prop · H803124 · 2021-03-11 00:00:00 — Mot bakgrund av att dessa skyddsåtgärder kommer att omgärda även den behandling som sker hos de mottagande myndigheterna, är mottagarnas behandling av känsliga personuppgifter förenlig med dataskyddsförordningen (se t.ex. prop. 2017/18:105 s. 91). I viss lagstiftning kan det dock finnas särskilda bestämmelser som reglerar i vilken utsträckning känsliga personuppgifter får behandlas. Detta är t.ex. fallet i fråga om forskning som innefattar behandling av bl.a. känsliga personuppgifter eller personuppgifter om lagöverträdelser som innefattar brott. Att sådan forskning får utföras bara om den har godkänts vid en etikprövning framgår av lagen om etikprövning av forskning som avser människor. Transportstyrelsen beaktar huruvida sådant godkännande finns i samband med att styrelsen får en begäran om utlämnande av uppgifter för forskningsändamål. Regeringen instämmer dock i synpunkt att det av den föreslagna lagen uttryckligen bör framgå att direktåtkomst i förekommande fall bara ska få medges om det finns ett godkännande från . En bestämmelse om detta bör därför införas. Tillgång till uppgifter som inte omfattas av sekretess Flera remissinstanser menar att även andra än de ovan nämnda myndigheterna, universiteten och högskolorna bör kunna medges direktåtkomst. Sekretessregleringen medger inte att uppgifter som kan hänföras direkt eller indirekt till någon enskild lämnas ut genom direktåtkomst utan stöd av en sekretessbrytande bestämmelse. Även de pseudonymiserade uppgifterna i Strada utgörs av uppgifter om enskilda individer och går att hänföra till den enskilde. Någon möjlighet att införa en sekretessbrytande bestämmelse för att kunna medge direktåtkomst till sådana uppgifter för aktörer inom vilkas verksamhet uppgifterna inte skulle skyddas av sekretess eller tystnadsplikt finns inte. Uppgifter som inte kan hänföras till en enskild är dock inte sekretessbelagda enligt 24 kap. 8 § OSL. Om uppgifterna i Strada behandlas så att uppgifterna kan hänföras – direkt eller indirekt – till en enskild omfattas de därför inte av den sekretessbestämmelsen. Om tillräckligt många uppgifter slås samman (aggregeras) så att de inte rimligen går att hänföra till en enskild bör sådana aggregerade data kunna lämnas ut. Även uppgifter som har behandlats på annat sätt (t.ex. genom att plocka bort vissa data) som innebär att den registrerade är identifierbar bör kunna lämnas ut. Strada innehåller inte bara uppgifter som är att hänföra till en enskild individ utan det finns även andra typer av data som inte är att anse som personuppgifter, t.ex. uppgifter om fordon och väglag. Även sådana uppgifter, som alltså inte avser enskilds personliga eller ekonomiska förhållanden, bör kunna lämnas ut. Till skillnad från anser regeringen att det inte finns några hinder mot att lämna ut den typen av uppgifter som är i fråga även till andra än de ovan aktuella myndigheterna, universiteten och högskolorna. Enskilda, som t.ex. intresseorganisationer och företag, bör alltså kunna få sådana uppgifter. Sådant utlämnande skulle kunna ske genom direktåtkomst men utlämnande bör även kunna ske genom andra Prop. 2020/21:124 typer av tekniska system. Innan utlämnande sker ska Transportstyrelsen säkerställa att uppgifterna inte avser enskilds förhållanden eller utgör personuppgifter Någon uttrycklig bestämmelse i lagen om utlämnande av sådana uppgifter är dock inte nödvändig. Regeringen återkommer på sidan 71 till frågan om utlämnande av uppgifter från Strada på annat sätt än genom direktåtkomst till andra än myndigheter. Regeringens bedömning: Det saknas behov av att införa några särskilda regler om annat elektroniskt utlämnande av personuppgifter än genom direktåtkomst. Promemorians förslag överensstämmer i sak med regeringens bedömning. I promemorian föreslås en uttrycklig bestämmelse om att utlämnande får ske på medium för automatiserad behandling. Remissinstanserna yttrar sig inte särskilt i frågan om utlämnade på medium för automatiserad behandling. påpekar att myndigheten kan ha behov av uppgifter från Strada i samband med utredningar av olyckor och efterlyser en analys av möjligheterna att få uppgifter för detta ändamål. Skälen för regeringens bedömning Uppgifter från Strada får lämnas ut elektroniskt på annat sätt än genom direktåtkomst Elektroniskt utlämnande som inte sker genom direktåtkomst benämns ibland utlämnande på medium för automatiserad behandling. Vad som avses är t.ex. utlämnande av uppgifter per e-post eller på usb-minne eller genom elektronisk direktöverföring från ett datorsystem till ett annat. Den tekniska utvecklingen går fort och olika elektroniska utlämnandesätt är möjliga. Elektroniskt utlämnande på annat sätt än genom direktåtkomst innebär att den utlämnande myndigheten i varje enskilt fall tar ställning till om uppgifter får lämnas ut och vilka uppgifter som ska lämnas ut. En sekretessprövning kan därmed göras i samband med utlämnandet i det enskilda fallet. EU:s dataskyddsförordning saknar särskilda bestämmelser om elektroniskt utlämnande av personuppgifter. Mot bakgrund av att utlämnande på elektronisk väg kan innebära vissa ökade risker för den personliga integriteten finns det dock i viss registerlagstiftning bestämmelser som begränsar möjligheten att lämna ut uppgifter elektroniskt. Från ett effektivitetsperspektiv är det viktigt att utlämnande från databasen ska kunna ske elektroniskt även på annat sätt än genom direktåtkomst. I likhet med promemorian anser regeringen att det inte bör införas några särskilda begränsningar i detta avseende. Något behov av att införa en uttrycklig bestämmelse om annat elektroniskt utlämnande än direktåtkomst finns därför inte. Sekretesskyddet hos vissa myndigheter bör kompletteras för att underlätta utlämnande på annat sätt än genom direktåtkomst Regeringen föreslår ovan att vissa myndigheter ska få medges direktåtkomst till pseudonymiserade personuppgifter i Strada. I vissa fall finns behov av att lämna ut uppgifter från Strada på annat sätt än genom direktåtkomst. Det tekniska systemet för direktåtkomst medger nämligen inte att en större mängd data hämtas ut . I vissa fall behöver aktörer som nämns ovan tillgång till en stor mängd data som sträcker sig . Så är fallet om uppgifterna ska användas för forskningsändamål men sådant behov kan även finnas i annat fall, t.ex. när uppgifterna används för planering, uppföljning, utvärdering och kvalitetssäkring. Mot bakgrund av de tekniska begränsningar som finns i systemet för direktåtkomst behöver uppgifter i sådant fall lämnas ut elektroniskt på annat sätt, t.ex. på cd-skiva eller usb-sticka eller genom s.k. fjärranslutning. För att Transportstyrelsen ska kunna lämna ut uppgifter från Strada krävs att något av undantagen i 24 kap. 8 § tredje stycket OSL är tillämpligt, såvida det inte finns någon sekretessbrytande bestämmelse som medger att uppgifterna kan lämnas ut. Enligt undantagen kan uppgifter efter en skadeprövning bl.a. lämnas ut för forsknings- eller statistikändamål. För dessa ändamål finns enligt bestämmelsen möjlighet att lämna ut uppgifter som direkt identifierar den enskilde. Uppgifter kan även lämnas ut för andra ändamål, om de inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till någon enskild. Även i dessa fall ska det göras en skadeprövning. Uppgifter får bara lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Även om användningen av uppgifterna hos mottagaren inte medför någon skada, kan ett svagare sekretesskydd hos mottagaren i sig innebära en risk för skada, eftersom det kan medföra att uppgifterna därifrån lämnas vidare på ett sätt som medför skada (prop. 2013/14:162 s. 12). Uppgifter från Strada används av Trafikanalys i myndighetens verksamhet som avser framställning av statistik och omfattas då av sekretess enligt 24 kap. 8 § OSL. När det gäller myndigheter som använder uppgifter från Strada i sin forskningsverksamhet, blir statistiksekretessen tillämplig på uppgifterna även hos mottagaren, enligt bestämmelsen i 11 kap. 3 § OSL om överföring av sekretess. När uppgifter från Strada används för planering, uppföljning, utvärdering eller kvalitetssäkring av trafiksäkerhetsarbete saknas möjligheten att överföra sekretessen till någon annan myndighet vid andra typer av utlämnande än genom direktåtkomst. Det finns inte heller någon annan sekretessbestämmelse av samma styrka som ska tillämpas för uppgifterna hos de mottagare som har behov av uppgifter för detta ändamål. Om det är fråga om verksamhet som genomför undersökningar som är jämförbara med framställning av statistik, kan regeringen med stöd av 24 kap. 8 § andra stycket OSL föreskriva att statistiksekretess ska gälla för undersökningen. Sådana föreskrifter finns i 7 § offentlighets- och sekretessförordningen (2009:641), i det följande OSF. Undersökningar på trafiksäkerhetsområdet som är med statistik jämförbara utförs hos , kommuner och länsstyrelser. För att sekretesskyddet hos de nämnda myndigheterna inte ska utgöra hinder mot att de ska kunna få uppgifter på annat sätt än genom direktåtkomst, bör OSF kompletteras så att undersökningar om trafiksäkerhetsinsatser hos myndigheterna ska omfattas av ett sekretesskydd som motsvarar statistiksekretess. Regeringen har för avsikt att komplettera OSF i enlighet därmed. Pseudonymiserade uppgifter i Strada som ska användas för sådana undersökningar bör därmed kunna lämnas ut på annat sätt än genom direktåtkomst till dessa myndigheter. Även Myndigheten för samhällsskydd och beredskap använder uppgifter från Strada och kan ha behov av att få ut uppgifter på annat sätt än genom direktåtkomst. Enligt 7 § OSF gäller sekretess i undersökningar om olyckshändelser och räddningsinsatser hos myndigheten. I den utsträckning uppgifter från Strada ska användas i sådana undersökningar hos Myndigheten för samhällsskydd och beredskap bör Transportstyrelsen kunna lämna ut uppgifterna. anför att myndigheten inte har behov av direktåtkomst till Strada men menar att möjligheterna att få uppgifter som behövs för undersökningar av olyckor bör belysas. I detta avseende kan det konstateras att lagen (1990:712) om undersökning av olyckor och den till lagen anslutande förordningen innehåller bestämmelser om undersökningar från säkerhetssynpunkt av olyckor och tillbud. Med stöd av dessa bestämmelser undersöks såväl enskilda olyckor och tillbud som en viss typ av tillbud eller olyckor. När det gäller möjligheterna för att vid sådana undersökningar ta del av sekretessbelagd information från andra myndigheter utgör 9 § lagen om undersökning av olyckor en sådan uppgiftsskyldighet enligt 10 kap. 28 § OSL som har sekretessbrytande effekt till förmån för den myndighet som undersöker olyckor i enlighet med lagen (prop. 2010/11:116 s. 65). Detta innebär att har möjlighet att ta del av uppgifter i Strada, om de kan antas ha betydelse för den utredning som myndigheten gör enligt lagen om undersökning av olyckor. Något behov av ytterligare reglering i detta avseende finns därför inte. I den nämnda propositionen behandlas också i vilken utsträckning uppgifterna är sekretesskyddade hos . Det finns inte skäl att i detta avseende föreslå några nya bestämmelser. Möjligheterna att lämna ut uppgifter till andra än myndigheter Flera remissinstanser påpekar att även privata aktörer utför viktigt arbete på trafiksäkerhetsområdet och att dessa därför kan ha behov av uppgifter från Strada. framhåller att nollvisionen bara kan åstadkommas genom ett samarbete mellan myndigheter, akademi och industri. Regeringen är medveten om att forskning på bl.a. fordonsområdet som leder till lösningar för att skapa säkrare fordon och trafik utgör ett viktigt bidrag till nollvisionen. Även betydelsen av frivilligorganisationernas arbete för att öka trafiksäkerheten ska framhållas. Det finns därför anledning att närmare belysa möjligheten för forskare och privata aktörer att få uppgifter från Strada. För att tillgodose forskningens behov finns möjlighet enligt 24 kap. 8 § tredje stycket OSL att, efter en skadeprövning, lämna ut uppgifter som behövs för forskningsändamål. Undantagen om utlämnande för forsknings- eller statistikändamål är avsedda att tillämpas restriktivt 2020/21:124 (prop. 1994/95:200 s. 38). Forskningsbegreppet har också definierats snävt, se RÅ 2004 ref. 9. När mottagaren inte är en myndighet kan uppgifter som omfattas av sekretess i vissa fall lämnas ut med stöd av ett sådant särskilt förbehåll som avses i 10 kap. 14 § OSL. I den paragrafen anges att om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, ska myndigheten göra ett sådant förbehåll när uppgiften lämnas till den enskilde. Bestämmelsen ger en myndighet möjlighet att i förhållande till en enskild fysisk person lämna ut uppgifter som är sekretessbelagda enligt en sekretessbestämmelse som har ett skaderekvisit, under förutsättning att den risk för skada som hindrar att uppgifterna lämnas ut kan undanröjas genom att ett förbehåll uppställs vid uppgifternas utlämnande. En enskild forskningsutövare bör därmed kunna ges tillgång till uppgifter från Strada med ett sådant förbehåll. Ett förbehåll kan inte meddelas i förväg för en viss typ av information utan ska föregås av en prövning i varje särskilt fall. En möjlighet att uppställa förbehåll finns även vid utlämnande för andra ändamål än forskning, under förutsättning att något av de andra undantagen i 24 kap. 8 § tredje stycket OSL är tillämplig. Som påpekas ovan krävs att den som tar emot uppgifter från Strada har en rättslig grund enligt dataskyddsregleringen för den personuppgiftsbehandling som mottagaren ska utföra. I propositionen Behandling av personuppgifter för forskningsändamål redogörs för de rättsliga grunder som i första hand är relevanta vid behandling av personuppgifter för forskningsändamål. Vidare behandlas möjligheterna för olika forskningsutförare att åberopa olika rättsliga grunder. I en del fall kan även en privaträttslig aktör tillämpa den rättsliga grunden uppgift av allmänt intresse. När det gäller kravet att forskningsuppgiften ska vara fastställd i enlighet med nationell rätt gör regeringen i propositionen bl.a. bedömningen att detta krav är uppfyllt för en privaträttslig forskningsutförare om det krävs tillstånd för forskningsprojektet enligt t.ex. etikprövningslagen och forskningsutföraren har fått de tillstånd som krävs (se vidare prop. 2017/18:298 avsnitt 7.2). Regeringens bedömning: Det saknas behov av att införa särskilda bestämmelser i fråga om den registrerades rättigheter enligt EU:s dataskyddsförordning. Promemorian innehåller inte någon bedömning i frågan. Remissinstanserna: anser att det i det fortsatta lagstiftningsarbetet bör göras överväganden avseende enskildas rättigheter enligt EU:s dataskyddsförordning och att det saknas en analys av vilken information som ska lämnas i det specifika fallet. Skälen för regeringens bedömning Dataskyddsförordningens bestämmelser om den registrerades rättigheter och möjlighet till undantag EU:s dataskyddsförordning innehåller vissa bestämmelser om den registrerades rättigheter. Bestämmelserna reglerar bl.a. skyldigheten för den personuppgiftsansvarige att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter (artiklarna 13 och 14), rätten för den registrerade att på begäran få tillgång till viss information och till de personuppgifter som behandlas (artikel 15), rätten att få felaktiga uppgifter rättade (artikel 16) och under vilka förutsättningar den registrerade kan få sina personuppgifter raderade (artikel 17). Vidare anges i artikel 18 att den registrerade under vissa omständigheter har rätt att kräva att behandlingen begränsas. Den registrerade har dessutom rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f, dvs. behandling som sker för att utföra en uppgift av allmänt intresse, i myndighetsutövning eller efter en intresseavvägning (artikel 21). Bestämmelserna är direkt tillämpliga, men enligt artikel 23 kan tillämpningsområdet för de nu angiva bestämmelserna begränsas under vissa förutsättningar. Nationella generella begränsningar av vissa rättigheter och skyldigheter avseende rätten till information och tillgång till personuppgifter finns i 5 kap. dataskyddslagen. Rätten till information och tillgång till personuppgifter Transportstyrelsen är ansvarig för behandlingen av personuppgifter i databasen. Uppgifterna har dock erhållits från andra myndigheter och från vårdgivare. I artikel 14 i EU:s dataskyddsförordning regleras skyldigheten för den personuppgiftsansvarige att lämna viss information till den registrerade när personuppgifterna inte har erhållits från denne. I artikel 14.5 anges dock när den skyldigheten inte ska tillämpas. Detta gäller t.ex. om den registrerade redan förfogar över informationen eller om erhållande och utlämnande av uppgifter uttryckligen föreskrivs genom nationell rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Personuppgifterna i Strada rapporteras in till databasen utifrån de uppgiftsskyldigheter som föreslås i avsnitt 6.10. Vad som föreslås i denna proposition, bl.a. i fråga om pseudonymisering, utgör tillsammans med tillämpliga sekretessbestämmelser sådana skyddsåtgärder som avses i EU:s dataskyddsförordning. Detta innebär att undantagen i artikel 14.5 c är tillämpliga. Någon skyldighet för Transportstyrelsen att lämna information till den registrerade enligt artikel 14.1 finns därför inte. Eftersom detta följer direkt av EU:s dataskyddsförordning, finns det inget behov av att reglera frågan i den föreslagna lagen. Den registrerade har enligt artikel 15 i EU:s dataskyddsförordning rätt att av den personuppgiftsansvarige få bekräftelse på om personuppgifter som rör denne behandlas och i så fall få tillgång till personuppgifterna samt information om ändamålen med behandlingen, de kategorier av personuppgifter som behandlingen gäller m.m. Rättigheten benämns ofta som en rätt till registerutdrag. Det saknas enligt regeringens uppfattning skäl att göra inskränkningar i denna rätt. Det innebär att Transportstyrelsen på begäran av en registrerad ska tillhandahålla den information som anges i artikel 15. Som framgår av avsnitt 6.11 har Transportstyrelsen möjlighet att avkoda pseudonymiserade uppgifter i Strada för att kunna fullgöra sina skyldigheter som personuppgiftsansvarig. Så är fallet i den händelse någon vänder sig till Transportstyrelsen med begäran om registerutdrag. Rätten till rättelse och radering av personuppgifter Enligt artikel 17 i EU:s dataskyddsförordning har den registrerade under vissa förutsättningar rätt att få sina personuppgifter raderade. Detta gäller emellertid inte om behandlingen är nödvändig av något av de skäl som anges i artikel 17.3. Så är t.ex. fallet om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Behandlingen av personuppgifter i databasen är nödvändig för att utföra en uppgift av allmänt intresse. Det bör därför inte uppstå någon skyldighet för Transportstyrelsen att på begäran av den registrerade radera uppgifter i databasen. Något behov av att införa särskilda bestämmelser om detta i den föreslagna lagen finns inte. Av vad som framgår av artikel 16 i EU:s dataskyddsförordning har den registrerade dock en rätt att få felaktiga personuppgifter rättade. Det saknas skäl att inskränka denna rätt. Rätten att begära begränsningar och rätten att göra invändningar mot behandling av personuppgifter Enligt artikel 18 i EU:s dataskyddsförordning har den registrerade rätt att under vissa förutsättningar kräva att behandlingen av personuppgifter begränsas. Med begränsning avses en markering av lagrade personuppgifter i syfte att begränsa behandlingen av dessa (artikel 4.3 i förordningen). Det saknas skäl att begränsa den registrerades rättigheter att begära begränsning av behandlingen av personuppgifter enligt den aktuella bestämmelsen i dataskyddsförordningen. Enligt EU:s dataskyddsförordning har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne (artikel 21.1). Rätten att göra invändningar begränsar sig enligt denna bestämmelse till behandling av personuppgifter, när det gäller myndigheter som utför sina uppgifter, som grundar sig på att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Om personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 21.6). Rätten att göra invändningar innebär att den registrerade har en möjlighet att få till stånd en överprövning av behandlingens tillåtlighet. Överprövningen innebär att den personuppgiftsansvarige måste kunna visa att dennes tvingande berättigade intressen väger tyngre än den registrerades intressen (artikel 21.1). Om det saknas berättigade skäl har den registrerade rätt att få personuppgifterna raderade (artikel 17.1 c). Rätten att göra invändningar har ett antal begränsningar. Den registrerade har t.ex. inte rätt att invända om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgifts- ansvarige (artikel 6.1 c). Rätten att göra invändningar är vidare begränsad Prop. 2020/21:124 om det rör sig om personuppgifter som behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1. Mot bakgrund av de inskränkningar som finns i rätten att göra invändningar enligt EU:s dataskyddsförordning bör den ha begränsad betydelse i fråga om personuppgiftsbehandlingen i Strada. Några skäl för att införa ytterligare begränsningar av rätten att invända har inte framkommit. 6.14Längsta tid som personuppgifter får behandlas Regeringens förslag: Personuppgifter i databasen ska inte få behandlas än vad som är nödvändigt med hänsyn till de trafiksäkerhetsrelaterade ändamålen. En upplysningsbestämmelse ska införas om att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela föreskrifter om längsta tid som personuppgifter får behandlas och om gallring. Promemorians förslag överensstämmer delvis med regeringens. promemorian föreslås att personuppgifter ska gallras när de inte längre behövs för sitt ändamål. Remissinstanserna: anser att en mer specifik tidsgräns för gallring bör anges i lagen och att eventuella undantag från gallringsskyldigheten måste anpassas till EU:s dataskyddsförordning. Justitiekanslern anser att utformningen av den föreslagna bestämmelsen inte tillräckligt beaktar integritetsaspekten för de registrerade och att skälen för bestämmelsen inte är övertygande. en tydligare och restriktivare regel om gallring är önskvärd. sjukhuset anser att gallring bör ske direkt efter matchning av olyckan. å sin sida menar att personuppgifterna i Strada som huvudregel inte bör gallras utan att behovet av skydd för integriteten kan tillgodoses genom sekretessreglering och informationssäker behandling av , som getts tillfälle att yttra sig över ett utkast till lagrådsremiss, menar att eventuella gallringsbestämmelser bör meddelas av regeringen och inte av Transportstyrelsen. Skälen för regeringens förslag: Enligt artikel 5.1 e i EU:s dataskydds- förordning får inte personuppgifter förvaras i en form som möjliggör identifiering av den registrerade än vad som är