sou · GVB364 · 2008-01-01 00:00:00 — När det i studiestödsdatalagen anges att behandlingen behövs eller uppgifterna behövs för olika syften avses detsamma som när det i artikel 7 i EG-direktivet och 10 § personuppgiftslagen anges att behandlingen är nödvändig för olika syften. För att en personuppgift ska få (behandlas genom att) samlas in krävs det att behandlingen behövs för åtminstone något av de angivna tillåtna ändamålen. De personuppgifter som för de angivna ändamålen får behandlas i CSN:s studiestödsverksamhet får anses insamlade för samtliga ändamål. Personuppgifter som har samlats in i första hand för att handlägga ärenden i studiestödsverksamheten kan således utan hin- der av den s.k. finalitetsprincipen i 9 § första stycket d person- uppgiftslagen senare behandlas t.ex. för att ta fram och till stude- rande distribuera bevis om studier med studiestöd. Däremot får CSN inte i studiestödsverksamheten utan samtycke från den regi- strerade behandla personuppgifter för något annat ändamål än vad som framgår ovan. Detta är inte ens tillåtet om ändamålet med denna behandling inte skulle vara oförenligt med det för vilket per- sonuppgifterna ursprungligen samlades in. Vad som gäller i fråga om utlämnande av personuppgifter berörs i avsnitt 6.8.4. För att kunna fullgöra sina arbetsuppgifter enligt studiestödslagen och andra författningar om studiestöd behöver CSN behandla en stor mängd personuppgifter. CSN bör givetvis få behandla person- uppgifter om behandlingen behövs för att handlägga ärenden i stu- diestödsverksamheten. Med handläggning avses inte bara åtgärder som direkt syftar till att kunna fatta beslut i ett ärende om studiestöd utan samtliga åtgärder i ärendet både före och efter beslutet. Sådana åtgärder i ett ärende kan vara bl.a. att på begäran sända ut ansökningsblanketter, att ta emot och skanna in handlingar, att sända ut förfrågningar, att upprätta minnesanteckningar, sammanställningar och utkast inför beslut, att utforma ett beslut, att expediera beslutet, att admini- strera utbetalning och att efter beslutet ha kontakter med den stu- diestödsberättigade. Dessa efterföljande kontakter kan t.ex. gå ut på att lämna information om förändrad ränta för studielån. När CSN sänder ut ett meddelande som behövs för att handlägga ett ärende om studiestöd och bifogar information omkring det studie- stöd ärendet gäller, får även lämnandet av informationen anses behövlig för att handlägga ärendet. Att ge den registrerade elektronisk eller annan tillgång till upp- gifterna i ett ärende om studiestöd där den registrerade är part eller där den registrerade har rätt att få utbetalning av studiestöd för någon annan får anses ingå i handläggningen av ärenden (jämför om direktåtkomst för den registrerade avsnitt 6.12.6). Även behandling av personuppgifter som sker för att kontrol- lera exempelvis att studiestöd har beslutats, betalats ut och betalats tillbaka på ett riktigt sätt utgör en del av handläggningen av ärendet om studiestöd. Kontroller av bl.a. sökandens uppgifter ingår såle- des i handläggningen. Att en handläggare tar del av vägledande avgöranden för att kunna pröva ett ärende om studiestöd ingår också i handläggningen av ärendet. Detsamma gäller när en anställd tar del av material i vägledande fall för att utforma handböcker och liknande till ledning för handläggningen av ärenden. Också CSN:s kravverksamhet avseende återbetalning eller åter- krav av studiestöd ingår i handläggningen av ärenden. Det kan handla om att sända ärenden för indrivning till inkassoföretag eller att ansöka om betalningsföreläggande eller verkställighet hos Kro- nofogdemyndigheten. Även sådan bokföring och redovisning avseende ärendena om studiestöd som är föreskriven får anses ingå i handläggningen av ärenden. Om skadeståndsanspråk riktas mot staten med anledning av skada som inträffat inom CSN:s verksamhetsområde, kan CSN vara behörig att själv handlägga skadeståndsanspråket, 5 § förord- ningen (1995:1301) om handläggning av skadeståndsanspråk mot staten. Samråd kan dock behöva ske med Justitiekanslern, och i vissa fall är det i stället Justitiekanslern som har att handlägga ska- deståndsanspråket. Om skadeståndsanspråket avser CSN:s studie- stödsverksamhet, får också CSN:s handläggning av själva ska- deståndsanspråket anses avse handläggning av ärende i studiestöds- verksamheten. Det gäller även när CSN för handläggningen av ska- deståndsanspråket behöver lämna ut personuppgifter till Justitie- kanslern. På motsvarande sätt får CSN:s handläggning avseende svar på förfrågningar från tillsynsinstanser, t.ex. ombudsmän (), rörande CSN:s studiestödsverksamhet anses avse handläggning av ärende i studiestödsverksamheten. Den behandling av personuppgifter som behövs för att hand- lägga ärenden i studiestödsverksamheten bör få utföras även om den registrerade motsätter sig behandlingen (se avsnitt 6.5). Avsikten är att angivandet av det aktuella ändamålet i den före- slagna lagen inte ska påverka bestämmelserna om sekretess i sekre- tesslagen, inklusive tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekretesslagen. Administrera handläggningen av ärenden För att kunna handlägga ärendena i studiestödsverksamheten behövs det en omfattande administration hos CSN. Denna admi- nistration innefattar viss behandling av personuppgifter som inte på ett naturligt sätt kan sägas ingå i den direkta handläggningen av ärenden i studiestödsverksamheten som avses under närmast före- gående rubrik. Ett exempel på sådan behandling är förandet av register över anmälda kontaktpersoner på olika läroanstalter. Ett sådant kontaktregister används nämligen bara för att underlätta handläggningen av ärendena om studiestöd. Ett annat exempel är den behandling av personuppgifter om såväl handläggare som sökande som sker i samband med att ärenden om studiestöd på automatiserat vis fördelas mellan CSN:s handläggare. Det bör därför uttryckligen anges att CSN får behandla person- uppgifter i studiestödsverksamheten om behandlingen behövs för att administrera handläggningen. Den behandling av person- uppgifter som behövs för detta bör få utföras även om den registre- rade motsätter sig behandlingen (se avsnitt 6.5). Avsikten är att angivandet av det aktuella ändamålet i den före- slagna lagen inte ska påverka bestämmelserna om sekretess i sekre- tesslagen, inklusive tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekretesslagen. Förbereda handläggningen av ärenden CSN:s handläggning av ärenden avseende studiehjälp och beviljan- de av studiemedel utgör en masshantering, där många beslut måste fattas och verkställas genom utbetalning vid ungefär samma tider . CSN förbereder hanteringen genom att i förväg hämta in personuppgifter beträffande alla 16-åringar om bl.a. person- nummer, namn, adress, vårdnadshavare och betalningsmottagare för allmänt eller förlängt barnbidrag samt beträffande personer som antagits till någon utbildning som berättigar till studiemedel om bl.a. uppgifter om personnummer, namn och adress. Den behand- lingen av personuppgifter avseende 16-åringar som inte fortsätter att studera respektive antagna studerande som inte ansöker om studiemedel behövs inte för att handlägga ärenden som berör dem (eftersom några ärenden avseende de nämnda personerna inte är eller kommer att bli aktuella). Däremot är det nödvändigt att den nämnda förberedande behandlingen avseende alla personer som kan bli aktuella för stöd genomförs för att med rimliga resurser hand- lägga ärendena beträffande 16-åringar som fortsätter att studera respektive antagna studerande som ansöker om studiemedel och betala ut vad de har rätt till i rätt tid. Vid utformningen av den särskilda registerförfattningen för bl.a. verksamhet inom socialförsäkringens administ- ration har det ansetts att sådana förberedande åtgärder bör hänföras till ett särskilt ändamål vid sidan av ändamålet att handlägga ären- den, eftersom det bedömts att handläggning av ärenden kan före- komma först när ett ärende har anhängiggjorts.19 Det kan här nämnas att CSN också hämtar in uppgifter om ungdomar som är och som antagits till en utbildning som berättigar dem till studiehjälp. I detta fall får behandlingen av personuppgifter anses ske för att handlägga det ärende om studie- hjälp som aktualiserats genom antagningen till utbildningen. Det får anses särskilt integritetskänsligt att en myndighet behandlar personuppgifter om individer som inte alls berörs av myndighetens ålagda arbetsuppgifter. är det enligt utred- ningens bedömning rimligt och proportionerligt att så får fortsätta att ske, beträffande de förhållandevis harmlösa uppgifter det är fråga om, för att den majoritet av berörda personer som kommer att ha rätt till studiehjälp respektive studiemedel med rimliga resur- ser ska kunna få det i rimlig tid. Integritetskänsligheten av behand- lingen gör dock att den bör kringgärdas av särskilda garantier för integritetsskyddet. Att ge den enskilde ett inflytande över om hans eller hennes personuppgifter ska behandlas eller inte (dvs. att införa en rätt att motsätta sig behandlingen) kan vara en sådan garanti. Det skulle emellertid inte vara särskilt ändamålsenligt bl.a. eftersom fördelarna med förberedandet av masshanteringen då skulle gå del- vis förlorade och då det torde vara svårt att på ett effektivt sätt i förväg informera de berörda om rätten att motsätta sig behand- lingen. Utredningen anser i stället att en lämplig garanti för integritets- skyddet är att överlåta åt regeringen att föreskriva om i vilka fall behandling av uppgifter om personer som inte (ännu) berörs av något ärende hos CSN ska vara tillåten för att vidta förberedande åtgärder för handläggningen. Därmed får man på ett flexibelt sätt en garanti för att det görs en konkret bedömning av att inte fler personer eller fler personuppgifter än vad som verkligen är nöd- vändigt berörs av de förberedande åtgärderna. Frågan om en anknytande förordningsreglering berörs i avsnitt 6.17.2. Avsikten är att angivandet av det aktuella ändamålet i den före- slagna lagen inte ska påverka bestämmelserna om sekretess i sekre- 2002/03:135 s. 62 f. tesslagen, inklusive tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekretesslagen. Informera om studiestödsförmåner och studiesociala förmåner Enligt sin instruktion är CSN central förvaltningsmyndighet för studiesociala frågor, och enligt studiestödslagen och andra författ- ningar om studiestöd har CSN att handlägga ärenden om studie- stöd. Syftet med studiestödet är ofta att bl.a. bidra till ett högt del- tagande i utbildning. Det sagda får anses innebära att det åligger CSN att informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner. CSN anser det och sysslar en hel del med sådan information. Även utredningen anser det befogat att behandla personuppgifter för att på det sättet informera studie- stödsberättigade åtminstone så länge de berörda inte motsatt sig det. Utredningen föreslår därför att CSN i studiestödsverksamheten får behandla personuppgifter om behandlingen behövs för att informera studiestödsberättigade om studiestödsförmåner och stu- diesociala förmåner. Den behandlingen av personuppgifter, som inte är nödvändig i samband med handläggningen av ärenden, bör dock bara få utföras så länge den registrerade inte har motsatt sig behandlingen, se avsnitt 6.5. CSN har att informera de registrerade om rätten att motsätta sig behandlingen, lämpligen bl.a. genom att ta med den informationen i varje informationsutskick. Det är bara information till studiestödsberättigade som avses. Avser informationen studiestödsförmåner måste det kunna antas att informationsmottagarna i och för sig är berättigade till just den aktuella förmånen om de skulle börja studera på visst sätt, vilket t.ex. är fallet med mottagarna av det s.k. 16-årsbrevet avseende stu- diehjälp. Det krävs alltså inte att personen redan studerar. Med studiestödsförmåner avses det som ibland kallas studie- finansiell verksamhet, dvs. CSN:s kärnverksamhet med studie- stöd.20 Information om studiestödsförmåner kan avse t.ex. olika stödformer och villkoren för dessa och därmed sammanhängande frågor. Det ska röra sig om information om någon stödform som CSN har att hantera. Vilka stödformer det kan röra sig om kan komma att variera över tiden. är det fråga om stöd 20 Se CSN:s skrivelse (dnr 2006-100-12243) till Utbildnings- och s. 8. enligt studiestödslagen, TUFF-ersättning, Rg-bidrag och ersätt- ning för dagliga resor. Med studiesociala förmåner avses sådan studiesocial verksamhet som kan antas vara till fördel för den som studerar. Det kan vara fråga om rabatter på resor eller försäkringar som riktar sig just till studerande. Information om de olika rabatt- och förmånskort som finns för studerande faller under bestämmelsen. Vad som är en förmån får bedömas från fall till fall. Det ska typiskt sett vara fråga om något som för studerandekollektivet, eller i vart fall för en inte ringa del av det, framstår som en nyttighet eller i vart fall något önskvärt. I avsnitt 6.17.3 finns det överväganden om vilka personuppgifter som bör få behandlas för det aktuella ändamålet. Avsikten är att angivandet av det aktuella ändamålet i den före- slagna lagen inte ska påverka bestämmelserna om sekretess i sekre- tesslagen, inklusive tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekretesslagen. Distribuera bevis om studier med studiestöd En del av CSN:s verksamhet inom ramen för den studiesociala verksamheten består i att se till att studerande med studiestöd får olika rabatt- och förmånskort, se avsnitt 4.2.5 ovan. Det rör sig om , Mecenatkortet, Studentkortet och Membitkortet. Det är inte CSN som själv tar fram och distribuerar dessa kort, men personuppgifterna som används kommer från CSN:s register och lämnas ut till olika företag för ändamålet. CSN är personuppgiftsansvarig för den behandling av personuppgifter som utlämnandet till kortföretagen innebär. För den övriga behandling av personuppgifter som behövs för att ta fram och dis- tribuera korten är CSN personuppgiftsansvarig bara för den behandling avseende som ett företag utför såsom per- sonuppgiftsbiträde åt CSN. Utredningen anser att det är befogat och normalt till fördel för studiestödstagarna att behandla personuppgifter för att på det beskrivna sättet ta fram och distribuera bevis om studier med stu- diestöd som kan användas för att styrka rätten till olika förmåner för studerande. Det gäller åtminstone så länge de berörda inte mot- satt sig det. Utredningen föreslår därför att CSN i studiestödsverksamheten får behandla personuppgifter om behandlingen behövs för att ta fram och till studerande distribuera bevis om studier med studie- stöd. Den behandlingen, som inte är nödvändig i samband med handläggningen av ärenden, bör dock bara få utföras så länge den registrerade inte har motsatt sig behandlingen, se avsnitt 6.5. CSN har att informera de registrerade om rätten att motsätta sig behandlingen. I avsnitt 6.17.3 finns det överväganden om vilka personuppgifter som bör få behandlas för det aktuella ändamålet. Avsikten är att angivandet av det aktuella ändamålet i den före- slagna lagen inte ska påverka bestämmelserna om sekretess i sekre- tesslagen, inklusive tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekretesslagen. I studiestödsverksamheten kan det upptäckas oegentligheter. Det kan gälla sökande som fuskat eller försökt fuska, t.ex. genom att lämna oriktiga uppgifter eller förfalskade handlingar. Det kan också gälla oegentligheter begångna i studiestödsverksamheten av andra än sökande, t.ex. dataintrång av CSN:s personal, personal vid annan instans med direktåtkomst eller någon helt utomstående eller mut- brott och bestickning. När det gäller sökandes fusk har det införts en skyldig- het för CSN att till polismyndighet eller anmäla brott enligt bidragsbrottslagen (2007:612). Det har av informationsutbytesutredning vidare föreslagits att en anmäl- ningsskyldighet införs för bl.a. CSN när det finns anledning att anta att ett bidrag eller en annan ekonomisk förmån för personligt ändamål från trygghetssystemen felaktigt har beviljats eller betalats ut till en enskild från vissa myndigheter.21 En sådan anmälan ska göras till den myndighet som har beviljat eller betalat ut förmånen. Det kan också finnas andra anmälningsskyldigheter som kan ha betydelse vid oegentligheter i studiestödsverksamheten. En anmäl- ningsskyldighet får anses innebära en sådan uppgifts- skyldighet som genombryter sekretess enligt 14 kap. 1 § sekre- tesslagen (1980:100) vid utlämnande till myndighet och som utred- 21 SOU 2007:45 s. 385 ff. ningen föreslår ska kunna fullgöras oberoende av bestämmelserna om ändamål i studiestödsdatalagen (se avsnitt 6.6.4 och 6.8.4). Någon generell skyldighet för CSN att anmäla oegentligheter i studiestödsverksamheten finns dock inte. Anmälningsskyldigheten enligt bidragsbrottslagen avser t.ex. inte oriktigt uppgiftslämnande i ett ärende om avskrivning av studielån som kan innebära bedrägeri enligt brottsbalken.22 I sådana fall där det inte finns anmälnings- skyldighet får CSN själv välja om en anmälan om oegentligheten ska göras till behörig myndighet eller inte. CSN måste dock i dessa fall först avgöra om sekretess kan hindra anmälan; ofta kan emel- lertid en anmälan till myndighet göras utan hinder av annars gäl- lande sekretess enligt 14 kap. 2 och 3 §§ sekretesslagen (1980:100). Även om det finns vissa risker i integritets- och rättssäkerhets- hänseende med att en myndighet har, inte en skyldighet att vidta en åtgärd utan, en viss valmöjlighet i fråga om en för den enskilde klart negativ åtgärd ska vidtas eller inte, anser utredningen att det är rimligt och proportionerligt att CSN även när det inte finns en anmälningsskyldighet får behandla personuppgifter för att om sek- retess inte hindrar det anmäla en oegentlighet inom studiestöds- verksamhet till ett offentligt organ som enligt offentligrättsliga regler har att utreda eller beivra oegentligheten. Utredningen föreslår därför såsom ett särskilt ändamål en bestämmelse om att CSN i studiestödsverksamheten får behandla personuppgifter om behandlingen behövs för att, om sekretess inte hindrar det, anmäla oegentlighet inom studiestödsverksamhet till ett offentligt organ som har att utreda eller beivra oegentligheten. Anmälan ska alltså avse sådant inom studiestödsverksamheten som kan betecknas som en oegentlighet som något offentligt organ har att utreda eller beivra. Det kan gälla t.ex. brottsmisstankar som anmäls till polismyndighet eller . Det kan också gälla sådant som kan föranleda en arbetsrättslig åtgärd, såsom disciplinansvar, åtalsanmälan, uppsägning eller avskedande, som anmäls till någon myndighets personalansvarsnämnd inklusive per- sonalansvarsnämnden hos CSN. Avsikten är att angivandet av det aktuella ändamålet i den före- slagna lagen inte ska påverka bestämmelserna om sekretess i sekre- tesslagen, inklusive tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekretesslagen. 2006/07:80 s. 79 och 80. CSN har behov av att kunna samla vägledande avgöranden från den egna verksamheten och från överprövnings- och tillsynsinstanser bl.a. för att kunna handlägga ärendena, utbilda handläggare och skriva vägledningar om regelverket och dess tillämpning. När avgö- randen används för sådana praxisändamål är det egentligen inte intressant vilka namngivna individer avgörandena rört. Det intres- santa är i stället de rättsliga bedömningar som gjorts. För att CSN ska kunna ha en särskild praxisdatabas där väg- ledande avgöranden samlas föreslår utredningen en bestämmelse om att personuppgifter som behandlas för de tillåtna ändamålen och som inte direkt pekar ut den registrerade får behandlas avskilt för att återsöka vägledande avgöranden. Närmare föreskrifter om ändamålen Som framgått har de tillåtna ändamålen med behandlingen angetts på ett förhållandevis allmängiltigt sätt. Utredningen har nämligen ansett att det inte är lämpligt eller möjligt med bestämmelser med större precision i lag. Det kan emellertid inte uteslutas att det i vissa fall kan vara önskvärt att av integritetsskyddsskäl ytterligare precisera bestämmelserna om ändamål. Utredningen föreslår därför att regeringen bemyndigas att med- dela föreskrifter om begränsningar av de i studiestödsdatalagen angivna tillåtna ändamålen och om begränsningar av vilka person- uppgifter som får behandlas för ett visst ändamål. Utredningen lämnar ett förslag till en till lagen anknytande förordning med bl.a. sådana föreskrifter. Frågan om innehållet i förordningen berörs i avsnitt 6.17. 6.8.3Den registrerades samtycke till andra behandlingar I sin roll som central förvaltningsmyndighet för studiesociala frå- gor kan CSN på olika sätt vilja erbjuda studiestödsberättigade ser- vice av skilda slag. Som exempel kan nämnas det informations- utbyte som sker mellan CSN och resebyrå respektive försäkrings- mäklare (se närmare avsnitt 4.2.5). Studerande som är berättigade till stöd för resa kan begära att CSN till resebyrå lämnar ut nöd- vändiga personuppgifter för att CSN ska betala den studerandes resa direkt till resebyrån. På motsvarande sätt kan studerande som önskar kontakt med försäkringsmäklare begära att CSN vidare- befordrar information till sådan mäklare. Den service som CSN erbjuder synes bygga på de registre- rades samtycke eller åtminstone utan olägenhet kunna bygga på sådant samtycke. Enligt utredningens mening finns det över huvud taget inga beaktansvärda integritetsskyddsskäl som talar emot att tillåta CSN att inom ramen för studiestödsverksamheten behandla person- uppgifter för vilket ändamål som helst med stöd av frivilligt sam- tycke från den registrerade.23 Utredningen anser vidare att det inte är nödvändigt med bestämmelser som förbjuder eller gör det möj- ligt att förbjuda en behandling inom ramen för studiestöds- verksamheten som sker med den registrerades samtycke. Utredningen föreslår därför en bestämmelse om att person- uppgifter får behandlas i CSN:s studiestödsverksamhet om den registrerade har samtyckt till behandlingen. Behandlingen av personuppgifter i studiestödsverksamheten får med samtycke avse vilket ändamål som helst. Eftersom person- uppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och senare inte får behandlas för något ända- mål som är oförenligt med de ändamål för vilka uppgifterna samla- des in (9 § första stycket c och d personuppgiftslagen), måste CSN i detta fall själv ange ändamålet med behandlingen. De person- uppgifter som har samlats in med stöd av den registrerades sam- tycke får således – till skillnad från vad som gäller för person- uppgifter som har samlats in bara med stöd av de angivna tilllåtna ändamålen (se avsnitt 6.8.2) – senare användas för ändamål som inte är oförenliga med det ändamål för vilket de insamlades (9 § första stycket d personuppgiftslagen). Den registrerade kan samtycka till att personuppgifter som redan samlats in för de angivna tillåtna ändamålen senare används för något annat ändamål. Den fortsatta behandlingen för det nya ändamålet är då tillåten med stöd av samtycket. Med samtycke avses detsamma som enligt personuppgiftslagen (3 §), nämligen varje slag av frivillig, särskild och otvetydig vilje- yttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Även frågorna om när den registrerade själv kan lämna ett sam- 23 Motsvarande bedömning har gjorts av på hälso- och sjukvårdsområdet, SOU 2006:82. tycke och om vem som kan lämna ett samtycke för en registrerad som inte kan det får bedömas på samma sätt som enligt person- uppgiftslagen.24 6.8.4Utlämnande av personuppgifter utan samtycke för andra ändamål