sou · GRB3103 · 2004-01-01 00:00:00 — uppsåtligt utlämnande av uppgifter som omfattas av sekretess en- ligt de lagrum som anges i en särskild katalog i 16 kap. 1 § sekre- tesslagen. För sådana uppgifter gäller alltså tystnadsplikt som bry- ter meddelarfriheten (s.k. kvalificerad tystnadsplikt). gäller enligt 16 kap. 1 § sekretesslagen kvalificerad tyst- nadsplikt för uppgifter som omfattas av sekretess enligt 7 kap. 9 och 38 §§. Personal som arbetar i skol- och förskoleverksamhet kan alltså inte utan straffrättsligt ansvar lämna ut sekretessbelagda uppgifter till media. I förarbetena till bestämmelsen anges som skäl för detta att de uppgifter som förekommer inom skolan ofta är av samma ömtåliga natur som inom hälso- och sjukvården och social- tjänsten. För bägge dessa verksamheter motiveras den kvalificerade tystnadsplikten med att uppgifterna är ömtåliga och hänförliga till förtroendesituationer.17 Den kvalificerade tystnadsplikten för upp- gifter i skolverksamheten gäller även hos , som också tillämpar sekretessbestämmelserna i 7 kap. 9 och 38 §§ sekretessla- gen i sin tillsynsverksamhet. Det enda undantaget från den kvalifi- cerade tystnadsplikten görs avseende uppgifter som härrör från ärenden om tillrättaförande av elev eller om skiljande av elev från vidare studier. Anledningen är att det anses viktigt med offentlig insyn i den myndighetsutövning som förekommer i dessa ären- den.18 Vi föreslår nu en ny bestämmelse som skall reglera sekretess i tillsynsverksamhet. Det innebär att verket i fortsätt- ningen inte kommer att tillämpa bestämmelserna i 7 kap. 9 och 38 §§ sekretesslagen. Därigenom kommer personalen hos Skolver- ket inte längre att omfattas av kvalificerad tystnadsplikt, om inte katalogen i 16 kap. 1 § sekretesslagen utökas med den nya bestäm- melse som vi föreslår. Det finns enligt vår uppfattning inga skäl för att avskaffa den kvalificerade tystnadsplikt som gäller för upp- gifter hos , men enligt vårt förslag kommer fler uppgifter att omfattas av sekretess hos än vad som är fallet . Det kan därför sättas i fråga om också dessa nya uppgiftskategorier skall omfattas av kvalificerad tystnadsplikt. Enligt vår bedömning finns det ingen egentlig skillnad i känslig- het mellan de uppgifter som kommer in till från exem- pelvis skolor – och som omfattas av såväl sekretess som kvali- ficerad tystnadsplikt hos verket – och flertalet av de offentliga uppgifter som enskilda lämnar in till . Vi anser också att 1979/80:2 del A, Förslag till sekretesslag m.m, s. 371 ff 18A.a, s. 373 det saknas ett påtagligt behov av allmän insyn i fråga om de uppgif- ter som enskilda lämnar till och som rör deras eller när- ståendes personliga förhållanden. När vi nu föreslår att känsliga uppgifter som lämnas av enskilda personer skall kunna sekretessbe- läggas hos , anser vi följaktligen att också dessa uppgifter bör omfattas av kvalificerad tystnadsplikt hos verket. Vi föreslår därför att den kvalificerade tystnadsplikten enligt 16 kap. 1 § sekre- tesslagen skall omfatta också uppgifter som kan sekretessbeläggas med stöd av den nya bestämmelsen om sekretess i till- synsverksamhet. På samma sätt som bör emellertid sådana uppgifter som kan hänföras till ett ärende om tillrättaförande av elev eller om skil- jande av elev från vidare studier, vara undantagna från den kvalifice- rade tystnadsplikten. Det bör dessutom övervägas om också andra uppgifter skall omfattas av detta undantag. Den nya sekretessbe- stämmelse som vi föreslår för tillsynsverksamhet inne- bär nämligen att vissa uppgifter som är helt offentliga i allmän skolverksamhet kommer att kunna sekretessbeläggas hos Skolver- ket. Det gäller framför allt uppgifter om betyg och andra liknande omdömen som endast avser elevers studieresultat. Just dessa upp- gifter är enligt vår bedömning av den karaktären att det saknas skäl att låta dem omfattas av den kvalificerade tystnadsplikten hos Skol- verket, även om de i undantagsfall skulle kunna komma att sekre- tessbeläggas där. Vi föreslår därför att också uppgifter om betyg eller omdöme avseende studieresultat skall undantas från den tyst- nadsplikt som bryter meddelarfriheten. 10 Skolan och personuppgiftslagen regleras behandling av person- uppgifter i personuppgiftslagen (1998:204), som har ersatt den tidi- gare datalagen (1973:289). Personuppgiftslagen har sin utgångs- punkt i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks vid behandling av personuppgif- ter. Lagen är tillämplig i bl.a. all skolverksamhet vid den dokumen- tation som utförs med datorer. För skolläkare och skolsköterskor och annan personal, t.ex. legitimerade psykologer, som har att till- lämpa hälso- och sjukvårdslagstiftningen, finns därutöver särskilda bestämmelser i bl.a. vårdregisterlagen (1998:544). Några motsva- rande särregler, dvs. särskild registerlagstiftning, finns emellertid inte för behandling av personuppgifter i övrig skolverksamhet. Frågor om personuppgiftslagens påverkan på skolverksamheten nämns i och för sig inte uttryckligen i våra direktiv, men de har nära anknytning till frågor om dokumentation i skolorna. Vidare har pekat på problem som kan uppstå på grund av personuppgiftslagens regler när information om elever skall do- kumenteras.1 Mot den bakgrunden anser vi att det finns det skäl för oss att i detta sammanhang titta närmare på bestämmelserna i per- sonuppgiftslagen och hur de förhåller sig till den del av skolverk- samheten som inte regleras särskilt på annat sätt. Detta kapitel in- nehåller därför en allmän genomgång av personuppgiftslagen, en analys av vilka hinder lagen sätter upp för behandling av person- uppgifter i skolan samt våra överväganden om det eventuella beho- vet av särskilda regler om behandling av personuppgifter på skolans område. Vi bortser emellertid i det fortsatta från den behandling av 1 skollagskommitté, Skollag för kvalitet och likvärdighet, (SOU 2002:121), s. 283 f personuppgifter som redan regleras särskilt, dvs. den som utförs inom skolhälsovården och av annan personal som lyder under häl- so- och sjukvårdslagstiftningen. Vi anser inte heller att det ligger inom ramen för vårt uppdrag att utreda vilken effekt personupp- giftslagen har på de fristående skolorna. 10.1.1Allmänt om lagens tillämpningsområde Personuppgiftslagen reglerar själva hanteringen av personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behand- ling av personuppgifter som inte är tillåten med stöd av personupp- giftslagen i princip är otillåten. Om det finns särskild reglering av sådan behandling i annan lag eller i förordning, gäller emellertid de reglerna framför personuppgiftslagens bestämmelser. Personuppgifter i lagens mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Med behandling av personuppgifter avses varje åtgärd som vidtas med uppgifterna, t.ex. insamling, bearbetning, utlämnande, lagring eller förstöring. Personuppgiftslagen tillämpas på all automatiserad (datoriserad) behandling av personuppgifter, oavsett om det sker i löpande text med ordbehandling eller i strukturerade dataregister. Dessutom är lagen tillämplig på behandling av personuppgifter i strukturerade register. Behandling av personuppgifter som en fysisk person utför i verksamhet av rent privat natur omfattas dock inte alls av lagen. I personuppgiftslagen anges uttryckligen att den inte får in- skränka myndigheternas skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen och att den inte heller hind- rar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. 10.1.2Förutsättningar för behandling av personuppgifter Ansvarig för behandling av personuppgifter är den personuppgifts- ansvarige, dvs. den som ensam eller tillsammans med andra be- stämmer ändamålen med och medlen för behandlingen av person- uppgifter. När en myndighet behandlar personuppgifter är det normalt myndigheten som sådan som är ansvarig, inte någon ur personalen. I kommunerna är oftast en nämnd personuppgifts- ansvarig för den behandling av personuppgifter som utförs av per- soner som arbetar i nämndens verksamhet. Grundläggande krav vid behandling av personuppgifter Personuppgifter skall alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, ut- tryckligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. Det anses inte ofören- ligt med de ursprungliga ändamålen att behandla uppgifterna för bl.a. statistiska ändamål. De behandlade uppgifterna måste vara rik- tiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Uppfyller personuppgifterna inte kraven skall den personupp- giftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta de felaktiga eller ofullständiga uppgifterna. Personuppgifter får inte sparas längre än nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Allmänna handling- ar i tryckfrihetsförordningens mening får emellertid inte med stöd av bestämmelserna i personuppgiftslagen avidentifieras eller på an- nat sätt förstöras (dvs. När behandling av personuppgifter är tillåten Enligt personuppgiftslagen är det tillåtet att behandla personupp- gifter efter den registrerades samtycke. Med samtycke avses varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av per- sonuppgifter som rör honom eller henne. krav på att samtycke skall vara skriftligt eller på annat sätt form- bundet. Personuppgifter får – trots att samtycke från den registrerade saknas – behandlas om det är nödvändigt för att ett avtal med den registrerade skall kunna fullgöras, för att den personuppgiftsansva- rige skall kunna fullgöra en rättslig skyldighet, för att vitala intres- sen för den registrerade skall kunna skyddas, för att en arbetsupp- gift av allmänt intresse skall kunna utföras, för att den personupp- giftsansvarige eller någon annan till vilken personuppgifter har lämnats ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning samt för att tillgodose ett berättigat intresse hos den personuppgiftsansvarige, om det väger tyngre än den regi- strerades intresse av integritetsskydd. För vissa slag av uppgifter gäller enligt personuppgiftslagen särskil- da restriktioner. Enligt huvudregeln får uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening inte behandlas över huvud taget. Likaså är det förbjudet att behandla sådana person- uppgifter som rör hälsa eller sexualliv. Förbudet mot att behandla känsliga personuppgifter är dock inte undantagslöst. Uppgifterna får behandlas om den registrerade ut- tryckligen har samtyckt till det samt när den registrerade själv har offentliggjort känsliga uppgifter på ett tydligt sätt. Behandling av känsliga personuppgifter får även i andra fall utföras, om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att rättsliga anspråk skall kunna slås fast, göras gällande eller försvaras samt för att den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade är förhindrad att lämna sitt samtycke. Förbudet mot att behandla känsliga personuppgifter gäller inte behandling av uppgifter för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård och behandling eller hälso- och sjuk- vårdsadministration. Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undan- tag, om det behövs med hänsyn till ett viktigt allmänt intresse. Re- geringen har i personuppgiftsförordningen (1998:1191) föreskrivit att känsliga personuppgifter får behandlas av en myndighet i löpan- de text, om uppgifterna har lämnats i ett ärende eller om de är nöd- vändiga för handläggningen av ärendet. Uppgifter om brott och användning av personnummer Det är förbjudet för andra än myndigheter att behandla person- uppgifter om bl.a. lagöverträdelser och domar i brottmål. Myndig- heter får behandla sådana uppgifter endast om det är tillåtet enligt de allmänna bestämmelserna i personuppgiftslagen. Uppgifter om personnummer och samordningsnummer får be- handlas bara när den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vik- ten av en säker identifiering eller något annat beaktansvärt skäl. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandling av personuppgifter, när uppgifter samlas in från den registrerade själv. Har uppgifterna samlats in från en annan källa skall den registre- rade informeras när uppgifterna noteras. Information behöver dock inte lämnas om det är omöjligt eller skulle innebära en oproportio- nerligt stor arbetsinsats eller om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter. Informationen skall omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Den personuppgiftsansvarige är vidare skyldig att, efter ansökan, en gång per kalenderår gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Bestämmelserna om informationsskyldighet gäller inte om sek- retess eller tystnadsplikt för uppgifterna är föreskriven i förhållan- de till den registrerade själv, som t.ex. inom hälso- och sjukvården enligt 7 kap. 3 § sekretesslagen. Personuppgifter som är felaktiga eller ofullständiga eller som an- nars inte har behandlats i enlighet med personuppgiftslagen eller anknytande föreskrifter skall på den registrerades begäran rättas, utplånas eller blockeras (spärras) av den personuppgiftsansvarige. Den personuppgiftsansvarige har enligt personuppgiftslagen ett stort ansvar för säkerheten vid behandling av personuppgifter. För det allmännas verksamhet gäller att eventuella bestämmelser om säkerheten vid behandling av personuppgifter i annan lagstiftning skall tillämpas. Det gäller framför allt bestämmelser om tystnads- plikt och sekretess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade personuppgifterna. Åtgärderna skall åstadkomma en lämplig säker- hetsnivå med beaktande av de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behandling- en och hur känsliga de behandlade uppgifterna är. 10.1.5Överföring av personuppgifter till tredje land Det är enligt personuppgiftslagen förbjudet att utan samtycke från den registrerade föra över personuppgifter till en stat utanför EU eller EES som inte har en adekvat nivå för skyddet av personupp- gifter. Sådan överföring kan t.ex. ske genom allmänt åtkomliga webbplatser på Internet. Vid bedömningen av om ett land har en adekvat skyddsnivå skall hänsyn tas till samtliga omständigheter som har samband med överföringen, men särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge be- handlingen skall pågå, ursprungslandet, det slutliga bestämmelse- landet och de regler som finns för behandlingen i det tredje landet. Från överföringsförbudet görs vissa undantag, bl.a. om behand- lingen är nödvändig för att fullgöra ett avtal som är i den registrera- des intresse, för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Dessutom får regeringen i viss omfattning meddela föreskrifter om undantag från förbudet. 10.1.6Anmälan till Datainspektionen m.m. Enligt EU:s dataskyddsdirektiv skall en särskild tillsynsmyndighet utses i varje medlemsland. I har Datainspektionen tilldelats den uppgiften. Som ett led i sin tillsynsverksamhet skall Data- inspektionen ha tillgång till behandlade personuppgifter och dess- utom tillträde till lokaler med anknytning till behandlingen. Data- inspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att personuppgifter skall utplånas. Den personuppgiftsansvarige skall till Datainspektionen anmäla sådana behandlingar av personuppgifter som omfattas av person- uppgiftslagen. Syftet med anmälningsskyldigheten är att göra be- handlingens ändamål och dess viktigaste egenskaper kända. I såväl personuppgiftslagen som personuppgiftsförordningen och föreskrifter från Datainspektionen föreskrivs emellertid om undan- tag från anmälningsskyldigheten i olika situationer. Anmälan till Datainspektionen behöver t.ex. inte göras när ett personuppgifts- ombud har utsetts av den personuppgiftsansvarige. Personuppgifts- ombudet skall ha till uppgift att självständigt se till att den person- uppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Personuppgiftsombudet skall ha en förteckning över de behandlingar som den personuppgiftsansvarige utför och han skall även hjälpa registrerade personer att få rättelse vid misstanke om att personuppgifter är felaktiga eller ofullständiga. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade kan han eller hon ha rätt till ersättning från den personuppgiftsansvarige för den skada och kränkning av den personliga integriteten som behandlingen kan ha medfört. Den som uppsåtligen eller av oaktsamhet gör sig skyldig till vissa förfaranden kan dessutom dömas till böter eller fängelse. Det gäller t.ex. när osanna uppgifter lämnas i information till den registrerade eller om någon i strid med lagen behandlar känsliga personupp- gifter. Straffbestämmelsen tillämpas inte i ringa fall. 10.2Personuppgiftslagens betydelse för skolan Användningen av datorer har ökat drastiskt i hela samhället, inte minst i offentlig sektor. I det avseendet torde skolorna inte utgöra något undantag. Det är alltså med all säkerhet vanligt att skolpersonalen använder sig av någon form av datorstöd i verksamheten, ett antagande som också bekräftas av vår enkätun- dersökning. Det tycks i och för sig finnas stora variationer mellan olika skolor och det är många av de skolanställda som besvarat våra frågeformulär som uppger att de inte alls använder datorstöd vid dokumentation av elever, men framgår tydligt att det inom alla de personalkategorier som omfattades av undersökningen förekommer användning av datorer. Det framgår också att automa- tiserad behandling – i större eller mindre omfattning – förekommer i fråga om samtliga de skilda typer av dokument som omfattas av vår undersökning. Denna bild stärks också av Datainspektionens erfa- renhet av behandlingen av personuppgifter i skolan. Med anledning av ett flertal klagomål företogs inspektioner eller genomfördes till- syn vid ett antal skolor . Resultaten har publicerats i Datainspektionens rapport 2002:2, Behandling av personuppgifter i . Vad vi kan konstatera är att ett stort antal elevuppgifter inom skolverksamheten, såväl i undervisningen som i elevvården, behand- las på ett sådant sätt att de omfattas av bestämmelserna i person- uppgiftslagen. Det kan röra sig om behandling genom regelrätt registerföring (t.ex. datalistor över skolans samtliga elever), behand- ling i löpande text med hjälp av ordbehandling (t.ex. upprättade beslut och protokoll samt personalanteckningar), vanlig e-post eller publicering av uppgifter på hemsidor på Internet. Enligt vår uppfattning är det självklart att mycket av den behandling som före- kommer också måste få förekomma. Naturligtvis skall skolverk- samheten på samma sätt som annan verksamhet kunna dra fördel av ny teknik. En fråga som vi därför anser bör analyseras är om det finns rättsligt stöd för den behandling som behövs i samband med dokumentation avseende enskilda elever, dvs. om den kan ske i över- ensstämmelse med personuppgiftslagens regler. Vi anser däremot att det saknas skäl för oss att i det här sam- manhanget gå in på mer allmänna frågor om tillämpningen av per- sonuppgiftslagen i skolan, t.ex. om personuppgiftsansvar, informa- tion och säkerhet m.m. I dessa delar hänvisar vi i stället till den ovan nämnda rapporten från Datainspektionen. 10.2.1Skolornas möjligheter att behandla personuppgifter För att automatiserad behandling av personuppgifter över huvud taget skall få förekomma i skolan krävs att förutsättningarna i 10 § personuppgiftslagen för när behandling är tillåten är uppfyllda. För det första är sådan behandling alltid tillåten om den registrerade personen, eller i förekommande fall dennes vårdnadshavare, sam- tycker till det (jfr avsnitt 5.2.4 när det gäller frågan om samtycke behövs från både elev och vårdnadshavare eller endast från någon av dem). Även om sådant samtycke saknas får uppgifter behandlas i datorer om det är nödvändigt bl.a. för att den personuppgiftsansva- rige skall kunna fullgöra en rättslig skyldighet eller utföra arbetsupp- gifter av allmänt intresse. Enligt vår uppfattning torde det inte före- ligga någon tvekan om att skolmyndigheter enligt skollagen och andra författningar har en rättslig skyldighet i personuppgiftslagens mening att fullgöra sina åligganden gentemot eleverna i fråga om såväl undervisning som elevvård. Likaså måste det anses vara av stort allmänt intresse att skolorna kan fullgöra sina arbetsupp- gifter.2 Nödvändighetskravet innebär i fråga om automatiserad behandling av personuppgifter (användning av datorer) att en viss behandling får anses nödvändig även i de fall det är faktiskt möjligt 2 Jfr prop. 2000/01:80 Ny socialtjänstlag m.m, s. 144 (att kan fullgöra sina arbetsuppgifter på ett tillfredsställande sätt ansågs vara ett viktigt allmänt intresse) med behandling, om det innebär en påtaglig förenkling för den personuppgiftsansvarige att använda sig av datorstöd.3 Vår uppfattning är följaktligen att det normalt är tillåtet att i skol- verksamhet, liksom i annan offentlig verksamhet, använda datorer i stället för att anteckna uppgifter på papper. Det gäller i princip allt från personalens enkla minnesanteckningar till administrationens formella schemaläggning och strukturerade betygskataloger. En förutsättning är givetvis att uppgifterna behandlas i enlighet med personuppgiftslagens alla övriga bestämmelser, t.ex. 9 § om grund- läggande krav vid behandling och 22 § om hantering av person- nummer (se avsnitt 10.1.2). Personuppgiftslagen kan således, med ett undantag, inte anses utgöra något hinder för skolorna och deras personal att använda sig av datorstöd i den dagliga undervisnings- eller elevvårdsverksamheten. Undantaget gäller s.k. känsliga per- sonuppgifter. 10.2.2Särskilt om känsliga personuppgifter i skolan Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse och medlemskap i fackförening samt personuppgifter som rör hälsa eller sexualliv. Sådana känsliga uppgifter får enligt huvud- regeln i 13 § personuppgiftslagen inte behandlas utan samtycke från den registrerade.