få någon mer ingående bild av den enskildes personliga förhållanden. andra uppgifter om hälsa än den skada som har inträffat till följd av olyckan samlas inte in. Det är alltså inte fråga om någon omfattande samling av känsliga uppgifter som avser en enskild registrerad. även läggas vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan normalt anses vara mer känslig än en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Även uppgiftssamlingar som används som underlag för att fatta beslut som direkt rör den enskilde kan uppfattas som Uppgifterna i Strada används för att följa trafiksäkerhets- utvecklingen och för att bedriva trafiksäkerhetsarbete i syfte att uppnå målsättningen om att ingen ska dödas eller allvarligt skadas i trafiken. Uppgifterna används varken hos Transportstyrelsen eller hos andra aktörer i ärendehandläggning som rör den enskilde eller för att vidta någon åtgärd mot honom eller henne. De uppgifter som finns i Strada pseudonymiseras av Transportstyrelsen, dvs. de behandlas så att uppgifterna inte direkt kan kopplas till en enskild registrerad. Det innebär att de som använder uppgifterna i Strada som huvudregel inte har möjlighet att avgöra vem uppgifterna hänför sig till. Uppgifterna avkodas av Transportstyrelsen endast i vissa undantagsfall, t.ex. om det är nödvändigt för ett visst Mot denna bakgrund anser regeringen vid en samman- vägd bedömning, till skillnad från , att behandlingen visserligen kan sägas utgöra ett intrång i den enskildes personliga integritet, men inte ett så betydande intrång att grundlags- skyddet i 2 kap. 6 § andra stycket regeringsformen blir tillämpligt. I svensk rätt har det länge varit en ambition att särskilt integritetskänslig registerföring ska regleras i lag, främst därför att en sådan normgivnings- nivå säkerställer att det görs en grundlig utredning och en ingående avvägning mellan integritetsintresset och de intressen som talar för registerföringen, se t.ex. betänkandet Myndighetsdatalag (SOU 2015:39 s. 94). Lagreglering bidrar även till stabilitet och långsiktig förutsebarhet. I tidigare lagstiftningsarbeten finns principiella ställningstaganden om att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i lag 1990/91:60 s. 58 och prop. 1997/98:44 s. 41). Även om regeringen gör bedömningen att behandlingen i Strada sammantaget inte innebär något betydande intrång i den personliga integriteten, innehåller databasen uppgifter av integritetskänslig natur som rör ett stort antal individer. denna bakgrund anser regeringen att behandlingen av personuppgifter i databasen bör regleras i lag. Lagen bör fastställa de rättsliga ramarna för personuppgiftsbehandlingen och innehålla bestämmelser som ger ett grundläggande skydd för den enskildes personliga integritet men bör i övrigt kompletteras med föreskrifter på lägre normgivningsnivå. För att skapa en sammanhållen reglering som ger överblick över den personuppgiftsbehandling som sker föreslås även att lagen ska innehålla bestämmelser om skyldigheter för andra aktörer att rapportera uppgifter Genom att samla bestämmelser om behandling av person- uppgifter i databasen och skyldigheten att rapportera in uppgifter till databasen i en lag ökar förutsägbarheten och tydligheten för Transport- styrelsen, de inrapporterande aktörerna och den enskilda registrerade. Strada ska föras av Transportstyrelsen I promemorian föreslås att Transportstyrelsen för trafiksäkerhetsändamål ska föra en databas över olyckor inom transportområdet. nämnts har Transportstyrelsen ansvarat för Strada- anser att det vore bättre med en samlad bild över samtliga skador och att ett register med sådant innehåll kunde hållas av . Regeringen konstaterar att de register som förs av varken förs för trafiksäkerhetsändamål eller samlar alla de uppgifter som Strada innehåller, t.ex. i fråga om platsen och händelseförloppet för en olycka, vilka väg- och väderförhållanden som rådde för olyckan eller om det funnits skyddsutrustning. Genom Strada har trafiksäkerhetsarbetet effektiviserats, då uppgifter såväl om en olycka som om de personskador som följt på den samlas på ett och Att fortsätta arbetet med att förvalta och utveckla Strada bedöms vara mer kostnadseffektivt än att söka andra lösningar för att få tillgång till motsvarande information. Transportstyrelsen även i fortsättningen bör vara huvudman för Strada och ha uppgiften att föra Strada. Detta uppdrag kan dock komma till uttryck på lägre normgivningsnivå än lag, t.ex. i förordningen (2008:1300) med instruktion för Transportstyrelsen. Rättslig grund för behandlingen av personuppgifter All behandling av personuppgifter måste ha stöd i någon av de rättsliga grunder som anges i artikel 6 i EU:s dataskyddsförordning. är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som den personuppgiftsansvarige har (artikel 6.1 c). En annan är att behandlingen behövs för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). De rättsliga grunderna är i viss mån överlappande. kan därför vara tillämpliga på en och samma behandling. Enligt artikel 6.3 i EU:s dataskyddsförordning ska en uppgift av allmänt intresse eller en rättslig förpliktelse fastställas i unionsrätten 2020/21:124 nationella rätten för att kunna läggas till grund för personuppgiftsbehandlingen. Kravet på att den grund för behandling som avses i artikel 6.1 c och e ska vara fastställd i enlighet med unionsrätten eller den nationella rätten innebär inte ett krav på att själva behandlingen av personuppgifter måste regleras. Det är i stället den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen som ska ha stöd i rättsordningen. Den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen är enligt regeringen fastställd i enlighet med svensk rätt, om den följer av författning eller beslut som har meddelats i enlighet med regeringsformens bestämmelser (prop. 2017/18:105 s. 48 f.). När det gäller sådan behandling som avses i artikel 6.1 c, dvs. ling som är nödvändig för att fullgöra en rättslig förpliktelse, kan förpliktelser regleras direkt i lag, förordningar eller andra föreskrifter eller fastställas i domar eller myndighetsbeslut som meddelats med stöd av lag eller andra föreskrifter. Även en myndighets uppdrag enligt en förordning med myndighetsinstruktion eller ett regleringsbrev kan i vissa fall utgöra en i enlighet med nationell rätt fastställd rättslig förpliktelse i dataskydds- förordningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst I normalfallet torde dock myndighetens uppdrag i första hand utgöra en rättslig grund med stöd av artikel 6.1 e i dataskydds- förordningen, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse (prop. 2017/18:105 s. 53 f.). I fråga om begreppet uppgift av allmänt intresse kan det rent språkligt antas avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse eller ett enskilt intresse. Vidare är alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra av allmänt intresse, annars skulle myndigheterna inte ha fått i uppgift att utföra dem. Sammanfattningsvis är den rättsliga grunden i artikel 6.1 e den som vanligen tillämpas av myndigheter. Även andra rättsliga grunder kan vara tillämpliga i vissa situationer (prop. 2017/18:105 s. 55–57). Strada har tillkommit till följd av ett regeringsbeslut. skulle uppgifter om olyckor och skador samlas för att stödja trafiksäker- hetsarbetet på central, regional och lokal nivå. syftar, i enlighet med de transportpolitiska målen, till att transportsystemets utformning, funktion och användning ska anpassas till att ingen ska dödas eller skadas allvarligt. Behandling för detta ändamål är enligt regeringens mening en uppgift av allmänt intresse enligt artikel 6.1 e i EU:s dataskyddsförordning. Uppgiften är genom regeringsbeslutet fastställd i rättsordningen. För att uppgiften att minska antalet dödade och allvarligt skadade ska uppnås krävs att det finns information om var, när och på vilket sätt olyckor med sådan utgång har inträffat, så att åtgärder kan vidtas för att förhindra detta . Det kräver i sin tur att uppgifter om olyckan behandlas, inbegripet uppgifter om skadade och Behandlingen är alltså nödvändig för att uppnå målet av allmänt intresse, och kraven i artikel 6.3 i EU:s dataskyddsförordning är Regeringsbeslutet innebär vidare att Transportstyrelsen har i uppdrag att föra databasen. personuppgifter i Strada får därmed även anses utgöra en sådan rättslig förpliktelse som avses i artikel 6.1 c i EU:s dataskyddsförordning. bakgrund av att syftet med behandlingen – att stödja trafiksäkerhetsarbetet på central, regional och lokal nivå – framgår av regeringsbeslutet, är kravet Prop. 2020/21:124 i artikel 6.3 i förordningen uppfyllt även i detta avseende. Transportstyrelsens uppgifter framgår bl.a. av förordningen (2008:1300) med instruktion för Transportstyrelsen. Enligt förordningen ska myndigheten verka för att de transportpolitiska målen uppnås och verksamheten särskilt inriktas på att bidra till ett internationellt konkurrenskraftigt, miljöanpassat och säkert transportsystem. Vidare framgår att Transportstyrelsen får vidta åtgärder i syfte att nå det transportpolitiska hänsynsmålet om säkerhet. Som framgår ovan avser regeringen också att i författning fastställa uppgiften för Transportstyrelsen att föra Strada. Detta kan t.ex. ske i myndighetens instruktion. Bland annat uppgifter om hälsa kommer att behandlas i databasen. När det gäller behandling av sådana uppgifter finns ytterligare villkor för s.k. känsliga personuppgifter i artikel 9 i dataskyddsförordningen. Regeringen återkommer i avsnitt 6.9 till frågan om behandling av känsliga personuppgifter. Regleringen ska stå i proportion till det eftersträvade syftet När nationell lagstiftning som kompletterar dataskyddsförordningen införs måste en proportionalitetsbedömning göras (artikel 6.3 andra stycket i EU:s dataskyddsförordning). Det finns även ett krav på proportionalitetsbedömning när undantag från förbudet mot behandling av känsliga personuppgifter görs enligt artikel och j. efterfrågar i det fortsatta lagstiftningsarbetet en sådan proportionalitetsbedömning och anser att det behöver förtydligas vilka personuppgifter som behandlas, det intrång det innebär för de enskilda och vilka kompensatoriska åtgärder som vidtas för att minska intrånget. Inledningsvis kan det konstateras att Transportstyrelsen enligt ett regeringsbeslut har en skyldighet att registrera uppgifter om skador och olyckor inom vägtransportsystemet i syfte att stödja trafiksäkerhetsarbetet på central, regional och lokal nivå. När det gäller vilka uppgifter som behandlas i Strada framgår av avsnitt 4.3 att uppgifterna huvudsakligen erhålls genom rapportering från dels , dels vårdgivare. De uppgifter som rapporterar till Strada avser i huvudsak uppgifter om själva olyckan. Det rör sig bl.a. om uppgifter om typ av olycka, tid och plats, väglag, ljus- och väderförhållanden, hastighetsbegränsningar och andra trafikregleringar samt fordon och trafikanter som varit inblandade. Vidare finns en beskrivning av själva händelseförloppet vid olyckan och uppgifter om huruvida personskada eller dödsfall har inträffat. anger i förekommande fall också om det finns misstanke om påverkan av alkohol eller andra substanser. De sjukvårdsrapporterade uppgifterna innehåller uppgifter om de personskador som har följt på en olycka. Skadorna anges i form av en kod som utvisar vilken typ av skada det rör sig om, var på kroppen skadan finns och allvarlighetsgraden av skadan. Även vissa uppgifter om själva olyckan rapporteras. Dessa uppgifter inhämtas från patienten genom att denne fyller i en s.k. trafikskadejournal. När uppgifterna från och vårdgivare inkommit till Transportstyrelsen kompletteras de med vissa uppgifter från körkorts- och fordonsregistret, t.ex. vilken behörighet en förare har och vilken typ av fordon som varit 2020/21:124 inblandat i olyckan. Vidare kompletteras uppgifterna med viss information från vägdatabas och med kartinformation från Lantmäteriet. Sammanfattningsvis innehåller databasen uppgifter som är att betrakta som personuppgifter men också andra uppgifter – t.ex. en beskrivning av platsen för olyckan, uppgifter om väg- och väderleksförhållanden, trafikregler och fordon m.m. – som inte utgör personuppgifter enligt EU:s Regeringen återkommer i avsnitt 6.8 till frågan om vilka uppgifter som får behandlas i databasen. Syftet med Strada är utgöra ett kunskapsunderlag om de olyckor som inträffar i transportsystemet och vilka personskador olyckorna medfört. Uppgifterna behövs för att kunna sprida kunskapen till de olika aktörer i samhället som arbetar med trafiksäkerhet och för att förhindra att trafikrelaterad ohälsa uppstår. Användning av uppgifterna sker inte enbart för att förhindra att olyckor över huvud taget uppstår utan också för att uppnå det transportpolitiska hänsynsmålet om säkerhet, dvs. att de olyckor som ändå sker leder till att människor dör eller skadas används uppgifter från Strada genomgående i trafiksäkerhetsrelaterat planerings- och uppföljningsarbete hos de myndigheter som har uppdrag på området. Enligt den officiella statistiken dödades 524 personer i trafiken i och skadades 4 664 svårt. hade detta sjunkit till 221 döda och 1 951 svårt Även risken för medicinsk invaliditet, dvs. risken att få en permanent hälsoförlust, till följd av en trafikolycka har Strada har utgjort en mycket viktig kunskapskälla för det arbete som utförts på detta område. uppgifterna i Strada innebär bl.a. att åtgärder kan sättas in inte bara för att förhindra att människor dödas och skadas till följd av olyckor med motorfordon utan också för att förhindra dödsfall och skador i gruppen Mot bakgrund av att uppgifterna på olika sätt används för att bl.a. utforma infrastruktur, regelverk och skyddsutrustning för att förhindra att personskador uppstår i transportsystemet och minska skadornas allvarlighetsgrad finns det ett starkt allmänintresse av att behandla de aktuella uppgifterna i databasen. Mot den nu beskrivna nyttan ska ställas de risker för intrång i den personliga integriteten som finns med den aktuella behandlingen. framgår ovan inhämtas de uppgifter som finns i Strada i stor utsträckning från och vårdgivare. Det uppgiftslämnande som sker från vårdgivare baseras på samtycke från patienten. föreslås att vårdgivares rapportering i stället ska bygga på en Det innebär att vårdgivarna inte längre kommer att behöva inhämta samtycke från patienten för att lämna uppgifter vidare till databasen. Regeringen återkommer i avsnitt 6.10.1 och 6.10.2 till vilka överväganden som görs i detta avseende. används vidare av flera andra aktörer än Transportstyrelsen. innebär sammantaget att en relativt omfattande personuppgiftsbehandling sker och att uppgifterna behandlas i flera led. också känsliga personuppgifter i form av uppgifter om sådana