prop · H803124 · 2021-03-11 00:00:00 — utan att riskera att registrerade identifieras med hjälp av uppgifter som finns utanför databasen. Justitiekanslern menar att det i det fortsatta lagstiftningsarbetet bör göras en tydligare avvägning mellan å ena sidan intresset av att skydda den personliga integriteten och å andra sidan behovet av direktåtkomst för andra än de aktuella myndigheterna och att de förutsättningar som ska vara uppfyllda för att kunna bevilja direkt- åtkomst för andra bör komma till uttryck direkt i den föreslagna lagen. , som getts tillfälle att yttra sig över ett utkast till lagrådsremiss, bör kravet på etikgodkännande för att möjliggöra fall framgå direkt av lagen. myndigheten avstyrker vidare förslaget om att medge direktåtkomst till Prop. 2020/21:124 uppgifter som inte kan hänföras till en enskild. Skälen för regeringens förslag Uppgifterna i Strada behövs hos andra än Transportstyrelsen Nollvisionen utgår från tanken att ansvaret för trafiksäkerheten delas mellan dem som utformar och dem som använder transportsystemet. Ansvaret för systemutformningen är dock inte en enskild myndighets uppgift. Ansvaret för att utforma infrastrukturen, regelverken och andra åtgärder på transportområdet ligger hos flera olika myndigheter. svarar bl.a. för den långsiktiga infrastrukturplaneringen samt för byggande, drift och underhåll av statliga vägar och ska verka för att de transportpolitiska målen uppnås. Myndigheten ska vidare inhämta och sprida kunskap och information om bl.a. säkerhet inom sitt ansvarsområde. svarar dessutom för forskning och innovation som motiveras av myndighetens uppgifter. Trafikanalys ska, med utgångspunkt i de transportpolitiska målen, utvärdera och analysera samt redovisa effekter av föreslagna och genomförda åtgärder inom transportområdet. Vidare ska myndigheten ansvara för att samla in, sammanställa och sprida statistik på transportområdet. har till huvuduppgift att bedriva forskning och utveckling som avser infrastruktur, trafik och transporter. Institutet ska vidare verka för att de transportpolitiska målen uppnås genom att bidra till att kunskapen om transportsektorn kontinuerligt förbättras. Myndigheten för samhällsskydd och beredskap har bl.a. ansvar för frågor om skydd mot olyckor och ska arbeta med och verka för samordning mellan berörda samhällsaktörer för att förebygga och hantera olyckor. Kommuner ansvarar för byggande, drift och underhåll av kommunala vägar. meddelas av , kommuner och länsstyrelser. ansvarar för åtgärder avseende trafikövervakning. För att utföra sina uppdrag på området har myndigheterna behov av tillgång till uppgifterna i Strada. Som bl.a. , () och framhåller bedrivs viktig forskning på trafiksäkerhetsområdet inte bara hos de ovan nämnda myndigheterna som har forskningsuppdrag utan t.ex. även hos universitet och högskolor. Även dessa har behov av att använda uppgifter från Strada. Mot bakgrund av att de myndigheter som på olika sätt arbetar med trafiksäkerhet frekvent och regelmässigt använder uppgifter från Strada i sin verksamhet har de behov av att på ett enkelt och kostnadseffektivt sätt kunna ta del av uppgifterna. De har också behov av att genom olika sökningar på egen hand leta fram relevanta uppgifter i databasen. I likhet med promemorian bedömer regeringen att de ovan nämnda myndigheterna har behov av direktåtkomst till databasen. Även för Transportstyrelsen innebär detta fördelar, eftersom myndigheten då inte behöver involveras i varje enskilt utlämnande. I promemorian föreslås att Transportstyrelsen, efter det att ändamåls- och sekretessfrågor beaktats, i ett enskilt fall ska få medge även en annan fysisk eller juridisk person direktåtkomst till Strada. Såväl som Justitiekanslern anser dock att förutsättningarna för direktåtkomst i dessa fall behöver klargöras. Av promemorian framgår att det är universitet och högskolor som kan komma i fråga för en sådan åtkomst. Regeringen delar också synpunkten från flera remissinstanser att de universitet och högskolor som utför forskning på trafiksäkerhetsområdet bör kunna medges direktåtkomst till sekretessreglerade uppgifter. Regeringen ser däremot inte att det finns ett behov hos regionerna att få direktåtkomst till Strada. Möjligheterna att utnyttja direktåtkomst vid informationsutbyte mellan två aktörer kan begränsas av sekretesslagens bestämmelser. När uppgifter lämnas ut genom direktåtkomst kan det av tekniska skäl inte göras en sekretessprövning av uppgifter i ett enskilt ärende innan dessa lämnas ut. En myndighet kan därför inte tillåta någon annan att få direktåtkomst till uppgifter i en databas om uppgifterna omfattas av sekretess som innebär att mottagaren vid en prövning enligt OSL inte med säkerhet skulle ha rätt att ta del av uppgifterna. De uppgifter som mottagaren har direktåtkomst till är således i normalfallet att anse som utlämnade i och med att direktåtkomsten finns. En förutsättning för direktåtkomst är därför att åtkomsten endast avser uppgifter för vilka det inte gäller sekretess, dvs. offentliga uppgifter, eller uppgifter som visserligen omfattas av sekretess, men som också omfattas av en sekretessbrytande bestämmelse till förmån för den mottagare som får ha direktåtkomst till de aktuella uppgifterna (prop. 2007/08:160 s. 73). I vissa fall finns möjlighet att med stöd av generalklausulen i 10 kap. 27 § OSL rutinmässigt lämna ut uppgifter till den som har direktåtkomst. Bestämmelsen gäller dock inte i fråga om sekretess enligt 24 kap. 8 § OSL. Är ett sekretessgenombrott motiverat? Uppgifterna i Strada är sekretessreglerade enligt 24 kap. 8 § OSL. Regleringen innebär att det i varje enskilt fall måste göras en prövning av om uppgifterna kan lämnas ut utan att den enskilde eller någon närstående lider skada eller men. Någon sekretessbrytande bestämmelse som gör det möjligt att lämna ut uppgifterna genom direktåtkomst till de aktuella aktörerna finns inte. Innan en sekretessbrytande regel införs måste en analys av om det över huvud taget är lämpligt med ett sekretessgenombrott göras (jfr avsnitt 6.10.2). I detta ligger att en intresseavvägning måste göras mellan mottagarnas behov av att få uppgifter från Strada och det intresse som den aktuella sekretessen avser att skydda, dvs. i detta fall skyddet för den enskildes integritet. Uppgifterna i Strada innehåller information om de personskador som har följt på en olycka och i vissa fall även uppgift om misstänkt påverkan av alkohol eller andra substanser. Uppgifterna är av integritetskänsligt slag. De uppgifter som lämnas ut genom direktåtkomst är dock inte sådana som direkt kan hänföras till en enskild. Mot bakgrund av att uppgifterna innehåller information om den registrerades ålder och kön samt tiden och platsen för olyckan kan uppgifterna dock i vissa fall, i kombination med andra uppgifter, leda till att en enskild trots allt kan identifieras (s.k. Risken för att uppgifterna från Strada leder till att en enskild registrerads identitet kan utrönas bedöms dock i normalfallet vara begränsad. De aktörer som ovan bedöms ha behov av uppgifter från databasen använder inte uppgifterna i ärendehandläggning som avser en enskild. Uppgifterna används alltså inte hos mottagarna för att vidta åtgärder mot den enskilde eller fatta beslut som direkt rör denne. De aktuella aktörerna har därmed inte heller något intresse av att ta reda på vilken individ som uppgifterna hänför sig till. Användningen av uppgifterna tar i stället sikte på att bedöma den trafiksäkerhetshöjande effekten av olika åtgärder som har vidtagits i fråga om t.ex. infrastrukturens utformning, aktuella regelverk och förekomsten av skyddsutrustning, för att ta reda på vilka insatser som ger störst resultat i fråga om att minska antalet döda och allvarligt skadade i trafiken. Regeringen bedömer att det integritetsintrång som de aktuella aktörernas användning av uppgifterna medför därmed är begränsat. Utlämnande genom direktåtkomst förknippas med särskilda risker för den personliga integriteten. En sådan risk är att uppgifterna sprids som en följd av att de upptagningar som direktåtkomsten avser blir allmänna handlingar hos mottagaren. Direktåtkomst innebär också typiskt sett att uppgifter blir tillgängliga för fler personer hos mottagarna och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. Ju fler personer som har omedelbar tillgång till uppgifterna, desto mer påtagliga är integritetsriskerna. Det är därför av vikt att beakta vilket sekretesskydd som kommer att gälla för uppgifterna hos den mottagande aktören. När det gäller uppgifter som myndigheter tar del av genom direktåtkomst finns en särskild bestämmelse i OSL om överföring av sekretess. Av 11 kap. 4 § OSL framgår nämligen att om en myndighet har direktåtkomst till sekretessreglerade uppgifter hos en annan myndighet blir den sekretessbestämmelse som är tillämplig hos den utlämnande myndigheten tillämplig även hos den mottagande myndigheten. Enligt 11 kap. 8 § OSL har dock som huvudregel primär sekretess företräde framför överförd sekretess, om sekretessen gäller till skydd för samma intresse. Statistiksekretess gäller i Trafikanalys verksamhet avseende framställning av statistik. När det gäller övriga myndigheter kommer statistiksekretessen enligt 11 kap. 4 § OSL att föras över till följd av att de beviljas direktåtkomst. Regeringen gör ovan bedömningen att de universitet och högskolor som utför forskning på trafiksäkerhetsområdet bör kunna medges direktåtkomst. Det finns både universitet och högskolor som har statligt huvudmannaskap och sådana som anordnas enskilt. Till följd av att direktåtkomst bara bör medges om uppgifterna omfattas av sekretess hos mottagarna bör enbart universitet och högskolor som är myndigheter och som vid tillämpningen av OSL ska jämställas med myndigheter beviljas direktåtkomst. Även till sådana aktörer kommer statistiksekretessen att föras över (jfr 11 kap. 3 och 4 §§ samt 2 kap. 4 § OSL). Uppgifter från Strada som erhålls genom direktåtkomst kommer alltså hos samtliga mottagare att skyddas av samma sekretess som hos Transportstyrelsen. Som framgår nedan anser regeringen även att den som har medgetts direktåtkomst ska ansvara för att tillgången till uppgifterna begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Vid en sammanvägd bedömning anser regeringen att ett sekretessgenombrott för att tillgodose de aktuella myndigheternas, universitetens och högskolornas behov av att få direktåtkomst till uppgifterna i Strada är motiverat. En bestämmelse som bryter sekretessen ska därför införas i den föreslagna lagen för att möjliggöra sådan åtkomst för de aktuella aktörerna. En sekretessbrytande uppgiftsskyldighet införs I 10 kap. OSL finns ett antal sekretessbrytande bestämmelser som innebär att sekretess inte hindrar att uppgifter lämnas ut i vissa fall. Enligt 10 kap. 28 § OSL hindrar inte heller sekretess att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. Det är därför möjligt att i den föreslagna lagen införa en sådan uppgiftsskyldighet i syfte att möjliggöra myndigheters direktåtkomst till uppgifter i Strada. En sådan uppgiftsskyldighet kan införas till förmån även för sådana enskilda organ som vid tillämpningen av OSL ska jämställas med myndigheter. Regeringen föreslår därför en sekretessbrytande regel i form av uppgiftsskyldighet i förhållande till de aktuella aktörerna. Bestämmelsen bör formuleras som en rätt för dessa att vid direktåtkomst ta del av de uppgifter som omfattas av åtkomsten. Som framgår nedan föreslår regeringen att de uppgifter som de ska ha rätt att ta del av genom direktåtkomst är sådana som de har behov av för olika trafiksäkerhetsrelaterade ändamål. En bestämmelse som reglerar direktåtkomsten Utlämnande genom direktåtkomst förknippas som ovan framgått med särskilda risker för den personliga integriteten. För att säkerställa skyddet för den enskildes integritet bör direktåtkomst endast få medges i den utsträckning det är nödvändigt. I vilken omfattning direktåtkomst ska få medges måste alltså bedömas genom en avvägning mellan de skäl som talar för en sådan åtkomst och integritetsskäl som talar mot denna. Regeringen har i avsnitt 6.1 redogjort för sina överväganden i fråga om proportionaliteten i den föreslagna regleringen. Sammanfattningsvis konstateras där att Strada utgör en viktig kunskapskälla för det trafiksäkerhetsarbete som syftar till att förhindra att människor dör och skadas allvarligt i trafiken och att regleringen, mot bakgrund av syftet med behandlingen och de skyddsåtgärder som kommer att omgärda denna, sammantaget är proportionell mot de mål som eftersträvas. Regeringen har också, med beaktande av vilka integritetsrisker detta innebär, ovan gjort bedömningen att ett sekretessgenombrott för att möjliggöra direktåtkomst är motiverat. Dessa resonemang är tillämpliga även i fråga om riskerna för den personliga integriteten ur ett dataskyddsperspektiv. De aktuella aktörernas behov av direktåtkomst till uppgifter i Strada för de ändamål som anges i lagen bedöms alltså i sig väga tungt i förhållande till de risker i integritetshänseende som en sådan åtkomst innebär. För att förena behovet att genom direktåtkomst lämna ut uppgifter med integritetsintresset måste det dock beaktas vilka åtgärder som kan vidtas för att skydda den personliga integriteten i detta sammanhang. Ett sätt att skydda den personliga integriteten vid direktåtkomst är att begränsa vilka typer av uppgifter eller för vilka ändamål uppgifter får Det är inte lämpligt att i lagen föreskriva exakt vilka personuppgifter som varje mottagare ska få tillgång till, eftersom detta kan skilja sig åt beroende på mottagare och i vilket syfte uppgifterna ska användas hos mottagarna. Den bedömningen bör i stället, som framgår nedan, göras av Transportstyrelsen vid beslut om direktåtkomst i ett enskilt fall. För att säkerställa att personuppgifter inte lämnas ut i en omfattning som går utöver behoven bör det dock i förhållande till promemorians förslag förtydligas för vilka ändamål direktåtkomst ska få medges. Uppgifterna i Strada används för trafiksäkerhetsrelaterade ändamål. De ovan nämnda myndigheterna använder dock uppgifterna i delvis olika typer av trafiksäkerhetsarbeten. Myndigheterna har behov av uppgifterna för flera av de ändamål för vilka uppgifter får behandlas i Strada. De uppdrag som respektive myndighet har inom trafiksäkerhetsområdet kan vidare komma att variera . En reglering i den föreslagna lagen bör därför föreskriva de ramar som ska gälla för direktåtkomsten. Lagen bör därmed ange att direktåtkomst får medges till de uppgifter som respektive myndighet behöver för de olika trafiksäkerhetsrelaterade ändamål för vilka behandling i databasen är tillåten. Direktåtkomst får alltså inte medges för andra ändamål, även om dessa inte skulle anses vara oförenliga med de trafiksäkerhetsändamål för vilka uppgifterna samlades in. Regeringen gör ovan bedömningen att även universitet och högskolor har behov av direktåtkomst. Dessa aktörer använder uppgifterna i Strada för forskning. Direktåtkomsten för dessa bör därför vara begränsad till uppgifter som behövs för ändamålet forskning som avser trafiksäkerhet. Som anförts ovan använder inte mottagarna uppgifterna i ärendehandläggning som avser en enskild eller som underlag för beslut som påverkar den enskilda registrerade i någon mer direkt mening. Att flera aktörer får tillgång till uppgifter om en enskild som varit inblandad i en trafikolycka kan dock, som påpekas i avsnitt 6.1, ändå innebära risker för den personliga integriteten. Bara det faktum att känsliga personuppgifter sprids till en större krets kan naturligtvis innebära ett integritetsintrång. Det kan heller inte uteslutas att den som varit inblandad i en olycka i vissa fall kan uppfattas som klandervärd. En direkt kränkning av den enskildes integritet uppstår dock bara om den registrerade kan identifieras med hjälp av uppgifterna. Även om det finns viss risk för bakvägsidentifiering ska denna risk inte överdrivas. Mot bakgrund av de ändamål för och det sätt på vilka uppgifterna används hos mottagarna ser regeringen, till skillnad från , inte att mottagarnas användning av uppgifterna skulle medföra stora risker för de registrerades fri- och rättigheter. Vid bedömningen beaktas även att uppgifterna omfattas av sekretess hos samtliga mottagare. har ifrågasatt om en trafiknämnd hos en viss kommun behöver tillgång till samtliga känsliga och integritetskänsliga personuppgifter i Strada som rör olyckor som inträffat i hela landet för att utveckla det lokala trafiksäkerhetsarbetet. I de fall kommunen ska undersöka på vilka vägar eller platser i kommunen som olyckor förekommer och vilka följder dessa får bör det naturligtvis vara tillräckligt att endast undersöka uppgifter om olyckor i den egna kommunen. Trafiksäkerhetsarbete innebär dock inte bara att identifiera var och hur olyckor skett utan också att identifiera och analysera vilka faktorer som har störst betydelse för att förhindra en olycka eller påverka hur allvarliga följder en olycka får i en viss situation. För att få sådan kunskap krävs information som ger en bättre bild än de ibland enstaka uppgifter om olyckor som inträffat i den egna kommunen. När det gäller att undersöka vilka åtgärder som är effektiva för att uppnå ökad trafiksäkerhet kan det alltså finnas behov av att få tillgång till ett större informationsunderlag, inte minst i mindre kommuner där det finns begränsade data om olyckor. Regeringen anser därför inte att kommuners möjligheter att få tillgång till uppgifter om olyckor som inträffat på annat håll i landet uttryckligen bör begränsas. Som nämns ovan får direktåtkomst dock bara medges till uppgifter som mottagaren behöver för de i lagen angivna ändamålen. Som anges ovan är det enligt regeringens uppfattning inte lämpligt att i lagen närmare precisera omfattningen av direktåtkomsten. I den utsträckning närmare föreskrifter om omfattningen av direktåtkomsten behöver meddelas kan detta ske på lägre föreskriftsnivå. Mot bakgrund av att sådana säkerhetsåtgärder som avses i EU:s dataskyddsförordning föreslås införas i lagen (se bl.a. avsnitt 6.7 och 6.11) finner regeringen, till skillnad från , att sådana föreskrifter i och för sig kan meddelas av en myndighet under regeringen. En upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om omfattningen av direktåtkomsten, och även om behörighet och säkerhet vid sådan åtkomst, föreslås därför. Direktåtkomst medges endast till pseudonymiserade uppgifter Uppgifterna i Strada ska, enligt vad som föreslås i avsnitt 6.11, vara pseudonymiserade. Det innebär att de uppgifter som finns tillgängliga i databasen inte innehåller direktidentifierande uppgifter, t.ex. namn eller personnummer. Transportstyrelsen ska under vissa förhållanden få vidta åtgärder för att personuppgifterna i databasen åter ska kunna bli direkt hänförliga till enskilda registrerade. En sådan åtgärd får dock endast vidtas i ett enskilt fall och om det är absolut nödvändigt, vilket innebär att så inte får ske för de uppgifter som tillhandahålls genom direktåtkomst. Den som får del av uppgifter i databasen genom direktåtkomst kommer därför inte att ha tillgång till uppgifter som direkt kan hänföras till den enskilde. Tillgången till uppgifterna hos mottagarna ska begränsas Ett sätt att skydda den enskildes integritet är att begränsa hur uppgifterna sprids och används hos mottagaren. Om kretsen av personer som har tillgång till uppgifterna begränsas, är risken för integritetsintrång generellt sett mindre. Tillgången till personuppgifter bör därför begränsas så mycket som möjligt, med hänsyn taget till den aktuella verksamheten och känsligheten hos personuppgifterna. En sådan skyldighet kan sägas följa redan av artikel 5 i dataskyddsförordningen. Mot bakgrund av att Strada innehåller integritetskänsliga uppgifter bör det i den föreslagna lagen införas en uttrycklig bestämmelse som förtydligar att den som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad var och en behöver. Mottagaren är alltså skyldig att se till att endast den eller de personer som behöver en uppgift för att fullgöra sina arbetsuppgifter tar del av uppgiften. En liknande bestämmelse finns t.ex. i 3 kap. 5 § vägtrafikdatalagen (2019:369). Det rättsliga stödet hos mottagande myndigheter att behandla personuppgifter från Strada Det förhållandet att en myndighet får tillgång till uppgifter genom direktåtkomst ger inte mottagaren rätt att behandla personuppgifterna. Som påpekar krävs enligt dataskyddsförordningen att det finns en rättslig grund för all behandling av personuppgifter. Vilken eller vilka av de rättsliga grunderna som mottagarna stöder sin behandling på varierar beroende på vem mottagaren är och för vilket ändamål uppgifterna behandlas. I vissa fall kan mottagaren stödja sin behandling på artikel 6.1 c i EU:s dataskyddsförordning, dvs. att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse. Så är t.ex. fallet när enligt 2 § 6 förordningen (2010:185) med instruktion för genomför djupstudier av samtliga vägtrafikolyckor som har medfört att någon har avlidit. I stor utsträckning kommer dock användare av Strada att stödja sin behandling på artikel 6.1e, dvs. att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Arbetsuppgiften av allmänt intresse ska ha stöd i någon av de rättskällor som tillsammans bildar rättsordningen. Den verksamhet som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är av allmänt intresse (se vidare prop. 2017/18:105 s. 57). De aktuella myndigheternas verksamheter på trafiksäkerhetsområdet regleras bl.a. genom ett stort antal författningar. Uppgifter till dessa kan även ges genom t.ex. regeringsbeslut eller beslut i kommunfullmäktige. Det finns rättslig grund för sådan behandling av uppgifter från Strada som är nödvändig hos de aktuella myndigheterna för att de ska kunna utföra sin verksamhet. När det gäller behandling av uppgifter från databasen hos universitet och högskolor utvecklar regeringen i propositionen Behandling av personuppgifter för forskningsändamål när forskning kan anses utgöra en uppgift av allmänt intresse som är fastställd i rättsordningen. och högskolor med staten som huvudman är uppgiften att forska fastställd genom bestämmelser i högskolelagen (1992:1434). När det gäller privata aktörer är uppgiften att forska fastställd och de har möjlighet att stödja behandling för forskningsändamål på artikel 6.1 e i dataskyddsförordningen om forskningen de avser att bedriva kräver tillstånd av en eller flera myndigheter, t.ex. enligt lagen (2003:460) om etikprövning av forskning som avser människor, och de har fått de tillstånd som krävs för forskningsprojektet. I propositionen klargörs också att forskningsverksamheten hos och , som har enskild huvudman och enligt avtal med staten ska bedriva utbildning och forskning, utgör en uppgift av allmänt intresse som är fastställd i enlighet med nationell rätt (se vidare prop. 2017/18:298). I övrigt är privata aktörers uppgift att forska inte fastställd i svensk rätt. Vid behandling av känsliga personuppgifter ska det därutöver finnas stöd för sådan behandling. Enligt EU:s dataskyddsförordning finns möjligheter att behandla känsliga personuppgifter bl.a. om det är nödvändigt av hänsyn till ett viktigt allmänt intresse (artikel ) eller om det är nödvändigt för vetenskapliga forskningsändamål eller statistiska ändamål (artikel 9.2 j). För att kunna tillämpa undantagen i artikel och j krävs dock att det ska finnas lämpliga och särskilda åtgärder för att säkerställa 2020/21:124 den registrerades grundläggande rättigheter och intressen. Regeringen redogör ovan för befintliga och föreslagna bestämmelser som är ämnade att skydda den enskildes integritet vid direktåtkomst.