sou · GVB364 · 2008-01-01 00:00:00 — Det är bara information till studiestödsberättigade som avses. Avser informa- tionen studiestödsförmåner måste det kunna antas att informa- tionsmottagarna i och för sig är berättigade till just den aktuella förmånen, om de skulle börja studera på visst sätt. Det krävs alltså inte att personen redan studerar. Med studiestödsförmåner avses det som ibland kallas studie- finansiell verksamhet, dvs. CSN:s kärnverksamhet med studiestöd. Information om studiestödsförmåner kan avse t.ex. olika stöd- former och villkoren för dessa och därmed sammanhängande frå- gor. Det ska röra sig om information om någon stödform som CSN har att hantera. Vilka stödformer det kan röra sig om kan komma att variera över tiden. är det fråga om stöd enligt studiestödslagen, TUFF-ersättning, Rg-bidrag och ersätt- ning för dagliga resor. Med studiesociala förmåner avses sådan studiesocial verksamhet som kan antas vara till fördel för den som studerar. Det kan vara fråga om rabatter på resor eller försäkringar som riktar sig just till studerande. Information om de olika rabatt- och förmånskort som finns för studerande faller under bestämmelsen. Vad som är en förmån får bedömas från fall till fall. Det ska typiskt sett vara fråga om något som för studerandekollektivet, eller i vart fall för en inte ringa del av det, framstår som en nyttighet eller i vart fall något önskvärt. Som framgår av 5 § är behandlingen av personuppgifter för att informera studiestödsberättigade om studiestödsförmåner och stu- diesociala förmåner bara tillåten så länge den registrerade inte har motsatt sig behandlingen. I 4 § i förslaget till studiestödsdataförordning finns det begräns- ningar i fråga om vilka personuppgifter som får behandlas för att informera studiestödsberättigade om studiestödsförmåner och stu- diesociala förmåner, se avsnitt 6.17.3. I den femte punkten anges det att CSN får behandla person- uppgifter för att ta fram och till studerande distribuera bevis om studier med studiestöd. Det krävs inte att CSN själv tar fram och distribuerar bevisen. De bevis om studier som är aktuella är , Mecenatkortet, Studentkortet och Mem- Det är inte CSN som själv tar fram och distribuerar dessa kort, men personuppgifterna som används kommer från CSN:s register och lämnas ut till olika företag för ändamålet. CSN är per- sonuppgiftsansvarig för den behandling av personuppgifter som utlämnandet till kortföretagen innebär, vilket alltså är tillåtet enligt femte punkten. Som framgår av 5 § är behandlingen av personuppgifter för att ta fram och till studerande distribuera bevis om studier med studie- stöd bara tillåten så länge den registrerade inte har motsatt sig behandlingen. I 5 § i förslaget till studiestödsdataförordning finns det begräns- ningar i fråga om vilka personuppgifter som får behandlas för att ta fram och till studerande distribuera bevis om studier med studie- stöd, se avsnitt 6.17.3. I den sjätte punkten anges det att CSN får behandla person- uppgifter om det behövs för att – om sekretess inte hindrar det – anmäla oegentlighet inom studiestödsverksamhet till ett offentligt organ som har att utreda eller beivra oegentligheten. I studiestödsverksamheten kan det upptäckas oegentligheter. Det kan gälla sökanden som fuskat eller försökt fuska, t.ex. genom att lämna oriktiga uppgifter eller förfalskade handlingar. Det kan också gälla oegentligheter begångna i studiestödsverksamheten av andra än sökanden, t.ex. dataintrång av CSN:s personal, personal vid annan instans med direktåtkomst eller någon helt utomstående eller mutbrott och bestickning. I sådana fall där det inte finns anmälningsskyldighet får CSN själv välja om en anmälan om oegentligheten ska göras till behörig myndighet eller inte. CSN måste dock i dessa fall först avgöra om sekretess kan hindra anmä- lan; ofta kan emellertid en anmälan till myndighet göras utan hin- der av annars gällande sekretess enligt 14 kap. 2 och 3 §§ sekre- tesslagen (1980:100). Anmälan ska ske till något offentligt organ som har att utreda eller beivra oegentligheten. Det kan gälla t.ex. brottsmisstankar som anmäls till polismyndighet eller . Det kan också gälla sådant som kan föranleda en arbetsrättslig åtgärd, såsom disciplinansvar, åtalsanmälan, uppsägning eller avskedande, som anmäls till någon myndighets personalansvarsnämnd inklusive per- sonalansvarsnämnden hos CSN. Av 7 § framgår det att även personuppgifter av känslig natur får lämnas ut i enlighet med sjätte punkten. I andra stycket anges det för det första när personuppgifter får behandlas genom att lämnas ut oavsett ändamålet med utlämnan- det. Personuppgifter som behandlas i studiestödsverksamheten med stöd av samtycke eller de i första stycket angivna ändamålen får enligt bestämmelsen – om sekretess inte hindrar det – lämnas ut till den registrerade själv, och regeringen samt, i den utsträckning uppgiftsskyldighet följer av lag eller förordning, till andra. Det är bara personuppgifter om den registrerade själv som får lämnas ut till den registrerade enligt bestämmelsen. Med uppgiftsskyldighet avses detsamma som enligt 14 kap. 1 § sekretesslagen (1980:100). Uppgiftsskyldigheten kan avse utläm- nande till andra myndigheter eller till enskilda. Även de helt gene- rella bestämmelserna om skyldighet att på begäran lämna ut upp- gifter till enskilda och myndigheter i 15 kap. 4 och 5 §§ sekre- tesslagen avses. Bestämmelsen är inte avsedd att påverka CSN:s skyldigheter enligt grundlag att lämna ut personuppgifter, t.ex. på begäran av enskild enligt offentlighetsprincipen. Frågan om i vilken utsträckning utlämnandet av personuppgifter får ske i elektronisk form regleras i 10–14 §§. Av 7 § framgår det att även personuppgifter av känslig natur får lämnas ut i enlighet med andra stycket. I andra stycket finns det för det andra en bestämmelse om att personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får behandlas avskilt för att åter- söka vägledande avgöranden. Avsikten med bestämmelsen är att CSN ska kunna föra en särskild praxisdatabas med vägledande avgöranden med personuppgifter som bara indirekt pekar ut den registrerade. Namn, personnummer och samordningsnummer pekar direkt ut den registrerade, medan andra uppgifter – t.ex. ärendenummer och information om omständigheter kring personen – inte gör det. Kravet på att personuppgifterna ska behandlas avskilt innebär att de vägledande avgöranden som ska återsökas får hämtas från verksamhetsdatabaserna (), rensas från direkta personupp- gifter och lagras i en särskild databas som är avskild från verksam- hetsdatabaserna. Det är alltså inte tillåtet att med stöd av den aktu- ella bestämmelsen använda verksamhetsdatabaserna (med icke avidentifierade avgöranden) för att återsöka vägledande avgöran- den. Att det ska röra sig om återsökning av just vägledande avgöran- den innebär att bara ett kvalitativt urval av avgöranden får samlas. Det går t.ex. inte med fog att säga att nästan alla avgöranden som en underinstans fattar är vägledande. Av 7 § framgår det att även (indirekta) personuppgifter av käns- lig natur får behandlas för att återsöka vägledande avgöranden i den avskilda praxisdatabasen. Av 8 § framgår det att alla slags sök- begrepp är tillåtna vid återsökning av vägledande avgöranden i den avskilda praxisdatabasen. I tredje stycket bemyndigas regeringen att meddela föreskrifter om begränsningar av de i första stycket angivna tillåtna ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. I 4 och 5 §§ i förslaget till studiestödsdata- förordning finns det sådana föreskrifter, se avsnitt 6.17.3. 5 § Behandling för ändamål som avses i 4 § första stycket 4 och 5 får utföras bara om den registrerade inte har motsatt sig behandlingen. ska informera de registrerade om rätten att motsätta sig behandlingen. Bestämmelserna i paragrafen har berörts främst i avsnitt 6.5. Bestämmelsens första mening innebär att CSN – utan samtycke – får utföra behandling av personuppgifter för att informera studie- stödsberättigade om studiestödsförmåner och studiesociala för- måner eller för att ta fram och till studerande distribuera bevis om studier med studiestöd bara så länge den registrerade inte har mot- satt sig behandlingen. Motsättandet kan ske muntligen eller skriftligen till CSN eller någon som på laglig grund företräder CSN, t.ex. det person- uppgiftsbiträde som för CSN:s räkning behandlar personuppgifter för de aktuella ändamålen. Det är vid tvist den registrerade som har bevisbördan för att ett motsättande gjorts och tidpunkten för detta. Frågan om ett meddelande från den registrerade är ett sådant motsättande som avses i paragrafen får avgöras enligt sedvanliga regler om tolkning av ensidiga rättshandlingar. Ångrar den registrerade sitt motsättande, kan han eller hon all- tid samtycka till den aktuella behandlingen. Ett återtagande av ett lämnat motsättande får tolkas som ett sådant samtycke. Enligt andra meningen ska CSN informera de registrerade om rätten att motsätta sig behandlingen. Det kan ske t.ex. på CSN:s webbplats och i broschyrer som sänds till registrerade samt i de utskick som avses med behandlingen. 6 § I de fall då behandling av personuppgifter i Centrala studie- stödsnämndens studiestödsverksamhet bara är tillåten när den registrerade har lämnat sitt samtycke har den registrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. Bestämmelserna i paragrafen har berörts i avsnitt 6.5. Enligt paragrafen har den registrerade rätt att när som helst återkalla ett lämnat samtycke som är nödvändigt för att behand- lingen ska vara tillåten enligt studiestödsdatalagen, se 4 § första stycket, 7 och 10 §§. Verkan av återkallelsen är att ytterligare per- sonuppgifter om den registrerade därefter inte längre får behandlas för det aktuella ändamålet. Bestämmelsen motsvarar och är avsedd att ha motsvarande innebörd som 12 § första stycket personuppgiftslagen, se prop. 1997/98:44 s. 123. Återkallelse kan avges muntligen eller skriftligen till CSN eller någon som på laglig grund företräder CSN, t.ex. det person- uppgiftsbiträde som för CSN:s räkning kan ha tagit emot sam- tycket. Det är vid tvist den registrerade som har bevisbördan för att en återkallelse gjorts och tidpunkten för denna. Frågan om ett meddelande från den registrerade är en sådan återkallelse som avses i paragrafen får avgöras enligt sedvanliga regler om tolkning av ensidiga rättshandlingar. Sedan CSN mottagit den registrerades återkallelse, får några ytterligare uppgifter om den registrerade inte samlas in eller annars behandlas för det aktuella ändamålet. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgifterna får således inte t.ex. uppdateras eller kompletteras för det aktuella ändamålet. Behandling av känsliga personuppgifter m.m. 7 § Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och sådana personuppgifter om lagöverträdelser m.m. som avses i 21 § samma lag får förutom med den registrerades uttryckliga samtycke behandlas bara i enlighet med 4 § första stycket 1 om uppgifterna har lämnats i ett ärende i studiestödsverksamheten eller behövs för handläggningen av ett sådant ärende. Sådana personuppgifter får dock också behandlas i enlighet med 4 § första stycket 6 och andra stycket. Bestämmelserna i paragrafen har berörts i avsnitt 6.9. Med känsliga personuppgifter avses enligt 13 § personuppgifts- lagen personuppgifter som rör hälsa eller sexualliv eller som avslö- jar ras eller etniskt ursprung, politiska åsikter, religiös eller filoso- fisk övertygelse, eller medlemskap i fackförening. De uppgifter som avses i 21 § personuppgiftslagen är personuppgifter om lag- överträdelser som innefattar brott, domar i brottmål, straffproces- suella tvångsmedel eller administrativa frihetsberövanden. Sådana personuppgifter som avses får enligt paragrafen be- handlas bara med den registrerades uttryckliga samtycke eller om behandlingen behövs för att handlägga ärenden i studiestöds- verksamheten under förutsättning att uppgifterna har lämnats i ett ärende i studiestödsverksamheten eller behövs för handläggningen av ett sådant ärende. Sådana personuppgifter får enligt paragrafen dock också behandlas om det behövs för att kunna anmäla oegent- lighet inom studiestödsverksamhet till en myndighet som har att utreda eller beivra oegentligheten eller om det behövs för att lämna ut personuppgifter till den registrerade själv, och reger- ingen samt, i den utsträckning uppgiftsskyldighet följer av lag eller förordning, till andra. Sådana personuppgifter får även behandlas i den avskilda samlingen av personuppgifter för återsökning av väg- ledande avgöranden som avses i 4 § andra stycket andra meningen. När det i paragrafen anges att uppgifterna behövs avses det- samma som när det i artikel 7 i EG-direktivet och 10 § person- uppgiftslagen anges att behandlingen är nödvändig för olika syf- ten. Med den registrerades uttryckliga samtycke avses detsamma som enligt 3 och 15 §§ personuppgiftslagen. För att behandlingen av känsliga personuppgifter och person- uppgifter om lagöverträdelser m.m. ska vara tillåten krävs det dess- utom att behandlingen över huvud taget är tillåten enligt 4–6 §§. För att behandlingen av dessa personuppgifter ska få genomföras krävs det givetvis också att övriga bestämmelser om behandlingen följs, t.ex. bestämmelserna i 8 § med restriktioner i fråga om sök- begrepp och i 10–13 §§ om direktåtkomst och annat elektroniskt utlämnande. Angivandet i paragrafen av när behandlingen av känsliga per- sonuppgifter och personuppgifter om lagöverträdelser m.m. får ske är inte avsedd att påverka bestämmelserna om sekretess i sekre- tesslagen, inklusive tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekretesslagen. Bestämmelserna i paragrafen innebär avvikelser från bestämmel- serna i 13–21 §§ personuppgiftslagen och gäller därför i stället för dessa bestämmelser. 8 § Som sökbegrepp får inte användas uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller att det allmänna helt eller till en väsentlig del bekostat en persons uppehälle eller som rör hälsa, sexualliv, inkomst, förmögenhet eller anledning till studieavbrott. Vid sökning bara i ett visst ärende om studiestöd, i en viss handling eller i en sådan avskild samling av personuppgifter som avses i 4 § andra stycket andra meningen får dock sådana sökbegrepp användas. Uppgifter som rör hälsa får också användas som sökbegrepp för att ge behörig personal elektronisk tillgång till pågående ärenden där sjukdom åberopats. Bestämmelserna i paragrafen har berörts i avsnitt 6.10. I nämnda avsnitt redogörs för vilka överväganden som legat bakom begräns- ningarna av tillåtna sökbegrepp. Med uppgifter som rör hälsa eller sexualliv eller som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening avses samma slags uppgifter som enligt 13 § personuppgiftslagen. Sådana uppgifter får enligt huvudregeln i paragrafen inte användas som sökbegrepp. Inte heller uppgifter om att det allmänna helt eller till en väsentlig del bekostat en persons uppehälle eller uppgifter som rör inkomst, förmögenhet eller anledning till studieavbrott får enligt huvud- regeln i paragrafen användas som sökbegrepp. Med enligt huvudregeln förbjudna sökbegrepp avses bokstäver, koder eller siffror som avslöjar eller rör sådana uppgifter som sagts och med vars hjälp man tillsammans med en sökmotor eller liknande funktion kan ta fram ett urval lagrade personuppgifter om en eller flera personer ur en samlad informationsmängd eller sor- tera personuppgifterna i informationsmängden. I paragrafens andra mening anges det undantag från huvud- regeln. Undantagen gäller sökning i bara ett visst ärende om studie- stöd, i en viss handling eller i den avskilda samlingen av person- uppgifter för återsökning av vägledande avgöranden som avses i 4 § andra stycket andra meningen. Den som väl hittat fram till ett visst ärende om studiestöd eller en viss handling kan alltså enligt undantagsregeln fritt söka inom ramen för det ärendet eller den handlingen efter olika uppgifter, inklusive sådana uppgifter som avses i första meningen. Ett exempel är att den som har öppnat ett ordbehandlingsdokument i ett ordbehandlingsprogram använder det programmets funktion för att söka efter ord i det dokumentet. Avsikten är inte att CSN ska kunna upprätta en särskild handling eller ett särskilt ärende med uppgifter om många olika studiestöds- berättigade för att sedan använda enligt första meningen otillåtna sökbegrepp. Vid sökning i den särskilda praxisdatabasen är också alla sök- begrepp tilllåtna. Uppgift som rör hälsa får vidare, enligt tredje meningen, använ- das som sökbegrepp för att ge behörig personal elektronisk tillgång till pågående ärenden där sjukdom åberopats. Med behörig personal avses personal som enligt CSN:s interna regler har behörighet att besluta angående avskrivning av studielån på grund av sjukdom. Med pågående ärenden avses ett ärende där avskrivning av studielån på grund av sjukdom aktualiserats men där frågan om avskrivning ännu inte avgjorts. Intern elektronisk tillgång till personuppgifter 9 § ska bestämma villkoren för elektronisk tillgång till personuppgifterna för den som deltar i nämndens studiestödsverksamhet. Sådan tillgång ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten. ska se till att elektronisk tillgång till personuppgifter dokumenteras och genomföra systematiska och återkommande kontroller av om obehörig åtkomst till uppgifterna förekommit. Regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om elektronisk tillgång enligt första stycket och om dokumentation och kontroll enligt andra stycket. Bestämmelserna i paragrafen har berörts i avsnitt 6.11. I paragrafens första stycke slås det i första meningen fast att CSN ska bestämma villkoren för elektronisk tillgång till personupp- gifterna för den som deltar i CSN:s studiestödsverksamhet. Av andra meningen framgår det att villkoren ska bestämmas så att sådan tillgång begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten. Den enskilde handläggaren hos CSN får alltså inte medges elektro- nisk tillgång till personuppgifter i större utsträckning än vad som behövs för att handläggaren ska kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten. Behörigheten till elektronisk till- gång bör framgå av interna regler eller beslut och bör lämpligen kompletteras med tekniska begränsningar som förhindrar att handläggaren elektroniskt kommer åt personuppgifter som han eller hon enligt de bestämda villkoren inte har behörighet till. De villkor för elektronisk tillgång till personuppgifter som CSN bestämmer kan ha betydelse vid tillämpningen av bestämmelsen om straff för dataintrång i 4 kap. 9 c § . Vilken elektronisk tillgång till personuppgifter som en enskild handläggare behöver för att kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten är i första hand upp till CSN att bedöma. Av andra stycket följer att den faktiska elektroniska tillgången till personuppgifter ska dokumenteras, t.ex. i en logg (behandlings- historik). Dokumentationen ska avse alla former av elektronisk tillgång som förekommit till personuppgifterna oavsett om det är anställda som internt berett sig tillgång eller om utomstående har gjort det t.ex. via direktåtkomst. CSN ska enligt andra stycket vidare genomföra systematiska och återkommande kontroller av om obehörig åtkomst till person- uppgifterna förekommit. Det räcker alltså inte att loggarna kon- trolleras bara när CSN på annat sätt fått anledning att misstänka att obehörig åtkomst har förekommit. Det bör i första hand vara upp till CSN att bedöma hur kontrollerna bör genomföras. Avsikten med bestämmelsen är att åstadkomma en sådan lämplig säkerhets- nivå som avses i 31 § personuppgiftslagen. Det ligger i sakens natur att CSN ska vidta nödvändiga åtgärder om det genom kontrollerna eller eljest upptäcks att obehörig åtkomst till personuppgifterna förekommit. I tredje stycket anges det att regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om elek- tronisk tillgång och om dokumentation och kontroll. I 6 § i försla- get till studiestödsdataförordning finns det sådana föreskrifter, se avsnitt 6.16.3. Bestämmelserna i paragrafen avviker inte från bestämmelserna om säkerheten vid behandling i 30–32 §§ personuppgiftslagen utan utgör preciseringar av dessa bestämmelser. CSN har således att i andra avseende än som särskilt regleras i studiestödsdatalagen vidta lämpliga åtgärder enligt vad som följer av personuppgiftslagen för att skydda de personuppgifter som behandlas. Direktåtkomst och annat elektroniskt utlämnande av personuppgifter 10 § Direktåtkomst till och annat elektroniskt utlämnande av per- sonuppgifter som behandlas i Centrala stu- diestödsverksamhet är tillåtet utan den registrerades samtycke bara i den utsträckning som anges i lag eller förordning och under förutsättning att bestämmelserna i 4–6 och 8 §§ följs. Bestämmelserna i paragrafen har berörts i avsnitt 6.12.2. Av paragrafen framgår det att direktåtkomst och annat elektro- niskt utlämnande av personuppgifter som behandlas i CSN:s stu- diestödsverksamhet bara är tillåtet utan den registrerades samtycke i den utsträckning som anges i lag eller förordning. Med elektro- niskt utlämnande avses alla former av utlämnande av person- uppgifter i elektroniskt format, dvs. i binär form, såsom ettor och nollor. För sådant utlämnande krävs det alltså författningsstöd eller den registrerades samtycke. Sådant författningsstöd finns bl.a. i 11– 14 §§. I 11 § i förslaget till studiestödsdataförordning finns det föreskrifter om annat elektroniskt utlämnande än direktåtkomst, se avsnitt 6.17.6. I 1 b § bostadsbidragsförordningen (1993:739) och 5 § förordningen (1996:1036) om underhållsstöd finns det också föreskrifter om elektroniskt utlämnade av uppgifter från CSN. I lag eller förordning kan det således anges att elektroniskt utlämnande av personuppgifter som behandlas i CSN:s studie- stödsverksamhet, t.ex. genom direktåtkomst, är tillåten till andra myndigheter än de som anges i 11 och 14 §§. Med samtycke avses detsamma som enligt 3 § personuppgifts- lagen. Vid elektroniskt utlämnande av personuppgifter som anges i lag eller förordning måste övriga bestämmelser i studiestödsdatalagen om behandlingen av personuppgifter följas. En erinran om detta har tagits in i paragrafen. Bestämmelserna som anger när elektro- niskt utlämnande av personuppgifter får sker anger således bara när just ett sådant utlämnande får ske, om behandlingen är tillåten enligt övriga bestämmelser om behandlingen av personuppgifter. Bestämmelserna om när en behandling av personuppgifter över huvud taget är tillåten (se 4–6 §§) måste således följas, liksom bestämmelserna om vilka sökbegrepp som inte får användas (se 8 §). Även tillämpliga bestämmelser i personuppgiftslagen, t.ex. om säkerheten vid behandling, måste givetvis följas. 11 § och arbetslöshetskassorna får i den utsträckning uppgiftsskyldighet följer av lag eller förordning ha direktåtkomst till personuppgifter som behandlas i Centrala studiestödsverksamhet. Regeringen meddelar föreskrifter om vilka personuppgifter som får omfattas av sådan direktåtkomst. Bestämmelserna i paragrafen har berörts i avsnitt 6.12.4. Paragrafen tillåter och arbetslöshetskassorna att ha direktåtkomst till personuppgifter som behandlas i CSN:s studiestödsverksamhet i den utsträckning uppgiftsskyldighet följer av lag eller förordning.