prop · H803124 · 2021-03-11 00:00:00 — 2020/21:124 fritidsfartyg bör därför i detta sammanhang avses ett fartyg (skepp eller båt) som används för fritidsändamål. Ett fartyg som används i affärsmässig verksamhet är inte ett fritidsfartyg. 6.5.2Övriga termer och uttryck som används i lagen Regeringens förslag: Andra termer och uttryck i lagen ska ha samma betydelse som i EU:s dataskyddsförordning, lagen om vägtrafikdefinitioner och förordningen om vägtrafikdefinitioner. Promemorians förslag överensstämmer delvis med regeringens. Promemorians förslag innehåller inte någon uttrycklig hänvisning till dataskyddsförordningen i denna del. Remissinstanserna lämnar inga synpunkter. Skälen för regeringens förslag: I lagen (2001:559) om vägtrafikdefinitioner finns definitioner av grundläggande fordonsbeteckningar på vägtrafikområdet. Fordon och terrängmotorfordon definieras i lagen om vägtrafikdefinitioner och bör ha samma betydelse i den föreslagna lagen. I förordningen (2001:651) om vägtrafikdefinitioner finns ytterligare definitioner av termer på vägtrafikområdet. Orden väg och trafikant bör i lagen ges samma betydelse som i förordningen om vägtrafikdefinitioner. De centrala termer och uttryck som används för behandling av personuppgifter enligt EU:s dataskyddsförordning definieras i artikel 4 i förordningen. Där anges vad som i förordningen avses med personuppgifter och behandling av sådana uppgifter, personuppgiftsansvarig, pseudonymisering och uppgifter om hälsa. Eftersom den föreslagna lagen kompletterar dataskyddsförordningen, bör termer och uttryck som används i lagen ha samma betydelse som i förordningen. Regeringens förslag: Transportstyrelsen ska vara personuppgiftsansvarig för behandlingen av personuppgifter i databasen. Promemorians förslag överensstämmer delvis med regeringens förslag. Enligt promemorians förslag ska Transportstyrelsen vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Remissinstanserna lämnar inga synpunkter. , som getts tillfälle att yttra sig över ett utkast till lagrådsremiss, ställer sig frågande till hur Transportstyrelsens personuppgiftsansvar förhåller sig till bestämmelsen om att den som medgetts direktåtkomst ska begränsa tillgången till uppgifterna. Skälen för regeringens förslag: I artikel 4.7 i EU:s dataskyddsförordning definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behand- lingen av personuppgifter. Bedömningen av vem som är personuppgifts- 2020/21:124 ansvarig för en viss behandling ska därmed enligt huvudregeln göras utifrån dataskyddsförordningen och de faktiska omständigheterna i varje enskilt fall. Enligt artikel 4.7 i dataskyddsförordningen kan dock medlemsstaterna i den nationella rätten ange vem som är personuppgiftsansvarig om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt. Enligt förslagen i avsnitt 5.10 kommer vårdgivare, och att lämna uppgifter till Strada. Som huvudregel bör gälla att den som utför själva behandlingen av personuppgifter också ska ha personuppgiftsansvaret. Det är dock Transportstyrelsen som är tekniskt ansvarig för databasen, inklusive de applikationer som används vid inrapportering och utlämnande av uppgifter. Transportstyrelsen kan också komma att bemyndigas att meddela föreskrifter om rapporteringen (se avsnitt 6.10.5). För den enskilde underlättar det om ansvaret för den personuppgiftsbehandling som sker i databasen är samlat hos en myndighet. Enligt regeringens uppfattning bör därför Transportstyrelsen vara personuppgiftsansvarig för behandlingen i databasen. En bestämmelse om detta bör införas i den föreslagna lagen. Med anledning av synpunkt kan det konstateras att Transportstyrelsen kommer att ansvara för frågor om direktåtkomst till uppgifterna i Strada (se avsnitt 6.12.1). Detta motsägs inte av att den som medges direktåtkomst ska ansvara för att tillgången till de personuppgifter som mottagaren får del av genom sådan åtkomst begränsas hos denne. Den som rapporterar uppgifter till Strada eller medges direktåtkomst till databasen är själv personuppgiftsansvarig för den behandling som sker inom ramen för den egna verksamheten. Regeringens förslag: Personuppgifter ska få behandlas i databasen om det är nödvändigt för –framställning av statistik inom trafiksäkerhetsområdet, –forskning som avser trafiksäkerhet, eller –planering, uppföljning, utvärdering och kvalitetssäkring av trafiksäkerhetsarbete. Personuppgifter som behandlas enligt dessa ändamål ska få behandlas även för andra ändamål, under förutsättning att behandlingen inte är oförenlig med det ändamål för vilket uppgifterna samlades in. Promemorians förslag överensstämmer i huvudsak med regeringens. I förhållande till promemorian har ändamålen förtydligats och regleringen av finalitetsprincipen fått en något annorlunda utformning. Remissinstanserna: anser inte att forskning ska anges som ett tillåtet ändamål eftersom Transportstyrelsen inte bedriver någon forskning, och menar att personuppgifter inte får samlas in på den grunden att de kan komma att behövas i ett framtida forskningsprojekt. , som getts tillfälle att yttra sig över ett utkast till lagrådsremiss, menar att de uppräknade trafiksäkerhets- relaterade ändamålen bör utgöra den yttersta ramen för personuppgifts- Prop. 2020/21:124 behandlingen och att behandling för andra ändamål inte ska vara tillåten. Skälen för regeringens förslag Förutom att minst en rättslig grund måste vara tillämplig för att behandling av personuppgifter ska vara laglig, finns det ett antal principer som ska tillämpas vid all personuppgiftsbehandling. Principerna anges i artikel 5 i dataskyddsförordningen. Enligt artikel 5.1 får personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. EU:s dataskyddsförordning ställer inga krav på att ändamålen ska vara fastställda i författning, men det finns inte heller någonting som hindrar att detta görs. Ändamålsbestämmelser är en sådan typ av specifika bestämmelser som i enlighet med artikel 6.2 och 6.3 i dataskyddsförordningen anpassar tillämpningen av förordningen. Syftet med sådana bestämmelser är att ange ramen för vilken behandling som är tillåten. Genom att reglera för vilka ändamål som personuppgifter får behandlas kan intresset av att behandla uppgifterna balanseras mot det intrång i den personliga integriteten som behandlingen kan innebära. Övergripande om ändamålen i Strada Genom att ange bestämda ändamål definieras för vilka syften uppgifter får samlas in och behandlas. Regeringen delar promemorians bedömning att det bör föras in en bestämmelse i lagen som anger för vilka ändamål personuppgifter i databasen får behandlas och att ändamålen ska vara trafiksäkerhetsrelaterade. Transportstyrelsens verksamhet på trafiksäkerhetsområdet kan sägas bestå i att följa och analysera förhållanden som väsentligen kan påverka transportsystemets utformning och funktion, att påverka aktörer för att hindra svåra trafikolyckor och att samverka med andra aktörer i syfte att öka trafiksäkerheten samt att bedriva forskning och utveckling på området. Regeringen föreslår nedan att personuppgifter i databasen ska få behandlas om det är nödvändigt för ett antal ändamål med anknytning till Uppgifterna används av Transportstyrelsen för samtliga Ett av syftena med databasen är dock att utgöra kunskaps- och planeringsunderlag för trafiksäkerhetsarbetet även hos andra aktörer. De ändamål för vilka uppgifterna behandlas hos andra överlappar dock med de ändamål för vilka Transportstyrelsen använder uppgifterna. uppdelning i primära och sekundära ändamål görs därför inte. noteras att det följer av definitionen av behandling i artikel 4.2 i EU:s dataskyddsförordning att insamling och utlämning av uppgifter omfattas utöver organisering, lagring och bearbetning av uppgifter. behandling täcker alltså olika typer av åtgärder som kan förekomma i databasen, som att samla in och tillhandahålla uppgifter. Transportstyrelsen använder uppgifter från Strada i samband med att myndigheten redovisar statistik över olyckor och tillbud. styrelsen publicerar trafiksäkerhetsrapporter för olika trafikslag vid olika Myndigheten framställer även trafikslagsövergripande rapporter över trafiksäkerhetsutvecklingen baserade på statistiken för de olika trafikslagen. Transportstyrelsen biträder också Trafikanalys vid framtagandet av såväl officiell som annan statistik om olyckor inom transportområdet, varvid uppgifterna i Strada används. Mot denna bakgrund anser regeringen att ett av de tillåtna ändamålen bör vara behandling av personuppgifter för framställning av statistik inom trafiksäkerhetsområdet. Strada utgör även en viktig kunskapskälla vid forskning på trafiksäkerhetsområdet. anser att om syftet är att uppgifter ska få lämnas ut för forskningsändamål så är det detta som ska regleras och att uppgifter då inte får samlas in för att användas för framtida forskningsändamål. Regeringen konstaterar att en viktig utgångspunkt vid inrättandet av Strada var att forskning är en viktig del av trafiksäkerhetsarbetet. Ett av huvudsyftena med att samla uppgifter om olyckor och skador är alltså att kunna använda dessa i forskning som avser trafiksäkerhet. När det gäller Transportstyrelsens verksamhet ska myndigheten enligt förordningen (2008:1300) med instruktion för Transportstyrelsen dels verka för att de transportpolitiska målen uppnås och verksamheten särskilt inriktas på att bidra till ett internationellt konkurrenskraftigt, miljöanpassat och säkert transportsystem, dels svara för forskning och innovation som motiveras av myndighetens uppgifter. Transportstyrelsen har alltså ett forskningsuppdrag och bedriver forskning inom bl.a. trafiksäkerhetsområdet. Regeringen anser därför att det inte finns några hinder mot att som ändamål ange att personuppgifter i databasen får behandlas för forskningsändamål. Genom att begränsa ändamålet till sådan forskning som avser just trafiksäkerhet klargörs det inom vilket forskningsområde uppgifterna kan komma att behandlas. Mot denna bakgrund anser regeringen att ändamålet för personuppgiftsbehandlingen är tillräckligt preciserat för att kunna godtas. Regeringen föreslår alltså att även forskning som avser trafiksäkerhet ska vara ett tillåtet ändamål för personuppgiftsbehandlingen i Strada. Forskning på detta område bedrivs även hos andra aktörer, t.ex. vid och universitet och högskolor. Planering, uppföljning, utvärdering eller kvalitetssäkring Transportstyrelsen har ett övergripande ansvar att verka för att de transportpolitiska målen uppnås och ska bl.a. inrikta verksamheten på att uppnå säkerhet i transportsystemet. Transportstyrelsen gör inte utvärderingar av enskilda insatser, men uppgifter i Strada används av myndigheten i samband med framtagandet av samhällsekonomiska uppföljningar och utvärderingar av trafiksäkerheten. Nollvisionen utgår ifrån att ansvaret för en ökad trafiksäkerhet delas mellan flera olika aktörer som har trafiksäkerhetsrelaterade uppdrag. Uppgifterna i Strada används av flera andra myndigheter för att på olika sätt följa upp och utvärdera vilka trafiksäkerhetsinsatser som har visat sig vara effektiva för att utifrån detta planera trafiksäkerhetsåtgärder i syfte att nå målet om att ingen ska dödas eller skadas allvarligt i trafiken. Det kan t.ex. vara undersökningar av vilka vägsträckor som är särskilt olycksdrabbade eller vilken effekt olika typer av åtgärder, som trafikföreskrifter (t.ex. hastighetsbegränsningar), trafikövervakningsarbete, säkerhetshöjande åtgärder (t.ex. byggandet av rondeller, planseparerade korsningar och mitträcken) eller underhållsarbeten (t.ex. lagning av vägbana och snöröjning) har haft utifrån ett trafiksäkerhetsperspektiv. Sådana uppföljningar kan sedan användas som beslutsunderlag för åtgärder som bör vidtas . och kommunerna har i egenskap av väghållare behov av att få en tydlig bild över var, när och hur olyckor inträffar för att kunna planera och vidta åtgärder så att infrastrukturen blir säker. Vidare använder den kommunala räddningstjänsten uppgifter från Strada i syfte att följa upp sina insatser vid olyckor. Även har behov av tillgång till Strada för planering och uppföljning av bl.a. myndighetens trafikövervakande insatser. Flera myndigheter, bl.a. infrastrukturhållare, länsstyrelser och , har dessutom befogenheter att besluta om trafikföreskrifter. Sådana trafikföreskrifter kan avse bl.a. hastighetsgränser. Myndigheten för samhällsskydd och beredskap har bl.a. i uppdrag att stödja samhället i arbetet med att förebygga och förhindra olyckor och utarbetar bl.a. rutiner i syfte att förebygga olyckor. Myndigheten använder Strada i sitt arbete med metodutveckling av räddningsinsatser men också för att framställa trafikolycksstatistik. Trafikanalys har bl.a. till uppgift att, med utgångspunkt i de transportpolitiska målen, utvärdera och analysera samt redovisa effekter av föreslagna och genomförda åtgärder inom transportområdet. Sammanfattningsvis används uppgifter från Strada för att på olika sätt undersöka och följa upp vilken effekt redan vidtagna åtgärder har haft och som kunskaps- och planeringsunderlag för framtida åtgärder. De syften som uppgifterna används för i dessa avseenden kan lämpligen sammanfattas som planering, uppföljning, utvärdering och kvalitetssäkring av trafiksäkerhetsarbete. Personuppgifter i databasen bör därför få behandlas för dessa ändamål. Behandlingen ska vara nödvändig Av artikel 6 i EU:s dataskyddsförordning framgår att behandling av personuppgifter med stöd av punkterna b – f i artikeln är tillåten endast om behandlingen är nödvändig i förhållande till den rättsliga grunden. Kravet på att behandlingen ska vara nödvändig innebär inte att behandlingsåtgärden ska vara oundgänglig. Nödvändighetskravet innebär dock en spärr mot helt onödig behandling av personuppgifter eller sådan behandling som utgör ett oproportionerligt intrång i privatlivet som inte kunnat förutses (prop. 2017/18:105 s. 60). Enligt artikel 5.1 b i EU:s dataskyddsförordning ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. Principen om att personuppgifter inte senare behandlas för något annat 2020/21:124 ändamål som är oförenligt med insamlingsändamålen brukar kallas finalitetsprincipen. Enligt vad som föreslås ovan får personuppgifter i databasen behandlas för vissa särskilt angivna ändamål. Som anges ovan medger EU:s dataskyddsförordning att personuppgifter som samlats in för vissa ändamål får behandlas för andra ändamål, om den behandlingen inte är oförenlig med insamlingsändamålen. anser dock att de angivna trafiksäkerhetsrelaterade ändamålen i sig är vida och menar att dessa bör utgöra den yttersta ramen för vilken behandling som är tillåten. Skulle ytterligare behandling tillåtas utgör bestämmelsen enligt uppfattning inte någon sådan ändamålsbegränsning som kan ses som en skyddsåtgärd enligt EU:s dataskyddsförordning. Mot bakgrund av att finalitetsprincipen är en princip som utmynnar direkt ur EU:s dataskyddsförordning och att det inte kan uteslutas att uppgifterna kan behöva behandlas för andra ändamål, som inte är oförenliga med insamlingsändamålen, anser regeringen att ytterligare behandling inte bör förbjudas. Till skillnad från anser regeringen därför att finalitetsprincipen bör gälla vid behandling av personuppgifter i Strada. Mot bakgrund av att databasen bl.a. innehåller känsliga personuppgifter finns det dock anledning att begränsa möjligheterna till vidarebehandling av sådana uppgifter för att värna om den personliga integriteten. Regeringen återkommer till denna fråga i avsnitt 6.9. Regeringens förslag: Databasen får innehålla uppgifter med anknytning till de olyckor som avses i lagen och om personer som varit involverade i olyckan. En upplysningsbestämmelse ska införas om att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter om vilka personuppgifter som får behandlas i databasen. Promemorian innehåller inte förslag om databasens innehåll. Remissinstanserna lämnar inga synpunkter. , som getts tillfälle att yttra sig över ett utkast till lagrådsremiss, anser att det måste specificeras exakt vilka personuppgifter som får behandlas i databasen. Skälen för regeringens förslag: Som föreslås i avsnitt 6.7 är de ändamål för vilka personuppgifter behandlas i Strada begränsade till att avse sådana som är nödvändiga för olika trafiksäkerhetsrelaterade menar att det i strid med uppgifts- minimeringsprincipen finns risk för att fler och mer omfattande uppgifter samlas in än vad som är nödvändigt och att det bör regleras exakt vilka personuppgifter som får behandlas i databasen. De uppgifter som samlas in och behandlas i Strada avser en rad omständigheter hänförliga till själva olyckan, dess uppkomst och de personskador som olyckan medfört. om personuppgifter måste insamlingen och behandlingen av dessa prövas i förhållande till de specificerade trafiksäkerhetsändamålen får alltså behandlas av Prop. 2020/21:124 Transportstyrelsen. Som framgår av artikel 5.1 c i EU:s dataskydds- förordning måste de personuppgifter som behandlas vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Vilka uppgifter som behöver samlas i databasen kan i viss utsträckning komma att förändras med hänsyn till utvecklingen av trafiksäkerhetsarbetet. Någon exakt reglering i lagen av vilka uppgifter som får behandlas i databasen är därför inte lämplig. Lagen bör däremot innehålla en bestämmelse som anger ramarna för vilket innehåll databasen får ha. Det föreslås därför att det i lagen införs en bestämmelse om att databasen får innehålla uppgifter med anknytning till sådana olyckor som avses i lagen och om personer som varit involverade i olyckan. Regeringen har möjlighet att i förordning ange närmare vilka kategorier av uppgifter som får behandlas. En upplysningsbestämmelse om att regeringen kan meddela närmare föreskrifter om vilka uppgifter som får behandlas i databasen bör därför införas. 6.9Behandling av särskilda kategorier av personuppgifter Regeringens förslag: Uppgifter om hälsa som avser personskador ska få behandlas i databasen och ska få användas som sökbegrepp. Inga andra känsliga personuppgifter ska få behandlas. Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ska vara tillåten vid vidarebehandling i enlighet med finalitetsprincipen endast om det är absolut nödvändigt för syftet med behandlingen. Promemorians förslag överensstämmer delvis med regeringens. Promemorian innehåller inte någon precisering i fråga om vilka hälsouppgifter som får behandlas eller någon uttrycklig bestämmelse om att sådana uppgifter får användas som sökbegrepp. Promemorian innehåller inte heller något förslag om att begränsa vidarebehandling av uppgifter. Remissinstanserna: framhåller att det måste prövas om behandlingen av uppgifterna kan anses uppfylla ett viktigt allmänt intresse och att en proportionalitetsbedömning ska göras. anser att det är värdefullt att uppgifter om hälsa får behandlas utan samtycke. () och AB uppger att de stöder bedömningen att sökbegrepp inte ska begränsas. Övriga remissinstanser kommenterar inte förslaget särskilt. Skälen för regeringens förslag EU:s dataskyddsförordning tillåter bara behandling av känsliga personuppgifter i vissa fall I artikel 9.1 i dataskyddsförordningen finns ett förbud mot att behandla vissa särskilda kategorier av personuppgifter, t.ex. uppgifter som avslöjar 2020/21:124 ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Begreppet känsliga personuppgifter används i dataskyddslagen som samlingsbenämning för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen (prop. 2017/18:105 s. 75). I artikel 9.2 i dataskyddsförordningen finns ett antal undantag från förbudet mot att behandla känsliga personuppgifter. Undantagen är direkt tillämpliga men i vissa fall krävs stöd i rättsordningen, utöver det som dataskyddsförordningen ger. Detta gäller t.ex. undantaget i artikel , som anger att behandling av känsliga personuppgifter är tillåten om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Unionsrätten eller den nationella rätten ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Även undantaget i artikel 9.2 j, som gäller behandling som är nödvändig för arkiveringsändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, innehåller sådana krav. Kraven i artikel och j på att behandlingen ska ske på grundval av unionsrätten eller medlemsstatens nationella rätt innebär att den rättsliga grunden för behandlingen typiskt sett kommer att vara någon av dem som avses i artikel 6.1 c eller e, dvs. en rättslig förpliktelse, en uppgift av allmänt intresse eller myndighetsutövning som har stöd i rättsordningen (prop. 2017/18:105 s. 84). Som utvecklas i avsnitt 6.1 utgör dessa artiklar den rättsliga grunden för den personuppgiftsbehandling som sker i databasen. När det gäller kravet på att det rättsliga stödet ska vara förenligt med det väsentliga innehållet i rätten till dataskydd kan det konstateras att det är svårt att föreställa sig en rättslig grund för behandling av personuppgifter som uppfyller kraven i artikel 6 i dataskyddsförordningen men som ändå inte är förenlig med det väsentliga innehållet i rätten till dataskydd. Det kan därför ifrågasättas om tillägget i artikel utgör ett krav som går utöver de krav som gäller enligt artikel 6 (prop. I artikel och j tillkommer de ytterligare kraven att det ska göras en proportionalitetsbedömning och att det ska finnas bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Det finns kompletterande bestämmelser om känsliga personuppgifter i dataskyddslagen I 3 kap. dataskyddslagen finns bestämmelser om behandling av vissa kategorier av personuppgifter, som bl.a. kompletterar EU:s dataskyddsförordning i fråga om behandling av känsliga personuppgifter. För behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse får en myndighet eller ett annat organ som omfattas av offentlighetsprincipen enligt 3 kap. 3 § dataskyddslagen behandla känsliga personuppgifter i vissa fall. Sådana uppgifter får behandlas om uppgifterna har lämnats till den personuppgiftsansvarige och behandlingen krävs enligt lag, om det är nödvändigt för handläggningen av ett ärende eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vidare får känsliga personuppgifter enligt 3 kap. 7 § dataskyddslagen behandlas om behandlingen är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Det finns ett behov av en särskild reglering av behandlingen av känsliga personuppgifter i Strada