1 §  Denna lag gäller vid behandling av personuppgifter i Transportstyrelsens databas över olyckor och personskador i trafiken. Lagen gäller även vid behandling av uppgifter i databasen som gäller avlidna personer.

2 §  Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning.

3 §  Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

4 §  Termer och uttryck i denna lag har samma betydelse som i EU:s dataskyddsförordning, lagen (2001:559) om vägtrafikdefinitioner och förordningen (2001:651) om vägtrafikdefinitioner.

5 §  I denna lag avses med en

1. vägtrafikolycka: en plötslig händelse eller serie av händelser som har inträffat helt eller delvis på en väg och involverat ett fordon i rörelse,
2. olycka i trafikmiljö: en plötslig händelse eller serie av händelser som har involverat en trafikant och inträffat
   1. helt eller delvis på en väg,
   2. helt eller delvis på en gångbana som inte ligger invid en väg,
   3. på en buss- eller spårvagnshållplats, eller
   4. ombord på en spårvagn,
3. olycka med terrängmotorfordon: en plötslig händelse eller serie av händelser som har involverat ett terrängmotorfordon i rörelse, och
4. olycka med fritidsfartyg: en plötslig händelse eller serie av händelser som har involverat ett sjösatt fritidsfartyg.

6 §  Transportstyrelsen är personuppgiftsansvarig för behandlingen av personuppgifter i databasen.

7 §  Personuppgifter får behandlas i databasen om det är nödvändigt för

1. framställning av statistik inom trafiksäkerhetsområdet,
2. forskning som avser trafiksäkerhet, eller
3. planering, uppföljning, utvärdering eller kvalitetssäkring av trafiksäkerhetsarbete.

Personuppgifter som behandlas enligt första stycket får behandlas även för andra ändamål, under förutsättning att behandlingen inte är oförenlig med det ändamål för vilket uppgifterna samlades in.

8 §  Databasen får innehålla uppgifter med anknytning till en sådan olycka som avses i denna lag och om personer som varit involverade i olyckan.

Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om vilka uppgifter enligt första stycket som får behandlas i databasen.

9 §  Uppgifter om hälsa som avser personskador får behandlas i databasen och får användas som sökbegrepp. Inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas.

För ändamål som avses i 7 § andra stycket får uppgifter om hälsa och personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning behandlas endast om det är absolut nödvändigt för syftet med behandlingen.

10 §  Vårdgivare som ger akutsjukvård och vars verksamhet innefattar ortopedi eller kirurgi ska till databasen lämna uppgifter som rör samtliga personer som söker vård eller har avlidit till följd av en olycka i trafikmiljö, en olycka med terrängmotorfordon eller en olycka med fritidsfartyg.

11 §  Polismyndigheten ska till databasen lämna uppgifter om en sådan vägtrafikolycka, olycka med terrängmotorfordon eller olycka med fritidsfartyg som myndigheten fått kännedom om och som medfört personskada eller dödsfall.

12 §  Kustbevakningen ska till databasen lämna uppgifter om en sådan olycka med fritidsfartyg som myndigheten fått kännedom om och som medfört personskada eller dödsfall.

13 §  Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om uppgiftsskyldigheterna enligt 10-12 §§.

14 §  Databasen får endast innehålla pseudonymiserade personuppgifter.

Trots första stycket får Transportstyrelsen i ett enskilt fall vidta åtgärder för att personuppgifter åter ska bli direkt hänförliga till enskilda registrerade, om det är absolut nödvändigt för

1. att säkerställa att uppgifter som myndigheten lämnar som underlag för officiell statistik är riktiga,
2. forskning som avser trafiksäkerhet, eller
3. att Transportstyrelsen ska kunna uppfylla sina skyldigheter som personuppgiftsansvarig.

15 §  Myndigheten för samhällsskydd och beredskap, Polismyndigheten, Statens väg- och transportforskningsinstitut, Trafikanalys, Trafikverket, kommunala myndigheter och länsstyrelser får medges direktåtkomst till sådana personuppgifter i databasen som respektive myndighet behöver för de ändamål som anges i 7 § första stycket.

Universitet och högskolor som är myndigheter eller som vid tillämpningen av offentlighets- och sekretesslagen (2009:400) ska jämställas med myndigheter får medges direktåtkomst till personuppgifter i databasen, om uppgifterna behövs för forskning som avser trafiksäkerhet.

16 §  Om uppgifterna i databasen ska användas i sådan forskning som omfattas av lagen (2003:460) om etikprövning av forskning som avser människor, får direktåtkomst enligt 15 § medges endast under förutsättning att såväl forskningen som behandlingen av uppgifterna har godkänts vid etikprövning enligt den lagen.

17 §  Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet vid sådan åtkomst.

18 §  Den som har medgetts direktåtkomst enligt 15 § ansvarar för att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

19 §  Den som har medgetts direktåtkomst enligt 15 § har vid sådan åtkomst rätt att ta del av de uppgifter i databasen som avses i den paragrafen.

20 §  Personuppgifter i databasen får inte behandlas under längre tid än vad som är nödvändigt för de ändamål som anges i 7 § första stycket.

Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om den längsta tid som personuppgifter får behandlas och om gallring.