sou · GVB364 · 2008-01-01 00:00:00 — Utredningen har inte funnit att det i något annat avseende skulle behövas några övergångsbestämmelser till de föreslagna för- fattningarna. Utredningen har föreslagit en lagbestämmelse om att den regi- strerade i den utsträckning sekretess inte hindrar det får ha direkt- åtkomst till personuppgifter som behandlas i CSN:s studiestöds- verksamhet, om uppgifterna avser honom eller henne själv. I 1 § 3 förordningen (2005:55) om elektronisk överföring av ansökningar om studiemedel finns det en bestämmelse om att CSN får meddela föreskrifter om att den som gör en elektronisk ansökan får ha direktåtkomst till sådana uppgifter om sig själv som finns hos CSN och som får lämnas ut till honom eller henne. Förordningen har tidsbegränsad giltighet till och med , SFS 2007:318. Den bestämmelsen blir med utredningens förslag onödig och bör upphävas för den händelse det skulle beslutas att förord- ningen i övrigt ska fortsätta att gälla efter ikraftträdandet av den föreslagna studiestödsdatalagen. 8 Konsekvenserna av förslagen 8.1Ekonomiska och samhälleliga konsekvenser För kommittéers och särskilda utredares arbete gäller bestämmel- serna i kommittéförordningen (1998:1474). Om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kom- muner, landsting, företag eller andra enskilda, ska enligt 14 § kom- mittéförordningen en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konse- kvenser i övrigt, ska dessa också redovisas. När det gäller kost- nadsökningar och intäktsminskningar för staten, kommuner eller landsting, ska kommittén enligt samma lagrum föreslå en finansi- ering. Utredningens förslag innebär att det införs en särskild reglering av behandlingen av personuppgifter i CSN:s studiestödsverksam- het. regleras den behandlingen av personuppgiftslagen. CSN har påtalat att det krävs tekniska förändringar för att genomföra de föreslagna reglerna om intern elektronisk tillgång till personuppgifter, loggning, gallring och den registrerades rätt att i vissa fall motsätta sig behandling. Utredningens förslag avseende intern elektronisk tillgång till personuppgifter och loggning bygger på och utgör bara preci- seringar av de bestämmelser om säkerhet i personuppgiftslagen som CSN har att följa (se avsnitt 6.11). krävs det alltså enligt personuppgiftslagen att CSN begränsar den interna elektroniska tillgången till personuppgifter och har loggar som kontrolleras, och utredningens förslag innebär att CSN i stor utsträckning själv ska bestämma hur tillgången och loggningen ska ordnas. Det är utredningens bedömning att CSN:s kostnader för att ordna tillgången och loggningen inte är en följd av utredningens förslag och att förslagen i vart fall inte innebär någon ökad kostnad för CSN i förhållande till de kostnader den redan gällande person- uppgiftslagen innebär. I fråga om gallring har CSN redan inlett ett arbete med att utforma gallringsrutiner, ett arbete som givetvis drar kostnader. Det är utredningens bedömning att utredningens förslag i fråga om gallring inte innebär några nämnvärda extra kostnader. Utredningens förslag ger den registrerade rätt att motsätta sig sådan behandling av personuppgifter som i praktiken innebär att den registrerade får ett utskick från CSN som inte är nödvändigt för att handlägga ärenden om studiestöd (se närmare avsnitt 6.5 och 6.8.2). Utredningen bedömer att ganska få personer kommer att utnyttja den rätten, uppskattningsvis ett hundratal.1 Förslaget innebär att CSN på ett eller annat sätt måste notera vilka personer som har motsatt sig behandlingen och sedan inför utskick utesluta dessa personer. Det innebär vissa ökade kostnader för CSN. Sam- tidigt bör CSN:s kostnader minska något med anledning av att utskick inte behöver (och enligt utredningens förslag inte får) gö- ras till personer som inte vill ha utskicken. Det är utredningens bedömning att den ökade nettokostnaden för CSN kan av inom nuvarande anslagsramar. Utredningens sammanfattande bedömning är att utredningens förslag inte innebär några nämnvärda ökade kostnader. står det klart att CSN nu står inför en period när myndigheten kommer att ha en hel del utgifter för att anpassa datahanteringen till dataskyddslagstiftningen och att informera om lagstiftningen. Om förslagen i ett betänkande har betydelse för den kommu- nala självstyrelsen, ska konsekvenserna i det avseendet, enligt 15 § kommittéförordningen, anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsföre- byggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkur- rensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdhet mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Förslagen medför inte några negativa konsekvenser av nu angivet slag. 1 Utredningen vill betona att den bedömningen inte innebär att rätten blir mindre viktig för de personer som vill utnyttja den för att slippa utskick. 8.2Konsekvenser för personlig integritet Utredningar som lägger fram förslag som förutsätter behandling av personuppgifter bör särskilt uppmärksamma konsekvenserna från integritetsskyddssynpunkt för den som personuppgifterna avser.2 De förslag som utredningen lägger fram förutsätter inte någon behandling av personuppgifter utan är en reglering av en redan pågående sådan behandling. Utredningen har haft i uppdrag just att kartlägga och granska regleringen och användningen av person- register och annan behandling av personuppgifter i studiestöds- verksamheten. Hela utredningsarbetet har genomsyrats av över- väganden rörande de registrerades personliga integritet. Någon sär- skild konsekvensbeskrivning avseende skyddet för den personliga integriteten görs inte här utan det hänvisas till avsnitten 5 och 6. 2 Statsrådsberedningens publikation s. 83. Författningskommentaren har byggts upp på så vis att vad som angivits i tidigare avsnitt om de föreslagna bestämmelsernas inne- börd har förts samman och antecknats under respektive paragraf i författningskommentaren, där också ytterligare kommentarer kring paragrafen kan finnas. Metoden innebär att den som läser betän- kandet från pärm till pärm får stå ut med vissa upprepningar. Den som vill veta vad en föreslagen paragraf är avsedd att närmare inne- bära kan å andra sidan gå direkt till författningskommentaren och nöja sig med att läsa denna. Bara till förslaget till studiestödsdatalag finns det en författ- ningskommentar uppdelad på paragrafer. Utredningens förslag till studiestödsdataförordning kommenteras i stället i avsnitt 6.17. 1 § Denna lag tillämpas vid behandling av personuppgifter i Centrala studiestödsverksamhet. Lagen gäller bara om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Behandling av personuppgifter som enligt denna lag är tillåten utan den registrerades samtycke får utom i fall som avses i 5 § utföras även om den registrerade motsätter sig behandlingen. Paragrafen anger lagens tillämpningsområde. Bestämmelsens första och andra stycke har berörts i avsnitt 6.4. Det tredje stycket har berörts i avsnitt 6.5. Av första stycket framgår det att det endast är behandling av per- sonuppgifter som utförs av CSN som omfattas av lagens tillämp- ningsområde. Behandling av personuppgifter som utförs av någon annan aktör på studiestödsområdet faller utanför lagens tillämp- ningsområde. Med begreppen behandling och personuppgifter avses detsamma som i personuppgiftslagen (1998:204). Av första stycket följer också att lagen endast är tillämplig på CSN:s behandling av personuppgifter i studiestödsverksamhet. CSN:s verksamhet såvitt avser hemutrustningslån faller t.ex. utan- för tillämpningsområdet. Lagen tillämpas inte heller på CSN:s behandling av personuppgifter för intern administration, såsom lokal- och personalhantering, utan direkt koppling till handlägg- ningen av ärenden om studiestöd. Av 2 § andra stycket följer att CSN:s behandling av personuppgifter för att framställa statistik inte regleras av lagen även om statistikproduktionen skulle kunna sägas utgöra studiestödsverksamhet. Med studiestödsverksamhet avses för det första beviljning av studiestöd, återkrav av felaktigt utbetalat studiestöd och återbetal- ning av studiestöd samt den hantering som sker i anslutning till ärenden om beviljning, återkrav och återbetalning av studiestöd, oavsett om hanteringen av ärendet leder till att studiestöd beviljas, nekas, återkrävs, avskrivs eller återbetalas. Med studiestöd avses allt offentligt stöd för enskildas egna studier som CSN enligt författ- ning administrerar. Inte bara det stöd som regleras i studie- stödslagen (1999:1395) avses således utan även de andra former av studiestöd som CSN administrerar, Rg-bidrag, TUFF-ersättning och bidrag för dagliga resor samt de utmönstrade former av stöd som fortfarande kräver CSN:s handläggning, såsom rekryteringsbidrag. Med studiestödsverksamhet avses för det andra den verksamhet på det studiesociala området som CSN bedriver, t.ex. hanteringen av och förmedling av försäkringar. Av andra stycket framgår det vilken behandling av person- uppgifter som omfattas av lagen, nämligen samma typer av behand- ling som omfattas av personuppgiftslagen enligt 5 § i den lagen. I praktiken torde det inte i CSN:s studiestödsverksamhet före- komma någon sådan behandling som omfattas av studie- stödsdatalagen. Behandling av personuppgifter i ostrukturerat material i studiestödsverksamheten är inte undantaget från tillämp- ningsområdet för studiestödsdatalagen, jämför 5 a § person- uppgiftslagen. Av paragrafens tredje stycke framgår det att huvudregeln i studie- stödsdatalagen är att behandling av personuppgifter som enligt lagen är tillåten utan den registrerades samtycke får utföras även om den registrerade motsätter sig behandlingen. När samtycke krävs enligt studiestödsdatalagen (se 4 § första stycket, 7 och 10 §§), är behandlingen inte tillåten utan sådant samtycke. I 6 § berörs den registrerades möjligheter att återkalla ett lämnat sam- tycke. Av 5 § framgår det att den registrerade i vissa fall har en möjlig- het att förhindra behandling genom att motsätta sig den. Förhållandet till personuppgiftslagen och lagen om den officiella statistiken 2 § Personuppgiftslagen (1998:204) gäller vid behandling av per- sonuppgifter i Centrala studiestödsverksamhet, om inte annat följer av denna lag. I fråga om Centrala behandling av per- sonuppgifter för att framställa statistik gäller bestämmelserna i lagen (2001:99) om den officiella statistiken och anslutande författningar i stället för denna lag. Bestämmelserna i paragrafen har berörts i avsnitt 6.6. I första stycket regleras förhållandet mellan personuppgiftslagen och studiestödsdatalagen. Personuppgiftslagen gäller vid behand- ling av personuppgifter i CSN:s studiestödsverksamhet om inget annat följer av studiestödsdatalagen. När det uttryckligen anges i studiestödsdatalagen att CSN får behandla personuppgifter, innebär det en särreglering i förhållande till personuppgiftslagen, se t.ex. 4 §. Att CSN behandlar person- uppgifter när det uttryckligen tillåtits i studiestödsdatalagen kan således inte angripas enligt bestämmelsen i 5 a § personuppgifts- lagen om att viss behandling inte får utföras om den innebär en kränkning av den registrerades personliga integritet. I andra stycket anges det att vid behandling av personuppgifter för att framställa statistik gäller bestämmelserna i lagen (2001:99) om den officiella statistiken och anslutande författningar trots att behandlingen skulle kunna träffas av den beskrivning av tillämp- ningsområdet som ges i 1 §. Studiestödsdatalagen reglerar alltså inte alls CSN:s behandling av personuppgifter för att framställa statistik. om det är fråga om officiell statistik eller annan statistik. Att CSN behandlar personuppgifter som samlats in i studiestödsverksam- heten för att sända ut enkäter för att senare genom inkomna enkät- svar få underlag för att framställa statistik är t.ex. en behandling av personuppgifter för att framställa statistik som inte regleras av studiestödsdatalagen. Att CSN genom elektroniskt utlämnande av personuppgifter till fullgör uppgifts- skyldigheten enligt 5 § regeringens förordning (CSNFS 1986:25) om register med vissa uppgifter i gymnasieskolan är också en behandling av personuppgifter för att framställa statistik som inte regleras av studiestödsdatalagen. Behandlingen av personuppgifter för att framställa statistik får alltså utföras om den är tillåten enligt bestämmelserna i bl.a. lagen om den officiella statistiken och anslutande författningar samt personuppgiftslagen. 3 § är personuppgiftsansvarig för den behandling av personuppgifter som nämnden utför. Bestämmelserna i paragrafen har berörts i avsnitt 6.7. I paragrafen slås det fast att CSN är personuppgiftsansvarig för den behandling av personuppgifter som CSN utför. Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på behandling av personuppgifter iakttas. Vidare innebär person- uppgiftsansvaret bl.a. en skyldighet att lämna information till den registrerade (23–27 §§ personuppgiftslagen) och att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de person- uppgifter som behandlas (31 § personuppgiftslagen och 9 § studie- stödsdatalagen med 5 § studiestödsdataförordningen). Person- uppgiftsansvaret innebär även ett ansvar för att en behandling av personuppgifter faktiskt utförs när den ska ske, t.ex. att rättelse, blockering eller gallring sker i föreskriven tid och på rätt sätt, lik- som ett ansvar för att behandling av personuppgifter inte utförs när det inte får ske. Personuppgiftsansvaret gäller alltså också vid underlåtenhet att utföra en behandling som åligger CSN. 4 § Personuppgifter får behandlas i Centrala studiestödsverksamhet förutom med den registrerades samtycke bara om behandlingen behövs för att 1.handlägga ärenden i den verksamheten, 3.i den utsträckning regeringen föreskriver det förbereda hand- läggningen, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och till studerande distribuera bevis om studier med studiestöd, eller 6.om sekretess inte hindrar det anmäla oegentlighet inom stu- diestödsverksamhet till en myndighet som har att utreda eller beivra oegentligheten. Personuppgifter som behandlas enligt första stycket får dock om sekretess inte hindrar det lämnas ut till den registrerade själv, och regeringen samt, i den utsträckning uppgiftsskyldighet följer av lag eller förordning, till andra. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas avskilt för att återsöka vägledande avgöranden. Regeringen får meddela föreskrifter om begränsningar av ändamålen i första stycket och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Bestämmelserna i paragrafen har berörts i avsnitt 6.8. Paragrafen anger när personuppgifter får behandlas i CSN:s studiestöds- verksamhet. Paragrafen innebär en avvikelse från personuppgiftslagen såtill- vida att den ersätter 10 § personuppgiftslagen. CSN får således i studiestödsverksamheten inte t.ex. behandla personuppgifter efter en intresseavvägning enligt 10 § f personuppgiftslagen. Regleringen i paragrafen är uttömmande i den meningen att CSN inte i andra fall, eller för andra ändamål, får behandla person- uppgifter i studiestödsverksamheten. För att en behandling av per- sonuppgifter i studiestödsverksamheten ska vara tillåten krävs det alltså att den behövs för de tillåtna ändamålen, sker med samtycke eller, i andra fall, avser utlämnande enligt en uppgiftsskyldighet i lag eller förordning eller till , regeringen eller den regi- strerade själv. CSN får således inte i studiestödsverksamheten behandla per- sonuppgifter som samlats in för de tillåtna ändamålen för något annat ändamål även om detta ändamål inte skulle vara oförenligt med de tillåtna ändamålen (jämför finalitetsprincipen i 9 § första stycket d personuppgiftslagen); en sådan senare behandling för ett annat ändamål är tillåten bara med samtycke eller om behandlingen avser utlämnande i de fall som tidigare angetts. För att en behandling av personuppgifter som är tillåten enligt denna paragraf ska få genomföras krävs det också att övriga bestämmelser i studiestödsdatalagen om behandlingen följs, t.ex. bestämmelserna med restriktioner i fråga om personuppgifter av känslig natur (7 §), sökbegrepp (8 §) och direktåtkomst och annat elektroniskt utlämnande (10–14 §§). Paragrafen innebär inte någon avvikelse från bestämmelserna i personuppgiftslagen i den meningen att inskränkningarna i person- uppgiftslagen i fråga om behandling av personnummer (22 §) och överföring av personuppgifter till tredje land (33 §) inte skulle gälla. I paragrafens första stycke anges det tillåtna ändamål för att be- handla personuppgifter (avsnitt 6.8.2). Av första stycket framgår det också att personuppgifter får med den registrerades samtycke behandlas för vilket ändamål som helst. För att en personuppgift ska få behandlas genom att samlas in krävs det att behandlingen behövs för åtminstone något av de angivna tillåtna ändamålen eller att behandlingen sker med den registrerades samtycke. Behandlingen av personuppgifter i CSN:s studiestödsverksam- het får alltså med samtycke avse vilket ändamål som helst. Efter- som personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och senare inte får behandlas för något ändamål som är oförenligt med de ändamål för vilka upp- gifterna samlades in (9 § första stycket c och d personuppgifts- lagen), måste CSN i detta fall själv ange ändamålet med behand- lingen. De personuppgifter som har samlats in med stöd av den registrerades samtycke får således – till skillnad från vad som gäller för personuppgifter som har samlats in bara med stöd av de angivna tillåtna ändamålen – senare användas också för ändamål som inte är oförenliga med det ändamål för vilket de insamlades (9 § första stycket d personuppgiftslagen). Den registrerade kan samtycka till att personuppgifter som redan samlats in för de angivna tillåtna ändamålen senare används för något annat ändamål. Den fortsatta behandlingen för det nya ändamålet är då tillåten med stöd av samtycket. Med samtycke avses detsamma som enligt 3 § personuppgifts- lagen, nämligen varje slag av frivillig, särskild och otvetydig vilje- yttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Även frågorna om när den registrerade själv kan lämna ett sam- tycke och om vem som kan lämna ett samtycke för en registrerad som inte kan det får bedömas på samma sätt som enligt person- uppgiftslagen. Att behandlingen behövs för de angivna syftena innebär det- samma som när det i artikel 7 i EG-direktivet och 10 § person- uppgiftslagen anges att behandlingen är nödvändig för olika syf- ten. De personuppgifter som för de angivna ändamålen får behandlas i CSN:s studiestödsverksamhet får anses insamlade för samtliga ändamål. Personuppgifter som har samlats in i första hand för att handlägga ärenden i studiestödsverksamheten kan således utan hin- der av den s.k. finalitetsprincipen i 9 § första stycket d person- uppgiftslagen senare behandlas t.ex. för att ta fram och till stude- rande distribuera bevis om studier med studiestöd. Däremot får CSN inte i studiestödsverksamheten utan samtycke från den regi- strerade behandla personuppgifter för något annat ändamål än de angivna. Detta är inte ens tillåtet om ändamålet med denna behandling skulle vara förenligt med det för vilket person- uppgifterna ursprungligen samlades in. Av andra stycket framgår det när de behandlade personuppgifter får lämnas ut oberoende av för vilket ändamål det sker. I första punkten anges det att CSN får behandla personuppgifter om det behövs för att handlägga ärenden i studiestödsverksam- heten. Med handläggning av ärenden avses inte bara åtgärder som direkt syftar till att kunna fatta beslut i ett ärende om studiestöd utan samtliga åtgärder i ärendet både före och efter beslutet. Sådana åtgärder i ett ärende kan vara bl.a. att på begäran sända ut ansök- ningsblanketter, att ta emot och skanna in handlingar, att sända ut förfrågningar, att upprätta minnesanteckningar, sammanställningar och utkast inför beslut, att utforma ett beslut, att expediera beslu- tet, att administrera utbetalning och att efter beslutet ha kontakter med den studiestödsberättigade. Dessa efterföljande kontakter kan t.ex. gå ut på att lämna information om förändrad ränta för studie- lån. När CSN sänder ut ett meddelande som behövs för att hand- lägga ett ärende om studiestöd och bifogar information omkring det studiestöd ärendet gäller, får även lämnandet av informationen anses behövlig för att handlägga ärendet. Att ge den registrerade elektronisk eller annan tillgång till uppgifterna i ett ärende om stu- diestöd där den registrerade är part eller där den registrerade har rätt att få utbetalning av studiestöd för någon annan får anses ingå i handläggningen av ärenden. Även behandling av personuppgifter som sker för att kontrollera att studiestöd har beslutats och beta- lats ut på ett riktigt sätt utgör en del av handläggningen av ärendet om studiestöd. Kontroller av bl.a. sökandens uppgifter ingår såle- des i handläggningen. Att en handläggare tar del av vägledande avgöranden för att kunna pröva ett ärende om studiestöd ingår också i handläggningen av ärendet. Detsamma gäller när en hand- läggare tar del av material i vägledande fall för att utforma hand- böcker och liknande till ledning för handläggningen av ärenden. Också CSN:s kravverksamhet avseende återbetalning eller återkrav av studiestöd ingår i handläggningen av ärenden. Det kan handla om att sända ärenden för indrivning till inkassoföretag eller att ansöka om betalningsföreläggande eller verkställighet hos Krono- fogdemyndigheten. Även sådan bokföring och redovisning avse- ende ärendena om studiestöd som är föreskriven får anses ingå i handläggningen av ärenden. Om skadeståndsanspråk riktas mot staten med anledning av skada som inträffat inom CSN:s studie- stödsverksamhet, är antingen CSN eller Justitiekanslern behörig att handlägga skadeståndsanspråket. Den behandling av person- uppgifter som behövs härför är hänförlig till handläggning av ären- den i studiestödsverksamheten. På motsvarande sätt får CSN:s handläggning avseende svar på förfrågningar från tillsynsinstanser, t.ex. ombudsmän (), rörande CSN:s studiestöds- verksamhet anses avse handläggning av ärende i studiestödsverk- samheten. Av andra punkten framgår det att CSN får behandla person- uppgifter om det behövs för att administrera handläggningen av ärenden i studiestödsverksamheten. Ett exempel på sådan behand- ling är förandet av register över anmälda kontaktpersoner på olika läroanstalter. Ett annat exempel är den behandling av person- uppgifter om såväl handläggare som sökande som sker i samband med att ärenden om studiestöd på automatiserat vis fördelas mellan CSN:s handläggare. I den tredje punkten anges det att CSN får behandla person- uppgifter för att i den utsträckning regeringen föreskriver det för- bereda handläggningen av ärenden i studiestödsverksamheten. Det krävs alltså en förordningsbestämmelse för att CSN ska få behandla personuppgifter för att förbereda handläggningen. bestämmelser finns i 2 och 3 §§ i förslaget till studiestödsdata- förordning, se avsnitt 6.17.2. I den fjärde punkten anges det att CSN får behandla person- uppgifter om det behövs för att informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner.