2 Bakgrunnen for forslaget
2.1 Nærmere om behovet for en ny bestemmelse som regulerer adgangen til å behandle personopplysninger i yrkestransportloven
2.1.1 Behovet for en generell hjemmel om behandling av personopplysninger
Yrkestransportloven trådte i kraft 1. januar 2003 og regulerer ervervsmessig transport med motorvogn og fartøy gjennom løyveordninger. Loven inneholder også bestemmelser om kontroll og sanksjoner. Samferdselsdepartementet har gjennom flere forskrifter fastsatt nærmere krav om tildeling og utøving av løyver for ulike former for vei- og sjøtransport.
Det er løyvemyndighetene som tildeler løyve for transportvirksomhet og har oppgaver knyttet til forvaltningen av løyveordningen. Når det gjelder oppgaver knyttet til løyveforvaltningen, er det departementets vurdering at disse oppgavene overordnet sett allerede følger av bestemmelser i eller i medhold av yrkestransportloven.
Det er per i dag ikke en uttrykkelig hjemmel for behandling av personopplysninger i yrkestransportloven. Det kan likevel legges til grunn at løyvemyndighetenes behandlingsgrunnlag er knyttet til utførelse av oppgaver av allmenn interesse, jf. Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (personvernforordningen) artikkel 6 nr. 1 bokstav e). Imidlertid har rettsutviklingen de senere årene medført et behov for en generell hjemmel for behandling av personopplysninger.
EU-kommisjonen la 31. mai 2017 frem forslag til endringer i en rekke felleseuropeiske rettsakter på vegtransportområdet, som første del av den såkalte mobilitetspakken. Uttalte formål med endringene i reglene om kjøre- og hviletid og yrkes- og markedsadgang, var å forbedre arbeids- og næringsvilkårene i vegtransportsektoren, hindre sjåførtretthet og sikre mer effektiv håndheving. Forordningene (EU) 2020/1054 om endringer i forordning (EF) 561/2006 om kjøre- og hviletid, forordning (EU) 165/2014 om fartsskriver, og forordning (EU) 2020/1055 om endringer i forordning (EF) 1071/2009 om yrkesadgang til vegtransportmarkedet og forordning (EF) 1072/2009 om adgang til det internasjonale markedet for godstransport, ble formelt vedtatt i EU 15. juli 2020. Forordningene ble tatt inn i EØS-avtalen 18. mars 2022.
Reglene om kjøre- og hviletid for sjåfører og fartsskriver til kontroll av dette, er viktige verktøy for å ivareta trafikksikkerhet og like konkurransevilkår i vegtransportsektoren, samt sjåførenes arbeidsvilkår. Forordning 2020/1054 utvider formålet med fartsskriverordningen til foruten kontroll av kjøre- og hviletidsreglene mv., også å omfatte reglene om yrkes- og markedsadgang, herunder kabotasje, kombinerte transporter, arbeidstid for sjåfører og utstasjonering av sjåfører. Det gis bl.a. bestemmelser om at fartsskriveren skal ha nye funksjonaliteter, som posisjonstjenester og registrering av grensepasseringer. Dette skal muliggjøre mer effektiv kontroll av det berørte vegtransportregelverket, eksempelvis kabotasje.
Som følge av endringene i EUs mobilitetspakke forventes det at medlemslandene øker sin kontrollvirksomhet og samhandlingen mellom de kompetente kontrollmyndighetene. I tillegg utvides bruksområdet til fartsskriveren til å omfatte kontroll med yrkestransportregelverket. Dette medfører et behov for å kunne behandle personopplysninger i forbindelse med bruk av fartsskriveren. Etter departementets vurdering bør det foreligge hjemmel for slik behandling, jf. personvernforordningen artikkel 6 nr. 3.
Videre er det i forbindelse med forslaget til endringer av yrkestransportloven § 38 og utvidet bruk av elektroniske kontrollverktøy, jf. Prop. 105 LS (2021–2022), også behov for å styrke rettsgrunnlaget for behandling av personopplysninger. Departementet viser for øvrig til at en tilsvarende regulering for behandling av personopplysninger følger av lov 18. juni 1965 nr. 4 om vegtrafikk (vegtrafikkloven) § 43 b.
Departementet foreslår at det tilføres en ny bestemmelse om behandling av personopplysninger i yrkestransportloven. Forslaget inntatt i bestemmelsens første ledd er generell og skal i utgangspunktet omfatte all behandling av personopplysninger etter yrkestransportloven med tilhørende forskrifter.
2.1.2 Behovet for hjemmel om behandling av personopplysninger på ferjeområdet
Statens vegvesen, fylkeskommunene og operatørene utfører oppgaver innen ferjeområdet i medhold av bestemmelser i yrkestransportloven og tilhørende forskrifter. Når det gjelder behandling av personopplysninger på ferjeområdet, vurderer departementet at det i liten grad er gitt uttrykkelige bestemmelser om behandlingen i eller i medhold av yrkestransportloven.
Det forhold at behandling av personopplysninger på ferjeområdet ikke er direkte regulert i lov står i kontrast til bompengeområdet, der behandlingsgrunnlaget fremgår av lov 21. juni 1963 nr. 23 om vegar (veglova) § 27 femte ledd. Det ses her bort fra gjeldende adgang til behandling av personopplysninger i kraft av midlertidig lov om billettering på ferje.
Med billettering på ferje siktes det i hovedsak til billettering av passeringer på ferje med kjøretøy. Det er ikke betaling for den enkelte passasjer i kjøretøyene på samband som benytter AutoPASS-regulativ. Etter riksregulativet er det likevel takster for både kjøretøy og passasjerer. AutoPASS-teknologien brukes for å sikre komplett billettering på ferjer som bruker AutoPASS-regulativet.
En av metodene for billettering på ferje som ble benyttet før utbruddet av covid-19 i 2020, var manuell billettering etter riksregulativet for ferjetakster. Denne metoden går ut på at den reisende betaler for passeringen ved bruk av kontanter, bankkort eller AutoPASS-ferjekort om bord på ferja. Billetteringen starter med dialog gjennom bilvinduet mellom billettør og den reisende, for å fastslå antall passasjerer mv., som er nødvendig for å bestemme korrekt pris. Deretter leveres betalingsmiddelet fra den reisende til billettøren, som etter gjennomført transaksjon returnerer reisebevis, bankkort eller vekslepenger til den reisende. Metoden gjentas for hvert kjøretøy og passasjerer som er om bord på ferja. Reisende uten brikke eller AutoPASS ferjekort, kunne tidligere også betale ved å løse billett i billettautomat/billettbod der dette var installert.
Ved årsskiftet 2019/2020 hadde 10 av 16 riksveiferjesamband innført AutoPASS-regulativet og brikkebetaling, mens på ferjesambandene for fylkesvei var AutoPASS-regulativet og brikkebetaling innført på 19 av 97 samband. På ferjesamband som benyttet AutoPASS-regulativet før utbruddet av covid-19, ble om lag 70 prosent av billettene solgt ved bruk av AutoPASS-teknologi. Dette inkluderer billetter solgt med AutoPASS-ferjeavtale med forskuddsinnbetaling som oppnår full rabatt (50 prosent for privatkunder og 40 prosent for bedriftskunder) og de som har brikke og avtale fra en brikkeutsteder (men ikke AutoPASS-ferjeavtale), som oppnår 10 prosent rabatt. I forskrift 14. desember 2018 nr. 1917 om utstedervirksomhet for bompenger og ferjebilletter (utstederforskriften) er det forutsatt at både ferjeselskap og bompengeselskap kan inngå i AutoPASS Samvirke som operatører.
Når det gjelder ferjeselskapenes behandlingsgrunnlag i dag, legger departementet til grunn at ferjeselskapene kan anses for å behandle personopplysninger i forbindelse med utførelsen av en oppgave i allmenn interesse, jf. artikkel 6 nr. 1 bokstav e) samt nærmere supplerende rettsgrunnlag i og med midlertidig lov om billettering på ferje.
Ettersom behandlingen av personopplysninger på området for billettering på ferje er omfattende og potensielt vanskelig å unngå for den enkelte registrerte, er det departementets vurdering at hjemmelsgrunnlaget også i fremtiden bør fremgå klart av lovteksten. Departementet mener et slikt standpunkt også følger av vurderingene i Kongelig resolusjon 3. april 2020 om fastsettelse av midlertidig forskrift om billettering på ferje, Prop. 114 L (2019–2020), Prop. 29 L (2020–2021), samt Prop. 37 L (2021–2022). Departementet mener derfor at det er et særlig behov for et klarere hjemmelsgrunnlag i yrkestransportloven for behandling av personopplysninger på ferjeområdet, jf. forslaget til ny § 29 b annet ledd.
Når det gjelder oppgaver knyttet til billettering på ferje, er det departementets vurdering at disse overordnet sett allerede følger av bestemmelser i eller i medhold av yrkestransportloven. Etter departementet syn er det særlig Statens vegvesen, fylkeskommunene og ferjeselskapene som har oppgaver på dette området, i tillegg til AutoPASS-utstedere. Det er imidlertid ikke direkte angitt i yrkestransportloven at aktørene ved utførelsen av sine oppgaver kan behandle personopplysninger. Forslaget til ny § 29 b annet ledd er ment å presisere dette forholdet. Etter departementets vurdering vil forslaget til ny § 29 b annet ledd sett i sammenheng med de oppgaver som allerede er gitt, utgjøre et supplerende rettsgrunnlag for behandling av personopplysninger på grunnlag av personvernforordningen artikkel 6 nr. 1 bokstav e). Departementet viser for øvrig til at en tilsvarende regulering for behandling av personopplysninger for bompasseringer følger av veglova § 27 femte ledd.
2.2 Om ferjesambandene i Norge
De offentlige ferjesambandene er en viktig del av infrastrukturen i Norge. I Norge drives ferjetransport i rute av ferjeselskaper/rederier. Ferjetransport i rute i tilknytning til riksveiene driftes av ferjeselskaper med løyve gitt av Statens vegvesen, jf. yrkestransportloven § 7, jf. § 13. For ferjetransport i rute i tilknytning til fylkesveiene, gis løyvene av fylkeskommunene. Løyvene lyses ut som en del av offentlige kontrakter i henhold til regelverket om offentlige anskaffelser, jf. yrkestransportloven § 8. Ferjetilbudet delfinansieres over de offentlige budsjettene, henholdsvis over Statens vegvesens budsjett og over fylkeskommunenes budsjetter. I tillegg til den offentlige finansieringen av ferjene, kommer billettinntekter basert på takster for kjøretøy og passasjerer. Disse inntektene skjer gjennom billettering på ferjene, med hjemmel i forskrift 26. mars 2003 nr. 403 om transport med ferje § 7 og § 35. Kommunene har ansvaret for kommunale ferjesamband slik det følger av yrkestransportloven § 13 annet ledd annet punktum.
Følgende roller og aktører er særlig relevante med hensyn til AutoPASS for ferje:
Løyvemyndighetene
Statens vegvesen er løyvemyndighet for riksveiferjesamband. Fylkeskommunene er løyvemyndighet for ferjetransport i rute i tilknytning til fylkesveiene. Kommunene har ansvaret for kommunale ferjesamband.
Ferjeselskapene (operatørene)
Det er pr. 1. januar 2022 21 ferjeselskaper i Norge. Ferjeselskaper som inngår i AutoPASS Samvirke omfattes av begrepet «operatør», jf. utstederforskriften § 2 bokstav l.
AutoPASS-utstedere
AutoPASS-utstedere har i henhold til utstederforskriften en rolle både på vei og på ferje, se utstederforskriften § 2 bokstav b.
Driftsleverandører og tjenesteleverandører
Per i dag er det Skyttel AS som har rollen som Sentral Tjenesteleverandør (STL). Skyttel AS er også driftsleverandør for ferjeselskapet Bastø Fosen.
Ferjeselskapene og driftsleverandørene har ulike roller i forbindelse med innkreving av betaling og drift. Etter gjennomført konkurranse inngår veieierne kontrakt med ferjeselskapene om drift av de fysiske ferjene inkludert rutetransport og billettering. Noen veieiere drifter ferjene helt eller delvis selv gjennom eget ferjeselskap.
Som en del av Statens vegvesens arbeid med å forvalte og samordne innkrevingen, har Statens vegvesen inngått kontrakt med Sentral Tjenesteleverandør. Sentral Tjenesteleverandør kan benyttes av alle som drifter ferje (ferjeselskap og veieiere). Sentral Tjenesteleverandør forestår prosesseringen av betalingen og driften av selve det sentrale innkrevingssystemet, inkludert prising av transaksjoner, på vegne av ferjeoperatørene. Innhenting og prosessering på ferjekant foretas imidlertid ved bruk av ferjeselskapenes eget system og utstyr. Stort sett alle ferjeselskap benytter Sentral Tjenesteleverandør, men noen få ferjeselskap og veieiere som benytter kun sine egne løsninger.
Ferjeselskaper, alternativt fylkeskommunen som ferjeselskapets oppdragsgiver, kan godkjennes som operatører i samvirket etter avtale med Statens vegvesen.
Det finnes ca. 60 bompengeanlegg i Norge der det i dag kan betales med AutoPASS-brikke. En bilist som ønsker å benytte AutoPASS-brikke må inngå avtale med en AutoPASS-utsteder. Kunden inngår dermed en brukeravtale (AutoPASS-avtale) med selskapet som har utstedt brikken. Dersom kunden i tillegg inngår avtale om AutoPASS for ferje, kommer denne avtalen i tillegg til brukeravtalen som er inngått mellom kunden og AutoPASS-utstederen.
Som følge av bompengereformen, er det i dag opp til den enkelte AutoPASS-utsteder å utforme de nærmere avtalebetingelser overfor kunden, likevel hensyntatt utstederforskriften § 15. Etter det departementet kjenner til, fremgår det av gjeldende AutoPASS-avtaler at tilleggsavtale inngås med ferjeselselskapet for at rabatt skal kunne oppnås på ferjestrekninger. I praksis inngås denne tilleggsavtalen med Sentral Tjenesteleverandør. Tilleggsavtalen har også bestemmelser om personvern, se særlig til avtalens pkt. 2 og 9. Avtalen, som er tilgjengelig på nettsiden autopassferje.no, vil ikke gjengis i sin helhet, men departementet viser blant annet til pkt. 2.1 hvor det heter at «Ved opprettelse av kundekonto hos Sentral Tjenesteleverandør gir kunden samtykke i at det innhentes og lagres personopplysninger som beskrevet i pkt. 9.» Videre fremgår det i pkt. 9.1 at «Formålet med å registrere opplysninger om kunden vil være å gjennomføre avtale om rabattert betaling for reiser med ferjer som er med i nasjonal løsning for AutoPASS for ferjer.»
2.3 Om tidligere sporfrie avtaler for bompasseringer
Sporfri avtale var en valgfri variant av AutoPASS-avtalen som kunne inngås mellom kjøretøyeieren og bompengeselskapet. Tilbud om sporfrie avtaler ble innført som et personverntiltak, i henhold til Datatilsynets konsesjon fra 2005. Den eneste forskjellen på ordinær avtale og sporfri avtale var at ved sporfri avtale ble passeringstid og -sted rutinemessig slettet innen 72 timer etter passering. Dersom AutoPASS-brikken ikke ble lest i bomstasjon, ble det imidlertid tatt bilde av kjøretøyet som ble lagret i opptil ett døgn. Passeringen og bildet ble slettet etter at systemene identifiserte at skiltet på bildet tilhørte et kjøretøy med sporfri avtale. Sporfri avtale var slik sett ikke en avtale som sikret brukeren fullstendig anonymitet eller fullstendig anonyme passeringer.
Som en følge av at Datatilsynets konsesjon falt bort og ikke ble videreført, vurderte Vegdirektoratet og departementet om det var mulig å opprettholde tilbudet med sporfrie avtaler. Etter tilrådning fra Vegdirektoratet om å avvikle ordningen med sporfrie avtaler, besluttet departementet å følge tilrådningen da gjeldende bokføringsregelverk og sporfritt alternativ ikke kunne ivaretas på samme tid. Ordningen ble avviklet 15. august 2019.
Bokføringsloven § 13 annet ledd bestemmer at oppbevaringspliktig regnskapsmateriale skal oppbevares i fem år etter regnskapsårets slutt. Som oppbevaringspliktig regnskapsmateriale regnes både tidspunkt og sted for bompasseringer. Dette medfører at tidspunkt og sted for bompasseringer som hovedregel skal lagres i fem år. Når det gjelder sammenhengen mellom bokføringsregelverket og personvernreglene vises det til Personvernnemndas vedtak i PVN-2010-07 og PVN-2010-08, samt tilhørende uttalelser fra Skattedirektoratet.
Departementet vil se nærmere på løsninger som kan redusere sporbarheten innenfor AutoPASS.
2.4 Offentlig høring
Statens vegvesen har på vegne av Samferdselsdepartementet gjennomført høring i to omganger forbindelse med den foreslåtte endringen i yrkestransportloven. Det ble sendt ut en høring 9. juli 2021 med høringsfrist 8. oktober 2021. I denne høringen ble bestemmelsen om generell hjemmel for behandling av personopplysninger hørt (daværende forslag til yrkestransportloven § 39a). Etter høringen ble bestemmelsen justert etter innspill fra Justis- og beredskapsdepartementet og Datatilsynet. Deretter sendte Statens vegvesen på vegne av Samferdselsdepartementet i brev datert 24. februar 2022 på offentlig høring et forslag til endringer i yrkestransportloven som tok for seg en ny hjemmel i § 29 c, samt justeringer av den allerede foreslåtte hjemmelen i § 39a, inntatt i høringsnotatet som ny § 29 b. Høringsfristen var satt til 7. april 2022. Høringsbrevet ble publisert på Statens vegvesens nettsider og var åpen for alle som ønsket kunne uttale seg. Høringsbrevet med vedlegg ble sendt til følgende høringsinstanser:
Arbeids- og inkluderingsdepartementet
Barne- og familiedepartementet
Finansdepartementet
Helse- og omsorgsdepartementet
Justis- og beredskapsdepartementet
Kommunal- og distriksdepartementet
Nærings- og fiskeridepartementet
Datatilsynet
Direktoratet for samfunnssikkerhet og beredskap
Finanstilsynet
Forbrukerrådet
Forbrukertilsynet
Regelrådet
Sivilombudet
Sjøfartsdirektoratet
Transportklagenemnda
Agder fylkeskommune
Innlandet fylkeskommune
Møre og Romsdal fylkeskommune
Nordland fylkeskommune
Rogaland fylkeskommune
Troms og Finnmark fylkeskommune
Trøndelag fylkeskommune
Vestfold og Telemark fylkeskommune
Vestland fylkeskommune
Viken fylkeskommune
Arbeidsgiverforeningen Spekter
AtB AS
Bastø Fosen AS
Bjørkeli ferjerederi
Bompengeselskap Nord AS
Boreal Norge AS
Boreal Sjø
BroBIZZ
Den Norske Advokatforening
Ferde AS
Fjellinjen AS
Fjord 1 AS
Flyt AS
FosenNamsos Sjø
Fremtind Service
Gulenskyss
Hovedorganisasjonen Virke
Kollektivtrafikkforeningen
Kolombus
Kongelig Norsk Automobilklub
KS
Landsorganisasjonen i Norge
Lastebileiernes forening
LeasePlan
Maskinentreprenørenes Forbund
NHO Logistikk og Transport
NHO Reiseliv
NHO Sjøfart
NHO Transport
Norges Automobil-Forbund
Norges Lastebileier-Forbund
Norges Taxiforbund
Norges Transportarbeiderforbund (NTF)
Norled AS
Norsk Bobil og Caravan Club
Norsk bobilforening
Norsk elbilforening
Norsk Sjømannsforbund
Norsk Tjenestemannslag
Opplysningsrådet for Veitrafikken
Osterøy Ferjeselskap AS
Rødne Fjord Cruise
Skyss
Skyttel AS
SkyttelPASS AS
Tolltickets
Torghatten Nord
Torghatten Trafikkselskap AS
Vegamot AS
Vegfinans AS
Vidar Hop Skyssbåter
Wergeland
Yrkesorganisasjonenes Sentralforbund
Yrkestrafikkforbundet
Øresundbron
Av disse har 18 svart. Dette er:
Justis- og beredskapsdepartementet
Datatilsynet
Helsedirektoratet
Sjøfartsdirektoratet
Møre og Romsdal fylkeskommune
Nordland fylkeskommune
Advokatforeningen
Boreal Sjø
Fellesforbundet
Fjord 1 AS
Fremtind Service
Kollektivtrafikkforeningen
NHO Reiseliv
NHO Sjøfart
NHO Transport
Norges Lastebileier-Forbund
Norled
Torghatten Nord
Av disse har følgende instanser uttalt at de ikke har merknader til forslaget:
Helsedirektoratet
Justis- og beredskapsdepartementet
Sjøfartsdirektoratet