sou · GVB364 · 2008-01-01 00:00:00 — Genom beslut bemyndigade regeringen stats- rådet att tillkalla en särskild utredare med uppdrag att granska regleringen och användningen av personregister och annan behandling av personuppgifter vid Centrala studiestöds- nämnden och andra myndigheter inom studiestödsområdet. Till särskild utredare förordnades chefsjuristen . Till experter förordnades, , föredraganden , juristen , verksjuristen och departementssekreteraren . I hans ställe förordnades från samma datum departementssekreteraren . Till sekreterare förordnades, , hovrättsfiskalen . Utredningen har antagit namnet . Utredningen överlämnar härmed betänkandet Studiestödsdatalag (SOU 2007:64). Uppdraget är därmed slutfört. Utredningsarbetet och betänkandet.............................. Reglering av behandling av personuppgifter................... Den personliga integriteten ..................................................... Begreppet personlig integritet...................................... 3.2.2 Personlig integritet vid automatiserad behandling Behandling av personuppgifter för studiestöd ................ Organisation och verksamhet ...................................... Studiestödets Informationssystem (STIS) .................. 4.2.5 Inhämtande och utlämnande av personuppgifter ....... 4.2.6 CSN:s arbete med statistik........................................... Organisation och verksamhet ...................................... 4.3.3 datasystem – Diabas ............ Inhämtande och utlämnande av personuppgifter ....... 4.4 i (LO) och (SISUS) och ........................................................ Behövs särskild författningsreglering .......................... De övriga aktörerna på studiestödsområdet ........................ ÖVERVÄGANDEN OCH FÖRSLAG...................................... Nivån på författningsregleringen.......................................... 6.4.1 Den verksamhet som omfattas .................................. 6.4.2 Den behandling som omfattas ................................... Den registrerades inflytande ................................................. Förhållandet till annan lagstiftning....................................... 6.6.2 Lagstiftningen om den officiella statistiken.............. Bestämmelser i grundlag ............................................ 6.6.4 Bestämmelser om uppgiftsskyldighet och När personuppgifter får behandlas ....................................... Inledning och sammanfattning .................................. Tillåtna ändamål med behandlingen ........................... Den registrerades samtycke till andra Utlämnande av personuppgifter utan samtycke för andra ändamål ........................................................ Behandling av personuppgifter av känslig natur................... Intern elektronisk tillgång till personuppgifter.................... Direktåtkomst och annat elektroniskt utlämnande av 6.12.2 Elektroniskt utlämnande kräver samtycke eller 6.12.3 Elektroniskt utlämnande av enstaka 6.12.4 Direktåtkomst för och 6.12.5 Direktåtkomst för socialnämnder.............................. 6.12.6 Direktåtkomst för den registrerade ........................... 6.12.7 Elektroniskt utlämnande till ............. Överföring av personuppgifter till tredje land ..................... Rättelse och skadestånd ......................................................... Gallring och begränsning av direkt elektronisk tillgång ...... 6.16.3 Begränsning av direkt elektronisk tillgång till Detaljreglering ....i förordning och myndighetsföreskrifter 6.17.2 .......................................Förberedande handläggning 6.17.3 ............................Personuppgifter som får behandlas 6.17.4 Begränsning av intern direkt elektronisk tillgång 6.17.6 Annat elektronisk utlämnande .................................. Ikraftträdande och övergångsbestämmelser ................. Konsekvenserna av förslagen ..................................... Ekonomiska och samhälleliga konsekvenser........................ Konsekvenser för personlig integritet .................................. Förslaget till studiestödsdatalag............................................ har haft i uppdrag att kartlägga och granska regleringen och användningen av personregister och annan behandling av personuppgifter i studiestödsverksamheten inom främst () och för studiestöd och lämna förslag till nödvändig författ- ningsreglering. Utredningen har kommit fram till att en särskild författningsreglering utöver den generellt gällande personuppgifts- lagen bara behövs för den omfattande behandlingen av person- uppgifter i CSN:s studiestödsverksamhet. Den behandling av per- sonuppgifter för studiestöd som förekommer hos övriga aktörer är av förhållandevis ringa omfattning och kan utan olägenhet regleras av personuppgiftslagen. Utredningen lämnar förslag till en särskild studiestödsdatalag som ska gälla utöver personuppgiftslagen och innehålla special- bestämmelser för behandlingen av personuppgifter i CSN:s studie- stödsverksamhet. Den nya lagen föreslås träda i kraft . När personuppgifter får behandlas Förutom med den registrerades samtycke får personuppgifter bara behandlas för vissa i lagen uppräknade ändamål. CSN ska få behandla personuppgifter om det behövs för att 1.handlägga ärenden i studiestödsverksamheten, 3.i den utsträckning regeringen föreskriver det förbereda handläggningen, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och till studerande distribuera bevis om studier med stu- diestöd, eller 6.om sekretess inte hindrar det anmäla oegentlighet inom studie- stödsverksamhet till ett offentligt organ som har att utreda eller beivra oegentligheten. CSN ska även, i en avskild databas, få behandla personuppgifter som inte direkt pekar ut den registrerade för att återsöka väg- ledande avgöranden. Avsikten med bestämmelsen är att CSN ska kunna föra en särskild praxisdatabas med vägledande avgöranden där det inte förekommer namn eller personnummer. De personuppgifter som behandlas får CSN lämna ut till utom- stående i den utsträckning en uppgiftsskyldighet för CSN följer av lag eller förordning. Personuppgifterna får också lämnas ut till den registrerade själv och till och regeringen. Om sekretess hindrar det, kan något utlämnande inte ske. För elektroniskt utlämnande av personuppgifter gäller särskilda villkor (se nedan). Behandling av personuppgifter som är tillåten enligt lagen, får enligt huvudregeln utföras även om den registrerade motsätter sig behandlingen. Bara när det rör sig om behandling av person- uppgifter enligt 4 och 5 ovan har den registrerade rätt att motsätta sig behandlingen. Dessutom kan den registrerade alltid återkalla ett samtycke som är nödvändigt för att behandlingen ska vara tillåten. I en anknytande studiestödsdataförordning anges det när CSN får behandla personuppgifter för att förbereda handläggningen av ärenden om studiestöd och vissa begränsningar av vilka person- uppgifter som får behandlas. Behandling av personuppgifter av känslig natur Känsliga personuppgifter och personuppgifter om lagöverträdelser m.m., enligt definitionerna i personuppgiftslagen, ska bara få behandlas med den registrerades uttryckliga samtycke eller om behandlingen behövs för att handlägga ärenden i studiestöds- verksamheten under förutsättning att uppgifterna har lämnats i ett ärende i studiestödsverksamheten eller behövs för handläggningen av ett sådant ärende. Sådana personuppgifter ska också få behandlas om det behövs för att kunna anmäla oegentlighet inom studie- stödsverksamhet till ett offentligt organ som har att utreda eller beivra oegentligheten. Sådana personuppgifter ska även få behand- las i . Som sökbegrepp får inte användas uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse, medlemskap i fackförening eller att det allmänna helt eller till en väsentlig del bekostat en persons uppehälle eller som rör hälsa, sexualliv, inkomst, förmögenhet eller anledning till studie- avbrott. Vid sökning bara i ett visst ärende om studiestöd, i en viss handling eller i får dock sådana sök- begrepp användas. Uppgifter som rör hälsa får också användas som sökbegrepp för att ge behörig personal elektronisk tillgång till pågående ärenden där sjukdom åberopats. Intern elektronisk tillgång till personuppgifter CSN ska bestämma villkoren för elektronisk tillgång till person- uppgifterna för den som deltar i CSN:s studiestödsverksamhet. Dessa villkor ska bestämmas så att sådan tillgång begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbets- uppgifter inom studiestödsverksamheten. Den faktiska elektro- niska tillgången till personuppgifter som sker ska dokumenteras, t.ex. i en logg (behandlingshistorik). Dokumentationen ska avse alla former av elektronisk tillgång som förekommit till person- uppgifterna. CSN ska vidare genomföra systematiska och åter- kommande kontroller av om obehörig åtkomst till personupp- gifterna förekommit. I studiestödsdataförordningen finns det preciserande bestäm- melser om att direkt elektronisk tillgång till personuppgifter, som normalt sett inte behövs för återbetalning eller återkrav av studie- stöd, i ett ärende om studiestöd ska begränsas till ett fåtal personer senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. Behövs personuppgifterna för ett nytt ärende om studiestöd, ska begräns- ningen få upphävas. Avsikten är att gamla ärenden ska avföras till en särskild arkivdatabas med begränsad direkt elektronisk tillgång. Direktåtkomst och annat elektroniskt utlämnande av person- uppgifter Direktåtkomst till och annat elektroniskt utlämnande av person- uppgifter som behandlas i CSN:s studiestödsverksamhet är tillåtet utan den registrerades samtycke bara i den utsträckning som anges i lag eller förordning och under förutsättning att bestämmelserna om tillåtna ändamål m.m. och sökbegrepp följs. När person- uppgifter får lämnas ut till någon genom direktåtkomst, får per- sonuppgifterna också på annat sätt lämnas ut elektroniskt till denne, t.ex. via epost. Enstaka personuppgifter ska också alltid få lämnas ut på medium för automatiserad behandling eller via elek- tronisk kommunikation, t.ex. epost, i enskilda fall om sekretess inte hindrar det. Dessutom får CSN lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst i den utsträck- ning det behövs för att annan ska kunna lämna ut personuppgifter elektroniskt till CSN, t.ex. via direktåtkomst. Författningsstöd för vissa viktigare fall av tillåtet elektroniskt utlämnande, motsvarande vad som förekommer , anges redan i studiestödsdatalagen och studiestödsdataförordningen. Det gäller bl.a. elektroniskt utlämnande till den registrerade själv, Försäk- ringskassan, arbetslöshetskassor, och läroanstalter som lämnat uppgifter till CSN. I studiestödsdatalagen finns det vissa gallringsföreskrifter. Person- uppgifter i ett ärende om studiestöd som kan ha betydelse i ett nytt ärende om studiestöd behöver dock aldrig gallras (förstöras eller avidentifieras) förrän de kan ha sådan betydelse. CSN får också i enstaka fall besluta att personuppgifterna i ett ärende om studiestöd ska bevaras på papper eller annat icke elektroniskt medium. Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Om åter- betalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet i stället gallras senast efter utgången av det kalenderår då studiestöd senast bevilja- des i ärendet eller ansökan om studiestöd avslogs. Personuppgifter som behandlas för att förbereda handlägg- ningen av ärenden ska i den utsträckning de inte tillförts ett ärende om studiestöd gallras senast efter det att uppgifterna regi- strerades. får meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål samt för redovisningsändamål. Härigenom föreskrivs följande. 1 § Denna lag tillämpas vid behandling av personuppgifter i Cen- trala studiestödsverksamhet. Lagen gäller bara om behandlingen är helt eller delvis automati- serad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Behandling av personuppgifter som enligt denna lag är tillåten utan den registrerades samtycke får utom i fall som avses i 5 § utföras även om den registrerade motsätter sig behandlingen. Förhållandet till personuppgiftslagen och lagen om den officiella statistiken 2 § Personuppgiftslagen (1998:204) gäller vid behandling av per- sonuppgifter i Centrala studiestödsverksam- het, om inte annat följer av denna lag. I fråga om Centrala behandling av per- sonuppgifter för att framställa statistik gäller bestämmelserna i lagen (2001:99) om den officiella statistiken och anslutande för- fattningar i stället för denna lag. 3 § är personuppgiftsansvarig för den behandling av personuppgifter som nämnden utför. 4 § Personuppgifter får behandlas i Centrala studiestödsverksamhet förutom med den registrerades samtycke bara om behandlingen behövs för att 1.handlägga ärenden i den verksamheten, 3.i den utsträckning regeringen föreskriver det förbereda hand- läggningen, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och till studerande distribuera bevis om studier med studiestöd, eller 6.om sekretess inte hindrar det anmäla oegentlighet inom stu- diestödsverksamhet till ett offentligt organ som har att utreda eller beivra oegentligheten. Personuppgifter som behandlas enligt första stycket får dock om sekretess inte hindrar det lämnas ut till den registrerade själv, och regeringen samt, i den utsträckning uppgiftsskyldig- het följer av lag eller förordning, till andra. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas avskilt för att återsöka vägledande avgöranden. Regeringen får meddela föreskrifter om begränsningar av ända- målen i första stycket och om begränsningar av vilka person- uppgifter som får behandlas för ett visst ändamål. 5 § Behandling för ändamål som avses i 4 § första stycket 4 och 5 får utföras bara om den registrerade inte har motsatt sig behand- lingen. ska informera de registrerade om rätten att motsätta sig behandlingen. 6 § I de fall då behandling av personuppgifter i Centrala studie- stödsnämndens studiestödsverksamhet bara är tillåten när den regi- strerade har lämnat sitt samtycke har den registrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personupp- gifter om den registrerade får därefter inte behandlas. Behandling av känsliga personuppgifter m.m. 7 § Sådana känsliga personuppgifter som avses i 13 § person- uppgiftslagen (1998:204) och sådana personuppgifter om lagöver- trädelser m.m. som avses i 21 § samma lag får förutom med den registrerades uttryckliga samtycke behandlas bara i enlighet med 4 § första stycket 1 om uppgifterna har lämnats i ett ärende i stu- diestödsverksamheten eller behövs för handläggningen av ett sådant ärende. Sådana personuppgifter får dock också behandlas i enlighet med 4 § första stycket 6 och andra stycket. 8 § Som sökbegrepp får inte användas uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse, medlemskap i fackförening eller att det allmänna helt eller till en väsentlig del bekostat en persons uppehälle eller som rör hälsa, sexualliv, inkomst, förmögenhet eller anledning till studie- avbrott. Vid sökning bara i ett visst ärende om studiestöd, i en viss handling eller i en sådan avskild samling av personuppgifter som avses i 4 § andra stycket andra meningen får dock sådana sök- begrepp användas. Uppgifter som rör hälsa får också användas som sökbegrepp för att ge behörig personal elektronisk tillgång till pågående ärenden där sjukdom åberopats. Intern elektronisk tillgång till personuppgifter 9 § ska bestämma villkoren för elek- tronisk tillgång till personuppgifterna för den som deltar i nämn- dens studiestödsverksamhet. Sådan tillgång ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbets- uppgifter inom studiestödsverksamheten. ska se till att elektronisk tillgång till personuppgifter dokumenteras och genomföra systematiska och återkommande kontroller av om obehörig åtkomst till upp- gifterna förekommit. Regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om elektronisk tillgång enligt första stycket och om dokumentation och kontroll enligt andra stycket. Direktåtkomst och annat elektroniskt utlämnande av personuppgifter 10 § Direktåtkomst till och annat elektroniskt utlämnande av per- sonuppgifter som behandlas i Centrala stu- diestödsverksamhet är tillåtet utan den registrerades samtycke bara i den utsträckning som anges i lag eller förordning och under förut- sättning att bestämmelserna i 4–6 och 8 §§ följs. 11 § och arbetslöshetskassorna får i den utsträckning uppgiftsskyldighet följer av lag eller förordning ha direktåtkomst till personuppgifter som behandlas i Centrala studie- stödsnämndens studiestödsverksamhet. Regeringen meddelar före- skrifter om vilka personuppgifter som får omfattas av sådan direkt- åtkomst. 12 § Den registrerade får i den utsträckning sekretess inte hindrar det ha direktåtkomst till personuppgifter som behandlas i Centrala studiestödsverksamhet, om uppgifterna 1.avser honom eller henne själv, 2.finns i ett ärende om studiestöd där den registrerade är part eller där den registrerade har rätt att få utbetalning av studiestöd för någon annan, eller 3.avser dokumentation av den elektroniska tillgång som före- kommit till hans eller hennes personuppgifter. 13 § När personuppgifter får lämnas ut till någon genom direkt- åtkomst, får personuppgifterna också på annat sätt lämnas ut elek- troniskt till denne. Enstaka personuppgifter får även i andra fall lämnas ut på medium för automatiserad behandling eller via elek- tronisk kommunikation i enskilda fall om sekretess inte hindrar det. 14 § På begäran enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. får personuppgifter lämnas ut till på medium för automatiserad behandling. 15 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till denna lag. 16 § Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldig- heten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd behöver dock inte gall- ras förrän de kan ha sådan betydelse. Personuppgifter som behandlas enligt 4 § första stycket 3 ska i den utsträckning de inte tillförts ett ärende om studiestöd gallras senast efter det att uppgifterna registrerades. Trots första stycket får regeringen eller den myndighet reger- ingen bestämmer meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål eller för redovisningsändamål. får också trots första stycket i enstaka fall besluta att personuppgifterna i ett ärende om studiestöd ska bevaras på papper eller annat icke elek- troniskt medium. 1.Denna lag träder i kraft . 2.Bestämmelserna i 16 § ska inte börja tillämpas förrän den 1 janu- ari 2010. Härigenom föreskrivs följande. 1 § I denna förordning ges kompletterande föreskrifter om sådan behandling av personuppgifter som omfattas av studiestödsdata- lagen (0000:000). 2 § får behandla personuppgifter för att förbereda handläggningen av 1.ärenden om studiehjälp för personer som fyller och skulle kunna få studiehjälp, och 2.ärenden om studiemedel för personer som antagits till en utbildning som berättigar till studiemedel. 3 § Behandlingen av personuppgifter enligt 2 § 1 får endast avse uppgifter om namn, adress, personnummer, samordningsnummer, av åsatt särskilt identifikations- nummer, sekretessmarkering, medborgarskap och invandrings- och utvandringsdatum avseende den person som fyller och upp- gifter om namn, adress, personnummer, samordningsnummer, av åsatt särskilt identifikationsnummer, sekretessmarkering, medborgarskap, invandrings- och utvand- ringsdatum och bankkonto avseende den eller de som för den per- son som fyller senast mottog allmänt eller förlängt barn- bidrag. Behandlingen av personuppgifter enligt 2 § 2 får endast avse uppgifter om namn, adress, personnummer, samordningsnummer, av åsatt särskilt identifikations- nummer, sekretessmarkering, medborgarskap, invandrings- och utvandringsdatum, studieresultat och den utbildning antagningen avser avseende den på utbildningen antagne personen och person- nummer alternativt samordningsnummer för den som personen är vårdnadshavare för. Information om studiestödsförmåner och studiesociala förmåner 4 § För ändamål som anges i 4 § första stycket 4 studiestödsdata- lagen (0000:000) får endast uppgifter om namn, adress, person- nummer, samordningsnummer, av åsatt särskilt identifikationsnummer, medborgarskap, bankkonto och typ av studiestöd behandlas. Framtagande och distribution av bevis om studier med studiestöd 5 § För ändamål som anges i 4 § första stycket 5 studiestödsdata- lagen (0000:000) får endast uppgifter om namn, adress, person- nummer, samordningsnummer, av åsatt särskilt identifikationsnummer, studietakt, typ av studiestöd och studietid behandlas. Intern elektronisk tillgång till personuppgifter 6 § Direkt elektronisk tillgång till personuppgifter, som normalt sett inte behövs för återbetalning eller återkrav av studiestöd, i ett ärende om studiestöd ska begränsas till ett fåtal personer senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. Behövs person- uppgifterna för ett nytt ärende om studiestöd, får begränsningen upphävas. 7 § direktåtkomst till personuppgifter som behandlas i Centrala studiestödsverksamhet får enbart avse uppgifter om personnummer, samordningsnummer, av åsatt särskilt identifikations- nummer, utbetalat studiestödsbelopp per , beviljat studiestöd per och typ av studiestöd. 8 § Arbetslöshetskassornas direktåtkomst till personuppgifter som behandlas i Centrala studiestödsverksamhet får enbart avse uppgifter enligt 23 § förordningen (1997:835) om arbetslöshetsförsäkring och av åsatt särskilt identifikationsnummer. 9 § En läroanstalt får ha direktåtkomst till de personuppgifter som behandlas i Centrala studiestödsverksamhet som läroanstalten själv lämnat till och till anknytande uppgifter om av åsatt särskilt identifikationsnummer, namn, sekretessmarkering och att beslutat eller sänt medde- lande till parten i ärendet om studiestöd. 10 § Direktåtkomst enligt 7–9 §§ får inte avse personuppgifter till vilka den direkta elektroniska tillgången har begränsats enligt 6 §. 11 § får lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst enligt följande. orsak till återkallelse av ärendet Uppgifter som krävs för att fullgöra skyldigheten att lämna (2001:1227) om Bank eller annan betalnings- kontonummer, belopp, utbetal- Myndighet som begär det eller Namn, adress, den studerandes sådant organ som anges i bilagan till sekretesslagen (1980:100) utbildningens namn och läro- studiehjälp och som har ansökt om stöd enligt 5 kap. 33 § skol- (1985:1100): nummer, av Centrala studie-