sou · GVB364 · 2008-01-01 00:00:00 — Metoden har emellertid fått kritik av Lagrådet som bl.a. ansett att lagstiftningstekniken är riskfylld, med hänsyn såväl till svårigheten att överblicka om EG- direktivet (se avsnitt 3.3.3) blir till fullo genomfört i registerför- fattningarna som till möjligheten att vid kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller ofull- ständiga.11 Metoden har dock använts i lagen (2005:787) om behandling av uppgifter i brottsbekäm- pande verksamhet, som reglerar en verksamhet som delvis faller utanför tillämpningsområdet för EG-direktivet. En tredje metod är att låta den särskilda registerförfattningen gälla i stället för personuppgiftslagen och innehålla en fullständig reglering av behandlingen av personuppgifter inom sitt tillämp- ningsområde. De bestämmelser i personuppgiftslagen som trots allt ska vara tillämpliga upprepas således i registerförfattningen. Exem- pel på sådan lagstiftning finns i den antagna lagstiftningen om behandling av personuppgifter hos Försvarsmakten respektive Försvarets radioanstalt.12 Dessa två lagar är speciella såtillvida att de reglerar behandling av personuppgifter som faller utanför tillämp- ningsområdet för EG-direktivet.13 I utredningsdirektiven tas klart ställning för den förstnämnda metoden, som också är den vanligaste. Av utredningsdirektiven framgår det nämligen att den författningsreglering som föreslås ska gälla utöver personuppgiftslagen och begränsas till att avse frågor som är specifika för de verksamheter som omfattas av författnings- 2000/01:33 s. 345. 12Lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunder- rättelseverksamhet och militära säkerhetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. 2006/07:46. 13Artikel 3.2 första strecksatsen i EG-direktivet. 2006/07:46 s. 45 f. Också utredningen anser att studiestödsdatalagen bör förhålla sig på det sättet till personuppgiftslagen. Utredningen föreslår alltså att personuppgiftslagen ska gälla vid behandling av personuppgifter i CSN:s studiestödsverksamhet, om inte annat följer av studiestödsdatalagen. De kompletterande föreskrifter som kan komma meddelas av regeringen eller underlydande myndigheter med stöd av studie- stödsdatalagen torde inte i sig innehålla bestämmelser som avviker från personuppgiftslagen. Någon uttrycklig bestämmelse i studie- stödsdatalagen om förhållandet mellan sådana kompletterande föreskrifter och personuppgiftslagen föreslås därför inte. Som framgår av avsnitt 6.4.2 har det i personuppgiftslagen införts ett undantag från de flesta bestämmelserna i lagen för automatiserad behandling av person- uppgifter i ostrukturerat material, såsom löpande text eller ljud eller bild (5 a §). Sådan behandling får dock enligt en ny bestäm- melse i personuppgiftslagen inte utföras, om den innebär en kränk- ning av den registrerades personliga integritet. Av det nämnda avsnittet framgår det också att CSN:s behandling av person- uppgifter i ostrukturerat material i studiestödsverksamheten enligt utredningens förslag inte undantagits från tillämpningsområdet för studiestödsdatalagen. När det uttryckligen anges i studiestöds- datalagen att CSN får behandla personuppgifter, innebär det en särreglering i förhållande till personuppgiftslagen. Att CSN behandlar personuppgifter när det uttryckligen tillåtits i studie- stödsdatalagen kan således inte angripas med stöd av den nya bestämmelsen i personuppgiftslagen om att viss behandling inte får utföras, om den innebär en kränkning av den registrerades person- liga integritet. 6.6.2Lagstiftningen om den officiella statistiken Enligt utredningsdirektiven ska utredningen uppmärksamma frågor om behandling av personuppgifter för statistikändamål. Lagen (2001:99) om den officiella statistiken gäller för statistik- ansvariga myndigheters verksamhet inom ramen för den officiella statistiken. Lagen innehåller även bestämmelser om sådana myn- digheters övriga statistikverksamhet (se avsnitt 4.2.6). CSN är en sådan statistikansvarig myndighet som vid behand- ling av personuppgifter för framställning av statistik omfattas av bestämmelserna i lagen om den officiella statistiken och den anknytande förordningen (2001:100) om den officiella statistiken. CSN:s statistikverksamhet ska vidare enligt 10 § förordningen om den officiella statistiken vara organiserad så att den är avgränsad från CSN:s verksamhet i övrigt. Behandlingen av personuppgifter i CSN:s statistikverksamhet, som ska hållas avgränsad från övrig verksamhet, är således redan författningsreglerad. En översyn av den redan särskilt författnings- reglerade behandlingen av personuppgifter kan inte anses falla under utredningens utredningsuppdrag. I vart fall har utredningen inte funnit skäl att föreslå ändringar i gällande ordning. Bestämmel- serna i lagen (2001:99) om den officiella statistiken och anslutande författningar bör alltså gälla i stället för bestämmelserna i den före- slagna studiestödsdatalagen i fråga om CSN:s behandling av per- sonuppgifter för att framställa statistik. Detta bör för tydlighets skull anges uttryckligen i studiestödsdatalagen. Att personuppgifter som samlats in i CSN:s studiestöds- verksamhet, t.ex. för att handlägga ärenden i den verksamheten, senare behandlas för att framställa statistik är något som inte regle- ras i den föreslagna studiestödsdatalagen. Den behandlingen av per- sonuppgifter för att framställa statistik får alltså utföras om den är tillåten enligt bestämmelserna i bl.a. lagen om den officiella stati- stiken och anslutande författningar samt personuppgiftslagen (se t.ex. 9 § andra stycket personuppgiftslagen, varav framgår att behandling av personuppgifter för statistiska ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in). Att CSN använder (behandlar) personuppgifter som samlats in i studiestödsverksamheten för att sända ut enkäter för att senare genom inkomna enkätsvar få underlag för att framställa statistik får t.ex. ses som en behandling av personuppgifter för att framställa statistik. Att CSN genom elektroniskt utlämnande av personuppgifter till fullgör uppgiftsskyldigheten enligt 5 § regeringens förordning (CSNFS 1986:25) om register med vissa uppgifter i gymnasieskolan får också ses som en behandling av per- sonuppgifter för att framställa statistik. Bestämmelser i grundlag tar alltid över bestämmelser i vanlig lag, såsom den föreslagna studiestödsdatalagen, utan att det behöver anges i varje vanlig lag. I personuppgiftslagen har det i klargörande syfte – trots Lagrådets protester – införts uttryckliga bestämmelser om att personuppgiftslagen inte får tillämpas i strid med bestäm- melser i grundlag (7 § första stycket och 8 § första stycket).14 Det klart vanligaste är dock att vanlig lag inte förses med sådana i prin- cip onödiga bestämmelser med upplysning om förhållandet till grundlagarna. CSN ska alltså oberoende av vad som anges i den föreslagna studiestödsdatalagen följa grundlag. Det gäller t.ex. skyldigheterna enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen att söka efter, sammanställa och lämna ut personuppgifter. I enlighet med vad som är vanligast anser utredningen att det är onödigt att i den föreslagna studiestödsdatalagen ta in en uttrycklig erinran om att lagen inte får tillämpas i strid med grundlag. 6.6.4Bestämmelser om uppgiftsskyldighet och sekretess För tydlighets skull bör det i detta sammanhang avslutningsvis lämnas en samlad redogörelse för hur den föreslagna studiestöds- datalagen förhåller sig till bestämmelser om uppgiftsskyldighet och sekretess.15 Med bestämmelser om uppgiftsskyldighet avser utred- ningen bestämmelser i lag eller förordning som innebär att CSN ska lämna ut vissa uppgifter till annan myndighet eller sådana pri- vata organ som vid tillämpningen av sekretesslagen jämställs med myndighet, såsom arbetslöshetskassorna, eller till enskilda, dvs. bestämmelser av sådan typ som avses i 14 kap. 1 § sekretesslagen (1980:100) och som innebär att eventuell föreskriven sekretess inte hindrar utlämnande till annan myndighet. Sådana bestämmelser om uppgiftsskyldighet bör skiljas från bestämmelser som bara anger att CSN får lämna ut vissa uppgifter eller att sekretess inte hindrar ett utlämnande av vissa uppgifter. Den föreslagna studiestödsdatalagen innehåller inte någon bestämmelse om uppgiftsskyldighet. De bestämmelser som föreslås t.ex. i fråga om ändamål med behandlingen och om direktåtkomst 1997/98:44 s. 46 och 51 f. 15Jämför SOU 2007:22 Del 1 s. 461 ff. för synpunkter rörande bl.a. otydlig reglering i de särskilda registerförfattningarna. och annat elektroniskt utlämnande av personuppgifter anger näm- ligen bara vad som får ske. I annan lag eller i förordning förekommer det dock, såsom framgått av bakgrundsavsnitten, inte så sällan bestämmelser om uppgiftsskyldighet för CSN. Avsikten är att den föreslagna studie- stödsdatalagen ska vara subsidiär i förhållande till sådana bestäm- melser om uppgiftsskyldighet för CSN. CSN ska alltså få fortsätta att fullgöra uppgiftsskyldigheten enligt bestämmelserna oberoende av vad som anges i den föreslagna studiestödsdatalagen. Man skulle i och för sig kunna tänka sig att ha ett inledande stadgande i studie- stödsdatalagen som klargör detta förhållande. Så har särskilda registerförfattningar dock inte brukat utformas. Utredningen anser också att regleringen blir tydligast om vad som gäller i fråga om bestämmelser om uppgiftsskyldighet anges först vid de bestämmel- ser i den föreslagna studiestödsdatalagen där de har relevans. Utredningen föreslår således i anslutning till att tillåtna ändamål med behandlingen av personuppgifter i studiestödsverksamheten anges en uttrycklig bestämmelse om att de personuppgifter som behandlas också får lämnas ut till utomstående i den utsträckning uppgiftsskyldighet följer av lag eller förordning, se närmare avsnitt 6.8.4. Den bestämmelsen anger alltså enbart att uppgifterna får lämnas ut och inte hur utlämnandet får ske, muntligen, skriftligen på papper eller genom direktåtkomst eller annat elektroniskt utlämnande. I fråga om just utlämnandeformerna direktåtkomst och annat elektroniskt utlämnande föreslår utredningen av integri- tetsskyddsskäl en inskränkning som innebär att dessa former av utlämnande är tillåtna bara i den utsträckning som anges i lag eller förordning. Enligt en uttrycklig bestämmelse i den föreslagna stu- diestödsdatalagen får ett par utomstående instanser ha direkt- åtkomst i den utsträckning uppgiftsskyldighet följer av lag eller förordning. Se närmare i fråga om direktåtkomst och annat elek- troniskt utlämnande av personuppgifter avsnitt 6.12. Om det i lag eller förordning finns en uppgiftsskyldighet för CSN, kan CSN således utan hinder av studiestödsdatalagen full- göra skyldigheten genom att lämna ut uppgifterna muntligen eller skriftligen på papper eller annat icke elektroniskt medium.16 Öns- kar CSN däremot fullgöra skyldigheten genom direktåtkomst eller 16 Skulle uppgiftsskyldighet vara föreskriven i förhållande till enskilda måste bestämmelser om sekretess iakttas, eftersom bestämmelsen i 14 kap. 1 § sekretesslagen om att uppgiftsskyldighet bryter sekretess bara gäller utlämnande till myndighet. annat elektroniskt utlämnande, måste CSN dock ha särskilt stöd för detta i studiestödsdatalagen, annan lag eller förordning. Den föreslagna studiestödsdatalagen innehåller som nämnts inte någon bestämmelse om uppgiftsskyldighet som enligt 14 kap. 1 § sekretesslagen skulle kunna bryta igenom sekretess vid utlämnande till myndighet. Avsikten är att den föreslagna lagen inte heller i övrigt ska påverka bestämmelserna om sekretess i sekretesslagen, inklusive tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekretesslagen. Trots att det i den föreslagna lagen anges t.ex. att personuppgifter får behandlas i CSN:s studiestödsverksamhet om behandlingen behövs för att handlägga ärenden i den verksam- heten, kan en behandling av personuppgifter som i och för sig behövs för att handlägga ärenden i studiestödsverksamheten men som innebär ett utlämnande av personuppgifter i sekretesslagens mening således hindras av sekretess enligt sekretesslagen. Utred- ningen anser att det är så självklart att det inte behöver anges uttryckligen i den föreslagna lagen; den föreslagna studiestöds- datalagen anger på sedvanligt sätt bara vad som får ske om inte annan lagstiftning – eller t.ex. ekonomiska eller tekniska eller andra förhållanden – hindrar det. På motsvarande sätt betraktar utredningen bestämmelserna om sekretess i sekretesslagen; bestämmelserna anger när uppgifter inte får lämnas ut på grund av sekretess, men utsäger inget om när upp- gifter får lämnas ut eller när uppgifter inte får lämnas ut på grund av bestämmelser i annan lagstiftning. I den utsträckning det skulle följa av den föreslagna studiestödsdatalagen att en personuppgift inte får behandlas genom att lämnas ut, ska det alltså gälla obero- ende av om sekretess hindrar utlämnandet eller inte. En annan sak är att sådant utlämnande av uppgifter som CSN är skyldig att göra enligt grundlag, t.ex. enligt offentlighetsprincipen i 2 kap. tryck- frihetsförordningen, får ske oberoende av vad det står i den före- slagna studiestödsdatalagen, se avsnitt 6.6.3. Utredningens förslag: är per- sonuppgiftsansvarig för den behandling av personuppgifter som nämnden utför. Enligt definitionen i 3 § personuppgiftslagen är den person- uppgiftsansvarig som ensam eller tillsammans med andra bestäm- mer ändamålen med och medlen för behandlingen av person- uppgifter. Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på behandling av personuppgifter iakttas. Vidare innebär person- uppgiftsansvaret en skyldighet att lämna information till den regi- strerade (23–27 §§ personuppgiftslagen), att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med personuppgiftslagen (28 §), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 §), att – enligt huvudregeln – anmäla all automatiserad behandling av personuppgifter till Datain- spektionen (36 §) samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 §). I lag eller förordning kan det bestämmas vem som är person- uppgiftsansvarig. En sådan bestämmelse är tillåten enligt EG- direktivet (artikel 2 d) och tar över regleringen i personuppgifts- lagen (2 § personuppgiftslagen). I särskilda registerförfattningar om behandling av personuppgifter i olika slags verksamheter har det ofta ansetts lämpligt från integritetsskyddssynpunkt att på ett tydligt sätt peka ut vem som är personuppgiftsansvarig för den behandling av personuppgifter som regleras i de särskilda författ- ningarna. har detta också ansetts nödvändigt med tanke på att ändamålen anges i lagen i stället för att bestämmas av den ifrå- gavarande myndigheten. I fråga om behandling av personuppgifter i CSN:s studiestöds- verksamhet kan inte gärna annan än CSN vara personuppgifts- ansvarig. Mot bakgrund av att de tillåtna ändamålen med CSN:s behandling anges i den föreslagna studiestödsdatalagen föreslår utredningen att det uttryckligen i lagen ska anges att CSN är per- sonuppgiftsansvarig för den behandling av personuppgifter som CSN utför. Personuppgiftsansvaret innebär även ett ansvar för att en behandling av personuppgifter faktiskt utförs när den ska ske, t.ex. att rättelse, blockering eller gallring sker i föreskriven tid och på rätt sätt, liksom ett ansvar för att behandling av personuppgifter inte utförs när det inte får ske. Personuppgiftsansvaret gäller alltså också vid underlåtenhet att utföra en behandling som åligger CSN. 6.8När personuppgifter får behandlas Utredningens förslag Personuppgifter får behandlas i Centrala studiestödsverksamhet förutom med den registrerades samtycke bara om behandlingen behövs för att 1.handlägga ärenden i den verksamheten, 3.i den utsträckning regeringen föreskriver det förbereda hand- läggningen, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och till studerande distribuera bevis om studier med studiestöd, eller 6.om sekretess inte hindrar det anmäla oegentlighet inom studiestödsverksamhet till ett offentligt organ som har att utreda eller beivra oegentligheten. Personuppgifter som behandlas enligt vad som sagts får dock om sekretess inte hindrar det lämnas ut till den registrerade själv, och regeringen samt, i den utsträckning upp- giftsskyldighet följer av lag eller förordning, till andra. Person- uppgifter som inte direkt pekar ut den registrerade får också behandlas avskilt för att återsöka vägledande avgöranden. Regeringen får meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Enligt artikel 6.1 b i EG-direktivet och 9 § personuppgiftslagen får personuppgifter samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifterna får senare inte behandlas för något ändamål som är oförenligt med de ändamål för vilka uppgifterna samlades in (den s.k. finalitetsprincipen). I särskilda registerförfattningar brukar det regelmässigt anges för vilka ändamål personuppgifter får behandlas. Sådana bestäm- melser anger alltså ramen för den behandling som får förekomma i den verksamhet som regleras i författningen. Utredningen föreslår att de tillåtna ändamålen med behandling av personuppgifter i CSN:s studiestödsverksamhet på sedvanligt sätt anges i studiestödsdatalagen. Utredningen har därvid tagit med samtliga de ändamål för vilka CSN behandlar personuppgifter för att utföra de arbetsuppgifter som åligger nämnden inom studie- stödverksamheten. Eftersom det ansetts inte innebära några risker i integritetsskyddshänseende, föreslås det att CSN dessutom alltid får behandla personuppgifter i studiestödsverksamheten om de registrerade samtyckt till behandlingen. I detta fall har CSN att ange ändamålet med den behandling av personuppgifter som avses med samtycket. Såvitt framkommit samlar CSN inte i studiestödsverksamheten in och annars behandlar personuppgifter som CSN inte själv behö- ver för verksamheten utan som avses lämnas ut till andra myndig- heter. Det har därför inte varit aktuellt att utforma s.k. sekundära ändamål. Däremot förekommer det naturligtvis att CSN lämnar ut per- sonuppgifter som behandlas till andra myndigheter och enskilda. I många fall torde den behandling som utlämnandet av person- uppgifterna utgör ske med samtycke eller för att uppfylla de tillåtna ändamål som angetts för CSN:s behandling av personuppgifter i studiestödsverksamheten och därmed vara tillåten. I andra situa- tioner behöver det dock inte vara fallet, t.ex. när CSN ålagts en uppgiftsskyldighet gentemot en annan myndighet. Utredningen föreslår därför en uttrycklig bestämmelse om att personuppgifter – oberoende av samtycke och de tillåtna ändamål som angetts – får lämnas ut i den utsträckning uppgiftsskyldighet följer av lag eller förordning, om sekretess inte hindrar det17 (se om förhållandet till bestämmelser om uppgiftsskyldighet också avsnitt 6.6.4). Det före- slås vidare en uttrycklig bestämmelse om att CSN dessutom alltid får lämna ut personuppgifter till och regeringen18 och, om sekretess inte hindrar det, till den registrerade själv. Dessa bestämmelser om utlämnande av personuppgifter kan sägas inne- bära att personuppgifterna i CSN:s studiestödsverksamhet, på det sätt som krävs enligt artikel 6.1 i EG-direktivet, samlas in även för att senare eventuellt lämnas ut i de angivna fallen. 17Se 14 kap. 1 § andra meningen sekretesslagen om att sekretess inte hindrar att uppgift lämnas till annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. 18Se 14 kap. 1 § första meningen sekretesslagen om att sekretess inte hindrar att uppgift lämnas till regeringen eller . Det föreslås att den reglering som angetts ska vara uttöm- mande i den meningen att CSN inte i andra fall, eller för andra ändamål, får behandla personuppgifter i studiestödsverksamheten. För att en behandling av personuppgifter i studiestödsverksam- heten ska vara tillåten krävs det alltså att den är nödvändig för de tillåtna ändamålen, sker med samtycke eller, i andra fall, avser utlämnande enligt en uppgiftsskyldighet i lag eller förordning eller till , regeringen eller den registrerade själv. Det är alltså inte tillåtet att i studiestödsverksamheten hos CSN behandla per- sonuppgifter som samlats in för de tillåtna ändamålen för något annat ändamål även om detta ändamål inte skulle vara oförenligt med de tillåtna ändamålen (jämför finalitetsprincipen i 9 § första stycket d personuppgiftslagen); en sådan senare behandling för ett annat ändamål är tillåten bara med samtycke eller om behandlingen avser utlämnande i de fall som angetts. För att behandlingen ska få genomföras krävs det dock givetvis också att övriga bestäm- melser om behandlingen följs, t.ex. de föreslagna särskilda bestäm- melserna med restriktioner i fråga om personuppgifter av känslig natur, sökbegrepp och direktåtkomst och annat elektroniskt utlämnande. Den reglering som angetts avses vidare inte innebära avvikel- ser från bestämmelserna i personuppgiftslagen i den meningen att inskränkningarna i personuppgiftslagen i fråga om behandling av personnummer (22 §) och överföring av personuppgifter till tredje land (33 §) inte skulle gälla. Frågan om det bör finnas särskilda bestämmelser i den föreslagna studiestödsdatalagen om behandling av personnummer och om överföring av personuppgifter till tredje land berörs i avsnitt 6.9 respektive 6.13. När det gäller inskränk- ningarna i personuppgiftslagen i fråga om behandling av känsliga personuppgifter (13 §) och personuppgifter om lagöverträdelser m.m. (21 §) finns det däremot särskilda bestämmelser i den före- slagna studiestödsdatalagen som tar över bestämmelserna i person- uppgiftslagen, se avsnitt 6.9. 6.8.2Tillåtna ändamål med behandlingen Utredningen har undersökt för vilka ändamål CSN behandlar personuppgifter för att utföra de arbetsuppgifter som åligger nämnden inom studiestödsverksamheten. Utredningen har därvid inte funnit att CSN skulle behandla personuppgifter för något Utredningen föreslår därför att de ändamål för vilka CSN behandlar personuppgifter för att utföra de arbets- uppgifter som åligger nämnden inom studiestödsverksamheten anges i studiestödsdatalagen såsom tillåtna ändamål. Utredningen föreslår i enlighet härmed en bestämmelse om att personuppgifter får behandlas i CSN:s studiestödsverksamhet förutom med den registrerades samtycke bara om behandlingen behövs för att 1.handlägga ärenden i den verksamheten, 3.i den utsträckning regeringen föreskriver det förbereda handläggningen, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och till studerande distribuera bevis om studier med stu- diestöd, eller 6.om sekretess inte hindrar det anmäla oegentlighet inom studie- stödsverksamhet till ett offentligt organ som har att utreda eller beivra oegentligheten. Utredningen föreslår vidare att personuppgifter som behandlas enligt de angivna tillåtna ändamålen och som inte direkt pekar ut den registrerade också får behandlas avskilt för att återsöka väg- ledande avgöranden. Bestämmelsen om tillåtna ändamål innebär en avvikelse från personuppgiftslagen såtillvida att den ersätter 10 § personuppgifts- lagen. CSN får således i studiestödsverksamheten inte t.ex. behandla personuppgifter efter en intresseavvägning enligt 10 § f personuppgiftslagen.