sou · GVB364 · 2008-01-01 00:00:00 — Den information som är skyl- digt att lämna är uppgift om namn, person- eller samordningsnummer, medborgarskap, tillstånd eller annat bevis om rätt att vistas i med angivande av vilken typ av tillstånd eller annat bevis som har beviljats eller utfärdats, dag för beslut om tillstånd eller utfärdande av annat bevis om rätt att vistas i samt uppgift om hur länge tillståndet eller bevi- set gäller, klassning av tillstånd eller annat bevis om rätt att vistas i enligt klassificeringssystem och upplys- ning om en person saknas. Enligt 6 kap. 13 a § andra stycket studie- stödsförordningen får uppgifterna bara lämnas om de har betydelse Behandling av personuppgifter för studiestöd för tillämpningen av bestämmelserna om studiehjälp och studie- medel. Informationen inhämtas genom förfrågningar per telefon, brev eller e-post. Efter bemyndigande i 6 kap. 6 § andra stycket studiestödslagen har regeringen i 6 kap. 11 § studiestödsförordningen förordnat om lä- roanstalters uppgiftsskyldighet gentemot såvitt avser uppgifter som är av betydelse för tillämpningen av studiestödslagen och föreskrifter som har med- delats med stöd av lagen. Uppgiftsskyldigheten omfattar informa- tion om en studerande som har studiehjälp har övergått till en annan läroanstalt eller har avbrutit sina studier samt även i övrigt om en studerande som har tagits in i utbildning som ger rätt till studiehjälp (6 kap. 9 § studiestödsförordningen). Uppgiftsskyldig- heten omfattar även upplysning om tid och omfattning för utbild- ningar vid läroanstalten som ger rätt till studiemedel (6 kap. 10 § första stycket studiestödsförordningen) och, för en studerande som har ansökt om eller beviljats studiemedel, uppgift om utbild- ning, studietid, studiernas omfattning, studieaktivitet och studie- resultat (6 kap. 10 § andra stycket studiestödsförordningen). inhämtar sådana uppgifter genom kontak- ter per telefon, brev eller e-post. Det statliga personadressregistret (SPAR) Vad som beskrivits ovan om författningsregleringen av CSN:s till- gång till SPAR (se avsnitt 4.2.5) gäller även för för studiestöd med det undantaget att uppgift om med- borgarskap inte får lämnas ut till stöd i elektronisk form, jämför 7 § förordningen (1998:1234) om det statliga personadressregistret. 21 Med läroanstalt förstås i studiestödsförordningen sådan läroanstalt eller utbildning som anges i bilagan till förordningen, 1 kap. 7 § studiestödsförordningen. Behandling av personuppgifter för studiestöd 4.4Landsorganisationen i (LO) och () i (LO) och Tjänstemännens central- organisation (TCO) har på ovan beskrivet sätt (se avsnitt 2.6) till- delats vissa myndighetsuppgifter genom att de båda organisatio- nerna administrerar det statliga korttidsbidraget enligt förord- ningen (2001:362) om bidrag vid korttidsstudier. De båda organisationerna är angivna i bilagan till sekretessla- gen.22 Detta innebär att organisationerna blir underkastade offentlighetsprincipen såvitt avser deras handhavande av nu aktuellt bidrag, se 1 kap. 8 § andra stycket första meningen sekretesslagen (1980:100). En betydande öppenhet skulle därmed uppkomma för uppgifter som för den enskilde kan vara av ömtålig karaktär. Detta problem löses dock genom att organisationerna, genom upp- räkningen i bilagan till sekretesslagen, jämställs med myndigheter vid tillämpningen av nämnda lag såvitt avser verksamhet i form av hantering av nu aktuellt bidrag, 1 kap. 8 § andra stycket andra meningen sekretesslagen. I denna verksamhet gäller därför sekre- tess för uppgift om enskilds hälsa och sexualliv enligt 7 kap. 1 § sekretesslagen, för enskilds kontaktuppgifter enligt 1 a § samma kapitel och för personuppgifter om det kan antas om ett utläm- nande skulle medföra att uppgiften behandlas i strid med person- uppgiftslagen (1998:204), 7 kap. 16 § sekretesslagen. På sätt som redogjorts för ovan (se avsnitt 4.2.3) gäller sekretessen enligt 9 kap. 5 § andra stycket sekretesslagen för uppgifter som LO och TCO hanterar i ärenden om korttidsbidrag. Ingen myndighet har ålagts uppgiftsskyldighet gentemot någon av organisationerna. Någon möjlighet till direktåtkomst till någon myndighets register för organisationerna är inte heller föreskriven såvitt avser korttidsbidrag. Genom den ovan nämnda uppräkningen i sekretesslagen blir arkivlagen även tillämplig för både LO och TCO till den del arkivet härrör från den verksamhet som avses i bilagan till sekretesslagen, 2 § arkivlagen (1990:782). Detta innebär att båda organisationerna har en plikt att bevara handlingar hänförliga till verksamheten avse- ende korttidsbidrag, 3 § tredje stycket arkivlagen. Någon gall- ringsföreskrift har inte meddelats av . 22 Se prop. 2000/01:107 s. 15 f. Behandling av personuppgifter för studiestöd Varken LO eller TCO förekommer i Datainspektionens diarier när sökning har gjorts efter motsvarande sökkriterier som för CSN (se avsnitt 4.2.2). I LO:s verksamhet registreras uppgifter dels elektroniskt, dels manuellt. I det elektroniska systemet registreras uppgifter om namn, adress, personnummer, utbildningsbakgrund kursens namn och datum för denna. På ansökningsblanketten lämnar dock sökanden flera uppgifter, t.ex. telefonnummer. Dessa uppgifter registreras emellertid inte elektroniskt utan framgår endast av ansökningshandlingen. Denna ansökningshandling tilldelas ett referensnummer som anges i det elektroniska systemet. Hand- lingen blir på så sätt återsökbar. Av handlingen kan det även framgå uppgifter om sökandens medlemskap i arbetstagarorganisation och om den aktuella kursen har inriktning mot något funktionshinder. Båda dessa uppgifter faller under definitionen av känsliga person- uppgifter enligt 13 § personuppgiftslagen. Ingen av uppgifterna är obligatorisk att ange i ansökningshandlingen. LO lämnar inte ut personuppgifter till någon annan organisation eller myndighet, med undantag för uppgifter som lämnas till för studiestöd med anledning av överklagade ärenden. Inte heller inhämtas personuppgifter från någon annan organisation eller myndighet. Uppgiftsutlämnande till någon utanför förekommer inte. görs ansökningar genom att ansöknings- handlingen skickas i pappersform till LO. LO har dock diskuterat om viss informationsinhämtning i stället skulle kunna ske genom att utbildningsanordnaren lämnar information om kursdeltagare över Internet. LO har inte företagit någon gallring avseende uppgifterna hän- förliga till korttidsbidraget. I TCO:s verksamhet registreras namn, personnummer och kon- taktuppgifter hänförliga till sökanden samt utbildningsnivå på sökanden. registreras härutöver om sökanden är medlem i Behandling av personuppgifter för studiestöd , men inga uppgifter om eventuellt medlemskap i annat förbund. Slutligen registreras uppgifter om utbildningen som avses med korttidsbidraget. Registret är datoriserat. I systemet kan man som sökbegrepp använda namn eller personnummer. Varje ärende tilldelas dessutom ett diarienummer, vilket även åsätts själva ansökningshandlingen. Ansökningshandlingen blir på så sätt åter- sökbar. Även själva diarienumret kan användas som sökbegrepp. Inga uppgifter lämnas ut till andra organisationer eller myndig- heter, med undantag för uppgifter som lämnas till för studiestöd med anledning av överklagade ärenden. Uppgifterna lämnas då i pappersform. Uppgifter inhämtas inte heller från andra organisationer eller myndigheter på annat sätt än genom telefon. Det uppgiftsinhämtande som sker per telefon inskränker sig till att TCO, vid misstanke om att en sökande redan uppburit korttidsbidrag eller studiemedel för sökt period kontaktar de andra aktörerna som administrerar korttidsbidrag respektive CSN och efterhör hur det förhåller sig. Om misstanken är riktig, meddelas ett avslagsbeslut. Inga personuppgifter lämnas ut till någon utanför . TCO har inga planer på att förändra sin ovan beskrivna hanter- ing av personuppgifterna. 4.5Socialstyrelsens utbildningsstöd (SISUS) och för särskilt utbildningsstöd (SISUS) och handhar vissa delar av korttidsbidraget enligt förord- ningen (2001:362) om bidrag vid korttidsstudier. Precis som vid andra stödformer hanteras typiskt sett uppgifter som från den enskildes horisont kan te sig känsliga ur ett integritetsperspektiv. Båda dessa myndigheter23 är underkastade sekretesslagens bestäm- melser, varför sekretessbestämmelserna som redogjorts för ovan under avsnitt 4.4 är tillämpliga även för nu aktuella myndigheter. Det finns inte någon i lag eller förordning föreskriven uppgifts- skyldighet för annan myndighet gentemot de nu båda aktuella myndigheterna såvitt avser korttidsbidrag. har inte utfärdat några myndighetsspecifika gall- ringsföreskrifter för vare sig SISUS eller . 23 Att är en myndighet framgår bl.a. av 1 kap. 1 § sametingslagen (1992:1433). Behandling av personuppgifter för studiestöd Varken SISUS eller förekommer i Justitiekanslerns eller Datainspektionens diarier när sökning har gjorts efter mot- svarande sökkriterier som för CSN (se avsnitt 4.2.2). De personuppgifter som registreras i datorsystem hos SISUS är namn och personnummer. I vissa fall registreras även adress och kontonummer. Inga personuppgifter lämnas ut till någon annan myndighet eller organisation, i eller utanför , förutom till . Den övervägande delen av ansökningarna görs kollektivt. Detta innebär att utbildningsanord- naren lämnar in en ansökan om förhandsbesked. När SISUS bevil- jat denna ansöker de enskilda studerandena om bidraget. Det är först då som SISUS får tillgång till deltagarnas personuppgifter. De personuppgifter som registreras hos med anledning av ärenden om korttidsbidrag är namn, e-postadress, adress, per- sonnummer, utbildningsbakgrund, språklig bakgrund, tid, utbild- ning och sökt bidrag. Uppgift om språklig bakgrund anges som ett av följande tre alternativ själv, föräldrar, far- eller morföräldrar har eller har haft samiska som språk i hemmet, med i sameröst- längden eller annan. Härutöver anges det vilken grad av förstå- else man har i samiska (förstår, talar, läser eller skriver). Slutligen anges det om det är nord-, lule- eller sydsamiska som det är fråga om. Inga personuppgifter lämnas ut till någon annan myndighet eller organisation, i eller utanför , förutom till för studiestöd. Inga personuppgifter hämtas heller in från någon annan myndighet eller organisation. I utredningsdirektiven betonas vikten för CSN och för studiestöd att ha möjlighet att utnyttja modern informationsteknik för att höja effektiviteten och kvaliteten i arbetet. Detta gäller dels arbetet med enskilda ärenden, dels möj- ligheten att svara mot ökade krav i fråga om ärende- och verksam- Behandling av personuppgifter för studiestöd En särskild författningsreglering av behand- lingen av personuppgifter på studiestödsområdet anses angelägen för att verksamheten ska kunna utföras på ett effektivt och rätts- säkert sätt som ett fullgott skydd för den personliga integriteten garanterades. I detta sammanhang nämndes uppdraget informationsutbytesutredning (Fi 2005:08). Denna utredning hade i uppdrag att bl.a. se över om kommunernas social- tjänst bör få elektronisk tillgång till uppgifter från CSN för att kontrollera riktigheten av lämnade uppgifter (dir. 2005:91). Utgångspunkten för uppdraget var att sådan tillgång till andra myndigheters databaser i största möjliga utsträckning skulle ske genom direktåtkomst. I utredningsuppdraget infor- mationsutbytesutredning ingick dessutom att se över om och under vilka förutsättningar myndigheter bör ha möjlighet eller vara skyldiga att på eget initiativ underrätta andra myndigheter vid misstanke om oegentligheter. I sitt betänkande Utökat elektroniskt informationsutbyte (SOU 2007:45) har informationsutbytesutredning lämnat förslag som i viss utsträckning har bäring på CSN. Förslagen för CSN:s vidkommande kan starkt sammanfattat redovisas på följande sätt. En sekretessbrytande bestämmelse införs i socialtjänstlagen (2001:453) i form av en uttrycklig uppgiftsskyldighet för CSN gentemot socialnämnderna. Förslaget innebär att CSN till social- nämnderna via direktåtkomst får lämna uppgifter om förmån, ersättning eller annat stöd som har betydelse i ärenden om ekono- miskt bistånd, se vidare avsnitt 6.12.5. Det föreslås vidare att det införs en anmälningsskyldighet för CSN om CSN bedömer att Arbetsförmedlingen, , , kom- munerna (socialnämnderna) eller arbetslöshetskassorna felaktigt har beviljat eller betalat ut ett bidrag eller en ekonomisk förmån till en enskild. Reglering av behandling av personuppgifter ger ett anpassat integritetsskydd på de områden författningarna reglerar och innebär en högre grad av konkretion än de generella reglerna i personuppgiftslagen.16 Den uttalade ambitionen från regeringens och sida är att myndighetsregister med ett stort antal registrerade och ett sär- skilt känsligt innehåll ska regleras särskilt i lag, som beslutas av , även om det inte är nödvändigt med lagform enligt grundlagarna.17 En registerlag för t.ex. en myndighets behandling av personuppgifter kompletteras ofta av en av regeringen utfärdad registerförordning med detaljregler som inte ansetts nödvändiga att höra om. finns det åtminstone över etthundra olika författningar som innehåller bestämmelser om behandling av personuppgifter till komplettering av personuppgiftslagen och som därför kan kallas för särskilda registerförfattningar. Som exempel på nyare registerlagar som reglerar behandling av personuppgifter i myndigheters verksamhet kan nämnas lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshets- försäkringen, lagen (2005:787) om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet och lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administ- ration. Innehållet i de särskilda registerförfattningarna varierar. Det är vanligt att registerförfattningar som reglerar en myndighets behandling av personuppgifter innehåller bestämmelser om, för- utom givetvis vilket tilllämpningsområde författningen har, förhål- landet till personuppgiftslagen (om författningen ersätter eller bara kompletterar personuppgiftslagen), för vilka ändamål person- uppgifter får behandlas, under vilka förutsättningar särskilt integ- ritetskänsliga personuppgifter får behandlas, vem som är person- uppgiftsansvarig, under vilka förutsättningar personuppgifter får lämnas ut på elektronisk väg (genom s.k. direktåtkomst eller utlämnande på medium för automatiserad behandling), vilka s.k. sökbegrepp som får användas när man söker bland personuppgif- terna, när personuppgifterna ska gallras och vad som ska gälla i fråga om rättelse och skadestånd om något blivit fel. 16 Se allmänt om särskilda registerförfattningar , Särskilda registerförfatt- ningar i till , 2006, s. 685–705. 1997/98:44 s. 41 och bet. 1997/98:KU18 s. 43 samt prop. 1990/91:60 s. 58 och bet. 1990/91:KU11 s. 11. Utredningen har enligt utredningsdirektiven för det första att kartlägga och granska regleringen och användningen av person- register och annan behandling av personuppgifter i studiestöds- verksamhet. Den kartläggningen och granskningen har redovisats i föregående bakgrundsavsnitt. För det andra har utredningen enligt utredningsdirektiven att analysera behovet av särskilda författ- ningsbestämmelser för myndigheternas behandling av person- uppgifter och lämna förslag till de författningsbestämmelser som behövs. I detta avsnitt analyserar utredningen behovet av en sär- skild författningsreglering. finns det alltså inte någon särskild författningsreglering av myndigheternas behandling av personuppgifter i studiestöds- verksamhet, utan behandlingen regleras av bl.a. de generella bestämmelserna i personuppgiftslagen (1998:204). Regeringen och har gett uttryck för den principiella utgångspunkten att myndighetsregister med ett stort antal registre- rade och ett särskilt känsligt innehåll ska regleras särskilt i lag.1 Utredningen anser att det ställningstagandet bör bilda utgångs- punkten även för utredningens analys. Frågan blir då för det första om myndigheternas behandling av personuppgifter i studiestöds- verksamhet kan anses vara av sådant slag – avse ett stort antal regi- strerade och särskilt känsliga personuppgifter – att behandlingen i enlighet med ställningstagandet ska regleras i lag. Omfattningen av behandlingen av personuppgifter i studie- stödsverksamhet skiljer sig väsentligt mellan aktörerna på området. () med sin omfattande studie- 1 Se t.ex. prop. 1997/98:44 s. 41 och bet. 1997/98:KU18 s. 43 samt prop. 1990/91:60 s. 50 och bet. 1990/91:KU11 s. 11. stödsverksamhet intar här en särställning i förhållande till övriga aktörer. De andra aktörernas behandling av personuppgifter i studiestödsverksamhet framstår som förhållandevis begränsad i jämförelse med CSN:s. Det är också bara beträffande CSN:s behandling av personuppgifter i studiestödsverksamhet som beho- vet av en särskild författningsreglering har lyfts fram i olika sam- manhang.2 Utredningen anser det därför riktigast att analysera behovet av en särskild författningsreglering för varje myndighet för sig och börjar med CSN. Utredningens bedömning: Behandlingen av personuppgifter i Centrala studiestödsverksamhet bör regleras särskilt i lag. () är en myndighet med en omfattande verksamhet som kommit långt i sin datorisering. CSN:s verksamhet på studiestödsområdet avser ett mycket stort antal personer. Nästan alla medborgare som i modern tid har stude- rat utöver finns eller har funnits registrerade hos CSN. Många låntagare finns vidare registrerade hos CSN , merparten av deras yrkesverksamma liv. I CSN:s databaser finns det alltså ett mycket stort antal registre- rade, varav många finns registrerade . Data- baserna innehåller vidare bl.a. personuppgifter om ekonomiska för- hållanden, sjukdomsperioder och skolk. Sådana uppgifter upplever många människor som känsliga. Enligt utredningens mening är CSN:s behandling av person- uppgifter i studiestödsverksamheten av sådant slag att den utan tvekan uppfyller de kriterier regeringen och ställt upp för att anse att behandlingen ska regleras särskilt i lag. Redan denna bedömning gör det befogat för utredningen att föreslå en särskild registerlag för CSN:s behandling av personuppgifter i studiestöds- verksamheten. 2 Se bl.a. prop. 2000/01:129 s. 69 och prop. 2001/02:161 s. 47 samt CSN:s skrivelse till regeringen /4901/SV, ombudsmäns (JO:s) yttrande med anledning av betänkande SOU 2000:97 och Statskontorets utvärdering Informationsutbyte kräver bra förutsättningar (rapport 2006:7) s. 9 och 106. För ett sådant förslag finns det givetvis också tungt vägande sakliga skäl av välkänd natur. Genom en särskild författnings- reglering av behandling av personuppgifter i en myndighets verk- samhet som omfattar många människor och åtminstone vissa sär- skilt känsliga uppgifter kan ett anpassat integritetsskydd uppnås som tar hänsyn till såväl de särskilda integritetsrisker verksamheten innebär som myndighetens behov av tydligt författningsstöd för behandlingen med ändamålsenliga bestämmelser som inte i onödan hindrar effektiviteten. Allmänhetens förtroende för myndighetens hantering av personuppgifterna kan också ytterligare stärkas genom en författningsreglering som författnings- regleringen i sig kan bidra till att öka medvetenheten om den behandling av personuppgifter som förekommer. Genom en sär- skild författningsreglering med ett anpassat integritetsskydd kom- mer CSN vidare i samma läge som flera andra myndigheter, t.ex. och , som CSN regelbundet utbyter personuppgifter med. Utredningen kan inte se några bärande skäl för varför CSN:s behandling av personuppgifter i studiestödsverksamheten inte skulle regleras särskilt i lag. Utredningens slutsats är alltså att CSN:s behandling av person- uppgifter i studiestödsverksamheten bör regleras särskilt i lag. Utredningen tar senare upp frågan om hur omfattande den sär- skilda regleringen i lag bör vara i förhållande till såväl reglering på annan författningsnivå (förordningar utfärdade av regeringen och föreskrifter utfärdade av myndighet), avsnitt 6.2, som person- uppgiftslagen, avsnitt 6.6.1. 5.3De övriga aktörerna på studiestödsområdet Utredningens bedömning: Det behövs inte någon särskild författningsreglering av behandlingen av personuppgifter i stu- diestödsverksamheten hos andra aktörer på studiestödsområdet än . Som framgår av bakgrundsavsnitten (avsnitt 4.3–4.5) är behand- lingen av personuppgifter i studiestödsverksamheten hos för studiestöd, i (LO), (), Social- styrelsens utbildningsstöd (SISUS) och Same- tinget av förhållandevis ringa omfattning. Datoriseringsgraden i studiestödsverksamheten hos dessa aktörer är inte heller på långt när lika hög som hos CSN. Det har föreslagits att LO:s och TCO:s befattning med studiestöd ska upphöra . Det är hos som den mest omfattande studiestödsverksamheten bedrivs utanför CSN. Den verksamheten omfattar omkring 5 500 ärenden . Enligt utredningens mening kan behandlingen av person- uppgifter i studiestödsverksamheten hos var och en av de övriga aktörerna på studiestödsområdet inte anses avse ett så stort antal registrerade att en särskild reglering i lag av behandlingen är nöd- vändig i enlighet med det ställningstagande av regeringen och riks- dagen som redovisats tidigare. Den bedömningen gäller även om man skulle betrakta behandlingen i studiestödsverksamheten hos alla de övriga aktörerna sammantaget och även om man beaktar att det i viss utsträckning kan förekomma uppgifter av särskilt känslig karaktär, t.ex. uppgifter om sjukdomar och handikapp, i verksam- heten. Frågan blir då om det ändå finns skäl för en särskild reglering i lag eller på lägre författningsnivå av behandlingen av person- uppgifter i studiestödsverksamheten hos de övriga aktörerna. Det ska då först noteras att ingen av de övriga aktörerna har till utredningen framfört att det skulle finnas ett behov av särskild 3författningsreglering. Inte heller någon annan har till utredningen eller, såvitt utredningen fått kännedom om, i annat sammanhang framfört att det skulle finnas ett sådant behov. Några särskilda problem med den nuvarande regleringen av eller klagomål på aktö- rernas hantering av personuppgifter har vidare inte kommit fram. Studiestödsverksamheten hos LO, TCO, SISUS och har inte några direkta kopplingar till den behandling av person- uppgifter hos CSN som utredningen funnit bör regleras i lag. Det har däremot verksamheten hos stöd, som bl.a. handlägger överklaganden av CSN:s beslut i dom- stolsliknande former. Behandlingen av personuppgifter i överpröv- ningsverksamheten hos , som visserligen avser studiestöd, torde dock ha mera gemensamt med den behandling som sker i domstol än den som sker vid handlägg- ningen hos CSN. Utredningen anser därför att det förhållandet att 3 Korttidsbidrag och studiemedel får visserligen inte lämnas , men några automatiserade system för kontroll av detta har inte införts. CSN:s behandling av personuppgifter i studiestödsverksamheten regleras särskilt inte utgör ett tillräckligt skäl för att sär- skilt reglera behandlingen av personuppgifter i verksamheten hos . Däremot kan det finnas anledning att när en modern särskild reglering av behandlingen av personuppgifter i domstolsväsendet utarbetas4 överväga om det är lämpligt att låta behandlingen av personuppgifter hos för studiestöd omfattas av en motsvarande reglering. Utredningen har sammanfattningsvis inte funnit behov av eller tillräckliga skäl för en särskild författningsreglering av behand- lingen av personuppgifter i studiestödsverksamheten hos andra aktörer än CSN. Utredningen föreslår därför inte någon författ- ningsreglering avseende verksamheten hos , , , och . 4 Jämför SOU 2001:100. Utredningen har alltså funnit att behandlingen av personuppgifter i CSN:s studiestödsverksamhet bör regleras särskilt i lag och att det inte behövs någon särskild författningsreglering av behandlingen av personuppgifter i studiestödsverksamheten hos de andra aktörerna på studiestödsområdet.