Prop. 116 L

(2021–2022)
Proposisjon til Stortinget (forslag til lovvedtak)

Endringer i yrkestransportloven (behandling av personopplysninger)

Tilråding fra Samferdselsdepartementet 20. mai 2022, godkjent i statsråd samme dag. (Regjeringen Støre)

Dokumentet på regjeringen.no

1 Proposisjonens hovedinnhold

Samferdselsdepartementet foreslår i denne proposisjonen å innta en bestemmelse om behandling av personopplysninger i lov 21. juni 2002 nr. 45 om yrkestransport med motorvogn og fartøy (yrkestransportloven).

Departementet foreslår at bestemmelsen plasseres som ny § 29 b i kapittel 6 Sams føresegner. Den foreslåtte bestemmelsen gir i første ledd en generell adgang for offentlige myndigheter og juridiske personer til å behandle personopplysninger i yrkestransportloven. I tillegg foreslår departementet en særskilt hjemmel i bestemmelsens annet ledd som er ment å dekke behovet for behandling av personopplysninger ved billettering på ferje. Videre foreslås det å innta en forskriftshjemmel i bestemmelsens tredje ledd som går ut på at departementet skal kunne gi forskrift om behandling av personopplysninger på yrkestransportlovens område.

Det overordnede formålet med forslaget er å klargjøre at offentlige myndigheter og andre aktører som er tildelt oppgaver i eller i medhold av yrkestransportlovens bestemmelser, kan behandle personopplysninger. Når det gjelder forslaget til bestemmelsens første ledd, er hensikten å etablere en generell hjemmel for behandling av personopplysninger. Behovet for en klargjøring av hjemmelsgrunnlaget er blitt tydeliggjort i forbindelse med gjennomføringen av Europaparlaments- og rådsforordningene (EU) 2020/1054 om endringer i reglene om kjøre- og hviletid og fartsskriver og 2020/1055 om endringer i reglene for yrkes- og markedsadgang i vegtransport mv. i norsk rett, samt at det i forbindelse med forslag til ny kontrollhjemmel i yrkestransportloven § 38 er behov for å regulere behandlingen av personopplysninger. Forordningene er en del av EUs mobilitetspakke del 1. For de øvrige endringene i yrkestransportloven som følge av implementeringen av EUs mobilitetspakke del 1, se Prop. 105 LS (2021–2022) Endringer i vegtrafikkloven og yrkestransportloven (mobilitetspakken mv.) og samtykke til godkjennelse av EØS-komiteens beslutninger nr. 77/2022 og 78/2022 av 18. mars 2022 om innlemmelse i EØS-avtalen av forordningene (EU) 2020/1055 og (EU) 2020/1054.

Hva gjelder bestemmelsens annet ledd, som er ment å dekke behovet for behandling av personopplysninger ved ferjebillettering, vurderer departementet at det er et særskilt behov for å regulere behandling av personopplysninger i slike tilfeller, herunder løyvemyndighetenes behandling av personopplysninger. Behovet for en slik bestemmelse har sammenheng med bruk av AutoPASS og AutoPASS-ferjekort på en rekke ferjesamband i Norge. Videre har forslaget en direkte sammenheng med dagens midlertidige regulering av billettering på ferje. Det vises her til midlertidig lov 26. mai 2020 nr. 55 om billettering på ferje som følge av utbrudd av covid-19, som gjelder frem til 1. juli 2022.[1]

Forslaget til ny § 29 b annet ledd legger til rette for at ferjeselskapene kan gjennomføre elektronisk billettering uten at den reisende kan gjøre opp kontant. Ferjeselskapene vil likevel ikke bli pålagt å avvikle kontant betaling som oppgjørsmetode.

Departementet vurderer at det kun er kontant oppgjør som kan sikre fullstendig anonym ferdsel på ferje. Sammenholdt med den allerede tilsvarende situasjonen ved passeringer i bomstasjoner på vei, vurderer departementet at inngrepet i den enkeltes rettigheter og friheter er forholdsmessig og begrenset, se nærmere nedenfor i pkt. 4.1. Departementet vil fremheve at ferjetransport på samme måte som betaling for bompasseringer regnes som et tjenestetilbud, se pkt. 3.6.2. Videre viser departementet til at bokføringsregelverket – som også gjelder ved billettering av kjøretøy på ferje – innebærer at det for bompasseringer ikke har vært mulig å opprettholde et tilbud om sporfrie avtaler, se nærmere pkt. 2.4.

I tillegg foreslås det tre rettinger av feil i lovtekst. Dette gjelder yrkestransportloven §§ 7, 11 a, og 23.

2 Bakgrunnen for forslaget

2.1 Nærmere om behovet for en ny bestemmelse som regulerer adgangen til å behandle personopplysninger i yrkestransportloven

2.1.1 Behovet for en generell hjemmel om behandling av personopplysninger

Yrkestransportloven trådte i kraft 1. januar 2003 og regulerer ervervsmessig transport med motorvogn og fartøy gjennom løyveordninger. Loven inneholder også bestemmelser om kontroll og sanksjoner. Samferdselsdepartementet har gjennom flere forskrifter fastsatt nærmere krav om tildeling og utøving av løyver for ulike former for vei- og sjøtransport.

Det er løyvemyndighetene som tildeler løyve for transportvirksomhet og har oppgaver knyttet til forvaltningen av løyveordningen. Når det gjelder oppgaver knyttet til løyveforvaltningen, er det departementets vurdering at disse oppgavene overordnet sett allerede følger av bestemmelser i eller i medhold av yrkestransportloven.

Det er per i dag ikke en uttrykkelig hjemmel for behandling av personopplysninger i yrkestransportloven. Det kan likevel legges til grunn at løyvemyndighetenes behandlingsgrunnlag er knyttet til utførelse av oppgaver av allmenn interesse, jf. Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (personvernforordningen) artikkel 6 nr. 1 bokstav e). Imidlertid har rettsutviklingen de senere årene medført et behov for en generell hjemmel for behandling av personopplysninger.

EU-kommisjonen la 31. mai 2017 frem forslag til endringer i en rekke felleseuropeiske rettsakter på vegtransportområdet, som første del av den såkalte mobilitetspakken. Uttalte formål med endringene i reglene om kjøre- og hviletid og yrkes- og markedsadgang, var å forbedre arbeids- og næringsvilkårene i vegtransportsektoren, hindre sjåførtretthet og sikre mer effektiv håndheving. Forordningene (EU) 2020/1054 om endringer i forordning (EF) 561/2006 om kjøre- og hviletid, forordning (EU) 165/2014 om fartsskriver, og forordning (EU) 2020/1055 om endringer i forordning (EF) 1071/2009 om yrkesadgang til vegtransportmarkedet og forordning (EF) 1072/2009 om adgang til det internasjonale markedet for godstransport, ble formelt vedtatt i EU 15. juli 2020. Forordningene ble tatt inn i EØS-avtalen 18. mars 2022.

Reglene om kjøre- og hviletid for sjåfører og fartsskriver til kontroll av dette, er viktige verktøy for å ivareta trafikksikkerhet og like konkurransevilkår i vegtransportsektoren, samt sjåførenes arbeidsvilkår. Forordning 2020/1054 utvider formålet med fartsskriverordningen til foruten kontroll av kjøre- og hviletidsreglene mv., også å omfatte reglene om yrkes- og markedsadgang, herunder kabotasje, kombinerte transporter, arbeidstid for sjåfører og utstasjonering av sjåfører. Det gis bl.a. bestemmelser om at fartsskriveren skal ha nye funksjonaliteter, som posisjonstjenester og registrering av grensepasseringer. Dette skal muliggjøre mer effektiv kontroll av det berørte vegtransportregelverket, eksempelvis kabotasje.

Som følge av endringene i EUs mobilitetspakke forventes det at medlemslandene øker sin kontrollvirksomhet og samhandlingen mellom de kompetente kontrollmyndighetene. I tillegg utvides bruksområdet til fartsskriveren til å omfatte kontroll med yrkestransportregelverket. Dette medfører et behov for å kunne behandle personopplysninger i forbindelse med bruk av fartsskriveren. Etter departementets vurdering bør det foreligge hjemmel for slik behandling, jf. personvernforordningen artikkel 6 nr. 3.

Videre er det i forbindelse med forslaget til endringer av yrkestransportloven § 38 og utvidet bruk av elektroniske kontrollverktøy, jf. Prop. 105 LS (2021–2022), også behov for å styrke rettsgrunnlaget for behandling av personopplysninger. Departementet viser for øvrig til at en tilsvarende regulering for behandling av personopplysninger følger av lov 18. juni 1965 nr. 4 om vegtrafikk (vegtrafikkloven) § 43 b.

Departementet foreslår at det tilføres en ny bestemmelse om behandling av personopplysninger i yrkestransportloven. Forslaget inntatt i bestemmelsens første ledd er generell og skal i utgangspunktet omfatte all behandling av personopplysninger etter yrkestransportloven med tilhørende forskrifter.

2.1.2 Behovet for hjemmel om behandling av personopplysninger på ferjeområdet

Statens vegvesen, fylkeskommunene og operatørene utfører oppgaver innen ferjeområdet i medhold av bestemmelser i yrkestransportloven og tilhørende forskrifter. Når det gjelder behandling av personopplysninger på ferjeområdet, vurderer departementet at det i liten grad er gitt uttrykkelige bestemmelser om behandlingen i eller i medhold av yrkestransportloven.

Det forhold at behandling av personopplysninger på ferjeområdet ikke er direkte regulert i lov står i kontrast til bompengeområdet, der behandlingsgrunnlaget fremgår av lov 21. juni 1963 nr. 23 om vegar (veglova) § 27 femte ledd. Det ses her bort fra gjeldende adgang til behandling av personopplysninger i kraft av midlertidig lov om billettering på ferje.

Med billettering på ferje siktes det i hovedsak til billettering av passeringer på ferje med kjøretøy. Det er ikke betaling for den enkelte passasjer i kjøretøyene på samband som benytter AutoPASS-regulativ. Etter riksregulativet er det likevel takster for både kjøretøy og passasjerer. AutoPASS-teknologien brukes for å sikre komplett billettering på ferjer som bruker AutoPASS-regulativet.

En av metodene for billettering på ferje som ble benyttet før utbruddet av covid-19 i 2020, var manuell billettering etter riksregulativet for ferjetakster. Denne metoden går ut på at den reisende betaler for passeringen ved bruk av kontanter, bankkort eller AutoPASS-ferjekort om bord på ferja. Billetteringen starter med dialog gjennom bilvinduet mellom billettør og den reisende, for å fastslå antall passasjerer mv., som er nødvendig for å bestemme korrekt pris. Deretter leveres betalingsmiddelet fra den reisende til billettøren, som etter gjennomført transaksjon returnerer reisebevis, bankkort eller vekslepenger til den reisende. Metoden gjentas for hvert kjøretøy og passasjerer som er om bord på ferja. Reisende uten brikke eller AutoPASS ferjekort, kunne tidligere også betale ved å løse billett i billettautomat/billettbod der dette var installert.

Ved årsskiftet 2019/2020 hadde 10 av 16 riksveiferjesamband innført AutoPASS-regulativet og brikkebetaling, mens på ferjesambandene for fylkesvei var AutoPASS-regulativet og brikkebetaling innført på 19 av 97 samband. På ferjesamband som benyttet AutoPASS-regulativet før utbruddet av covid-19, ble om lag 70 prosent av billettene solgt ved bruk av AutoPASS-teknologi. Dette inkluderer billetter solgt med AutoPASS-ferjeavtale med forskuddsinnbetaling som oppnår full rabatt (50 prosent for privatkunder og 40 prosent for bedriftskunder) og de som har brikke og avtale fra en brikkeutsteder (men ikke AutoPASS-ferjeavtale), som oppnår 10 prosent rabatt. I forskrift 14. desember 2018 nr. 1917 om utstedervirksomhet for bompenger og ferjebilletter (utstederforskriften) er det forutsatt at både ferjeselskap og bompengeselskap kan inngå i AutoPASS Samvirke som operatører.

Når det gjelder ferjeselskapenes behandlingsgrunnlag i dag, legger departementet til grunn at ferjeselskapene kan anses for å behandle personopplysninger i forbindelse med utførelsen av en oppgave i allmenn interesse, jf. artikkel 6 nr. 1 bokstav e) samt nærmere supplerende rettsgrunnlag i og med midlertidig lov om billettering på ferje.

Ettersom behandlingen av personopplysninger på området for billettering på ferje er omfattende og potensielt vanskelig å unngå for den enkelte registrerte, er det departementets vurdering at hjemmelsgrunnlaget også i fremtiden bør fremgå klart av lovteksten. Departementet mener et slikt standpunkt også følger av vurderingene i Kongelig resolusjon 3. april 2020 om fastsettelse av midlertidig forskrift om billettering på ferje, Prop. 114 L (2019–2020), Prop. 29 L (2020–2021), samt Prop. 37 L (2021–2022). Departementet mener derfor at det er et særlig behov for et klarere hjemmelsgrunnlag i yrkestransportloven for behandling av personopplysninger på ferjeområdet, jf. forslaget til ny § 29 b annet ledd.

Når det gjelder oppgaver knyttet til billettering på ferje, er det departementets vurdering at disse overordnet sett allerede følger av bestemmelser i eller i medhold av yrkestransportloven. Etter departementet syn er det særlig Statens vegvesen, fylkeskommunene og ferjeselskapene som har oppgaver på dette området, i tillegg til AutoPASS-utstedere. Det er imidlertid ikke direkte angitt i yrkestransportloven at aktørene ved utførelsen av sine oppgaver kan behandle personopplysninger. Forslaget til ny § 29 b annet ledd er ment å presisere dette forholdet. Etter departementets vurdering vil forslaget til ny § 29 b annet ledd sett i sammenheng med de oppgaver som allerede er gitt, utgjøre et supplerende rettsgrunnlag for behandling av personopplysninger på grunnlag av personvernforordningen artikkel 6 nr. 1 bokstav e). Departementet viser for øvrig til at en tilsvarende regulering for behandling av personopplysninger for bompasseringer følger av veglova § 27 femte ledd.

2.2 Om ferjesambandene i Norge

De offentlige ferjesambandene er en viktig del av infrastrukturen i Norge. I Norge drives ferjetransport i rute av ferjeselskaper/rederier. Ferjetransport i rute i tilknytning til riksveiene driftes av ferjeselskaper med løyve gitt av Statens vegvesen, jf. yrkestransportloven § 7, jf. § 13. For ferjetransport i rute i tilknytning til fylkesveiene, gis løyvene av fylkeskommunene. Løyvene lyses ut som en del av offentlige kontrakter i henhold til regelverket om offentlige anskaffelser, jf. yrkestransportloven § 8. Ferjetilbudet delfinansieres over de offentlige budsjettene, henholdsvis over Statens vegvesens budsjett og over fylkeskommunenes budsjetter. I tillegg til den offentlige finansieringen av ferjene, kommer billettinntekter basert på takster for kjøretøy og passasjerer. Disse inntektene skjer gjennom billettering på ferjene, med hjemmel i forskrift 26. mars 2003 nr. 403 om transport med ferje § 7 og § 35. Kommunene har ansvaret for kommunale ferjesamband slik det følger av yrkestransportloven § 13 annet ledd annet punktum.

Følgende roller og aktører er særlig relevante med hensyn til AutoPASS for ferje:

Løyvemyndighetene

Statens vegvesen er løyvemyndighet for riksveiferjesamband. Fylkeskommunene er løyvemyndighet for ferjetransport i rute i tilknytning til fylkesveiene. Kommunene har ansvaret for kommunale ferjesamband.

Ferjeselskapene (operatørene)

Det er pr. 1. januar 2022 21 ferjeselskaper i Norge. Ferjeselskaper som inngår i AutoPASS Samvirke omfattes av begrepet «operatør», jf. utstederforskriften § 2 bokstav l.

AutoPASS-utstedere

AutoPASS-utstedere har i henhold til utstederforskriften en rolle både på vei og på ferje, se utstederforskriften § 2 bokstav b.

Driftsleverandører og tjenesteleverandører

Per i dag er det Skyttel AS som har rollen som Sentral Tjenesteleverandør (STL). Skyttel AS er også driftsleverandør for ferjeselskapet Bastø Fosen.

Ferjeselskapene og driftsleverandørene har ulike roller i forbindelse med innkreving av betaling og drift. Etter gjennomført konkurranse inngår veieierne kontrakt med ferjeselskapene om drift av de fysiske ferjene inkludert rutetransport og billettering. Noen veieiere drifter ferjene helt eller delvis selv gjennom eget ferjeselskap.

Som en del av Statens vegvesens arbeid med å forvalte og samordne innkrevingen, har Statens vegvesen inngått kontrakt med Sentral Tjenesteleverandør. Sentral Tjenesteleverandør kan benyttes av alle som drifter ferje (ferjeselskap og veieiere). Sentral Tjenesteleverandør forestår prosesseringen av betalingen og driften av selve det sentrale innkrevingssystemet, inkludert prising av transaksjoner, på vegne av ferjeoperatørene. Innhenting og prosessering på ferjekant foretas imidlertid ved bruk av ferjeselskapenes eget system og utstyr. Stort sett alle ferjeselskap benytter Sentral Tjenesteleverandør, men noen få ferjeselskap og veieiere som benytter kun sine egne løsninger.

Ferjeselskaper, alternativt fylkeskommunen som ferjeselskapets oppdragsgiver, kan godkjennes som operatører i samvirket etter avtale med Statens vegvesen.

Det finnes ca. 60 bompengeanlegg i Norge der det i dag kan betales med AutoPASS-brikke. En bilist som ønsker å benytte AutoPASS-brikke må inngå avtale med en AutoPASS-utsteder. Kunden inngår dermed en brukeravtale (AutoPASS-avtale) med selskapet som har utstedt brikken. Dersom kunden i tillegg inngår avtale om AutoPASS for ferje, kommer denne avtalen i tillegg til brukeravtalen som er inngått mellom kunden og AutoPASS-utstederen.

Som følge av bompengereformen, er det i dag opp til den enkelte AutoPASS-utsteder å utforme de nærmere avtalebetingelser overfor kunden, likevel hensyntatt utstederforskriften § 15. Etter det departementet kjenner til, fremgår det av gjeldende AutoPASS-avtaler at tilleggsavtale inngås med ferjeselselskapet for at rabatt skal kunne oppnås på ferjestrekninger. I praksis inngås denne tilleggsavtalen med Sentral Tjenesteleverandør. Tilleggsavtalen har også bestemmelser om personvern, se særlig til avtalens pkt. 2 og 9. Avtalen, som er tilgjengelig på nettsiden autopassferje.no, vil ikke gjengis i sin helhet, men departementet viser blant annet til pkt. 2.1 hvor det heter at «Ved opprettelse av kundekonto hos Sentral Tjenesteleverandør gir kunden samtykke i at det innhentes og lagres personopplysninger som beskrevet i pkt. 9.» Videre fremgår det i pkt. 9.1 at «Formålet med å registrere opplysninger om kunden vil være å gjennomføre avtale om rabattert betaling for reiser med ferjer som er med i nasjonal løsning for AutoPASS for ferjer.»

2.3 Om tidligere sporfrie avtaler for bompasseringer

Sporfri avtale var en valgfri variant av AutoPASS-avtalen som kunne inngås mellom kjøretøyeieren og bompengeselskapet. Tilbud om sporfrie avtaler ble innført som et personverntiltak, i henhold til Datatilsynets konsesjon fra 2005. Den eneste forskjellen på ordinær avtale og sporfri avtale var at ved sporfri avtale ble passeringstid og -sted rutinemessig slettet innen 72 timer etter passering. Dersom AutoPASS-brikken ikke ble lest i bomstasjon, ble det imidlertid tatt bilde av kjøretøyet som ble lagret i opptil ett døgn. Passeringen og bildet ble slettet etter at systemene identifiserte at skiltet på bildet tilhørte et kjøretøy med sporfri avtale. Sporfri avtale var slik sett ikke en avtale som sikret brukeren fullstendig anonymitet eller fullstendig anonyme passeringer.

Som en følge av at Datatilsynets konsesjon falt bort og ikke ble videreført, vurderte Vegdirektoratet og departementet om det var mulig å opprettholde tilbudet med sporfrie avtaler. Etter tilrådning fra Vegdirektoratet om å avvikle ordningen med sporfrie avtaler, besluttet departementet å følge tilrådningen da gjeldende bokføringsregelverk og sporfritt alternativ ikke kunne ivaretas på samme tid. Ordningen ble avviklet 15. august 2019.

Bokføringsloven § 13 annet ledd bestemmer at oppbevaringspliktig regnskapsmateriale skal oppbevares i fem år etter regnskapsårets slutt. Som oppbevaringspliktig regnskapsmateriale regnes både tidspunkt og sted for bompasseringer. Dette medfører at tidspunkt og sted for bompasseringer som hovedregel skal lagres i fem år. Når det gjelder sammenhengen mellom bokføringsregelverket og personvernreglene vises det til Personvernnemndas vedtak i PVN-2010-07 og PVN-2010-08, samt tilhørende uttalelser fra Skattedirektoratet.

Departementet vil se nærmere på løsninger som kan redusere sporbarheten innenfor AutoPASS.

2.4 Offentlig høring

Statens vegvesen har på vegne av Samferdselsdepartementet gjennomført høring i to omganger forbindelse med den foreslåtte endringen i yrkestransportloven. Det ble sendt ut en høring 9. juli 2021 med høringsfrist 8. oktober 2021. I denne høringen ble bestemmelsen om generell hjemmel for behandling av personopplysninger hørt (daværende forslag til yrkestransportloven § 39a). Etter høringen ble bestemmelsen justert etter innspill fra Justis- og beredskapsdepartementet og Datatilsynet. Deretter sendte Statens vegvesen på vegne av Samferdselsdepartementet i brev datert 24. februar 2022 på offentlig høring et forslag til endringer i yrkestransportloven som tok for seg en ny hjemmel i § 29 c, samt justeringer av den allerede foreslåtte hjemmelen i § 39a, inntatt i høringsnotatet som ny § 29 b. Høringsfristen var satt til 7. april 2022. Høringsbrevet ble publisert på Statens vegvesens nettsider og var åpen for alle som ønsket kunne uttale seg. Høringsbrevet med vedlegg ble sendt til følgende høringsinstanser:

Arbeids- og inkluderingsdepartementet

Barne- og familiedepartementet

Finansdepartementet

Helse- og omsorgsdepartementet

Justis- og beredskapsdepartementet

Kommunal- og distriksdepartementet

Nærings- og fiskeridepartementet

Datatilsynet

Direktoratet for samfunnssikkerhet og beredskap

Finanstilsynet

Forbrukerrådet

Forbrukertilsynet

Regelrådet

Sivilombudet

Sjøfartsdirektoratet

Transportklagenemnda

Agder fylkeskommune

Innlandet fylkeskommune

Møre og Romsdal fylkeskommune

Nordland fylkeskommune

Rogaland fylkeskommune

Troms og Finnmark fylkeskommune

Trøndelag fylkeskommune

Vestfold og Telemark fylkeskommune

Vestland fylkeskommune

Viken fylkeskommune

Arbeidsgiverforeningen Spekter

AtB AS

Bastø Fosen AS

Bjørkeli ferjerederi

Bompengeselskap Nord AS

Boreal Norge AS

Boreal Sjø

BroBIZZ

Den Norske Advokatforening

Ferde AS

Fjellinjen AS

Fjord 1 AS

Flyt AS

FosenNamsos Sjø

Fremtind Service

Gulenskyss

Hovedorganisasjonen Virke

Kollektivtrafikkforeningen

Kolombus

Kongelig Norsk Automobilklub

KS

Landsorganisasjonen i Norge

Lastebileiernes forening

LeasePlan

Maskinentreprenørenes Forbund

NHO Logistikk og Transport

NHO Reiseliv

NHO Sjøfart

NHO Transport

Norges Automobil-Forbund

Norges Lastebileier-Forbund

Norges Taxiforbund

Norges Transportarbeiderforbund (NTF)

Norled AS

Norsk Bobil og Caravan Club

Norsk bobilforening

Norsk elbilforening

Norsk Sjømannsforbund

Norsk Tjenestemannslag

Opplysningsrådet for Veitrafikken

Osterøy Ferjeselskap AS

Rødne Fjord Cruise

Skyss

Skyttel AS

SkyttelPASS AS

Tolltickets

Torghatten Nord

Torghatten Trafikkselskap AS

Vegamot AS

Vegfinans AS

Vidar Hop Skyssbåter

Wergeland

Yrkesorganisasjonenes Sentralforbund

Yrkestrafikkforbundet

Øresundbron

Av disse har 18 svart. Dette er:

Justis- og beredskapsdepartementet

Datatilsynet

Helsedirektoratet

Sjøfartsdirektoratet

Møre og Romsdal fylkeskommune

Nordland fylkeskommune

Advokatforeningen

Boreal Sjø

Fellesforbundet

Fjord 1 AS

Fremtind Service

Kollektivtrafikkforeningen

NHO Reiseliv

NHO Sjøfart

NHO Transport

Norges Lastebileier-Forbund

Norled

Torghatten Nord

Av disse har følgende instanser uttalt at de ikke har merknader til forslaget:

Helsedirektoratet

Justis- og beredskapsdepartementet

Sjøfartsdirektoratet

3 Oversikt over gjeldende rett

3.1 Yrkestransportloven

Yrkestransportloven inneholder som nevnt ingen egen generell hjemmel for behandling av personopplysninger. Det følger imidlertid av personvernforordningen at et det må foreligge et behandlingsgrunnlag som enten kan være samtykke, hjemmel i lov eller at behandlingen er «nødvendig for» ett eller flere alternative formål. Som nevnt ovenfor vurderer departementet at behandlingsgrunnlaget for personopplysninger er knyttet til personvernforordningen artikkel 6 nr. 1 bokstav e), der behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.

Den som mot vederlag ønsker å drive nasjonal eller internasjonal person- eller godstransport med motorvogn eller fartøy, må ha løyve, jf. yrkestransportloven §§ 4 og 5. Krav om løyve gjelder både for enkeltpersonforetak og selskaper. Statens vegvesen er løyvemyndighet for gods- og turvogntransport med kjøretøy over 3,5 tonn, jf. yrkestransportloven § 12 første ledd. Fylkeskommunene er løyvemyndighet for drosjer, jf. § 12 annet ledd. Fylkeskommunen er løyvemyndighet for rutetransport med motorvogn eller fartøy, jf. yrkestransportloven § 13. For internasjonal transport er Statens vegvesen og departementet løyvemyndighet, jf. yrkestransportloven § 14.

For å få løyve må søkeren oppfylle visse krav. De generelle vilkårene følger av yrkestransportloven §§ 4 og 5. Søkeren må drive en fast og varig virksomhet i Norge, ha god vandel, ha tilfredsstillende økonomisk evne og ha tilstrekkelig faglig kompetanse. Det er fastsatt utfyllende bestemmelser i forskrift 26. mars 2003 om yrkestransport med motorvogn og fartøy (yrkestransportforskriften).

Yrkestransportloven kapittel 7A inneholder bestemmelser om kjøreseddel. Fører av drosje, turvogn og rutevogn, må ha kjøreseddel i tillegg til førerkort. Kjøreseddelen utstedes av politiet i det politidistriktet der vedkommende bor. For å få utstedt kjøreseddel må søkeren oppfylle samme helsekrav som stilles til førerkort klasse D og DE. Videre må søkeren være 20 år, ha hatt førerkort for klasse B i to år og ha slik vandel at politiet ikke finner vedkommende som uskikket til å være fører.

For å få tildelt løyve og kjøreseddel forutsettes det implisitt at det må registreres personopplysninger knyttet til tildelingen for at løyvemyndighetene skal kunne forvalte løyvehavernes og kjøreseddelinnehavernes rettigheter på en forsvarlig og effektiv måte. Videre framgår det av yrkestransportloven kapittel 8 at politiet og Statens vegvesen kan føre kontroll med at bestemmelsene i yrkestransportloven er overholdt. Det en forutsetning for at kontrollmyndighetene skal kunne utføre sin kontroll- og tilsynsvirksomhet etter loven at det både må foreligge registre over løyve og kjøreseddelopplysninger, og at dette må kunne anvendes i forbindelse med blant annet kontrollvirksomhet. Sensitive personopplysninger behandles i noen grad etter yrkestransportloven og er relatert til utstedelse av løyve og kjøreseddel ved at det er nødvendig å behandle opplysninger om helse og vandel.

Yrkestransportloven har også enkelte hjemler for å behandle personopplysninger innenfor avgrensede områder, herunder § 29 a som gir hjemmel for å opprette og drive et nasjonalt elektronisk register i tråd med kravene i forordning (EF) 1071/2009 om innføring av felles regler med hensyn til vilkårene som må oppfylles for å utøve yrket som transportør på vei, og om oppheving av rådsdirektiv 96/26/EF. Bestemmelsen gir også hjemmel for å utveksle opplysninger med andre EØS-land via registeret. Denne bestemmelsen knytter seg til behandling av konkrete opplysninger i registeret. Videre kan kontrollører etter yrkestransportloven § 33 innhente visse personopplysninger ved manglende betaling av billett for rutetransport.

3.2 Yrkestransportregelverkets bestemmelser om billettering

Elektronisk billettering på ferje kan foregå all den tid det skal foretas persontransport med fartøy i rute, jf. yrkestransportloven § 7. I tillegg følger det av alminnelige avtalerettslige prinsipper at dersom man går om bord på en ferje eller annet transportmiddel, må man betale for tjenesten.

I henhold til yrkestransportloven § 33 kan departementet i forskrift eller enkeltvedtak gi regler om transportvedtekter. Videre er det i yrkestransportforskriften § 30 en egen bestemmelse om billettering som både gjelder for buss og fartøy hvor løyvehaver er forpliktet til å bruke billettmaskiner, billetter, rabattkort og lignende etter et system godkjent av løyvemyndigheten, jf. første ledd. Etter annet ledd kan departementet fastsette nærmere retningslinjer for bruk av elektroniske billettsystemer.

Departementet viser også til forskriftshjemmelen i yrkestransportloven § 31 annet ledd hvor det forutsettes elektronisk billettering kan benyttes. Videre er det i forskrift om transport med ferje § 7 forutsatt at man må betale for transporten, enten ved reisebevis eller gyldig elektronisk/optisk betalingsmedium.

3.3 Personopplysningsloven

Behandling av personopplysninger reguleres av lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven), hvor personvernforordningen er implementert.

All behandling av personopplysninger må ha et rettslig grunnlag i personvernforordningen artikkel 6. Artikkel 6 angir alternative rettslige grunnlag for behandling av personopplysninger. Disse alternativene vil ikke bli redegjort for i det følgende. Behandling av særlige kategorier av personopplysninger er i utgangspunktet forbudt, med mindre behandlingen faller inn under ett av unntakene i artikkel 9 nr. 2.

Når det gjelder hvem som er behandlingsansvarlig, er følgende definert i personvernforordningen artikkel 4 nr. 7:

en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes;

Videre er den behandlingsansvarliges ansvar særlig definert i og med personvernforordningen artikkel 24.

Behandling av personopplysninger skal gjennomføres etter prinsippene i artikkel 5 nr. 1. Det vil si at behandlingen av personopplysningene skal være lovlig, rettferdig og åpen. Opplysningene skal kun behandles innenfor formålet, det skal ikke behandles mer data enn nødvendig eller lagres lenger enn nødvendig. Dataene skal være korrekte og behandles med integritet og konfidensialitet.

Det kan utledes av personvernprinsippene at den behandlingsansvarlige ved valg av egnet behandlingsgrunnlag alltid skal velge det behandlingsgrunnlag som best ivaretar den registrertes interesser der flere behandlingsgrunnlag kan være aktuelle. Det vises særlig til prinsippet om rettferdighet, jf. artikkel 5 nr. 1 bokstav a.

Departementet viser for øvrig til Prop. 56 LS (2017–2018) s. 35 flg. om adgangen til å gi utfyllende nasjonale regler om behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e, jf. artikkel 6 nr. 2 og 3.

Det følger av artikkel 9 nr. 1 at det i utgangspunktet ikke skal forekomme behandling av særlige kategorier personopplysninger. Unntakene fra forbudet følger av artikkel 9 nr. 2. For enkelte av unntaksbestemmelsene etter artikkel 9 nr. 2 forutsettes det at det er etablert lov- eller forskriftsbestemmelser som åpner for behandlingen. Det vises i denne forbindelse til forarbeidene til personopplysningsloven:[2]

Når det er opp til nasjonal rett å gjøre unntak fra forbudet i artikkel 9 nr. 1 i de tilfellene som omfattes av 9 nr. 2 bokstav b, g, h, i og j, legger departementet til grunn at det som utgangspunkt må foreligge en lov eller forskrift som åpner for behandling av særlige kategorier av personopplysninger. Departementet legger til grunn at bestemmelsene også kan utformes slik at de gir hjemmel for å tillate behandling av særlige kategorier av personopplysninger ved vedtak i enkelttilfeller.

Forordningen gir ikke noe klart svar på hvor klart eller spesifikt nasjonale bestemmelser som åpner for behandling av særlige kategorier av personopplysninger, må være. Når de nevnte bestemmelsene i artikkel 9 nr. 2 krever et «grunnlag» for behandlingen, eller at behandlingen er «tillatt», kan de etter sin ordlyd neppe sies å stille et ubetinget krav om at det alltid må foreligge en helt uttrykkelig og spesifikk lovhjemmel. […]

Når det gjelder personopplysninger om straffbare forhold mv., omfattes ikke disse av reglene om særlige kategorier av personopplysninger i personvernforordningen. Slike personopplysninger er særregulert i personvernforordningen artikkel 10. Bestemmelsen gjelder i tillegg til reglene om behandlingsgrunnlag i artikkel 6, og fastsetter nærmere vilkår for behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak.

Bestemmelsen gir ikke anvisning på noen særlige krav for behandlinger av opplysninger om «straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak», såfremt behandlingen skjer under en offentlig myndighets kontroll. I Prop. 166 L (2020–2021) viser Justis- og beredskapsdepartementet til at vurderingen i slike tilfeller kun beror på artikkel 6.[3] For de tilfeller der behandlingen derimot ikke skjer under en offentlig myndighets kontroll, kreves det at behandlingen er «tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter». I et slikt tilfelle, vil mottakeren måtte ha et hjemmelsgrunnlag i henhold til kravene etter artikkel 10 for både innhenting og viderebruk.[4]

3.4 Gjeldende behandlingsgrunnlag på ferjeområdet

3.4.1 Midlertidig lov om billettering på ferje som følge av utbrudd av covid-19

For å hindre at billettering på ferje skulle bli en kilde til spredning av covid-19 mellom passasjerer og mannskap på riksveiferjer, besluttet Statens vegvesen for statens del at det fra 15. mars 2020 var nødvendig å stanse all manuell betaling av ferjebilletter på riksveiferjene. Flere fylkeskommuner fattet tilsvarende beslutninger for sine respektive ferjesamband. Beslutningene var begrunnet med samfunnets behov for å holde ferjene åpne for trafikk.

De økonomiske konsekvensene av manglende billettinntekter for oppdragsgiverne var for store til at denne løsningen kunne benyttes over tid. Det ble derfor innført et midlertidig releverk for billettering på ferje.

Midlertidig lov om billettering på ferje ble vedtatt av Stortinget 26. mai 2020 og trådte i kraft 27. mai 2020. Da loven trådte i kraft ble samtidig midlertidig forskrift 3. april 2020 nr. 571 om billettering på ferje i anledning utbrudd av covid-19 opphevet.

Den midlertidige loven regulerer en alternativ billetteringsordning på de offentlige ferjesambandene i Norge under situasjonen med utbruddet og spredningen av covid-19 og gir ferjeselskapet adgang til å billettere alle trafikanter ved registrering av kjøretøyets AutoPASS-brikke eller kjennemerke. Den midlertidige loven inneholder også bestemmelser om behandling av personopplysninger, herunder behandlingsgrunnlag. Loven og dens ordning med billettering på ferje er omtalt i Prop. 114 L (2019–2020) og Innst. 290 L (2019–2020).

Hva gjelder hjemmelsgrunnlaget og forholdet til reguleringen av behandling av personopplysninger i medhold av yrkestransportloven, vises til Prop. 114 L (2019–2020) pkt. 2.3.

3.4.1.1 Statens vegvesens behandlingsgrunnlag

Statens vegvesen er behandlingsansvarlig for behandling av nødvendige personopplysninger på ferjeområdet i henhold til midlertidig lov om billettering på ferje §§ 5 og 6. Departementet vurderer at behandlingsgrunnlaget er knyttet til myndighetsutøvelse, jf. personvernforordningen artikkel 6 nr. 1 bokstav e. Departementet viser i denne forbindelse til forarbeidene til midlertidig lov om billettering på ferje inntatt i Prop. 29 L (2020–2021).

Nevnte behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e er todelt. Det gjelder for det første i de tilfeller en virksomhet kan behandle personopplysninger fordi det er nødvendig for å utføre en oppgave i allmennhetens interesse. Videre gir bestemmelsen adgang til behandling av personopplysninger der dette er nødvendig for å utøve offentlig myndighet som den behandlingsansvarlige er pålagt.

Departementet mener at følgende overordnede forhold taler for at Statens vegvesen er og skal være behandlingsansvarlig for sentrale behandlingsaktiviteter innenfor AutoPASS for ferje:

Statens vegvesen har sektoransvar for å følge opp nasjonale oppgaver for hele veitransportsystemet.

Behandling av personopplysninger er i stor grad nødvendig for å gjennomføre billettering på ferjene i samsvar med takstregulativ vedtatt med hjemmel i yrkestransportloven.

Statens vegvesen er myndighetsorgan, herunder:

veimyndighet for riksveiene.

løyvemyndighet for turvognløyver og løyve for godstransport på vei, samt riksveiferjesamband, og tildeler rett til drift av riksveiferjesamband.

Statens vegvesen er gitt ansvaret for å opprette sentrale systemløsninger, herunder AutoPASS IP og AutoPASS HUB. AutoPASS HUB er direkte relevant for ferje.

Statens vegvesen har inngått avtale med Sentral Tjenesteleverandør om nasjonale tjenesteløsninger for ferje, med tilhørende databehandleravtale.

3.4.1.2 Ferjeselskapenes behandlingsgrunnlag

Ferjeselskapenes behandlingsgrunnlag for behandling av personopplysninger i forbindelse med billettering på ferje er artikkel 6. nr. 1 bokstav e, det vil si å utføre oppgaver i allmennhetens interesse. Midlertidig lov om billettering §§ 5 og 6 er supplerende rettsgrunnlag.

3.4.1.3 Utsteders behandlingsgrunnlag

Enkelte av personopplysningene som behandles av AutoPASS-utsteder følger av personvernforordningen artikkel 6 nr. 1 bokstav b (nødvendig for å oppfylle avtale).

Øvrig behandling av personopplysninger i og med AutoPASS Samvirke, herunder behandling av personopplysninger for billettering på ferje, følger etter departementets vurdering av personvernforordningen artikkel 6 nr. 1 bokstav c, med videre henvisning til den rettslige forpliktelse som følger av utstederforskriften. I denne sammenheng vises det særlig til utstederforskriften §§ 6 og 20.

3.4.1.4 Sentral Tjenesteleverandørs behandlingsgrunnlag

Statens vegvesen har inngått avtale med Sentral Tjenesteleverandør som omfatter sentralsystem for ferje. Det følger av dette at Statens vegvesen er behandlingsansvarlig for den behandlingen som finner sted i sentralsystemet for ferje og at Sentral Tjenesteleverandør er databehandler.

I den utstrekning Sentral Tjenesteleverandør selv er behandlingsansvarlig for behandling av personopplysninger på ferjeområdet, er det departementets vurdering at slikt grunnlag følger av personvernforordningen artikkel 6 nr. 1 bokstav b (nødvendig for å oppfylle avtale). Det vises her til den avtale som brukeren inngår med Sentral Tjenesteleverandør i forbindelse med opprettelse av ferjekonto. Dette behandlingsgrunnlaget fremstår som aktuelt for de opplysninger som behandles om brukerne og som faller utenfor de behandlingsaktiviteter som Sentral Tjenesteleverandør gjør på vegne av Statens vegvesen.

3.5 Finansavtaleloven § 38

Finansavtaleloven § 38 tredje ledd gir forbrukeren rett til å gjøre opp med kontanter «hos betalingsmottakeren», og det er naturlig å lese midlertidig lov om billettering på ferje i lys av dette. Det følger av forarbeidene[5] til finansavtaleloven § 38 at «hos betalingsmottakeren» skal forstås på samme måte som «forretningsstaden» i gjeldsbrevloven § 3 første punktum.

3.6 Forholdet til veglova og vegtrafikkloven

3.6.1 Veglovas bestemmelser om personvern

Ved gjennomføringen av personvernforordningen i norsk rett ble veglova endret på to områder, både innføring av nytt kapittel II B § 11 f og nytt femte og sjette ledd i § 27. Det vises i denne sammenheng til Prop. 56 LS (2017–2018) kap. 33.2 og 33.3.

Til tross for at veglova er omtalt som en rammelov og har et bredere nedslagsfelt enn yrkestransportloven, vurderer departementet at det er hensiktsmessig å se hen til reguleringene i veglova når det gjelder forslaget til ny § 29 b i yrkestransportloven.

Veglova har en regulering av veimyndighetenes oppgaver knyttet til det offentlige veinettet, som er regulert i kapittel I, III–VI, VIII og IX samt tilhørende forskrifter. Det er en overordnet målsetting for veimyndighetene å skape størst mulig trygg og god avvikling av trafikken, og ta hensyn til veienes naboer, et godt miljø og andre samfunnsinteresser ellers, jf. veglova § 1 a.

3.6.2 Bompenger regnes som betaling for en tjeneste

Bompenger er regulert i veglova § 27. Det følger av bestemmelsen at departementet med samtykke fra Stortinget kan fastsette at det skal kreves bompenger på offentlig vei, fastsette størrelsen på «avgiftene» og sette vilkår om en bestemt bruk av «avgiftsmidlene». Selv om bestemmelsen bruker ordene «avgift» og «avgiftsmidlene», viser departementet til at bompenger regnes som betaling for en tjeneste.

I forarbeidene[6] til veglova uttales at bompenger skiller seg «i en rekke høve frå skattar og avgifter, og i utgangspunktet kan mykje tilseie at bompengar heller sjåast på som betaling for ei teneste enn som ein skatt eller avgift.» Departementet viser også til Justisdepartementets vurdering av 5. januar 2007 om bompenger skal defineres som en avgift det skal gis fritak for, eller om dette er å anse som betaling for en tjeneste som Norge dermed ikke er forpliktet til å gi fritak for. Her legger Justisdepartementet til grunn at vurderingen av om bompenger juridisk sett skal anses som en avgift eller som betaling for en tjeneste, må vurderes konkret mot det regelverket spørsmålet knytter seg til. Justisdepartementet uttaler at det trolig «i dag ikke faller så naturlig å anse bompenger som en avgift som det kanskje var for 25 år siden.» Departementet viser også til brev fra Samferdselsdepartementet til Forsvarsdepartementet datert 30. mars 2007 hvor bompenger ble ansett som betaling for en tjeneste og ikke en avgift.

3.6.3 Vegtrafikkloven § 43 b

Vegtrafikkloven § 43 b gir offentlige myndigheter en generell adgang til behandling av personopplysninger (første ledd), adgang til utlevering til politiet (annet ledd), utlevering til utenlandske myndigheter (tredje ledd) og hjemmel til å gi utfyllende bestemmelser i forskrift (fjerde ledd). Bestemmelsen ble foreslått i Prop. 14 L (2018–2019), se også Innst. 178 L (2018–2019).

Vegtrafikkloven § 43 b er et aktuelt sammenligningsgrunnlag i arbeidet med ny generell personvernbestemmelse i yrkestransportloven, jf. også Statens vegvesens høringsnotat 9. juli 2021.

4 Forholdet til Grunnloven, menneskerettighetene og EØS-avtalen

4.1 Forholdet til Grunnloven og menneskerettighetene

Retten til privatliv er en grunnleggende forutsetning for et fritt demokratisk samfunn som blant annet følger av Grunnloven § 102, Den europeiske menneskerettskonvensjon (EMK) artikkel 8 og FNs internasjonale konvensjon om sivile og politiske rettigheter (SP) artikkel 17. Det er antatt at SP artikkel 17 ikke gir den enkelte en bredere beskyttelse enn EMK artikkel 8, se den tilsvarende vurdering i Prop. 131 L (2018–2019) pkt. 4.2.

Det enkelte individs rettigheter kan i noen tilfeller komme i konflikt med andres rettigheter eller med samfunnets interesser. Departementet mener derfor at det må foretas en vurdering av om forslaget til ny § 29 b annet ledd kan anses å komme i konflikt med den enkeltes rett til privatliv.

Som et generelt utgangspunkt vurderer departementet at innhenting av informasjon om personer og påfølgende registrering av personopplysninger, typisk vil utgjøre et inngrep hvis innhentingen finner sted i den private sfære. Opplysninger som samles inn fra åpne kilder eller i det offentlige rom, vil som regel ikke dekkes av retten til privatliv. Departementet viser i denne forbindelse til Prop. 80 L (2019–2020) der tilsvarende utgangspunkt er fremhevet i punkt 4.2.2.

En naturlig språklig forståelse tilsier at begrepet «privatliv» og «hjem» ikke får anvendelse på steder der offentligheten har fri adgang. Mer systematiske former for innhenting og spaning vil derimot utgjøre et inngrep, jf. EMDs avgjørelse Peck mot Storbritannia (28. januar 2003). I Uzun mot Tyskland (2. september 2010) uttaler EMD at en person utenfor sitt private hjem og sfære må kunne forvente å være synlig for andre, men ved mer systematisk innsamling vil privatlivsbetraktninger kunne gjøre seg gjeldende.

I midlertidig forskrift om billettering på ferje i anledning utbrudd av covid-19, la departementet til grunn at den midlertidige billetteringsordningen ville utgjøre et inngrep i retten til privatliv. Departementet viste i den forbindelse også til redegjørelsen av gjeldende rett i Prop. 56 LS (2017–2018) kapittel 6.4.

Personvernnemnda har i vedtak PVN-2005-11 lagt til grunn at retten til anonym ferdsel er «et grunnleggende rettspolitisk spørsmål av sentral betydning for personvernet».

Etter det departementet kjenner til, foreligger det ikke avgjørelser fra EMD som stadfester at individet har en ubetinget rett til anonym ferdsel. Behandling av passeringsopplysninger til billetteringsformål bør likevel kunne regnes som en systematisk og omfattende behandling av personopplysninger. Hensyntatt det eksisterende bokføringsregelverket, er det på nåværende tidspunkt ikke mulig å tilby et sporfritt passeringsalternativ ved passeringer med kjøretøy på ferje, se omtale av sporfrie løsninger og forholdet til bokføringsreglene i pkt. 2.4. Bruk av AutoPASS-løsninger på tilsvarende måte som for vei, innebærer at det anonyme passeringsalternativet ikke kan tilbys. Anonyme passeringer med kjøretøy kan etter departementets forståelse bare oppnås ved kontant betaling på stedet, der kjøretøyet ikke også må passere en portal som leser brikke og/eller kjennemerke. Såkalte sporfrie løsninger innebærer på sin side behandling av personopplysninger, men her slettes opplysningene etter kort tid.

Som følge av gjeldende rammebetingelser blir behandlingen av personopplysninger ved billettering på ferje relativt omfattende og i tillegg praktisk vanskelig å unngå for den enkelte. Departementets vurdering er derfor at forslaget til § 29 b annet ledd innebærer et inngrep i retten til privatliv. Departementet ser det slik at inngrepet hovedsakelig er knyttet til det forhold at de reisende ikke lenger må tilbys et anonymt passeringsalternativ (kontant betaling på stedet), og heller ikke tilbys en løsning for sporfri ferdsel.

Etter departements vurdering bør inngrepet riktignok ikke regnes for å ligge innenfor kjerneområdet av retten til privatliv. Kjerneområdet er tradisjonelt blitt delt i fem kategorier som ikke vil bli redegjort for i det følgende. Etter departementets vurdering er det kategorien frihet fra uønsket innsamling og avsløring av informasjon som er mest nærliggende i denne sammenheng. Når departementet vurderer at inngrepet ikke ligger innenfor kjerneområdet av retten til privatliv, skyldes det at det særlig er overvåkning og hemmelig innsamling av informasjon som er blitt vurdert som aktuelle inngrep. Det vises eksempelvis til EMDs avgjørelser Amann mot Sveits,Rotaru mot Romania og Uzun mot Tyskland.

I enkelte situasjoner kan samfunnsmessige behov gå foran enkeltindividenes rett til privatliv. Inngrep i de individuelle rettighetene kan likevel bare tillates dersom det foreligger hjemmel i nasjonal lov, inngrepet forfølger et legitimt formål og anses nødvendig i et demokratisk samfunn.

4.1.1 Lovskravet

Det følger av Grunnloven § 113 at myndighetenes inngrep overfor den enkelte må ha grunnlag i lov. Tilsvarende krav følger også av EMK. Departementet viser til at Høyesterett i HR-2015-206-A avsnitt 60 og HR-2014-2288-A avsnitt 23 til 30 har innfortolket en tilsvarende inngrepsadgang i Grunnloven som etter EMK. Begge disse avgjørelsene gjaldt Grunnloven § 102 og EMK artikkel 8. Forutsetningen for inngrepsadgangen er at det foreligger «tilstrekkelig hjemmel». Grunnlovens hjemmelskrav i § 113 må på dette området derfor tolkes og anvendes i samsvar med lovskravet i EMK.

Det følger av praksis fra EMD at det bør foretas en tre stegs-test når det skal avgjøres om et inngrep er «i samsvar med loven». Inngrepet må ha grunnlag i nasjonal lovgivning, loven må være tilgjengelig og loven må være formulert på en slik måte at individet kan forutse hvilke konsekvenser en gitt handling kan innebære. Jo mer inngripende tiltaket er, desto strengere krav stilles til hjemmelsgrunnlaget. Det vises i denne sammenheng til EMDs avgjørelse Malone v. Storbritannia (1984). Det følger av denne avgjørelsen at et inngrep ikke bare må ha hjemmel i lov, hjemmelsgrunnlaget må også være av tilstrekkelig kvalitet.

Når det gjelder kravet om at inngrepet har grunnlag i nasjonal lovgivning, er det etter departementets syn klart at forslaget til § 29 b oppfyller dette kravet. At lovgivningen skal være tilgjengelig, innebærer at borgerne må ha adgang til reglene for å kunne sette seg inn i dem. Rettsreglene skal være formulert så klart og presist at borgerne kan forstå innholdet. Departementet vurderer at foreslått § 29 b annet ledd er tilstrekkelig presist angitt. Departementet viser særlig til at det er foreslått inntatt en konkret beskrivelse i bestemmelsen av at offentlige myndigheter og ferjeselskaper skal kunne behandle personopplysninger i forbindelse med billettering på ferje.

Videre er det et spørsmål om forslaget er formulert slik at borgerne med tilstrekkelig presisjon kan forutse lovens betydning og omfang, og slik at den enkelte kan innrette sin handlemåte deretter. Forutberegneligheten vurderes i denne sammenheng altså ofte opp mot individets innrettelsesbehov. Et innrettelsesbehov gjør seg likevel først og fremst gjeldende for adferdsregulerende bestemmelser. Adgangen til behandling av personopplysninger foreslås ikke innført for å påvirke borgernes handlingsmønster.

Som nevnt over, er det departementets vurdering at forslaget i seg selv er tilstrekkelig presist. Dermed kan også de personer som passerer med kjøretøy på ferje forutse at billetteringen innebærer behandling av personopplysninger om passeringen. Ettersom det kan behandles personopplysninger, bør det være forutberegnelig for den enkelte at et anonymt alternativ ikke kan forventes. Hva gjelder sporfritt alternativ, antar departementet at det ikke er helt opplagt for den enkelte at det er sammenhengen med bokføringsregelverket som fører til at et slikt alternativ ikke kan opprettholdes. Dette forholdet er etter departementets forståelse likevel sammenfallende med situasjonen ved bompasseringer, jf. også nedenfor i punkt 4.1.3 om dette. Departementet viser til at tilsvarende adgang til behandling av personopplysninger ved passeringer i bomstasjoner følger av veglova § 27 femte ledd. Denne bestemmelsen har etter departementets syn store likhetstrekk med foreslått § 29 b annet ledd.

Etter departementets vurdering er kravet til forutberegnelighet derfor ivaretatt, selv om innrettelseshensynet ikke gjør seg gjeldende med særlig styrke på dette området. Departementet vurderer i denne sammenheng at det ikke er nødvendig å innta konkrete sikringstiltak knyttet til behandlingen av passeringsopplysningene direkte i loven.

Når det gjelder selve behandlingen av personopplysningene ved ferjebillettering, mener departementet at dette ikke er en avgjørende del av vurderingen av hvorvidt det foreligger tilstrekkelig forutberegnelighet. Inngrepet knytter seg som nevnt til manglende anonymt eller sporfritt passeringsalternativ. Departementet viser for ordens skyld til at grunnleggende prinsipper for behandling av personopplysninger allerede følger av personvernforordningen.

4.1.2 Legitimt formål

Det foreslåtte inngrepet må i utgangspunktet forfølge ett av de formål som følger av EMK artikkel 8 nr. 2 for å være tillatt. Selv om formålene etter artikkel 8 nr. 2 anses uttømmende angitt, vurderer departementet at det er et bredt spekter av interesser som kan falle inn under formålene. De angitte legitime formålene som kan forfølges er hensynet til «den nasjonale sikkerhet, offentlige trygghet eller landets økonomiske velferd, for å forebygge uorden eller kriminalitet, for å beskytte helse eller moral, eller for å beskytte andres rettigheter og friheter».

Etter departementets syn vil inngrepet i privatlivet overordnet sett kunne bidra til å sikre landets økonomiske velferd, herunder med hensyn til effektivisering og forenkling av billetteringsprosessene. Tiltaket vil i tillegg være egnet til å forebygge uorden og kriminalitet. Behandling av personopplysninger ved ferjebillettering innebærer at billetteringen kan gjennomføres i et helhetlig system, som sikrer at de økonomiske operatørene kan levere sine tjenester med trygge rammebetingelser. Videre vil automatisering av billetteringsprosessen gjøre kontant betaling overflødig, hvilket reduserer transaksjonskostnadene og risikoen for tyverier o.l.

4.1.3 Forholdsmessighet

Det tredje grunnkravet som må oppfylles for at et inngrep kan tillates, er at inngrepet er «nødvendig i et demokratisk samfunn».

Det følger av EMDs praksis at inngrepet ikke trenger å være uunnværlig, men at inngrepet må være noe mer enn bare rimelig og ønskelig. Tiltaket må være egnet til å ivareta det legitime formålet, og interessene som begrunner inngrepet må etter en samlet vurdering anses som mer tungtveiende enn de interessene som krenkes. Departementet viser i denne forbindelse også til HR-2015-206-A hvor Høyesterett i avsnitt 60 uttaler at forholdsmessighetsvurderingen «må ha for øye balansen mellom de beskyttede individuelle interessene på den ene siden og de legitime samfunnsbehovene som begrunner tiltaket på den andre».

I midlertidig lov og tidligere midlertidig forskrift om billettering på ferje var adgangen til å fravike anonymt betalingsalternativ begrunnet særlig med forholdet til covid-19, altså at smittesituasjonen tilsa ytterligere behandling av personopplysninger og at dette var et rimelig tiltak.

Departementet har nå foretatt en nærmere vurdering av om det er forholdsmessig å gi myndighetene og enkelte private aktører en rett til å behandle personopplysninger uavhengig av smittesituasjonen.

Slik departementet ser det, vil forslaget om behandling av personopplysninger ved ferjepasseringer utgjøre et langt mer begrenset inngrep enn for eksempel et regelverk som åpner for hemmelig overvåkning. Departementet vurderer imidlertid at personvernforordningen er et relevant regelverk å hensynta i en forholdsmessighetsvurdering av det foreslåtte inngrepet i privatlivet. Personvernforordningen oppstiller eksempelvis klare forpliktelser til de behandlingsansvarlige hva gjelder behandlingen av personopplysninger, herunder de grunnleggende prinsippene i artikkel 5. På denne måten foreligger det allerede relevante begrensninger i lov og som fører til at det foreslåtte inngrepet i den enkeltes privatliv må anses begrenset.

Videre kan ikke departementet se at det er særskilte bestemmelser eller prinsipper i personvernforordningen som innebærer at individet har en ubetinget rett til sporfri ferdsel. Når det gjelder manglende anonymt passeringsalternativ med kjøretøy på ferje må dette ses i sammenheng med bruk av AutoPASS-systemet på vei. Systemet har i mange år vært brukt i forbindelse med bompengeinnkreving på de offentlige veiene, og siden høsten 2019 har det ikke vært sporfrie alternativer, se pkt. 2.4.

Departementet vurderer at ferjetransport på samme måte som betaling for bompasseringer bør regnes som et tjenestetilbud. Departementet legger også til grunn at bompenger anses som en betaling for en tjeneste snarere enn en avgift, se pkt. 3.6.2 ovenfor. Det er nærmere bestemt departementets vurdering at bompasseringer og ferjepasseringer er sammenlignbare størrelser når det gjelder spørsmålet om anonym og sporfri ferdsel på vei. Departementet viser også til at ferdsel på vei i mange tilfeller både før og etter ferjestrekninger ikke kan foretas anonymt ved bompasseringer. At transport med ferje skulle stille seg annerledes, vil etter departementets syn innebære en tilfeldig forskjell for ferdsel på ulike deler av veinettet.

Videre viser departementet til at bokføringsregelverket innebærer at det for bompasseringer ikke har vært mulig å opprettholde et tilbud om sporfrie avtaler, se punkt 2.4. Tilsvarende betraktning gjør seg gjeldende ved billettering på ferje. Problemstillingen skiller seg på denne måten fra sporfri ferdsel i kollektivtransportsektoren: I kollektivtransportsektoren er det enkeltpersonen som løser billett, og i bokføringsregelverkets forstand er slike billetter mulig å utstede uten at det oppstår plikt til å oppbevare salgsbilaget. I ferje- og bompengesektoren er avtalen og betalingsforpliktelsen knyttet til eier av kjøretøyet, og i denne situasjonen foreligger plikt til å lagre salgsbilaget. Forholdet til bokføringsregelverket er også avgjørende for at departementet anser at det ikke uten videre kan innføres e-billetteringsløsninger for ferje slik det finnes i kollektivtransportsektoren. Departementet forstår det slik at e-billetteringsløsningene i kollektivtransportsektoren regnes som en isolert sett bedre løsning for personvernet enn behandling ved bruk av ANPR og/eller AutoPASS-brikke.

Som det fremgår i punkt 5.5.3 er departementet kjent med at Statens vegvesen har gjennomført en DPIA (personvernkonsekvensanalyse) knyttet til behandlingen av personopplysninger ved billettering på ferje. Det relevante i denne sammenheng er at Statens vegvesen har vurdert at fraværet av anonym oppgjørsmetode ikke kan regnes som en vesentlig tilsidesettelse av de registrertes rettigheter.

Hensyntatt begrunnelsene ovenfor, er det departementets vurdering at det også i en normalsituasjon uten særlig begrunnelse i smitte- eller beredskapssituasjoner vil være forholdsmessig å åpne for behandling personopplysninger ved alle ferjepasseringer. Ettersom behandlingen av personopplysninger for billetteringsformål skjer åpent og kan kommuniseres til individene på forhånd, er det også mulig å ivareta hensynet til forutberegneligheten og rettsikkerheten for den enkelte. Det er departementets vurdering at behandlingen er nødvendig ut fra samfunnsmessige behov, og at inngrepet står i forhold til formålet som søkes oppnådd.

4.2 Forholdet til EØS-avtalen

Foreslått § 29 b annet ledd regulerer en ordning for billettering av reisende med ferje i Norge. Transportvirksomhet er regulert i EØS-avtalen kapittel 6, der de mest relevante bestemmelser i denne forbindelse antas å være artikkel 48 og 50. Hva gjelder omfanget av kapittel 6, vises særlig til artikkel 47. Adgangen til å ta betalt for transport med ferje er ikke direkte regulert i sekundærretten under EØS-avtalen.

EØS-avtalen avgrenser også i hoveddelen del II og III muligheten til å hindre den frie flyten av varer, tjenester, personer og kapital (de fire friheter) mellom EØS-statene. Restriksjoner kan bare aksepteres dersom de er grunngitt med allmenne hensyn, er proporsjonale og ikke diskriminerer ut fra opphavsland innenfor EØS-statene.

EØS-avtalen artikkel 48 fastsetter at eksisterende nasjonale regler på transportområdet som ikke er dekket av sekundærretten, ikke skal endres på en slik måte at de direkte eller indirekte diskriminerer transportører fra andre EØS-stater. Departementet kan ikke se at § 29 b annet ledd innebærer en endring eller en anvendelse av nasjonale regler som fører til slik diskriminering.

I henhold til EØS-avtalen artikkel 50 skal det ikke forekomme forskjellsbehandling som består i at en utøver av transportvirksomhet, på grunnlag av de transporterte varers opprinnelsesland eller bestemmelsessted, gjør gjeldende forskjellige priser og vilkår for samme varer for samme transportforbindelser. Takstregulativene for ferje skiller ikke mellom kjøretøyenes opprinnelsesland. Når det gjelder avtalene som gir rabatter på ferjene, er det åpnet for at alle trafikanter som ønsker det kan tegne avtale, uavhengig av nasjonalitet. Avtalevilkårene som gjelder på området er objektive, og alle kjøretøy vil håndteres på en ensartet måte i forbindelse med ferjereisene.

Etter departementets vurdering er foreslått § 29 b ikke i strid med EØS-retten.

5 Ny bestemmelse om behandling av personopplysninger

5.1 Forslaget i høringsnotatet – ny § 29 b

Det overordnede målet med forslaget til ny § 29 b var å få en helhetlig regulering av behandlingen av personopplysninger etter yrkestransportloven. Forslaget bygget på Statens vegvesens tidligere forslag til en generell personvernbestemmelse i høringsnotat av 9. juli 2021 i forbindelse med gjennomføringen av EUs mobilitetspakke del 1, der bestemmelsen om behandling av personopplysninger var foreslått som ny § 39 a. Bestemmelsen ble senere omarbeidet slik det fremgår av høringsnotatet datert 24. februar 2022.

Behandling av personopplysninger på yrkestransportområdet har behov for en bedre lovmessig forankring enn i dag. Det registreres i dag opplysninger knyttet til søknad og behandling av løyve for transport, samt at det er et nasjonalt løyveregister som inneholder opplysninger om løyvehavere. Yrkestransportloven har i dag ingen generell bestemmelse som hjemler dette registeret, men flere av bestemmelsene i eller i medhold av loven forutsetter implisitt at det er etablert registre som kan inneholde personopplysninger. Det vises også til at uttrykkelige hjemler for behandling av personopplysninger i særlovgivningen de senere årene har blitt etablert på flere områder. Ved utformingen av lovforslaget har det vært sett hen til sammenliknbare reguleringer, særlig på vei- og veitrafikkområdet.

I høringsnotatet av 24. februar 2022 ble det fremhevet at man som følge av arbeidet med nye personvernbestemmelser på ferjeområdet på nytt måtte vurdere helheten i behandlingen av personopplysninger etter yrkestransportloven. Som konsekvens av dette arbeidet kom Statens vegvesen til at den generelle hjemmelen for behandling av personopplysninger burde utformes med et noe bredere nedslagsfelt enn hva som opprinnelige ble foreslått i høringsnotatet av 9. juli 2021.

Bestemmelsens første ledd gir hjemmel for at offentlig myndighet eller andre juridiske personer kan behandle personopplysninger når det er nødvendig for å utføre forvaltningsoppgaver for å oppfylle bestemmelser gitt i eller i medhold av loven.

Det ble vurdert at bestemmelsen ikke burde avgrenses til «offentlege styresmakter», men at bestemmelsen også burde omfatte andre juridiske personer som utfører oppgaver etter loven. Statens vegvesen antok i høringsnotatet at dette kunne være aktuelt på flere områder, for eksempel innen kollektivtransportsektoren. I høringsnotatet heter det at henvisningen til andre juridiske personer derfor skulle forstås slik at det også kan behandles personopplysninger i allmennhetens interesse, jf. personvernforordningen artikkel 6 nr. 1 bokstav e første alternativ.

Forslaget er begrenset til behandling av personopplysninger som er nødvendig for å utføre «oppgåver» etter yrkestransportlovgivningen. Dette omfatter myndighetsutøvelse som ligger innenfor lovgivningen, herunder tjenester i form av behandling og utstedelse av løyvesøknader, kjøreseddel, tilsyn- og kontrollvirksomhet og øvrig utøvelse av forvaltningsmyndighet etter yrkestransportlovgivningen. Det framgår av høringsnotatet at i forbindelse med forslag til ny kontrollhjemmel i yrkestransportloven § 38, er det behov for å ha hjemmel for behandling av personopplysninger også grunnet nye elektroniske kontrollverktøy som ønskes å tas i bruk for kontroll etter yrkestransportloven. Dette gjelder automatisk kjennemerkegjenkjenning (ANPR), vektpunkt i veibanen som kan avlese vekter og aksellast på kjøretøy i fart (WIM), samt en trådløs enveis eller toveis kommunikasjon (DSRC) som skal anvendes for å avlese informasjon om kjøretøy langs vei. DSRC skal benyttes for fjernavlesing av smart fartsskriver, som igjen kan brukes ved kontroll av kabotasje når det lastes/losses og passeres grenser. DSRC er ikke på plass i dag.

I høringen ble det vist til at en mer treffsikker utvelgelse av kjøretøy til kontroll ved hjelp av elektroniske verktøy vil bidra til bedre trafikksikkerhet, gjennom at flere av de kjøretøyene med feil og mangler som kan påvirke trafikksikkerheten, blir stoppet og sanksjonert. Ved å sammenstille passeringsdata fra ovennevnte kontrollverktøy med dokumentasjon som fremvises i kontrollen vil det også være mulig å avdekke flere overtredelser av regelverket. Samlet sett vil dette kunne gi en styrket allmennpreventiv effekt, bidra til mer likeverdige konkurranseforhold i bransjen og bedre arbeidsforholdene for sjåførene.

Det ble i høringen vist til at utvidelsen av kontrollhjemmelen i § 38 dermed ville medføre et behov for et særlig behandlingsgrunnlag for denne utvidede behandlingen av personopplysninger. Det vises til at adgangen til å bruke fartsskriveren til kontroll med etterlevelse av yrkestransportregelverket er hjemlet i forslag til endringer i vegtrafikkloven § 13, jf. Prop. 105 LS (2021–2022).

Det ble foreslått å innføre hjemmel for behandling av særlige kategorier personopplysninger. En eventuell hjemmel for behandling av særlige kategorier personopplysninger etter yrkestransportloven måtte ifølge høringsnotatet utformes i henhold til en eller flere av unntaksbestemmelsene i personvernforordningen artikkel 9 nr. 2. Statens vegvesen vurderte artikkel 9 nr. 2 bokstav g om at behandlingen er nødvendig av hensyn til viktige allmenne interesser, samt bokstav j som gjelder behandling som er nødvendig av hensyn til arkivformål, forskning og statistikk som de mest aktuelle grunnlagene i relasjon til foreslått § 29 b.

I høringsnotatet viste Statens vegvesen til at behandling av særlige kategorier personopplysninger for eksempel kan være aktuelt innen kollektivtransportsektoren. Videre antok Statens vegvesen det kan være nødvendig å behandle personopplysninger som reiseopplysninger om personer med nedsatt forflytningsevne. I tillegg behandles det opplysninger om vandel og helse knyttet til søknad om løyve og kjøreseddel.

I høringen ble det vurdert om behandling av særlige kategorier personopplysninger etter § 29 b i utgangspunktet først skulle kunne foretas når behandlingen er nærmere detaljert i forskrift. I tillegg til bestemmelser om dataminimering, formålsbegrensning og åpenhet, kunne en forskrift etter Statens vegvesens syn eksempelvis inneholde bestemmelser om hvilke opplysninger som kan behandles, slettefrister og adgangen til å utlevere opplysninger. En slik løsning ble likevel ikke fremmet i høringen.

I høringen fremgår det at i henhold til § 29 b, kan juridiske personer behandle opplysninger som omfattes av personvernforordningen artikkel 10. Statens vegvesen viste til at slike opplysninger i utgangspunktet kun skal skulle behandles under en offentlig myndighets kontrollvirksomhet. Det ble presisert at det ikke er gitt bestemmelser i loven som gir andre enn offentlige myndigheter adgang eller plikt til å behandle opplysninger som omfattes av artikkel 10. Statens vegvesen fremholdt i høringsnotatet at om det oppstår behov for det, vil departementet kunne gi forskrift om dette med henvisning til forslaget i § 29 b annet ledd.

Høringsnotatet viste til at de forvaltningsoppgavene som omfattes av første ledd i forslaget til ny § 29 b generelt sett spenner over et stort saksområde. Å gi detaljerte bestemmelser i loven om behandling av personopplysninger på de ulike områdene vil bli for omfattende. Det vil derfor være behov for å kunne gi nærmere detaljerte regler i forskrift.

I den utstrekning det ikke gis nærmere forskrift om behandlingen, uttalte Statens vegvesen i høringen at det vil være opp til den enkelte aktør som omfattes av loven å vurdere i hvilken utstrekning de oppgaver som skal utføres nødvendiggjør behandling av personopplysninger og hvilke nærmere personopplysninger som kan behandles. I disse tilfellene ville det etter Statens vegvesens syn være slik at den enkelte aktør må foreta en konkret vurdering av adgangen til å behandle personopplysninger som følge av sine oppgaver etter loven og foreslått § 29 b.

Statens vegvesen vurderte videre i høringsnotatet at en forskriftshjemmel også burde omfatte adgang til å regulere behandling av personopplysninger som nevnt i personvernforordningen artikkel 9 og 10.

Statens vegvesen antok i høringsnotatet at det ikke var nødvendig å gjenta henvisningen til artikkel 9 og 10 i § 29 b annet ledd når det ble henvist til disse allerede i § 29 b første ledd.

I høringen ble det vist til at forskriftshjemmelen også omtaler statistikk og forskningsformål, og departementet kan følgelig også gi en nærmere og mer detaljert adgang til å behandle personopplysninger til disse formålene i forskrift. I en slik forskrift kunne det ifølge høringsnotatet ved behov gis nærmere regler om hvilke personopplysninger som kan behandles og hvor lenge personopplysningene kan behandles.

5.2 Uttalelser fra høringsinstansene

Boreal Sjø, Fellesforbundet, Fjord 1, Fremtind Service, Kollektivtrafikkforeningen, Møre og Romsdal fylkeskommune, NHO Reiseliv, NHO Sjøfart, NHO Transport, Nordland fylkeskommune, Norges Lastebileier-Forbund, Norled og Torghatten Nord støtter forslaget om en generell hjemmel for behandling av personopplysninger, og at departementet får en hjemmel til å gi nærmere regler i forskrifter.

Datatilsynet viser i sitt høringssvar til at det er uheldig at loven ikke sondrer mellom myndighetsorganers og private aktørers adgang til å behandle opplysninger som nevnt i personvernforordningen artikkel 9 og 10. Datatilsynet uttaler at det for tiden ikke er nødvendig for private aktører å behandle artikkel 9- og 10-opplysninger for å utføre sine oppgaver i medhold av yrkestransportloven. Forslaget til § 29 b kan etter Datatilsynets mening bidra til å skape usikkerhet rundt dette.

5.3 Forslaget i høringsnotatet – ny § 29 c

I høringsnotatet av 24. februar 2022 vurderte Statens vegvesen at det er et behov for en særskilt hjemmel for behandling av personopplysninger for ferjebillettering. Bestemmelsen ble foreslått som ny § 29 c og var ment å hjemle den behandling av personopplysninger for billettering på ferje som i dag følger av midlertidig lov om billettering på ferje.

Det ble under omtalen i høringsnotatet til ny § 29 c foreslått at departementet, Statens vegvesen, fylkeskommunene, samt selskap og andre juridiske personer skulle gis adgang til behandling av personopplysninger på dette området. De aktuelle aktørene ble på denne måte angitt noe mer spesifikt i forslaget til ny § 29 c enn i den mer generelle § 29 b. Blant annet som følge av at § 29 c gjaldt et spesielt avgrenset tema, ble det foreslått at behandling av personopplysninger ved billettering på ferje ble regulert i en egen bestemmelse, og ikke som et tillegg til § 29 b.

Statens vegvesen la i høringsnotatet til grunn at det i og med innføringen av en ny hjemmel i yrkestransportloven kan finne sted behandling av personopplysninger for et større antall trafikanter enn det som var tilfellet før reguleringen med midlertidig lov om billettering på ferje. Statens vegvesen viste til at for sambandene som benytter AutoPASS-regulativet, selges om lag 30 prosent av billettene uten tilknytning til AutoPASS-avtale.

I høringsnotatet fremholdt Statens vegvesen at forslaget til § 29 c representerer en regulering som tilsvarer midlertidig lov om billettering på ferje hva gjelder rekkevidden av behandlingen. Statens vegvesen mente at de vurderinger som departementet viste til i Prop. 114 L (2019–2020) derfor gjorde seg gjeldende, med unntak av de begrunnelser som hadde direkte sammenheng med unntakssituasjonen i forbindelse med utbruddet og spredningen av covid-19.

I høringsnotatet viste Statens vegvesen til at følgende opplysninger vil bli behandlet for passering av kjøretøy som ikke har avtale:

kjøretøyets registreringsnummer

passeringstid og -sted

bilde av kjøretøyet, herunder lengde

kjøretøyets takstgruppe

Statens vegvesen beskrev at det som følge av transaksjonen vil bli tatt bilde av kjøretøyet, som i hovedsak vil være et bilde av kjøretøyets kjennemerke, men som også skal dokumentere lengden på kjøretøyet. Det skal ikke tas bilde av personer i kjøretøyet.

I høringsnotatet heter det videre at behandlingsansvarlige plikter å behandle opplysningene i samsvar med de til enhver tid gjeldende regler for dette. Personopplysningene som behandles vil også bli lagret i samsvar med annen lovgivning som regulerer dette, herunder særlig bokføringsloven med tilhørende forskrift. Opplysninger knyttet til kjøretøyets kjennemerke, reist strekning, reisetidspunkt og takstgruppe kjøretøyet tilhører, må i henhold til gjeldende bestemmelser oppbevares i 5 år.

Bilder av passeringen vil ifølge høringsnotatet bli slettet 30 dager etter at krav er endelig oppgjort, eller klagesak er avsluttet. Av Prop. 114 L (2019–2020) pkt. 6.1. følger det at «annen informasjon» slettes etter 104 dager. Statens vegvesen viste i den forbindelse til at tidsfristen for korrigering av krav er 180 dager etter passering, jf. Områdeerklæringen Vedlegg 2 B pkt. 6.2.

Hva gjelder forslaget i høringsnotatet til § 29 c annet ledd, foreslo Statens vegvesen i høringsnotatet denne delen av bestemmelsen som det nødvendige rettsgrunnlaget for å fastsette nærmere forskrift om behandling av personopplysninger ved billettering for ferjeselskapene. Den foreslåtte bestemmelsen ga adgang til fastsettelse av forskrift for alle løyveinnehavere, slik at det ikke bare er ferjeselskaper som kan reguleres. Statens vegvesen la til grunn at lovbestemmelsen prinsipielt sett burde være lik for alle løyveinnehavere.

I forslaget til bestemmelsens annet ledd ble det vist til § 29 b annet ledd, hvilket er en bestemmelse av tilsvarende art som veglova §§ 11 f annet ledd og 27 sjette ledd. Det heter i høringsnotatet at bestemmelsen på samme måte som bestemmelsene i veglova åpner for at departementet kan gi nærmere regler om behandlingen, herunder om hvilke personopplysninger som kan behandles og til hvilke formål, nærmere sletteregler og bestemmelser om statistikk og forskning.

I den utstrekning det ikke blir gitt nærmere forskrift om behandlingen, ville det ifølge høringsnotatet være opp til den enkelte aktør som omfattes av loven å vurdere i hvilken utstrekning de oppgaver som skal utføres nødvendiggjør behandling av personopplysninger og hvilke nærmere personopplysninger som kan behandles. I disse tilfellene ville det etter Statens vegvesens syn være behov for å foreta en konkret vurdering av adgangen til å behandle personopplysninger og det vil kunne være behov for en vurdering av personvernkonsekvensene (DPIA).

Statens vegvesen viste i høringsnotatet til at de hadde foretatt en DPIA med tanke på foreslått regulering i § 29 c. Statens vegvesen så her hen til den behandling som foretas med hjemmel i midlertidig lov om billettering på ferje. Statens vegvesen la til grunn at behandlingens omfang, involverte aktører og behandlingsformål var tilnærmet identisk med situasjonen etter midlertidig lov om billettering på ferje. Statens vegvesen tok likevel spesielt hensyn til at de personopplysninger som kan behandles med utgangspunkt i foreslåtte § 29 c ville være en permanent løsning. Statens vegvesens konklusjon var at bestemmelsen ikke innebar en tilsidesettelse av de registrertes rettigheter og friheter, samt at behandlingen ikke innebar høy risiko.

5.4 Uttalelser fra høringsinstansene

Når det gjelder forslaget til § 29 c, er de fleste høringsinstansene positive til lovforslaget.

Nordland fylkeskommune støtter forslaget om endring i yrkestransportloven § 29 c. Den foreslåtte endringen understøtter også Nordland fylkeskommunes vedtak om fremtidig billettering med skiltavlesing på ferje. Også Boreal Sjø, Norled, Norges Lastebileier-Forbund, Kollektivtrafikkforeningen, Fremtind Service, NHO Reiseliv, NHO Transport, Fellesforbundet, Møre og Romsdal fylkeskommune, Fjord 1, NHO Sjøfart og Torghatten Nord støtter forslaget.

Torghatten Nord peker på at ferjebillettering med den nye lovteksten likestilles med bompassering langs landevei, der det er adgang til å behandle nødvendige opplysninger om både avtalekunder og kjøretøy utenforutgående avtale, med formål om å kreve inn betaling for tjenesten. Bilister kan ikke reise sporfritt, eller med kontantbetaling, gjennom bomstasjoner på norske veier per i dag, så hensynet til å ivareta retten til sporfri ferdsel på ferjer fremstår mindre relevant.

Fremtind Service fremholder i sitt høringssvar at de ikke kan se at det er gode argumenter for at prosessen med betaling for ferjepasseringer skal avvike fra betaling av bompasseringer. Videre mener de at prosess for betaling av bompasseringer også velprøvd og akseptert av bilistene.

En privatperson mener at muligheten til å gjøre opp om bord på ferja med kontanter eller kort, bør videreføres.

Advokatforeningen er i sin høringsuttalelse varsom med å omfavne løsningen, men departementet oppfatter at Advokatforeningen mener det er gode grunner for at passeringer ved bomstasjoner og ferje må sees i sammenheng og behandles likt. Advokatforeningen uttaler:

Selv om Advokatforeningen som klart utgangspunkt og på prinsipielt grunnlag inntar en meget restriktiv holdning hva gjelder inngrep i personvernet og den personlige frihet, er vi her kommet til at Advokatforeningen ikke har innsigelser mot høringsforslaget.

Advokatforeningen har da særlig vektlagt at de fleste fergeturer allerede i dag skjer elektronisk og er sporbare, samtidig som ferdsel på vei både før og etter fergestrekninger i mange tilfeller ikke kan skje anonymt. Samlet sett vurderes derfor den foreslåtte ordningen som et begrenset inngrep, innenfor det som kan aksepteres.

Datatilsynet støtter ikke forslaget i høringsnotatet, og mener at det er mulig å etablere anonyme alternativ som ivaretar de samme sikkerhets- og effektivitetshensyn som AutoPASS-ordningen. En mulighet er etter Datatilsynets mening for eksempel å legge til rette for manuell betaling på automat, slik en gjør i parkeringshus. Andre former for elektronisk billettering, som mobilapplikasjoner eller reisekort, kan også være anvendelige. Datatilsynet peker på at man skal kunne bevege seg rundt i landet uten at det blir foretatt unødvendige registreringer av hvor man er og har vært. Retten til sporfri ferdsel er etter Datatilsynets syn en viktig del av retten til personvern. En permanent videreføring av AutoPASS-ordningen vil bety at vi ikke lenger kan reise anonymt på ferjer i Norge. Datatilsynet uttaler at retten til personvern har grunnlovs rang og er en etablert menneskerettighet. Hensynet til borgernes personvern må derfor veie tungt når det settes opp mot andre hensyn som ikke har tilsvarende forankring.

Datatilsynet fremholder i sitt høringssvar at det fremstår som svært uklart hvilke behandlingsaktiviteter som inngår i AutoPASS-ordningen, og hvordan ansvaret er fordelt mellom aktørene. Datatilsynet mener at det må bringes klarhet i ansvarsforholdene før AutoPASS-ordningen kan innføres som en permanent billetteringsløsning på ferjer. Det vises til at forslaget til § 29 c er kun rettet mot ferjeselskapene og Statens vegvesen, som baserer sin behandling på personvernforordningen artikkel 6 nr. 1 bokstav e. I høringsnotatet er det ikke presisert hvilke behandlinger disse aktørene er ansvarlige for. Når en ikke vet hva det søkes behandlingsgrunnlag for, kan det ikke vurderes om behandlingen dekkes gjennom et forslag til supplerende rettsgrunnlag.

Datatilsynet stiller særlig spørsmål ved Statens vegvesens rolle i forbindelse med billettering på ferjesamband som er knyttet til kommunale veier og fylkesveier. Datatilsynet viser til at det i høringsnotatet fremgår at det er oppdragsgiver/løyvemyndighet som avgjør om AutoPASS-ordningen skal brukes på sambandet. Videre fremgår det at Statens vegvesen er løyvemyndighet for riksferjesamband, som utgjør 17 av 130 ferjesamband i Norge. Resten av ferjesambandene administreres av kommunene og fylkeskommunene. Det fremstår etter Datatilsynets syn som uklart hvem som er behandlingsansvarlig for personopplysningene som samles inn på disse ferjesambandene.

Datatilsynet påpeker at dersom aktørene i fellesskap fastsetter formålene og midlene ved behandlingen, vil de være felles behandlingsansvarlige, jf. personvernforordningen artikkel 26. I så tilfelle må det etter Datatilsynets syn etableres en ordning som fastsetter aktørenes respektive ansvar for å overholde forpliktelsene i personvernforordningen, særlig med hensyn til de registrertes rettigheter, jf. artikkel 26 nr. 1.

Når det gjelder forslaget til § 29 c, bemerker Datatilsynet at bestemmelsen ikke pålegger Statens vegvesen eller ferjeselskapene noen myndighet eller oppgave. Forslaget oppfyller derfor ikke de innholdsmessige kravene til et supplerende rettsgrunnlag for behandlinger som bygger på artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3. I den sammenheng viser Datatilsynet til at den registrerte har rett til å protestere mot behandling som har grunnlag i artikkel 6 nr. 1 bokstav e, jf. artikkel 21.

Datatilsynet minner også om at personopplysninger kun skal lagres så lenge det er «nødvendig» for formålene med behandlingen, jf. artikkel 5 nr. 1 bokstav e. Den behandlingsansvarlige plikter av eget initiativ til å slette opplysninger når et av forholdene i artikkel 17 nr. 1 bokstav a til f gjør seg gjeldende. Datatilsynet fremholder at det er viktig at opplysninger som ikke må lagres etter bokføringsloven, blir slettet så snart behandlingen ikke lenger er nødvendig. Det er også viktig at opplysninger som kun lagres etter bokføringsloven ikke benyttes til andre formål, for eksempel kundebehandling.

5.5 Departementets vurdering

5.5.1 Innledning

Departementet følger i all hovedsak opp forslaget inntatt i Statens vegvesens høringsnotat 24. februar 2022. I tillegg foreslås noen justeringer slik det fremgår under.

Departementet foreslår at de to bestemmelsene som ble foreslått i høringen – §§ 29 b og 29 c – slås sammen til én bestemmelse. Bestemmelsen foreslås plassert som ny § 29 b. Selv om det i høringen ble vurdert at § 29 c ikke egnet seg som en del av § 29 b, har departementet kommet til at en felles bestemmelse som regulerer behandling av personopplysninger i yrkestransportloven er mest hensiktsmessig.

Departementet vurderer at behandling av personopplysninger i forbindelse med ferjebillettering ikke kun bør baseres på den generelle adgangen til behandling av personopplysninger etter § 29 b første ledd. Departementet foreslår at adgangen til behandling av personopplysninger ved ferjebillettering blir eksplisitt regulert i § 29 b annet ledd. Det vises til at behandlingen vil kunne skje i stort omfang, samt at behandlingen anses som et inngrep i den enkeltes rettigheter og friheter, se pkt. 4.1. Videre mener departementet at en slik bestemmelse klargjør at identifisering av kjøretøy ved billettering på ferje vil innebære behandling av personopplysninger. Etter departementets syn er dette forholdet sentralt å kommunisere i lovteksten, herunder av hensyn til retten til fri ferdsel. Videre anser departementet at innføringen av denne type særregulering i loven er nødvendig hensyntatt de tidligere vurderinger knyttet til behovet for midlertidig forskrift og gjeldende midlertidig lov.

5.5.2 Vurdering av forslagets første ledd

Departementet har merket seg at det er bred støtte fra høringsinstansene for en generell hjemmel som regulerer behandling av personopplysninger i yrkestransportlovgivningen, samt at departementet skal tildeles en hjemmel for å gi utfyllende bestemmelser i forskrift. Generelt sett er det behov for en hjemmel i yrkestransportloven som gir grunnlag for å behandle personopplysninger. Selv om yrkestransportregelverket regulerer den næringsmessige siden av transport – yrkes- og markedsadgang, er det som nevnt i høringsnotatet behov for en hjemmel som skal legge til rette for at offentlige myndigheter kan behandle personopplysninger, særlig knyttet til den utvidede kontrollen av kjøretøy langs vei.

Når det gjelder Datatilsynets merknad om at det er uheldig at loven ikke sondrer mellom myndighetsorganers og private aktørers adgang til å behandle opplysninger som nevnt i personvernforordningen artikkel 9 og 10, er departementet delvis enig i dette. Når det gjelder behandling av opplysninger etter artikkel 10, bør slike opplysninger være forbeholdt offentlige myndigheter. Departementet foreslår derfor å tilføye en ny setning i lovens første ledd som presiserer dette. Det vil dermed ikke være mulig for private å behandle opplysninger etter artikkel 10.

Når det gjelder behandling av personopplysninger etter personvernforordningen artikkel 9, fremgår det av høringsnotatet at det kan være tilfeller der transportører har behov for å behandle slike opplysninger innenfor kollektivtransportsektoren. Departementet vil derfor opprettholde bestemmelsen om at selskap og andre juridiske personer kan behandle slike opplysninger. Som det fremgår av forarbeidene til personopplysningsloven, der personvernforordningen er tatt inn, kreves det som utgangspunkt at det foreligger hjemmel i lov eller forskrift dersom det skal behandles opplysninger etter artikkel 9 nr. 2. Personvernforordningen gir ikke noe klart svar på hvor klart eller spesifikt nasjonale bestemmelser som åpner for behandling av særlige kategorier av personopplysninger må være. Når de nevnte bestemmelsene i artikkel 9 nr. 2 krever et «grunnlag» for behandlingen, eller at behandlingen er «tillatt», kan de etter sin ordlyd neppe sies å stille et ubetinget krav om at det alltid må foreligge en helt uttrykkelig og spesifikk lovhjemmel. Av hensyn til forutberegnelighet mener likevel departementet at det vil være hensiktsmessig å oppstille nærmere hvilke konkrete oppgaver dette gjelder. En slik oppstilling vil imidlertid bli svært omfattende og for detaljert å ha med i lovteksten. Departementet understreker at den foreslåtte lovhjemmelen ikke er ment å utvide rammene for behandling av personopplysninger på det enkelte område. Ved eventuelle nye oppgaver må det for hvert område vurderes om det vil være forenelig med det opprinnelige formålet med behandlingen. Dette vil være naturlig å vurdere i prosessen med forskriftsfastsettelse på de ulike områdene. I forslagets tredje ledd kan departementet gi forskrifter om behandling av personopplysninger. Dersom juridiske personer skal ha adgang til å behandle særlige kategorier personopplysninger, er det særlig viktig at det for slik behandling utarbeides nærmere forskrifter som spesifiserer hvilke oppgaver som er tillagt og hvordan behandlingen skal skje.

I bestemmelsens annet punktum er det tilføyd ordet «selskap». Dette er for å gjenspeile ordlyden i yrkestransportloven § 25 der det henvises til selskaper og andre juridiske personer.

Departementet opprettholder forslaget i § 29 b første ledd, men med en presisering i annet punktum om at juridiske personer og selskaper ikke kan behandle opplysninger etter artikkel 10.

5.5.3 Vurdering av forslagets annet ledd

Departementet merker seg at de fleste høringsinstansene støtter forslaget til ny § 29 c. Flere av høringsinstansene gir uttrykkelig sin tilslutning til forslaget og mener bestemmelsen vil ivareta en effektiv, kundevennlig og forutsigbar ferjebillettering. Dessuten pekes det på at elektronisk billettering, som lovforslaget skal legge til rette for, gir god flyt i trafikken, mindre risiko for trafikale hendelser ved ombordkjøring, mer presis trafikkavvikling og tidsbesparelser for både rederiene og reisende.

Departementet viser til uttalelsen fra en privatperson som ønsker at adgangen til å gjøre opp om bord på ferja med kort eller kontanter, bør videreføres. Departementet bemerker at de foreslåtte endringene kun skal legge til rette for at elektronisk billettering kan finne sted i tråd med gjeldende krav til behandling av personopplysninger i den forbindelse.

Videre viser departementet til at finansavtaleloven § 38 tredje ledd gir forbrukeren rett til å gjøre opp med kontanter «hos betalingsmottakeren». Det følger av forarbeidene[7] til finansavtaleloven § 38 at «hos betalingsmottakeren» skal forstås på samme måte som «forretningsstaden» i gjeldsbrevloven § 3 første punktum. Konsekvensen av dette er at forbrukerens rett til kontant betaling etter departementets syn ikke hindrer gjennomføring av elektronisk billettering på ferje.

Når det gjelder Datatilsynets høringsinnspill om at de mener det er mulig å etablere anonyme alternativ som ivaretar de samme sikkerhets- og effektivitetshensyn som AutoPASS-ordningen, bemerker departementet: Statens vegvesen har vurdert ulike løsninger for gjennomføring av anonym betaling for ferjereise. Overordnet er det et mål at billettering på ferje skal følge de samme tekniske prinsippene som ved innkreving av bompenger. Det kan likevel gjøres nødvendige tilpasninger når det ikke går på bekostning av trafikk-, data-, og økonomisikkerhet og effektivitet. Størst mulig likhet mot bompengeinnkreving gir gjenkjennelsesverdi for de reisende. Når det gjelder løsninger for sporfri ferdsel på systemnivå, som anonyme brikker, endrede sletterutiner, nye bokføringsregler m.m., følger ferjebillettering prinsippene og utviklingen fra bompengeinnkreving. Bruk av AutoPASS på ferje er og vil i stor grad være sammenfallende med bruk av AutoPASS ved bompengeinnkreving etter veglova § 27. Bompengeinnkrevingssystemet er en løsning som er både velutprøvd og godt fungerende, og det er gjort grundige vurderinger knyttet til både økonomiske, tekniske og juridiske forhold ved løsningen. Til tross for dette vurderer departementet at det vil være nødvendig å gi tydelig informasjon til alle som skal benytte ferjetilbudet. Det forutsettes at det skal gis nærmere informasjon om at kjennemerker vil bli avlest uavhengig av om det er inngått brukeravtale eller ikke. Videre antas at slik informasjon minst må gis ved hensiktsmessig skilting på stedet.

Når det gjelder ferjespesifikke løsninger som betalingsautomater som kan brukes til betaling før eller etter reise, vurderes disse som uegnet da de i stor grad baserer seg på at de reisende som ønsker dette alternativet må ha spesifikk kunnskap om tilgjengelighet, plassering, funksjonalitet mv. I tillegg må den reisende ha tid til å benytte automaten før reise. Hvis automaten skal brukes etter reise vil dette gå på bekostning av muligheten til å utstede kvittering kort tid etter reise, slik mange reisende har etterspurt. Kostnaden ved utvikling og utplassering av slike automater vil også være svært høy, og uforholdsmessig sett i sammenheng med forventet bruk.

Når det gjelder Datatilsynets innspill om at det må bringes klarhet i ansvarsforholdene før AutoPASS-ordningen kan innføres som en permanent billetteringsløsning på ferje, erkjenner departementet at ansvarsforholdene knyttet til ferjebillettering er sammensatte, herunder også at det er mange aktører involvert i behandlingen av personopplysninger på dette området.

Ansvarsforholdene og behandlingsaktivitetene er imidlertid i stor grad de samme innenfor hele AutoPASS Samvirke. Det vil si at behandlingsaktivitetene og ansvarsforholdene knyttet til håndtering av personopplysninger ved bompasseringer, tilsvarer behandlingsaktivitetene og ansvarsforholdene ved ferjebillettering. Behandlingen av personopplysninger på bompengeområdet følger særlig av veglova § 27 femte ledd. Det vises i denne sammenheng til Prop. 56 LS (2017–2018) pkt. 33.3. Etter departementets vurdering er reguleringen i foreslått § 29 c av samme lovtekniske art som veglova § 27 femte ledd.

Departementet vurderer at det kan være behov for å regulere i forskrift hvilket nærmere ansvar den enkelte aktør har og hvilke behandlingsaktiviteter de ulike aktørene kan eller skal utføre. Departementet er imidlertid ikke enig i at innføring av et permanent hjemmelsgrunnlag for behandling av personopplysninger for billettering på ferje må avventes inntil slik detaljering foreligger i forskrift. Departementet vurderer at det ikke er aktuelt å detaljere de konkrete behandlingsaktivitetene og de nærmere ansvarsforholdene for de ulike aktører i lovs form.

Statens vegvesen er behandlingsansvarlig i forbindelse med all billettering som foretas via AutoPASS-systemet. Behandlingsansvaret for Statens vegvesen er dermed ikke er avgrenset til riksveiferjesamband. Behandlingsansvaret er på tilsvarende måte som for behandlinger av bompasseringer knyttet til Statens vegvesens ansvar for sentrale kjerneløsninger.

Datatilsynet uttaler i sitt høringsinnspill at forslaget til ny § 29 c ikke pålegger Statens vegvesen eller ferjeselskapene noen myndighet eller oppgave og følgelig derfor ikke oppfyller de innholdsmessige kravene til et supplerende rettsgrunnlag for behandlinger som bygger på personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3. Departementet er enig med Datatilsynet i at forslaget til § 29 c etter sin ordlyd ikke direkte pålegger Statens vegvesen eller ferjeselskapet konkrete oppgaver knyttet til billettering på ferje. Departementet vurderer det likevel slik at bestemmelsen er egnet til å presisere at disse aktørene skal kunne behandle personopplysninger når de utfører oppgaver innen billettering på ferje. Departementet ser det nærmere bestemt slik at nevnte aktører allerede har oppgaver innen ferjebillettering, se nærmere omtale i pkt. 2.1.2 og 3.2.

Etter departementets vurdering vil forslaget til § 29 c sett i sammenheng med de oppgaver som allerede er gitt, utgjøre et supplerende rettsgrunnlag for behandling av personopplysninger på grunnlag av personvernforordningen artikkel 6 nr. 1 bokstav e. Departementet viser også her til at en tilsvarende regulering for behandling av personopplysninger for bompasseringer følger av veglova § 27 femte ledd.

Som følge av Datatilsynets uttalelse, foreslår departementet likevel at bestemmelsen presiseres slik at det går klart frem at det åpnes for behandling av personopplysninger i tilknytning til oppgaver som allerede følger av lov eller forskrift. Det vises her til nytt forslag til sammenslått § 29 b og 29 c.

Departementet støtter Datatilsynets oppfordring om at personopplysninger som lagres for bokføringsformål skal håndteres separat, og at bokføringsregelverket ikke er et grunnlag for behandling av personopplysninger til andre formål. Departementet er også kjent med denne problemstillingen fra håndtering av personopplysninger i og med AutoPASS på vei, og at Statens vegvesen arbeider med å sikre nettopp dette. Statens vegvesen har nå etablert nye kjerneløsninger, herunder AutoPASS IP og AutoPASS HUB. Disse løsningene skal etter det departementet kjenner til, også gjøre det enklere for Statens vegvesen å sikre at lagringsbegrensningsprinsippet ivaretas, herunder med tanke på skillet mellom lagring for bokføringsformål og billetteringsformål.

Departementet vil i denne forbindelse vise til at Statens vegvesen har gjennomført en DPIA (personvernkonsekvensanalyse) knyttet til behandlingen av personopplysninger ved billettering på ferje. Det vises til personvernforordningens artikkel 35 nr. 3 og nr. 10. Departementet vil fremheve at tilsvarende behandling av personopplysninger foregår allerede i dag, og Statens vegvesen har derfor hatt god mulighet til å foreta en konkret vurdering av informasjonsflyten. Statens vegvesen har avdekket at det for enkelte deler av behandlingen foreligger middels risiko, og Statens vegvesen har gjennom vurderingen funnet frem til tiltak som kan føre til redusert risiko for de registrertes rettigheter og friheter. Statens vegvesen planlegger å gjennomføre de mest sentrale tiltakene innen lovens eventuelle vedtakelse. De mest sentrale tiltakene inkluderer oppdatering av rutiner og oppfølging av blant annet ferjeselskapenes og fylkeskommunenes rutiner for informasjonssikkerhet, oppdatering av databehandleravtaler og gjennomgang av alle involverte aktørers relevante overføringer av personopplysninger til tredjeland.

Videre er det Statens vegvesens konklusjon at gjeldende teknologi og systemer er utformet og driftet på en slik måte at personopplysningssikkerheten ivaretas. I denne sammenheng har Statens vegvesen også sett hen til at det nylig er blitt innført nye og moderne sentrale kjernesystemer for behandling av passeringsopplysninger i AutoPASS Samvirke. Flere av disse systemene er relevante med hensyn til behandlinger av ferjepasseringer. Disse systemene er eksempelvis utformet på en slik måte at opplysninger som må lagres med tanke på bokføringsregelverket skilles fra opplysninger som lagres for andre formål, f.eks. selve innkrevingsformålet. Departementet mener at Statens vegvesen har foretatt en grundig analyse av personkonsekvensene og støtter konklusjonen i nevnte DPIA.

Sammenlignet med forslaget i høringsnotatet har departementet tilføyd en henvisning til yrkestransportloven § 7 slik at det fremgår av forslaget til § 29 b annet ledd at «[…] selskap eller andre juridiske personar som er gjeve løyve for persontransport med fartøy i rute i medhald av lova § 7» etter nærmere vilkår kan behandle personopplysninger. Videre er henvisningen i høringsnotatet til «opplysningar for identifikasjon av køyretøy» tatt ut og erstattet med det mer generelle uttrykket «billettering av køyretøy på ferje». I tillegg er det i forslagets annet ledd annet punktum inntatt en presisering av at begrensingene i § 29 b første ledd annet punktum gjelder tilsvarende. Det vil si at det heller ikke ved oppgaver knyttet til billettering på ferje vil være adgang for private til å behandle personopplysninger etter personvernforordningen artikkel 10.

5.5.4 Vurdering av forslagets tredje ledd

I den foreslåtte bestemmelsens tredje ledd vises det til at departementet skal kunne gi nærmere forskrifter om behandling av personopplysninger innenfor yrkestransportlovens anvendelsesområde. I henhold til bestemmelsen kan departementet blant annet gi forskrifter om formålet med behandlingen, hvilke opplysninger som kan behandles, vilkår for utlevering, krav til sletting og behandling knyttet til forskning og statistiske formål. I tillegg har departementet vurdert at det bør tas inn i oppramsingen at departementet også kan gi forskrifter om hvem som kan behandle opplysninger.

5.6 Andre spørsmål som er tatt opp av høringsinstansene

Fellesforbundet ber i sin uttalelse om at det vurderes om tolkningen i høringsnotatet knyttet til forbrukers rett til kontantfri betaling, kan legges til grunn for annen kollektivtrafikk. Departementet merker seg uttalelsen, men finner ikke grunn til å vurdere det aktuelle spørsmålet i denne proposisjonen.

6 Økonomiske og administrative konsekvenser av forslaget

Departementet vurderer at den foreslåtte generelle bestemmelsen i § 29 b første ledd ikke vil ha særlige økonomiske og administrative konsekvenser. Bestemmelsen skal i hovedsak gi adgang til behandling av personopplysninger i den utstrekning myndigheter eller andre aktører allerede har oppgaver etter loven.

Hva gjelder økonomiske og administrative konsekvenser i relasjon til § 29 b annet ledd, vises det til Prop. 114 L (2019–2020) pkt. 6.2. Departementet vurderte i den forbindelse at det var få negative administrative og økonomiske konsekvenser knyttet til midlertidig lov om billettering på ferje. De konsekvensene som omtales der er relatert til billetteringssystemet og forholdet til bemanning og inntjening.

Departementet vurderer at de samme konsekvensene for bemanning og inntjening vil gjøre seg gjeldende i og med forslaget til ny § 29 b annet ledd. Det er nærmere bestemt departementets forståelse at aktørene vil oppleve store negative konsekvenser for det tilfelle at bestemmelsen ikke blir vedtatt, herunder reetablering av tidligere ordninger med manuell billettering.

7 Merknader til bestemmelsene i lovforslaget

Til endring i yrkestransportloven § 7

I yrkestransportloven § 7 første ledd om behovsprøvd løyve for persontransport med fartøy i rute, står det i annet punktum at: § 6 andre ledd gjeld tilsvarande. I første ledd annet punktum erstattes «§ 6 andre ledd» med «§ 6 tredje ledd». Endringen er nødvendig fordi § 6 fikk et nytt annet ledd ved lov 21. juni 2019 nr. 66. Daværende annet og tredje ledd ble nye tredje og fjerde ledd. Ved en feil ble ikke henvisningen i § 7 første ledd endret samtidig.

Til endring i yrkestransportloven § 11 a

Yrkestransportloven § 11 a omhandler departementets hjemmelsgrunnlag for å fastsette forskrift om energi- og miljøkrav ved kjøp av kjøretøy til veitransport. Ved en inkurie mangler bestemmelsen en overskrift. Alle de øvrige bestemmelsene i yrkestransportloven har overskrifter som angir hva bestemmelsen omhandler. Departementet foreslår at § 11 a får overskriften: Miljøkrav ved kjøp av køyretøy. Videre brukes ordet «kjøretøy» to ganger i bestemmelsen. Det riktige ordet skal være «køyretøy». Departementet foreslår å rette opp disse ordene slik at det samsvarer med målformen i resten av loven.

Til endring i yrkestransportloven § 23

I yrkestransportloven § 23 om administrasjonsselskap, mangler det i første ledd en klamme med tallet 1, som skal angi at dette er første ledd. Departementet foreslår at dette rettes opp ved å tilføye en «(1)» foran første ledd i § 23.

Til ny § 29 b

Bestemmelsen foreslås oppbygd i tre ledd. Første ledd foreslås som en generell regulering av behandling av personopplysninger for hele yrkestransportloven. Annet ledd vil være en spesialbestemmelse som omhandler behandling av personopplysninger ved billettering på ferje. Annet ledd er ment som en presisering av et tilfelle som uansett ville vært omfattet av første ledd sett i sammenheng med oppgaver i loven for øvrig, se omtalen i pkt. 5.5.1. Tredje ledd vil inneholde en forskriftshjemmel hvor departementet gis adgang til å fastsette utfyllende bestemmelser om behandling av personopplysninger på hele yrkestransportlovens område.

Når det gjelder bestemmelsens første ledd første punktum foreslås det at «offentlege styresmakter» gis adgang til å behandle personopplysninger. Begrepet benyttes ettersom det er flere myndigheter som har oppgaver i eller i medhold av yrkestransportloven, blant annet Statens vegvesen, departementet og fylkeskommunen.

«Handsame personopplysningar» skal forstås på samme måte som etter personopplysningsloven.

Med «oppgåver» menes oppgaver som offentlige myndigheter og andre juridiske personer er tildelt i eller i medhold av yrkestransportloven.

I bestemmelsens første ledd er både opplysninger etter personvernforordningen artikkel 9 og artikkel 10 nevnt eksplisitt for å vise at både ordinære personopplysninger og særskilte kategorier personopplysninger er omfattet av bestemmelsen.

I § 29 b første ledd annet punktum er det tatt inn en presisering om at behandling av personopplysninger som er nevnt i personvernforordningen artikkel 10, ikke vil kunne behandles av selskap og andre juridiske personer.

Reguleringen foreslått i bestemmelsens annet ledd er ment å klargjøre at det kan behandles personopplysninger ved ferjebillettering på tilsvarende måte som i gjeldende midlertidige lov, se særlig §§ 2, 5 og 6. Departementet anser det ikke som nødvendig å vise til hvilke personopplysninger som kan behandles, eller at det kan skje identifisering av kjøretøy med AutoPASS-brikke og registreringsnummer. Som nevnt i pkt. 5.5.3, foreslås det heller ikke tatt inn i bestemmelsen at kjøretøy kan identifiseres ved billettering, og identifiseringen vil innebære behandling av personopplysninger.

Ordlyden «offentlege styresmakter» skal forstås på samme måte som etter bestemmelsens første ledd. Når det gjelder begrunnelsen for valget av uttrykket «selskap eller andre juridiske personar» vises det til departementets vurdering i pkt. 5.5.2. Også ordlyden «handsame personopplysningar» og «oppgåver» skal forstås på samme måte som etter første ledd.

Når det gjelder forslaget til forskriftshjemmel i tredje ledd, går dette ut på at departementet skal kunne gi forskrifter om nærmere behandling av personopplysninger på hele yrkestransportlovens område. Med uttrykket «handsaming av personopplysningar» vises det til departementets merknader under første ledd. Sentralt i denne typen forskrifter vil være bestemmelser om formålet med behandlingen, hvilke opplysninger som kan behandles, hvem som kan behandle slike opplysninger, hvordan opplysningene skal behandles, vilkår for eventuell utlevering av personopplysninger, bruk av databehandler, krav til sletting og krav til eventuell sammenstilling av personopplysninger til bruk i forskning og til statistiske formål. Dette er derfor nevnt som spesifikke (ikke-uttømmende) områder som kan reguleres nærmere i medhold av forskriftshjemmelen.

Forslaget til § 29 b tredje ledd omtaler også statistikk og forskningsformål, og departementet kan følgelig også gi en nærmere og mer detaljert adgang til å behandle personopplysninger til disse formålene i forskrift. I en slik forskrift kan det ved behov gis nærmere regler om hvilke personopplysninger som kan behandles og hvor lenge personopplysningene kan behandles.

Tilråding

Samferdselsdepartementet

tilrår:

At Deres Majestet godkjenner og skriver under et fremlagt forslag til proposisjon til Stortinget om endringer i yrkestransportloven (behandling av personopplysninger).

Vi HARALD, Norges Konge,

stadfester:

Stortinget blir bedt om å gjøre vedtak til lov om endringer i yrkestransportloven (behandling av personopplysninger) i samsvar med et vedlagt forslag.

Forslag
til lov om endringer i yrkestransportloven (behandling av personopplysninger)

I

I lov 21. juni 2002 nr. 45 om yrkestransport med motorvogn og fartøy gjøres følgende endringer:

§ 7 første ledd annet punktum skal lyde:

§ 4 andre ledd bokstav b og c og § 6 tredje ledd gjeld tilsvarande.

§ 11 a skal lyde:

§ 11 a. Miljøkrav ved kjøp av køyretøy

Departementet kan i forskrift fastsetje at den som har løyve for persontransport etter lova her, eller løyvefritak, og som får godtgjersle eller einerett for å utføre offentleg teneste, skal stille nærare fastsette energi- og miljøkrav ved kjøp av køyretøy. Kravet gjeld for køyretøy som vert nytta ved levering av den offentlege tenesta.

§ 23 første ledd skal lyde:

(1) Fylkeskommunen kan gjere vedtak om at godtgjersle til rutetransport skal gå til eit selskap som administrerer rutesambanda i fylket. § 22 femte ledd gjeld tilsvarande.

Ny § 29 b skal lyde:

§ 29 b. Handsaming av personopplysningar

Offentlege styresmakter kan handsame personopplysningar, mellom anna personopplysningar som nemnt i personvernforordninga artikkel 9 og 10, når det er naudsynt for å utføre oppgåver gjevne i eller i medhald av lova her. Det same gjeld for selskap og andre juridiske personar som utfører oppgåver gjevne i eller i medhald av lova, unntatt personopplysningar som nemnt i personvernforordninga artikkel 10.

Offentlege styresmakter og selskap eller andre juridiske personar som er gjeve løyve for persontransport med fartøy i rute i medhald av lova § 7, kan handsame personopplysingar når det er naudsynt for å utføre oppgåver innan billettering av køyretøy på ferje. Avgrensingane i første ledd andre punktum gjeld tilsvarande.

Departementet kan gje forskrift om handsaming av personopplysningar, mellom anna om føremålet med handsaminga, kva for opplysningar som kan handsamast, kven som kan handsama opplysningar, vilkår for eventuell utlevering, krav til sletting og vidare handsaming for forsking og statistiske formål.

II

Loven trer i kraft straks.

Fotnoter

1)

Prop. 37 L (2021–2022) Endringar i midlertidig lov om billettering på ferje som følge av utbrudd av covid-19.

2)

Prop. 56 LS (2017–2018) punkt 7.1.3.

3)

Se Prop. 166 L (2020–2021) s. 23.

4)

Se Prop. 166 L (2020–2021) s. 23.

5)

Ot.prp. nr. 41 (1998–99) s. 106.

6)

Ot.prp. nr. 5 (1993–94) s. 2.

7)

Ot.prp. nr. 41 (1998–99) s. 106.