sou · GVB364 · 2008-01-01 00:00:00 — Enligt utredningsdirektiven bör utredningen anlägga ett hel- hetsperspektiv och inrikta sig på att en framtida reglering ska bli ändamålsenlig och passa väl in i gällande regelsystem. Ett mål är, enligt utredningsdirektiven, att skapa enkla, tydliga och hållbara regler som inte är beroende av att vissa tekniska lösningar används och som uppfyller kravet på ett fullgott skydd för den per- sonliga integriteten vid behandling av personuppgifter. Den rätts- liga analysen bör utgå från att myndigheterna ska kunna arbeta minst lika effektivt som . Regelverket bör ge möjligheter att utveckla datasystem som underlättar utbytet av nödvändig infor- mation såväl mellan olika myndigheter, nationellt och internatio- nellt, som mellan enskilda och myndigheterna. I detta avsnitt berörs utredningens förslag till lagstiftning för behandlingen av personuppgifter i CSN:s studiestödsverksamhet, som har utformats med beaktande av det som anges i utrednings- direktiven. Utredningens bedömning: De grundläggande bestämmelserna om vad ska och får göra beträf- fande behandling av personuppgifter i studiestödsverksamheten bör finnas i lag. Lagen bör kunna kompletteras genom författ- ningar och beslut på lägre nivå för att anpassa regleringen till förhållanden som kan förändras snabbt eller ofta. Att behandlingen av personuppgifter i CSN:s studiestödsverksam- het i enlighet med den principiella utgångspunkt regeringen och gett uttryck för bör regleras särskilt i lag innebär, som utredningen ser det, att åtminstone de grundläggande bestämmelserna om vad CSN ska och får göra bör finnas i lag. I vilken utsträckning det bör vara tillåtet för regeringen eller någon myndighet att komplettera de grundläggande lagreglerna eller besluta om undantag från dem är enligt utredningens mening en lämplighetsfråga. Av lagen bör det dock i den utsträckning det är nödvändigt framgå när så får ske. I avsnitt 6.17 berör utredningen de kompletterande förordningsföreskrifter som föreslås. I utredningsdirektiven betonas att den rättsliga analysen bör utgå från att myndigheterna ska kunna arbeta minst lika effektivt som och att regelverket bör ge möjligheter att utveckla data- system som underlättar utbytet av nödvändig information. Eftersom förhållanden som rör datoriserad behandling av per- sonuppgifter ofta förändras, bl.a. i takt med den tekniska utveck- lingen, t.ex. avseende det elektroniska informationsutbyte som blir möjligt eller önskvärt, är det inte lämpligt att ha alltför detaljerade bestämmelser i lag. Det skulle nämligen vara alltför tidsödande och omständligt med ofta förekommande lagändringar. Då är det smi- digare att i förordning utfärdad av regeringen kunna ha komplette- rande reglering. Lagregleringen bör alltså ge det grundläggande integritetsskyddet och spelreglerna för CSN, medan den nödvän- diga anpassningen av regleringen bör kunna göras på lägre författ- ningsnivå. I det följande motiverar utredningen särskilt i vilken utsträckning det bör vara möjligt att anpassa de föreslagna lagreg- lerna genom författningar och beslut på lägre nivå. Vad sedan gäller vilka områden som de grundläggande bestäm- melserna i lag bör täcka betonas i utredningsdirektiven att den föreslagna regleringen bör passa väl in i gällande regelsystem. utredningens mening kan man i denna fråga hämta vägledning från vad som brukar regleras i särskilda registerlagar om behandlingen av personuppgifter i verksamhet hos myndigheter (se avsnitt 3.5). I enlighet härmed bör det övervägas bl.a. i vilken utsträckning det behövs lagregler om lagens tillämpningsområde, förhållandet till personuppgiftslagen (om författningen ersätter eller bara kom- pletterar personuppgiftslagen), vem som är personuppgiftsansvarig, för vilka ändamål personuppgifter får behandlas, under vilka förut- sättningar särskilt integritetskänsliga personuppgifter får behand- las, under vilka förutsättningar personuppgifter får lämnas ut på elektronisk väg (genom s.k. direktåtkomst eller utlämnande på medium för automatiserad behandling), vilka s.k. sökbegrepp som får användas när man söker bland personuppgifterna, när person- uppgifterna ska gallras och vad som ska gälla i fråga om rättelse och skadestånd om något blivit fel. Även bestämmelser om den interna elektroniska tillgången till personuppgifter förekommer inte så sällan i särskilda registerlagar. Även behovet av sådana bestämmel- ser bör övervägas. Utredningens förslag: Lagen om behandling av personuppgifter i Centrala studiestödsverksamhet ska heta studiestödsdatalagen. Utredningen har övervägt om den föreslagna lagen bör ha ett beskrivande namn, såsom lagen om behandling av personuppgifter i Centrala studiestödsverksamhet, eller ett kort namn, såsom studiestödsdatalagen. Båda varianterna före- kommer i lagstiftningen i dag.1 Utredningen anser att det är mest praktiskt med ett kort namn som ändå ger vägledning om vad lagen handlar om. Studiestödsdatalagen är ett passande namn, tycker utredningen. Eftersom bara CSN handlägger ärenden om studie- stöd enligt studiestödslagen, för namnet på ett rättvisande sätt tan- karna till CSN:s datoriserade hantering av studiestödet. Att lagen – av mer formella än praktiska skäl – föreslås omfatta även viss behandling av personuppgifter som inte är datoriserad (se 1 Se t.ex. lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen respektive polisdatalagen (1998:622). avsnitt 6.4), gör enligt utredningens mening inte namnet studiestödsdatalagen missvisande2, bl.a. eftersom det i praktiken inte torde förekomma någon icke datoriserad behandling hos CSN som omfattas av lagen. Utredningens förslag: Studiestödsdatalagen ska tillämpas vid behandling av personuppgifter i Centrala studiestödsverksamhet. Lagen gäller dock bara om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personupp- gifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 6.4.1Den verksamhet som omfattas Varje lagstiftning måste ha ett visst tillämpningsområde. Studie- stödsdatalagen ska reglera CSN:s behandling av personuppgifter. Lagen bör dock inte omfatta all behandling av personuppgifter som CSN utför. Förutom i studiestödsverksamheten finns det behov för CSN att behandla personuppgifter inom ramen för verksam- heten avseende hemutrustningslån (jämför avsnitt 2.1) och för intern administration, såsom lokal- och personalhantering. Behandling av personuppgifter vid allmänt internt administrativt arbete i en myndighets verksamhet är normalt inte reglerad i sär- skilda registerförfattningar för annan offentlig verksamhet, och utredningen har inte sett något behov av eller skäl för att låta CSN:s behandling av personuppgifter för den interna administra- tionen utan direkt koppling till handläggningen av ärenden om stu- diestöd omfattas av studiestödsdatalagen. När det gäller behandling av personuppgifter i CSN:s verksam- het avseende hemutrustningslån, som har en förhållandevis ringa omfattning, torde en reglering av den behandlingen inte omfattas av utredningens uppdrag. CSN:s registerföring avseende hem- utrustningslån regleras redan av 28 och 29 §§ förordningen (1990:1361) om lån till hemutrustning för flyktingar och vissa 2 Jämför prop. 1997/98:44 s. 42. andra utlänningar, och informationsutbytesutredning har i och för sig ansett att de bestämmelser som avser CSN:s behandling av personuppgifter i detta avseende bör ses över i annat samman- hang.3 CSN har dock inte för utredningen påtalat något behov av att ytterligare reglera behandlingen av personuppgifter i den verk- samheten. Utredningens slutsats är således att bara CSN:s behandling av personuppgifter i studiestödsverksamheten bör omfattas av studie- stödsdatalagen. Med studiestödsverksamhet avser utredningen för det första beviljning av studiestöd, återkrav av felaktigt utbetalat studiestöd och återbetalning av studiestöd samt den hantering som sker i anslutning till ärenden om beviljning, återkrav och återbetalning av studiestöd, oavsett om hanteringen av ärendet leder till att studie- stöd exempelvis beviljas, nekas, återkrävs eller återbetalas. Med studiestöd avser utredningen allt offentligt stöd för enskildas egna studier som CSN enligt författning administrerar. Inte bara det stöd som regleras i studiestödslagen avses således utan även de andra former av studiestöd som CSN administrerar, Rg-bidrag, TUFF-ersättning och bidrag för dagliga resor samt de utmönstrade former av stöd som fortfarande kräver CSN:s hand- läggning, såsom rekryteringsbidrag. Med studiestödsverksamhet avser utredningen för det andra den verksamhet på det studiesociala området som CSN bedriver, t.ex. hanteringen av . Studiestödsdatalagen omfattar således enligt utredningens för- slag CSN:s studiestödsverksamhet i bred mening. I vilka fall det är tillåtet för CSN att i den verksamheten behandla personuppgifter bestäms bl.a. av de tilllåtna ändamål för behandlingen som utred- ningen föreslår (se avsnitt 6.8). Bara för de enligt lagen tillåtna ändamålen får CSN behandla personuppgifter inom lagens tillämp- ningsområde, dvs. i CSN:s studiestödsverksamhet. Av vad som sägs i avsnitt 6.6.2 framgår det att CSN:s behand- ling av personuppgifter för att framställa statistik i studiestöds- verksamheten inte regleras av studiestödsdatalagen utan av de sär- skilda författningsbestämmelserna för statistikansvariga myndig- heter. Det bör här nämnas att det har gjorts gällande att vid direktåtkomst mellan myndigheter begränsningar av tillåtna sök- 3 SOU 2007:45 s. 270 f. begrepp i en särskild registerförfattning för behandling av person- uppgifter i den utlämnande myndighetens verksamhet gäller också för den mottagande myndigheten.4 Utredningen, som anser att ett sådant rättsläge i och för sig vore önskvärt, nöjer sig med att kon- statera att avsikten är att utredningens förslag avseende lagens tillämpningsområde inte ska i detta avseende avvika från vad som kan gälla i fråga om de många särskilda registerförfattningar som har tillämpningsområdet angivet på motsvarande sätt. 6.4.2Den behandling som omfattas Automatiserad och strukturerad behandling Personuppgiftslagen omfattar helt eller delvis automatiserad be- handling av personuppgifter och dessutom annan, behand- ling av personuppgifter under förutsättning att uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Det vanliga är att särskilda register- författningar omfattar samma typer av behandling som person- uppgiftslagen. Den föreslagna regleringen bör, enligt utredningsdirektiven, passa väl in i gällande regelsystem, och målet är att skapa enkla, tydliga och hållbara regler som inte är beroende av att vissa tek- niska lösningar används. Utredningen anser därför att det är mest ändamålsenligt att studiestödsdatalagen omfattar samma typer av behandling som personuppgiftslagen. Med hänsyn till att CSN:s datorisering är långt framskriden torde det dock i praktiken inte i CSN:s studiestödsverksamhet förekomma någon sådan behandling som omfattas av personuppgiftslagen. Personuppgiftslagen omfattar bara behandling av personuppgifter, varmed avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det förekommer att särskilda registerförfattningar omfattar även behandling av upp- gifter om juridiska personer eller avlidna fysiska personer. 4 SOU 2007:45 s. 198 f. Behandling av uppgifter om sådana personer torde bara undan- tagsvis förekomma i CSN:s studiestödsverksamhet, t.ex. uppgifter om s.k. friskolor. Bland annat därför föreslår utredningen inte att tillämpningsområdet för studiestödsdatalagen ska omfatta behand- ling av andra uppgifter än personuppgifter. Automatiserad behandling av personuppgifter i ostrukturerat material bör inte undantas har det i personuppgiftslagen införts ett undantag från de flesta bestämmelserna i lagen för automatiserad behandling av personuppgifter i ostrukturerat mate- rial, såsom löpande text eller ljud eller bild (5 a §). Sådan behand- ling får dock enligt en ny bestämmelse i lagen inte utföras, om den innebär en kränkning av den registrerades personliga integritet. Mot den bakgrunden skulle man kunna överväga att undanta automatiserad behandling av personuppgifter i ostrukturerat mate- rial från tillämpningsområdet för studiestödsdatalagen. Det skulle i så fall innebära att personuppgiftslagen ensam skulle vara tillämplig på sådan behandling. Definitionen av behandling av personuppgifter i ostrukturerat material i personuppgiftslagen – behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av person- uppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter – är sådan att alla de personuppgifter som finns i CSN:s databaser inte omfattas av definitionen. Det gäller även t.ex. inskannade dokument i ärenden om studiestöd och promemorior med löpande text som tjänstemän kan skriva i sådana ärenden. Med hänsyn till den långt gångna strukturerade datoriseringen hos CSN torde det i studiestöds- verksamheten inte vara mycket som skulle kunna omfattas av defi- nitionen. De särskilda bestämmelser som bör finnas i studiestödsdata- lagen bör vidare enligt utredningens mening vara specialanpassade för CSN:s studiestödsverksamhet och utformade så att de är ändamålsenliga och utan större besvär kan tillämpas även på behandling av personuppgifter i ostrukturerat material. Enligt utredningsdirektiven är ju ett mål för utredningsuppdraget att skapa enkla, tydliga och hållbara regler som inte är beroende av att vissa tekniska lösningar används och som uppfyller kravet på ett fullgott skydd för den personliga integriteten vid behandling av personuppgifter. Av dessa skäl har utredningen funnit att CSN:s behandling av personuppgifter i ostrukturerat material i studiestödsverksamheten inte bör undantas från tillämpningsområdet för studiestödsdata- lagen. Utredningens förslag: Behandling av personuppgifter som enligt studiestödsdatalagen är tillåten utan den registrerades samtycke får som huvudregel utföras även om den registrerade motsätter sig behandlingen. Den registrerade ska dock ha rätt att motsätta sig att Cen- trala behandlar personuppgifter för att till honom eller henne sända information om förmåner och bevis om studier med studiestöd. ska informera de registrerade om den rätten. I de fall då behandling av personuppgifter bara är tillåten enligt studiestödsdatalagen när den registrerade lämnat sitt samtycke har den registrerade rätt att när som helst återkalla ett lämnat samtycke, varefter ytterligare personuppgifter om den registrerade inte får behandlas. Den registrerade ska enligt EG-direktivet (artikel 14) åtminstone i vissa fall, bl.a. när det gäller en behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgiften har lämnats ut, ha rätt att motsätta sig behandling av uppgifter som rör honom, utom när den natio- nella lagstiftningen föreskriver något annat. Det är alltså enligt EG- direktivet tillåtet att föreskriva att den registrerade inte har rätt att motsätta sig behandlingen. Den registrerade har dock enligt EG- direktivet en ovillkorlig rätt att motsätta sig behandling som rör direkt marknadsföring. I personuppgiftslagen finns det en bestämmelse om att den regi- strerade inte har rätt att motsätta sig sådan behandling som är tillåten utan samtycke enligt personuppgiftslagen (12 §) och en bestämmelse om att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den per- sonuppgiftsansvarige skriftligen har anmält att han eller hon mot- sätter sig sådan behandling (11 §). Mot bakgrund av bestämmelserna i föreskrivs det i särskilda registerförfattningar ofta i vilken utsträckning den regi- strerade kan eller har rätt att motsätta sig sådan behandling som regleras i den aktuella författningen.5 Utformningen av bestämmel- sen i 12 § personuppgiftslagen har ansetts medföra att det är svårt att i särskilda registerförfattningar direkt hänvisa till den.6 De registerlagar som trädde i kraft närmast efter personupp- giftslagen saknade uttryckliga bestämmelser om den registrerades möjlighet att motsätta sig behandling av personuppgifter som var tillåten enligt lagen.7 Mot bakgrund av bestämmelserna i tivet förordade Lagrådet 2000/01 om behandling av personuppgifter inom skatt, tull och exekution att uttryckliga bestämmelser om den registrerades möjlighet att mot- sätta sig behandling av personuppgifter skulle tas in i de då aktuella registerlagarna.8 I registerlagar som tillkommit därefter har det i stor utsträckning tagits in sådana bestämmelser.9 Men det finns även från senare tid exempel på registerlagstiftning som saknar sådan uttrycklig reglering. Enligt utredningens mening står det klart att CSN:s behandling av personuppgifter i samband med handläggningen av ärenden om studiestöd inte rimligen bör vara beroende av den registrerades inställning till behandlingen. Av bestämmelserna i studiestödsdata- lagen bör det framgå när sådan behandling får ske, och en regi- strerad bör inte kunna förhindra en enligt lagen tillåten rationell och datoriserad handläggning av hans eller hennes ärende om stu- diestöd. Huvudregeln i studiestödsdatalagen bör därför vara att 5Se , Personuppgiftslagen – En kommentar, tredje upplagan 2007, s. 66 f. med vidare hänvisningar. 6Se bl.a. prop. 2000/01:33 s. 346 och prop. 2001/02:144 s. 20. 7Se t.ex. lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar, lagen (1999:163) om penningtvättsregister, lagen (1999:353) om rättspsykiatriskt forskningsregister, lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga och lagen (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet. 2000/01:33 s. 346. 9Se t.ex. lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration, lagen (2005:258) om läkemedelsförteckning, lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet, lagen (2006:444) om passagerarregister och lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen. 10Lagen (2006:378) om lägenhetsregister. behandling av personuppgifter som enligt lagen är tilllåten utan den registrerade samtycke får utföras även om den registrerade mot- sätter sig behandlingen. När det däremot gäller behandling av personuppgifter som inte är nödvändig för att CSN ska kunna fullgöra sin kärnverksamhet med bl.a. handläggning av ärenden om studiestöd, bör det kunna finnas ett utrymme för att ge den registrerade inflytande över om behandlingen ska få komma till stånd. I de fall där det enligt studiestödsdatalagen krävs den registrera- des samtycke för att behandlingen ska få utföras (se närmare om detta i avsnitt 6.8 och 6.9) har den registrerade givetvis ett sådant inflytande i den meningen att han eller hon kan vägra att lämna ett efterfrågat samtycke. Den registrerade bör i dessa fall – i enlighet med vad som gäller enligt personuppgiftslagen (12 § första stycket) – även ha rätt att när som helst återkalla ett lämnat samtycke och därmed förhindra att CSN därefter behandlar ytterligare person- uppgifter om honom eller henne för det aktuella ändamålet. Som framgår av avsnitt 6.8.2 föreslår utredningen att behandling av personuppgifter för viss verksamhet avseende främst det studie- sociala området i stort som i första hand syftar till att kommunicera information och bevis om studier med studiestöd med den registre- rade ska vara tillåten utan samtycke. Det gäller närmare bestämt behandling av personuppgifter för att a) informera studiestöds- berättigade om studiestödsförmåner och studiesociala förmåner och b) ta fram och till studerande distribuera bevis om studier med studiestöd. Sådan behandling är inte direkt nödvändig i samband med handläggningen av ärenden om studiestöd även om den delvis syf- tar till att underlätta CSN:s handläggning. Behandlingen har vissa likheter med behandling av personuppgifter för ändamål som rör direkt marknadsföring och sker i första hand för att underlätta för den registrerade. Man kan därför överväga att ge registrerade som trots allt inte önskar information och bevis en rätt att motsätta sig behandlingen. Det kan antas att de allra flesta tycker att förfarandet med information och bevis är bra och att således ganska få personer skulle utnyttja den rätten, men det förringar givetvis inte värdet av en sådan rätt för de personer som faktiskt vill utnyttja den. Samti- digt bör det beaktas att en sådan rätt innebär i vart fall ett visst administrativt besvär för CSN. Utredningen har vid en sammanvägning kommit fram till att man så långt möjligt bör respektera den enskildes vilja även om det innebär visst administrativt besvär. I nu aktuella fall bör den regi- strerade således ha en rätt att motsätta sig behandlingen. Det inne- bär med andra ord att CSN – utan samtycke – får utföra behand- lingen bara så länge den registrerade inte har motsatt sig behand- lingen. Motsättandet bör få ske muntligen eller skriftligen. Ångrar den registrerade sig, kan han eller hon alltid samtycka till den aktu- ella behandlingen. Ett återtagande av ett lämnat motsättande får tolkas som ett sådant samtycke. För att säkerställa att de registrerade får kännedom om den nu angivna rätten att motsätta sig behandling och därmed kan utnyttja den i praktiken föreslår utredningen att CSN ska informera de registrerade om rätten att motsätta sig behandlingen. Det kan ske t.ex. på CSN:s webbplats och i broschyrer som sänds till registre- rade samt i de utskick som avses med behandlingen. 6.6Förhållandet till annan lagstiftning Utredningens förslag: Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter i Centrala studiestöds- nämndens studiestödsverksamhet, om inte annat följer av stu- diestödsdatalagen. I fråga om Centrala behandling av per- sonuppgifter för att framställa statistik gäller bestämmelserna i lagen (2001:99) om den officiella statistiken och anslutande författningar i stället för studiestödsdatalagen. Utredningens bedömning: Det är onödigt att i studiestöds- datalagen ta in en uttrycklig erinran om att lagen inte får tilläm- pas i strid med grundlag. Personuppgiftslagen är generellt tillämplig men subsidiär, och avvi- kande bestämmelser i annan lag eller i förordning har företräde framför personuppgiftslagen (2 §). Detta förhållande medför att en särskild registerförfattning kan utformas på olika sätt. En metod är att konstruera en särskild registerförfattning så att den bara kompletterar personuppgiftslagen. Den särskilda regis- terförfattningen kommer då att gälla utöver personuppgiftslagen, vilket innebär att när reglering saknas i den särskilda författningen kommer bestämmelserna i personuppgiftslagen att vara tillämpliga. Nackdelen med denna lösning är att lagtillämparen kan ha svårt att få överblick över vilka bestämmelser i personuppgiftslagen som är tillämpliga. Metoden har använts i de allra flesta särskilda register- författningar. En annan metod är att ta in de bestämmelser som avviker från personuppgiftslagen i den särskilda registerförfattningen, ange att författningen gäller i stället för personuppgiftslagen och uttryckli- gen hänvisa till de lagrum i personuppgiftslagen som trots allt ska vara tillämpliga. Fördelarna med denna metod är att lagstiftningen blir mer överskådlig, tydlig och lättillämpad än om inga hänvis- ningar görs till personuppgiftslagen.