sou · GVB364 · 2008-01-01 00:00:00 — Av 13 § följer att personuppgifter under samma förutsättning också får lämnas ut elektroniskt till Försäk- ringskassan och arbetslöshetskassorna på annat sätt än genom direktåtkomst. Bestämmelser om CSN:s uppgiftsskyldighet gentemot Försäk- ringskassan och arbetslöshetskassorna finns i 20 kap. 9 § lagen (1962:381) om allmän försäkring respektive 48 c § lagen (1997:238) om arbetslöshetsförsäkring. Paragrafen innebär inte i sig någon uppgiftsskyldighet för CSN eller någon skyldighet för CSN att faktiskt anordna den direkt- åtkomst som får förekomma enligt paragrafen. Det är enligt andra meningen i paragrafen upp till regeringen att meddela föreskrifter om vilka personuppgifter som får omfattas av direktåtkomsten. Utredningens förslag till studiestödsdataför- ordning innehåller i 7 och 8 §§ sådana föreskrifter, se avsnitt 6.17.5. 12 § Den registrerade får i den utsträckning sekretess inte hindrar det ha direktåtkomst till personuppgifter som behandlas i Centrala studiestödsverksamhet, om uppgifterna 1.avser honom eller henne själv, 2.finns i ett ärende om studiestöd där den registrerade är part eller där den registrerade har rätt att få utbetalning av studiestöd för någon annan, eller 3.avser dokumentation av den elektroniska tillgång som förekommit till hans eller hennes personuppgifter. Bestämmelserna i paragrafen har berörts i avsnitt 6.12.6. Paragrafen rör den registrerades direktåtkomst. Direktåtkomst till uppgifter är enligt paragrafen bara tillåten i den utsträckning uppgifterna får lämnas ut till den registrerade. Sekretess kan alltså hindra direktåtkomst (eller annat avslöjande av uppgifterna) för den registrerade. Sekretessregler hindrar dock normalt inte att den enskilde får ut uppgifter om sig själv, 14 kap. 4 § första stycket sek- retesslagen (1980:100), men undantag kan gälla t.ex. med hänvis- ning till intresset att förebygga eller beivra brott, 5 kap. 1 § sekre- tesslagen. Av 13 § följer att personuppgifter under samma förut- sättning också får lämnas ut elektroniskt till den registrerade på annat sätt än genom direktåtkomst. Direktåtkomsten får enligt första punkten omfatta uppgifter om den registrerade själv. Punkten ger inte stöd för att ge direkt- åtkomst till uppgifter om någon annan person än den registrerade själv. Enligt den andra punkten får direktåtkomsten avse alla uppgifter om den registrerade själv eller andra som finns i ett ärende om stu- diestöd till den registrerade eller där den registrerade har rätt att få utbetalning av studiestöd för någon annan, t.ex. en omyndig studie- hjälpsberättigad som den registrerad är vårdnadshavare för. I den tredje punkten finns det bestämmelser som har anknytning till CSN:s skyldighet att se till att elektronisk tillgång till person- uppgifter dokumenteras, dvs. registreras i en behandlingshistorik (logg), se 9 § andra stycket. Den registrerade får ha direktåtkomst till uppgifter som avser dokumentation av den elektroniska tillgång som förekommit till hans eller hennes personuppgifter. Upp- gifterna i dokumentationen kan avse vilka personer som haft sådan tillgång till personuppgifterna och när de hade sådan tillgång. Bestämmelserna i denna paragraf innebär inte i sig någon upp- giftsskyldighet för CSN eller någon skyldighet för CSN att fak- tiskt anordna den direktåtkomst som får förekomma enligt bestämmelserna. CSN kan alltså t.ex. begränsa direktåtkomsten avseende dokumentationen av den elektroniska tillgången till upp- gifter som inte direkt pekar ut enskilda handläggare. 13 § När personuppgifter får lämnas ut till någon genom direktåtkomst, får personuppgifterna också på annat sätt lämnas ut elektroniskt till denne. Enstaka personuppgifter får även i andra fall lämnas ut på medium för automatiserad behandling eller via elektronisk kommunikation i enskilda fall om sekretess inte hindrar det. Bestämmelserna i paragrafen har berörts i avsnitt 6.12.2 och 6.12.3. I paragrafen finns det bestämmelser om när annat elektroniskt utlämnande än direktåtkomst får förekomma. Av första meningen framgår det att i den utsträckning direkt- åtkomst är tillåten är även andra former av elektroniskt utlämnande av personuppgifter tillåten. Av paragrafens andra mening framgår det att vissa former av elektroniskt utlämnande av enstaka personuppgifter är tillåtna även när direktåtkomst inte är tillåten. Utlämnandet är dock under alla förhållanden tillåtet bara om sekretess inte hindrar det. Vid utläm- nandet måste bl.a. kraven på säkerhetsåtgärder i enlighet med per- sonuppgiftslagen upprätthållas. En förutsättning för det elektroniska utlämnandet är att det avser bara enstaka personuppgifter. Ett mer omfattande eller sys- tematiskt elektroniskt uppgiftsutlämnande kan alltså inte ske med stöd av paragrafen. Ett helt register eller delar av ett register får således inte lämnas ut elektroniskt, t.ex. i form av en fil på diskett, med stöd av paragrafen. Däremot kan några enstaka handlingar och uppgifter lämnas ut via e-post som svar på en förfrågan eller på CSN:s eget initiativ. De former av elektroniskt utlämnande som avses är utlämnande på medium för automatiserad behandling och utlämnande via elek- tronisk kommunikation. Utlämnandet kan alltså ske på någon form av fysiskt medium, såsom diskett, usb-minne, minneskort, cd- eller dvd-skiva, eller via någon form av elektronisk kommunikation, såsom e-post, SMS eller skriftlig dialog i realtid via Internet (s.k. chatt). I fråga om utlämnande via elektronisk kommunikation tillåts enligt paragrafen bara sådan kommunikation i enskilda fall. I kravet på att det ska vara fråga om elektronisk kommunikation i enskilda fall ligger att utlämnandet ska ske genom en icke automatiserad process, där någon handläggare hos CSN är inblandad i varje utlämnande. 14 § På begäran enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. får personuppgifter lämnas ut till på medium för automatiserad behandling. Bestämmelserna i paragrafen har berörts i avsnitt 6.12.7. Paragrafen tillåter utlämnande av personuppgifter på medium för automatiserad behandling till . Sådant utläm- nande är dock tilllåtet bara om och i den utsträckning Riksrevisio- nen begär det med stöd av 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. 15 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till denna lag. Bestämmelserna i paragrafen har berörts i avsnitt 6.14. Genom paragrafen görs för det första bestämmelserna om rät- telse i 28 § personuppgiftslagen tillämpliga på personuppgifter som inte har behandlats i enlighet med studiestödsdatalagen eller före- skrifter som har meddelats i anslutning till studiestödsdatalagen. För det andra görs bestämmelserna om skadestånd i 48 § person- uppgiftslagen tillämpliga på skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med stu- diestödsdatalagen eller föreskrifter som har meddelats i anslutning till studiestödsdatalagen orsakat. Paragrafen är inte avsedd att innebära någon avvikelse från per- sonuppgiftslagen. En behandling av personuppgifter i strid med bestämmelserna i personuppgiftslagen när dessa är tillämpliga (därför att frågan inte reglerats särskilt i studiestödsdatalagen), kan således föranleda rättelse m.m. och skadestånd enligt person- uppgiftslagen. 16 § Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd behöver dock inte gallras förrän de kan ha sådan betydelse. Personuppgifter som behandlas enligt 4 § första stycket 3 ska i den utsträckning de inte tillförts ett ärende om studiestöd gallras senast efter det att uppgifterna registrerades. Trots första stycket får regeringen eller den myndighet regeringen bestämmer meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål eller för redovisningsändamål. får också trots första stycket i enstaka fall besluta att personuppgifterna i ett ärende om studiestöd ska bevaras på papper eller annat icke elektroniskt medium. Bestämmelserna i paragrafen har berörts i avsnitt 6.16. Paragrafen reglerar när personuppgifter får och måste gallras. I första stycket finns det gallringsföreskrifter. Bestämmelserna i stycket tillåter gallring utan beslut eller föreskrift av . Bestämmelserna i stycket innebär alltså att personuppgifterna får gallras när som helst, dock senast vid utgången av den angivna gall- ringsfristen. Med gallring avses enligt bestämmelsen att personuppgifterna förstörs så att de inte kan återskapas. Det är alltså inte tillåtet att CSN inför gallringen av de behandlade personuppgifterna för över dem på annat medium, t.ex. papper, och sedan bevarar informa- tionen på det mediet längre än vad som följer av gallringsföre- skrifterna. Något krav på att personuppgifter som CSN vid gall- ringstidpunkten redan avhänt sig till annan, t.ex. via direktåtkomst eller genom att sända en utskrift på papper, ska gallras (hos motta- garen) finns inte enligt paragrafen. Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldig- heten annars upphörde. Med ärende om studiestöd avses i paragrafen ett ärende om en viss typ av studiestöd – ärendetyperna studiehjälp, ersättning för dagliga resor, studielån, Rg-bidrag och TUFF-ersättning – för en viss person. En person som får studiemedel i form av både studiebidrag och studielån för vissa studier har således fått stu- diestöd i ett enda ärende. Gör den personen något års studieuppe- håll för att sedan få studiemedel i form av studiebidrag och/eller studielån för helt andra studier, är det vidare ändå fråga om ett enda ärende om studiestöd. Om återkrav inte blivit aktuellt, ska alltså personuppgifterna i ett ärende om studiehjälp för en person gallras senast efter utgången av det kalenderår då studiehjälp senast beviljades avse- ende den personen. Det gäller även om personen då skulle vara ak- tuell i ett ärende om en annan typ av studiestöd, t.ex. studiemedel för studier på högskolenivå direkt efter de studiehjälpsberättigande gymnasiestudierna. Om återbetalning av studielån är aktuellt i ett ärende om stu- diemedel för en person, behöver inte några personuppgifter i ären- det om studiemedel för den personen gallras förrän efter utgången av det kalenderår då full betalning skedde eller betal- ningsskyldigheten annars upphörde. Personuppgifterna i det ären- det ska emellertid gallras då även om personen vid tillfället skulle vara aktuell i ett ärende om en annan typ av studiestöd, t.ex. TUFF-ersättning. Det spelar inte någon roll hur betalnings- skyldigheten har upphört. Sådana personuppgifter i ett ärende om studiestöd som kan ha betydelse i ett nytt ärende om studiestöd behöver inte gallras för- rän de kan ha sådan betydelse. Frågan om i vilken utsträckning personuppgifter i ett ärende om studiestöd kan ha betydelse för ett nytt ärende om studiestöd får bedömas enligt vid var tid gällande författningar om studiestöd. Det är bara de person- uppgifter som kan ha sådan betydelse som får undantas från gall- ring. Ett exempel är att en person som redan har fått studiebidrag för en viss utbildning endast kan få studiebidrag i för en annan utbildning när det är fråga om utbildning som avses i 3 kap. 8 § första stycket studie- stödslagen (1999:1395). Eftersom den registrerade kan få studie- bidrag till och med det kalenderår denne fyller (se 3 kap. 3 § studiestödslagen), kan en del av personuppgifterna i det avslutade ärendet om studiemedel ha betydelse ända till och med detta år. Av andra stycket framgår det när personuppgifter som behandlas enligt 4 § första stycket 3 för att förbereda handläggningen av ärenden ska gallras. Gallring ska ske senast efter det att upp- gifterna registrerades hos CSN. Personuppgifter som vid gallrings- tillfället har tillförts ett ärende om studiestöd får dock inte gallras enligt detta stycke, utan det framgår av första stycket när gallring ska ske av personuppgifter i ärenden om studiestöd. Av tredje stycket framgår det när undantag från gallringsföre- skrifterna i första stycket kan medges. För det första får regeringen eller den myndighet regeringen be- stämmer meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål eller för redo- visningsändamål. Med historiska, statistiska eller vetenskapliga ändamål avses detsamma som enligt artikel 6 i EG-direktivet och 9 § tredje stycket personuppgiftslagen. Med bevarande för redo- visningsändamål avses sådant bevarande som följer av god redo- visningssed, jämför 45 § lagen (1996:1059) om statsbudgeten. I 12 § i förslaget till studiestödsdataförordning finns det bemyndi- ganden för att meddela föreskrifter om bevarande, se avsnitt 6.17.7. För det andra får CSN i enstaka fall besluta att personupp- gifterna i ett ärende om studiestöd ska bevaras på papper eller annat icke elektroniskt medium. Det kan ske t.ex. när personuppgifterna i ett ärende om studiestöd även efter gallringstidpunkten i undan- tagsfall har betydelse därför att handläggning avseende ärendet i en eller annan mening kan sägas fortsätta hos CSN eller annan myn- dighet. Det kan exempelvis gälla en granskning avseende ärendet hos någon myndighet eller liknande med tillsynsfunktioner eller motsvarande, t.ex. ombudsmän (), Justitiekanslern, utskott eller . Det kan också gälla ett beslut i ett ärende som överklagats och där överprövningen inte är klar . Det kan vidare gälla att anspråk på skadestånd framställts med anledning av handläggningen av ett ärende. Även andra undantagsfall där personuppgifterna i ett ärende om studiestöd kan ha betydelse även efter gallringstidpunkten torde kunna tänkas. Begränsningen till enstaka fall innebär att CSN inte regelmässigt får besluta om bevarande bara därför att personuppgifterna i en viss ärendetyp kanske skulle kunna komma att ha betydelse. Beslut om bevarande ska fattas före den föreskrivna gallrings- tidpunkten. Kravet på att personuppgifterna ska bevaras på ett icke elektro- niskt medium innebär att uppgifterna måste föras över från dator till ett sådant medium, t.ex. papper eller s.k. mikrokort. Med elek- troniskt medium avses ett medium där personuppgifterna lagras i elektroniskt format, dvs. binär form, såsom ettor och nollor. På ett icke elektroniskt medium lagras personuppgifterna i stället i ett statiskt format, där det inte är möjligt att på elektronisk väg göra olika sammanställningar av informationen. Behandling av personuppgifter inom En särskild utredare skall granska regleringen och användningen av personregister och annan behandling av personuppgifter vid Cen- trala och andra myndigheter inom studie- stödsområdet. Utredaren skall, utifrån den rättsliga analysen, före- slå de författningsändringar som behövs för en framtida behandling av personuppgifter i denna verksamhet. Utredaren skall särskilt beakta behovet av en rättslig reglering som inte är beroende av att vissa tekniska lösningar används och som ger myndigheterna möj- lighet att hantera nödvändig information på ett bra sätt. skall utredaren särskilt beakta och väga in rättssäkerhetsaspekterna och enskildas behov av skydd för sin personliga integritet. trädde personuppgiftslagen (1998:204) i kraft. Personuppgiftslagen har sin utgångspunkt i Europaparla- mentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. tillämpas person- uppgiftslagen i princip fullt ut på all automatiserad behandling av personuppgifter, om inte annat framgår av någon annan författ- ning. Personuppgiftslagens syfte är att skydda människor mot att deras personliga integritet kränks i samband med att deras person- Enligt dataskyddsdirektivet får medlems- staterna dock inte begränsa eller förbjuda det fria flödet av person- uppgifter mellan medlemsstaterna av skäl som har samband med skyddet av fysiska personers grundläggande fri- och rättigheter. Regleringen av personuppgiftsbehandlingen enligt person- uppgiftslagen bygger på att all behandling av personuppgifter bara får ske om den är förenlig med de särskilda hanteringsregler som lagen stadgar. Lagen innehåller endast generella regler och det för- utsattes vid dess tillkomst att behov av undantag och preciseringar för speciella områden skulle tillgodoses genom särskild lagstiftning. träder vissa ändringar i personuppgiftslagen i kraft. Genom ändringarna kompletteras lagens hanteringsregler med bestämmelser som beträffande ostrukturerade personuppgifter mer utgår från att förbjuda missbruk av personuppgifterna. Behandling av personuppgifter i ostrukturerat material får inte ske om den innebär en kränkning av den registrerades personliga integ- ritet (prop. 2005/05:173, 2005/06:KU37 och rskr. 2005/06:254). Det statliga studiestödssystemet utgör en central del av utbild- ningspolitiken. Studiestödsområdet omfattar ett antal olika stödformer där studiemedelssystemet intar en huvudroll. Studie- hjälp lämnas enligt studiestödslagen (1999:1395) och studiestöds- förordningen (2000:655) för studier i gymnasieskolan eller annan gymnasial utbildning till och med vårterminen det år den stude- rande fyller . Studiemedel lämnas enligt studiestödslagen och studiestödsförordningen till studerande på eftergymnasial nivå och till vuxenstuderande på grundskole- och gymnasienivå. Studie- medel består av studiebidrag och studielån. Studiestödssystemet kompletteras av andra stödformer som riktar sig till särskilda grupper. Rekryteringsbidrag är ett särskilt bidrag som enligt lagen (2002:624) om rekryteringsbidrag till vux- enstuderande kan lämnas under högst vid studier på grunds- kole- eller gymnasienivå. Ytterligare bestämmelser om bidraget finns i förordningen (2002:744) om rekryteringsbidrag till vuxen- studerande. Korttidsstöd kan enligt förordningen (2001:362) om bidrag vid korttidsstudier lämnas vid studier av mindre omfattning och för studier om eget eller närståendes funktionshinder. Bidrag vid studier kan också lämnas enligt förordningen (1995:667) om bidrag till vissa funktionshindrade elever i gymnasieskolan och enligt förordningen (1997:1158) om statsbidrag för teckenspråks- utbildning för vissa föräldrar. Studiestödssystemet har genomgått stora förändringar . Studiemedelsreformen 2001 innebar bl.a. att de särskilda vuxenstudiestöden (svux, svuxa) och särskilt utbildningsbidrag (ubs) togs bort samt att ett nytt system för återbetalning av stu- dielån infördes. Ett nytt rekryteringsbidrag för vuxna infördes . Studiehjälpen för unga studerande i gymnasieskolan har varit föremål för utredning men översynen har ännu inte resulterat i någon genomgripande förändring (SOU 2003:28). har studiemedelssystemet och rekryteringsbidraget till vuxenstude- rande förstärkts bl.a. med ett tilläggsbidrag till studerande med barn. Vidare har studiestödet anpassats till vissa EG-direktiv. Med anledning av bland annat förändringarna på området behöver per- sonuppgiftsbehandlingen i regelverken ses över. Stor mängd uppgifter och många aktörer För verksamheten på studiestödsområdet är det nödvändigt med en omfattande behandling av personuppgifter. Varje uppgift är inte alltid i sig integritetskänslig, men olika uppgifter om enskilda per- soner kan sammanställda utgöra ett hot mot den personliga integ- riteten om de inte hanteras på ett riktigt sätt. På studiestödsområ- det inhämtas uppgifter från den enskilde, myndigheter, utbild- ningsanordnare och organisationer. Behandlingen är till stor del automatiserad. Den myndighet som främst bedriver studiestödsverksamhet är (). Beslut om studiestöd kan överklagas till . Beslut i ären- den om återbetalning kan överklagas till allmän förvaltnings- domstol. För att administrera studiestöden krävs det ett omfat- tande samarbete med ett stort antal aktörer som Verket för hög- skoleservice, , , , universitet och högskolor, andra utbildningsanordnare samt Kro- Vidare administreras bidrag vid korttids- studier av för särskilt utbildningsstöd, i , Tjänstemännens Centralorganisa- tion och . Vid handläggning av studiestödsärenden använder CSN person- registret , tidigare benämnt Studiestödets informationssystem. innehåller såväl uppgifter som avser samtliga studiestöd och rekryteringsbidrag som upp- gifter som rör återbetalning av studielån. För registret hade Data- inspektionen utfärdat tillstånd och föreskrifter som upphörde i samband med personuppgiftslagens fulla ikraft- trädande. Enligt lagen (1998:527) om det statliga personadressregistret och förordningen (1998:1234) om det statliga personadressregistret hämtar CSN in personuppgifter om studerande med studiehjälp. Personuppgifter som avser övriga studerande och låntagare hämtar CSN in från med stöd av lagen (2001:182) om behandling av personuppgifter i folkbokförings- verksamhet. Inkomstkontroller görs utifrån uppgifter som lämnas med stöd av förordningen (2001:588) om behandling av uppgifter i skatte- förvaltningens beskattningsverksamhet. I vissa fall är det också nödvändigt med kontakter med , och då behöver uppgifter inhämtas med stöd av bl.a. förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Vidare får CSN information från för att kontrollera uppgifter om den sökande i ärendehandläggningen. Bestämmelser om detta återfinns i bl.a. lagen (2003:763) om behandling av personuppgifter inom social- försäkringens administration. CSN lämnar även ut personuppgifter till arbetslöshetskassorna med stöd av bestämmelser i lagen (1997:238) om arbetslöshets- försäkring. Kontakter och informationsutbyte med kommunerna är också av central betydelse inte minst vid hanteringen av studie- hjälpen. Även vid hanteringen av rekryteringsbidrag till vuxen- studerande, där kommunerna prövar om den sökande tillhör mål- gruppen för bidraget, är informationsutbytet av stor betydelse. Bestämmelser om detta finns i studiestödslagen (1999:1395) och i lagen (2002:624) om rekryteringsbidrag till vuxenstuderande och förordningen (2002:744) om rekryteringsbidrag till vuxenstude- rande. På högskoleområdet hämtar CSN in uppgifter från LADOK (lokalt ADB-baserat dokumentationssystem) som är universitetens och högskolornas register. I förordningen (1993:1153) om redo- visning av studier m.m. vid universitet och högskolor regleras informationsutbytet mellan berörda myndigheter. I förordningen om register med vissa uppgifter i gymnasieskolan som kungjorts i (CSNFS 1986:25) finns även bestäm- melser om informationsutbyte mellan CSN och Statistiska central- byrån. Någon lagstiftning som direkt avser behandling av personuppgifter som förekommer inom studiestödsområdet finns i princip inte. Det finns dock en rad bestämmelser som mer generellt tar sikte på behandling av personuppgifter oberoende av i vilket sammanhang personuppgifterna behandlas. Inom studiestödsområdet finns dessutom bestämmelser beträffande vissa stödformer som syftar till att säkra integritetsskyddet för enskilda i samband med studie- stödshanteringen. Genom att viss behandling av personuppgifter är författningsreglerad medan annan behandling saknar reglering behöver bristerna på området klarläggas.