prop · H803124 · 2021-03-11 00:00:00 — Bedömningen inbegriper den behandling som sker när rapporterar uppgifter till Strada. Att dataskyddsförordningen ska tillämpas när rapporterar till Strada innebär att det ska finnas en rättslig grund för den behandlingen enligt artikel 6.1 i EU:s dataskyddsförordning. En i författning fastslagen skyldighet att lämna uppgifter innebär att det finns en sådan rättslig förpliktelse som är fastställd i rättsordningen enligt artikel 6.1c och 6.3 i dataskyddsförordningen. rapportering innebär även viss behandling av känsliga personuppgifter. I likhet med vårdgivares rapportering får rapportering i detta avseende anses nödvändig av hänsyn till ett viktigt allmänt intresse enligt artikel i EU:s dataskyddsförordning. När det gäller de övriga krav som ska vara uppfyllda hänvisas till den bedömning som görs i avsnitt 6.10.2 i fråga om förenligheten av den där föreslagna uppgiftsskyldigheten med dataskyddsförordningen. Regeringen bedömer också att den aktuella behandlingen är proportionerlig. En sådan rapporteringsskyldighet för som är aktuell uppfyller därmed kraven enligt artikel 6.1c, 6.3 och i dataskyddsförordningen. Regeringens förslag: ska till databasen lämna uppgifter om en sådan olycka med fritidsfartyg som myndigheten fått kännedom om och som medfört personskada eller dödsfall. Promemorians förslag överensstämmer delvis med regeringens. promemorian föreslås att även ska rapportera olyckor med fritidsfartyg till databasen. I promemorian föreslås uppgiftsskyldigheten vidare vara begränsad till olyckor som medfört svår kroppsskada eller Remissinstanserna: har inget att invända mot förslaget men noterar att promemorian inte innehåller någon redovisning av hur inrapporteringen ska gå till i praktiken. verket bör omfattas av skyldigheten att rapportera olyckor till Strada. Skälen för regeringens förslag och har skyldighet att underrätta Trans- portstyrelsen om olyckor med fritidsfartyg enligt 21 § andra och tredje styckena förordningen om undersökning av olyckor. enligt förordningen underrätta Transportstyrelsen om sådana olyckor med ett fritidsfartyg som de fått kännedom om och där olyckan har medfört att någon har avlidit eller drabbats av svår kroppsskada. föreslås att bägge myndigheterna ska rapportera olyckor med fritidsfartyg uppgiftsskyldighet förs över till den nya lagen ifrågasätter om verket bör omfattas av skyldigheten att rapportera till Strada, bl.a. med hänsyn till att antalet olyckor som kan väntas få kännedom om torde vara litet och att verket vid sådana händelser ändå kontaktar och . Regeringen instämmer i att och har uppdrag som närmare ansluter till uppgiften att rapportera olyckor och att de olyckor som inträffar med fritidsfartyg därmed fångas upp av dessa Något behov av att även ska rapportera sådana uppgifter till Strada finns inte. De uppgifter som samlas in av i samband med en olycka kan i vissa fall omfattas av sekretess. i förordningen om undersökning av olyckor om skyldighet för att underrätta Transportstyrelsen om en olycka med fritidsfartyg utgör dock en sådan bestämmelse om uppgiftsskyldighet som enligt 10 kap. 28 § OSL bryter sekretess. Denna uppgiftsskyldighet bör i enlighet med den bedömning som görs i avsnitt 6.1 lyftas över till den nya Bestämmelsen bör utformas på samma sätt som den som föreslås Det bör alltså föras in en bestämmelse i den nya lagen om att till databasen ska lämna uppgifter om sådana olyckor med fritidsfartyg som myndigheten fått kännedom om och som medfört personskada eller dödsfall. Med anledning av Kustbevak- remissynpunkt om rapporteringen kan det nämnas att de 2020/21:124 föreskrifter som enligt avsnitt 6.10.5 kan meddelas i fråga om uppgiftsskyldigheten bl.a. kan behandla hur rapporteringen praktiskt ska ombesörjas. Av vad som framgår av förordningen (2019:84) med instruktion för har myndigheten till uppgift att bedriva sjöövervakning och utföra räddningstjänst till sjöss. Inom ramen för sjöövervakningen har myndigheten bl.a. till uppgift att självständigt ansvara för eller biträda en annan myndighet med brottsbekämpning och ordningshållning samt att utöva tillsyn över och kontroll av sjötrafiken. De uppgifter som samlas in av i samband med en sjötrafikolycka motsvarar i princip de uppgifter som samlar in enligt vad som beskrivs i avsnitt 6.10.3. När det gäller personuppgiftsbehandling gäller, i likhet med behandling, olika regelverk beroende på i vilket syfte behandlingen utförs. Det innebär att brottsdatalagen är tillämplig när behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Vid sådan behandling gäller även lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område (brottsdatalag). brottsdatalag har, för den behandling av personuppgifter som är aktuell, bestämmelser som motsvarar polisens brottsdatalag. Regeringen gör samma bedömning som den som redovisas i avsnitt 6.10.3 i fråga om när det gäller tillåtligheten av personuppgiftsbehandling vid insamling av uppgifter som rör olyckor med fritidsfartyg, i den utsträckning sådan behandling sker i brottsutredande syfte. När behandlar personuppgifter för andra syften än brottsbekämpning är EU:s dataskyddsförordning tillämplig. Särskilda bestämmelser om sådan personuppgiftsbehandling som omfattas av dataskyddsförordningens tillämpningsområde finns i kustbevakningsdatalagen (2019:429). Lagen gäller bl.a. vid behandling av personuppgifter i operativa verksamhet som rör sjöövervakning och räddningstjänst, när behandlingen inte omfattas av brottsdatalag. Enligt 7 § kustbevakningsdatalagen får personuppgifter behandlas om det är nödvändigt för att bedriva sjöövervakning för att övervaka den allmänna ordningen och säkerheten till sjöss samt bedriva den kontroll och tillsyn som är skyldig att utföra eller om det är nödvändigt för att bedriva räddningstjänst. Den insamling av personuppgifter som utför i samband med en olycka med fritidsfartyg sker för dessa ändamål. Enligt 12 § kustbevakningsdatalagen får, om uppgifter om en person behandlas, uppgiften kompletteras med känsliga personuppgifter om det är absolut nödvändigt för syftet med behandlingen. I likhet med vad som gäller vid av uppgifter kan sådana grundläggande uppgifter om huruvida olyckan lett till en allvarlig eller lindrig kroppsskada anses vara absolut nödvändig för de syften behandlar personuppgifterna för. Någon ytterligare reglering gällande personuppgiftsbehandling vid insamling av uppgifter Prop. 2020/21:124 bedöms inte vara nödvändig. rapportering av personuppgifter till Strada När det gäller rapportering av uppgifter till Strada gör regeringen i övrigt samma bedömning i fråga om förenligheten med dataskyddsregleringen som den som görs i fråga om (se avsnitt 6.10.3). Regeringens förslag: En upplysningsbestämmelse ska införas om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter om uppgiftsskyldigheterna. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: ifrågasätter om andra myndigheter än ska kunna utfärda föreskrifter som rör sjukvården och anser att Transportstyrelsen inte bör ges denna möjlighet. Skälen för regeringens förslag: Närmare bestämmelser om vårdgivares, och uppgiftsskyldigheter kan behöva meddelas. Sådana föreskrifter kan avse när och hur uppgiftslämnande ska ske. Föreskrifterna kan meddelas i form av verkställighetsföreskrifter. En bestämmelse som upplyser om detta bör tas in i lagen. Vilken myndighet som eventuellt ska kunna meddela föreskrifter av detta slag kan regleras i förordning. Regeringens förslag: Personuppgifter i databasen ska vara pseudo- Transportstyrelsen ska dock i ett enskilt fall få vidta åtgärder för att personuppgifter åter ska bli direkt hänförliga till enskilda registrerade, om det är absolut nödvändigt för – att säkerställa att uppgifter som myndigheten lämnar som underlag för officiell statistik är riktiga, – forskning som avser trafiksäkerhet, eller – att Transportstyrelsen ska kunna uppfylla sina skyldigheter som Promemorians förslag överensstämmer i huvudsak med regeringens. promemorian föreslås inte att åtgärder för att personuppgifter ska kunna tillskrivas enskilda registrerade ska få vidtas för att säkerställa riktigheten i underlag till officiell statistik. Remissinstanserna: anser att det utifrån vad som anges i promemorian inte är möjligt att bedöma om de åtgärder som beskrivs innebär att personuppgifterna är pseudonymiserade i enlighet med dataskyddsförordningens definition. myndigheten anser vidare att om begreppet införs i nationell rätt måste det 2020/21:124 noggrant analyseras vilka krav som uppställs enligt förordningen för att personuppgifter ska anses vara pseudonymiserade. ställer frågan om bestämmelsen i stället bör ange när personnummer eller samordningsnummer får behandlas i databasen och framhåller att så även är fallet i samband med att myndigheten ska tillhandahålla uppgifter till den officiella statistiken. Skälen för regeringens förslag: I EU:s dataskyddsförordning framhålls att det i vissa fall bör eller ska finnas skyddsåtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. i flera bestämmelser fram pseudonymisering som en sådan skyddsåtgärd. Enligt skäl 28 kan tillämpningen av pseudonymisering av personuppgifter minska riskerna för de registrerade som berörs och hjälpa personuppgifts- ansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga Med pseudonymisering avses enligt artikel 4.5 behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Pseudonymiserade uppgifter är inte nödvändigtvis detsamma som det som i EU:s dataskyddsförordning benämns anonym information. information är sådan information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller uppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller är identifierbar. uppgifter anses inte vara personuppgifter och omfattas inte av dataskydds- förordningens tillämpningsområde (jfr skäl 26 i EU:s dataskyddsförord- Pseudonymiserade uppgifter kan däremot alltjämt innehålla information som indirekt kan hänföras till en person. fortfarande personuppgifter, och dataskyddsbestämmelserna ska tillämpas vid behandling av dessa. EU:s dataskyddsförordning anger inte hur pseudonymisering ska Ett kodnyckelförfarande är ett sätt. Förfarandet leder till att det inte finns något samband mellan de identifierande uppgifterna och I stället väljs varje pseudonym som ett slumpvärde eller Kopplingen mellan de identifierande uppgifterna och pseudonymen sparas i en förteckning (kodnyckel). För att översätta mellan identifierande uppgifter och pseudonymer behövs denna kodnyckel. I samband med att uppgifterna inkommer till Transportstyrelsen tas personnummer och, i förekommande fall, registreringsnummer bort. stället förses uppgifterna med en beteckning som skapats genom Några andra uppgifter som direkt kan hänföras till den enskilde, såsom namn eller adress, förekommer inte i Strada. därför inte möjligt att endast med de uppgifter som finns i Strada identifiera en fysisk person. Med stöd av den beteckning som uppgifterna försetts med kan dessa, med bruk av kodnyckeln, åter kopplas till en viss Enbart Transportstyrelsen har tillgång till kodnyckeln, som förvaras separat från databasen och hanteras av behörig personal. uppgifterna i databasen får därmed anses vara pseudonymiserade i den bemärkelse som avses i EU:s dataskyddsförordning. Mot bakgrund av att den föreslagna lagen ska komplettera dataskyddsförordningen bör bestämmelserna i lagen använda sig av samma terminologi som den i dataskyddsförordningen. Det bör därför införas en bestämmelse i lagen om att personuppgifterna i databasen ska vara pseudonymiserade. I linje med vad framhåller innebär detta att Transportstyrelsen i egenskap av personuppgiftsansvarig måste säkerställa att inga uppgifter som direkt kan tillskrivas en specifik registrerad behandlas i databasen. Vid användning av uppgifter från Strada krävs oftast inte att den registrerade kan identifieras. I stor utsträckning är de pseudonymiserade uppgifterna tillräckliga för att kunna användas i det trafiksäkerhetsarbete som databasen syftar till att stödja. För att uppgifterna ska kunna användas som avsett finns det dock i vissa fall behov av att kunna identifiera den som finns registrerad i Strada. Sådant behov finns vid viss forskning, t.ex. sådan forskning som utförs med stöd av samtycke från eller medverkan av en enskild. För att möjliggöra en kontakt med personen i fråga behöver Transportstyrelsen genom användning av kodnyckeln ta fram personnummer för de registrerade som ska tillfrågas. Även vid forskning som har godkänts vid en etikprövning kan det finnas behov av att avkoda de pseudonymiserade uppgifterna i Strada. Uppgifter från Strada används även i forskning som inte avser fysiska personer utan t.ex. säkerhetsutrustning och teknisk utrustning i fordonet. I dessa fall kan fordonets registreringsnummer behövas. Transportstyrelsen framhåller i sitt remissvar att det även finns behov av att identifiera registrerade i samband med att myndigheten tillhandahåller uppgifter till officiell statistik. Som tidigare påpekats används uppgifterna i Strada som underlag för framställning av officiell statistik. Enligt lagen om officiell statistik ska vissa kvalitetskriterier tillämpas vid framställning av sådan statistik. För att uppnå kraven finns bl.a. behov av att säkerställa riktigheten i de uppgifter om antalet avlidna som rapporterats till Strada. Som framgår av promemorian sker detta genom att de aktuella uppgifterna i Strada kontrolleras mot uppgifter i andra register. Även för detta ändamål finns alltså behov för Transportstyrelsen att ta fram personnummer. Enligt bilagan till förordningen (2001:100) om den officiella statistiken är Trafikanalys statistikansvarig myndighet på området transporter. Det innebär att uppgifter från Strada, efter kvalitetskontroll, lämnas till Trafikanalys. Mot denna bakgrund delar regeringen uppfattningen att det bör finnas möjlighet för Transportstyrelsen att även för detta ändamål kunna vidta åtgärder för att åter kunna identifiera den som registrerats i Strada. Slutligen finns sådant behov även för att Transportstyrelsen ska kunna fullgöra sina skyldigheter enligt dataskyddsförordningen i fråga om den registrerades rättigheter (se avsnitt 6.13). I detta avseende kan det nämnas att artikel 11 innehåller bestämmelser om behandling som inte kräver identifiering. Enligt punkt 1 i artikeln finns ingen skyldighet för en personuppgiftsansvarig att bevara, förvärva eller annars behandla ytterligare information för att identifiera den registrerade endast i syfte att följa dataskyddsförordningen, om de ändamål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver att den registrerade identifieras. Som framgår ovan finns dock ett behov av att i vissa fall åter kunna identifiera den registrerade, vilket innebär att Transportstyrelsen måsta ha kvar den kodnyckel som gör detta möjligt. Bestämmelsen gäller således inte för Transportstyrelsens Strada- 2020/21:124 verksamhet. Det innebär i sin tur att Transportstyrelsen alltjämt ska följa de skyldigheter som myndigheten har i förhållande till den som är registrerad i Strada, t.ex. i fråga om dennes rätt att få registerutdrag eller få sina uppgifter rättade. För att detta ska vara möjligt behöver Transportstyrelsen använda kodnyckeln för att hitta den registrerades uppgifter. Av tydlighetsskäl bör det av lagtexten framgå att Transportstyrelsen även i sådant fall får vidta åtgärder för att kunna hänföra uppgifter i Strada till en viss person. Mot denna bakgrund bör det införas en bestämmelse i lagen som medger att Transportstyrelsen i vissa fall får vidta åtgärder för att personuppgifter i databasen åter ska kunna hänföras till enskilda registrerade. Som Lagrådet påpekar bör sådana åtgärder vidtas med restriktivitet och behovet av behandlingen bör prövas noga i det enskilda fallet. Det bör därför preciseras att Transportstyrelsen i ett enskilt fall får vidta sådana åtgärder endast om det är absolut nödvändigt för att säkerställa att uppgifter som myndigheten lämnar som underlag för officiell statistik är riktiga, för forskning inom trafiksäkerhet eller för att myndigheten ska kunna uppfylla sina skyldigheter som personuppgiftsansvarig. Transportstyrelsen får därmed, trots kravet på att personuppgifter ska vara pseudonymiserade, under de angiva förutsättningarna behandla personnummer eller liknande identitetsbeteckningar. Uppgifterna i Strada omfattas av statistiksekretess enligt 24 kap 8 § OSL, vilket som huvudregel innebär absolut sekretess. Direktidentifierande personuppgifter får lämnas ut enbart om de behövs för forsknings- eller statistikändamål och endast om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider skada eller men. Om uppgifterna ska användas för forskning som innefattar känsliga personuppgifter, krävs vidare att forskningen har godkänts vid en etikprövning enligt lagen (2003:460) om etikprövning av forskning som avser människor. Även när åtgärder har vidtagits för att uppgifterna åter direkt ska kunna hänföras till enskilda registrerade i dessa avseenden finns alltså sådana skyddsåtgärder som avses i EU:s dataskyddsförordning. 6.12 Utlämnande av uppgifter Uppgifterna i Strada skyddas av statistiksekretess Uppgifterna i Strada samlas in av Transportstyrelsen för att bilda generell information om olyckor och skador. Insamlingen av data sker t.ex. inte för ett speciellt ärende eller för att utöva tillsyn över uppgiftslämnarna. verksamheten finns på en särskild sektion inom Transportstyrelsen som är skild från myndighetens tillstånds- och tillsynsverksamhet. används för framställning av statistik, i Transportstyrelsens egen verksamhet och genom att Transportstyrelsen biträder Trafikanalys med insamling av uppgifter för den officiella statistiken. Uppgifter i Strada som avser enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde omfattas därmed av statistiksekretess enligt 24 kap. 8 § OSL. Sekretessen enligt 24 kap. 8 § OSL gäller för uppgifter som direkt eller indirekt kan hänföras till en enskild. Med andra ord skyddas inte bara sådana uppgifter som innehåller identitetsbeteckningar som namn eller personnummer utan även uppgifter som över huvud taget kan hänföras till Prop. 2020/21:124 en viss enskild (prop. 1979/80:2 Del A s. 263). Enligt huvudregeln i första stycket är sekretessen absolut, dvs. uppgifterna ska hemlighållas utan någon prövning av om ett utlämnande medför någon risk för skada eller men. I paragrafens tredje stycke finns angivet vissa undantag när utlämnande ändå kan ske. När det gäller utlämnanden från Strada kan undantagen aktualiseras i tre fall. Utlämnande kan ske om uppgifterna behövs för forskningsändamål, om uppgifterna behövs för statistikändamål eller om uppgifterna inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till en enskild. Med liknande förhållande avses bilnummer, telefonnummer, anställningsnummer, fastighetsbeteckning osv. För att utlämnande ska kunna ske enligt dessa undantag krävs emellertid att det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Uppgifterna i Strada är alltså sekretessreglerade. Bestämmelsen i 24 kap. 8 § tredje stycket OSL innebär att uppgifter i vissa fall kan lämnas ut, om det i varje enskilt fall har gjorts en prövning som utmynnar i bedömningen att utlämnandet inte leder till att den enskilde eller någon närstående lider skada eller men. Om uppgifter ska kunna lämnas ut utan att det föregås av en prövning i det enskilda fallet, såsom vid direktåtkomst, krävs dock en reglering med sekretessbrytande verkan. Regeringens förslag: Myndigheten för samhällsskydd och beredskap, , , , , kommunala myndigheter och länsstyrelser ska få medges direktåtkomst till personuppgifter i databasen som respektive myndighet behöver för trafiksäkerhetsändamål. Universitet och högskolor som är myndigheter eller som vid tillämpningen av offentlighets- och sekretesslagen ska jämställas med myndigheter ska få medges direktåtkomst till personuppgifter i databasen, om uppgifterna behövs för forskning som avser trafiksäkerhet. Om uppgifterna i databasen ska användas i sådan forskning som omfattas av lagen om etikprövning av forskning som avser människor, ska direktåtkomst få medges endast under förutsättning att såväl forskningen som behandlingen av uppgifterna har godkänts vid sådan etikprövning. Det ska införas en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst. Den som har medgetts direktåtkomst ska utan hinder av sekretess ha rätt att ta del av personuppgifter i databasen vid sådan åtkomst. Den som har medgetts direktåtkomst ska ansvara för att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Promemorians förslag överensstämmer delvis med regeringens. Promemorians förslag om möjligheterna att medge direktåtkomst är mindre preciserat och den sekretessbrytande bestämmelsen har en annan Promemorian innehåller inte någon bestämmelse om att mottagaren ska begränsa tillgången till personuppgifter eller att det för att direktåtkomst för forskning ska få medges krävs ett etikgodkännande. Remissinstanserna: När det gäller myndigheters möjlighet till direkt- integritetsanslyser saknas och påpekar att det inte framgår för vilka ändamål och i vilken omfattning som myndigheterna kan få direktåtkomst. menar vidare att det saknas analys av vilket rättsligt stöd dessa myndigheter har eller kommer att ha för att behandla de aktuella personuppgifterna och att det av lagen bör framgå att ett godkännande från en etikprövningsnämnd krävs innan direktåtkomst anser också att föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet ska meddelas av regeringen och att subdelegation av föreskriftsrätten inte ska Transportstyrelsen saknar en analys om hur förslaget förhåller sig till den sekretess som gäller för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med Region , Region och ifrågasätter om inte regioner bör medges direkt- Flera remissinstanser påpekar behovet av att tillåta direktåtkomst för andra än de myndigheter som namnges i promemorians författnings- I denna del uttalar , och () att forskare, bl.a. vid universitet och högskolor, bör få direktåtkomst till Strada eftersom denna forskning ger viktiga bidrag till trafiksäkerhetsarbetet. trafiksäkerhetens främjande (NTF), M (tidigare betonar vikten av att även intresse- organisationer som arbetar med trafiksäkerhet medges direktåtkomst, då sådana organisationer har behov av uppgifter från databasen i sitt arbete med att uppnå nollvisionen. AB , och framhåller att en begränsning av direktåtkomsten för industrin innebär ett kraftigt bakslag för trafiksäkerhetsarbetet och att tillgången till uppgifter från databasen är vital vid utvecklingen av säkra fordon och självkörande avstyrker å sin sida förslaget om att andra än de angivna myndigheterna ska få medges direktåtkomst och anser att det måste utredas under vilka förutsättningar sådan möjlighet kan ges