Vägtrafikregisterutredningens betänkande (SOU 2010:76) Transportstyrelsens databaser på vägtrafikområdet integritet och effektivitet

Transkript

1 Yttrande Diarienr Ert diarienr N2010/6856/TE Näringsdepartementet Stockholm Vägtrafikregisterutredningens betänkande (SOU 2010:76) Transportstyrelsens databaser på vägtrafikområdet integritet och effektivitet Datainspektionen, som har granskat utredningen huvudsakligen utifrån sin uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter, har följande synpunkter att lämna. Med hänsyn till utredningens omfattning har Datainspektionen koncentrerat sina synpunkter främst på sådana förslag som innebär någon förändring i sak mot nu gällande bestämmelser. Allmänt om förslaget Inledningsvis vill Datainspektionen framföra att utredningen genomgående på ett förtjänstfullt sätt belyst många av de integritetsfrågor som aktualiseras i utredningens förslag. Datainspektionen lovordar till exempel utredningens bedömning till grund för förslaget att inte införa ett centralt register av uppgifter om parkeringstillstånd för rörelsehindrade (kap. 14.3). Datainspektionen anser också att det är positivt att utredningen på flertalet ställen i författningsförslagen infört skrivningar som höjer medvetenheten om och därmed skyddet för den personliga integriteten. Ett exempel på en sådan skrivning är att det, i förslaget till vägtrafikregisterlag, av lagtexten framgår att syftet med lagen är att skydda människors personliga integritet från att kränkas. Vissa saker omnämns utan närmare analys, eftersom utredningen inte föreslår något nytt i sak. Exempelvis gäller det registreringar som ska göras med anledning av så kallade riskvärderingssystem. När det gäller riskvärderingssystem vill Datainspektionen erinra om behovet av en grundläggande analys av konsekvenserna för den personliga integriteten och hänvisar därför till syn- Postadress: Box 8114, Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: Webbplats: Telefax:

2 punkter som vi lämnat vid tidigare tillfällen (se Datainspektionens yttrande över Vägverkets redovisning av regeringsuppdrag att se över kontrollen av köroch vilotider m.m., N2008/3666/TR och Transportstyrelsens framställan om kontroll av kör- och vilotider i företag, N2010/5017/TE). 6. Två lagar istället för en lag, 7.1 Särskild författningsreglering Datainspektionen delar utredningens uppfattning att behandling av personuppgifter i Transportstyrelsens verksamhet på vägtrafikområdet ska författningsregleras särskilt och att det blir tydligare vilka bestämmelser som gäller för personuppgiftsbehandling när dessa regler anges i en särskild lag, skild från de materiella bestämmelserna. Datainspektionen vill dock framhålla att det, som alltid när det är fråga om den här typen av ramlagstiftning, är svårt att förutse vad lagstiftningen kan komma att innebära för integriteten vid framtida behandlingar. Det är därför mycket viktigt att framtida personuppgiftsbehandling inte pressas in under den nu föreslagna regleringen utan att det i samtliga fall görs en ordentlig analys av vad behandlingen får för konsekvenser för den personliga integriteten. 7.2 Nivån på författningsregleringen I likhet med utredningen menar Datainspektionen att de grundläggande principerna för behandling av personuppgifter ska regleras i lag, att kompletterande bestämmelser ska meddelas av regeringen och att Transportstyrelsen i vissa fall ska kunna meddela föreskrifter. Datainspektionen har dock vissa synpunkter på de föreslagna bestämmelserna, se nedan under och Lagens tillämpningsområde Datainspektionen har inget att invända mot att personuppgiftsbehandling inom ramen för STRADA inte ska omfattas av lagens tillämpningsområde. Datainspektionen har dock vid upprepade tillfällen framfört sina synpunkter angående behandlingen i STRADA (se N2008/3588/TR, N2008/4100/RS och N2009/364/TR.) och vill återigen påminna om behovet av att STRADA regleras i lag Personuppgiftsansvaret Datainspektionen instämmer i utredningens uppfattning att det, vad gäller personuppgiftsansvaret, inte finns skäl att göra någon förändring mot vad som gäller i dag enligt LVTR. Transportstyrelsen ska alltjämt vara personuppgiftsansvarig för personuppgifter som behandlas i databaserna även när en annan myndighet svarar för att uppgifterna förs in. Datainspektionen ställer sig dock frågande till valet av formulering i den föreslagna bestämmelsen att Sida 2 av 5

3 Transportstyrelsen är personuppgiftsansvarig för den behandling som utförs enligt lagen eller enligt föreskrifter som meddelats i anslutning till lagen. Formuleringen kan väcka frågor som: Är Transportstyrelsen ansvarig för behandling som andra utför? Vem ansvarar för behandling som inte sker enligt lagen, utan i strid med den? Datainspektionen föreslår att det istället anges att Transportstyrelsen ansvarar för den behandling av personuppgifter som myndigheten utför. En sådan formulering liknar många andra registerförfattningars och torde kunna användas trots att andra myndigheter har ett ansvar för att lägga in uppgifter i de aktuella databaserna. Detta eftersom även lagring av personuppgifter anses vara en behandling av uppgifter i personuppgiftslagens mening Särskilt om uppgifter om fordon Utredningen föreslår att en uppgift om ett fordons registrerings- eller chassinummer alltid får behandlas för att tillhandahålla sådana uppgifter om fordonet som inte är personuppgifter. Datainspektionen menar att alla uppgifter om ett fordon vars registrerade ägare är en fysisk person (även enskild firma) är att betrakta som personuppgifter när uppgifterna behandlas tillsammans med ett registrerings- eller chassinummer. Den föreslagna bestämmelsen får därför begränsad betydelse Transportstyrelsens föreskriftsrätt, Särskild om registrering av uppgifter om viss teknik, utrustning och system som är trafiksäkerhetsfrämjande Utredningen menar att den föreslagna vägtrafikförordningen alltjämt uttömmande ska reglera innehållet i databaserna. Något bemyndigande i lag för regeringen att överlåta till Transportstyrelsen att meddela föreskrifter om innehållet i databaserna föreslås alltså inte. Transportstyrelsen tillåts dock meddela föreskrifter om hur uppgifterna som anges i förordningens bilaga 1 närmare ska anges. Möjligen kan en sådan lösning accepteras. Eftersom det inte finns något bemyndigande för regeringen att överlåta någon föreskriftsrätt åt Transportstyrelsen är dock 2 kap. 4 i förslaget till vägtrafikdataförordning inte acceptabel. Den medger att det i fordonsdatabasen får föras in uppgifter om fordons trafiksäkerhetshöjande tekniska lösningar och att Transportstyrelsen får meddela föreskrifter om vilka uppgifter som får föras in. Datainspektionens uppfattning är att innehållet i databaserna bör regleras uttömmande i förordningen. Särskilt eftersom Datainspektionen inte kan utesluta att de uppgifter som kan komma att registreras är känsliga i personuppgiftslagens mening (t.ex. alkolås och ecall). De fordonstekniska uppgifterna är att betrakta som personuppgifter i de fall den registrerade ägaren är en fysisk person (även enskild firma). Sida 3 av 5

4 8.3 Indelning i en fordonsdatabas, en behörighetsdatabas och en tillsynsdatabas Datainspektionen delar utredningens uppfattning att en uppdelning på olika databaser innebär fördelar ur ett integritetsperspektiv. Det är dock inte helt tydligt i vilken databas uppgifter om tillsyn kommer att registreras och hur uppgifter från de olika databaserna får användas på tillsynsområdet. Dessa frågor bör därför tydliggöras Direktåtkomst bör fortsatt regleras i lag, Direktåtkomst till elektroniska handlingar Utredningen föreslår att det i lagen ska anges att den som har medgetts direktåtkomst ska se till att tillgången till personuppgifter begränsas till vad varje tjänsteman eller anställd behöver för att kunna fullgöra sina arbetsuppgifter. Detta är ett krav som alltså uttryckligen riktas mot mottagaren av uppgifterna och inte mot Transportstyrelsen. Formuleringen är ur integritetssynpunkt bra och förstärker en princip som grundar sig på personuppgiftslagens grundläggande bestämmelser och säkerhetsbestämmelser. Det är också bra att det av lagen framgår ett krav riktat mot mottagaren av uppgifterna som till del motsvarar det som sedan tidigare finns riktat mot Transportstyrelsen i förordning. I förordningen anges att direktåtkomst inte får medges innan Transportstyrelsen försäkrat sig om att behörighets- och säkerhetsfrågorna är lösta på ett sätt som är tillfredsställande ur integritetssynpunkt. Datainspektionen delar utredningens uppfattning om att handlingar i ärenden kan innehålla känsliga personuppgifter och att huvudregeln därför ska vara att direktåtkomst till handlingar inte ska medges. Datainspektionen utesluter inte heller att det i undantagsfall skulle kunna finnas skäl att medge vissa aktörer direktåtkomst till handlingar och att regeringen skulle kunna få göra de nödvändiga övervägandena. Den beskrivning och motivering som utredningen lämnar, avseende förslaget om Skatteverkets möjlighet till direktåtkomst i fordonsskatteärenden, ger dock inte tillräckligt underlag för att Datainspektionen ska kunna ta ställning till förslaget i den delen Polisens direktåtkomst till fotografier Utredningen föreslår att polisen ska ges möjlighet till direktåtkomst till fotografier för kontroll av identitet i samband med kontroll av förarbehörighet. Att medge alla poliser sådan åtkomst är en förändring som innebär en stor potentiell spridning av fotografierna. Det är därför viktigt att göra en noggrann undersökning av vilket sekretesskydd som kommer att gälla för fotografierna hos polismyndigheten. Utredningen konstaterar endast mycket kortfattat att den absoluta sekretess som enligt OSL 22 kap. 1 ursprungligen gäller för fotografierna förs över till polismyndigheten i enlighet med OSL 11 kap. 4. Datainspektionen saknar i det här sammanhanget en redogörelse utifrån Sida 4 av 5

5 undantagsbestämmelsen i OSL 11 kap. 8 och efterfrågar därför en noggrannare genomgång av vilket sekretesskydd som kommer att gälla hos polismyndigheten. Utgångspunkten måste vara att samma stränga sekretess som skyddar uppgifterna hos den utlämnande myndigheten också ska gälla för fotografierna hos polisen. Datainspektionen vill också erinra om vikten av att det vidtas tillräckliga säkerhetsåtgärder vid polisens direktåtkomst till fotografier. Detta yttrande har beslutats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Hans-Olof Lindblom, teamledaren Britt-Marie Wester och juristen Lena Carlsson, föredragande. Göran Gräslund Lena Carlsson Sida 5 av 5