sou · GVB364 · 2008-01-01 00:00:00 — Enligt förslaget spelar det inte någon roll hur betalningsskyldigheten har upphört. Frågan om i vilken utsträckning personuppgifter i ett ärende om studiestöd kan ha betydelse för ett nytt ärende om studiestöd får bedömas enligt vid var tid gällande författningar om studiestöd. Det är bara de personuppgifter som kan ha sådan betydelse som får undantas från gallring. Ett exempel är att en person i trettioårs- åldern som redan har fått studiemedel för en viss utbildning endast kan få studiemedel i för en annan utbildning när det är fråga om utbildning som avses i 3 kap. 8 § första stycket studiestödslagen (1999:1395). Eftersom den regi- strerade kan få studiemedel till och med det kalenderår denne fyller (se 3 kap. 3 § studiestödslagen), kan en del av personupp- gifterna i det avslutade ärendet om studiemedel ha betydelse ända till och med detta år. När det gäller personuppgifter som behandlas för att förbereda handläggningen av ärenden ligger det i sakens natur att dessa inte behöver sparas längre än till dess det bör stå klart om de behövs i ett ärende om studiestöd. Utredningen föreslår därför att person- uppgifter som behandlas för att förbereda handläggningen av ären- den ska, i den utsträckning de inte tillförts ett ärende om studie- stöd, gallras senast efter det att uppgifterna registrerades. Med gallring avser utredningen att informationen förstörs så att den inte kan återskapas. Det är alltså inte tillåtet att CSN inför gall- ringen av de behandlade personuppgifterna för över dem på annat medium, t.ex. papper, och sedan bevarar informationen på det mediet längre än vad som följer av de föreslagna gallringsbestäm- melserna. Något krav på att personuppgifter som CSN vid gall- ringstidpunkten redan avhänt sig till annan, t.ex. via direktåtkomst eller genom att sända en utskrift på papper, ska gallras (hos motta- garen) finns inte i den föreslagna lagen. Enligt 14 § arkivförordningen (1991:446) får statliga myndig- heter gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller förordning. Den föreslagna bestämmelsen i studie- stödsdatalagen är en sådan gallringsföreskrift i lag som avses i 14 § arkivförordningen och som tillåter gallring utan beslut eller före- skrift av . Enligt den föreslagna bestämmelsen får de angivna personuppgifterna alltså gallras när som helst, dock senast vid utgången av den angivna gallringsfristen. I vissa fall kan personuppgifterna i ärenden om studiestöd behöva sparas efter den föreslagna gallringstid- punkten, eftersom de fortfarande kan ha betydelse i det aktuella ärendet eller i annat sammanhang. Av 45 § lagen (1996:1059) om statsbudgeten följer t.ex. att bokföring i staten ska ske på ett sätt som stämmer överens med god redovisningssed, vilket bl.a. för med sig att vissa person- uppgifter i verifikationer behöver sparas . Därför bör det vara möjligt att meddela föreskrifter om att vissa person- uppgifter får bevaras för redovisningsändamål trots de föreslagna gallringsbestämmelserna. Det torde vidare i undantagsfall förekomma att person- uppgifterna i ett ärende om studiestöd även efter gallringstid- punkten har betydelse därför att handläggning avseende ärendet i en eller annan mening kan sägas fortsätta hos CSN eller annan myndighet. Det kan t.ex. gälla en granskning avseende ärendet hos någon myndighet eller liknande med tillsynsfunktioner eller mot- svarande, t.ex. ombudsmän (), Justitiekanslern, riks- dagens utskott eller . Det kan också gälla ett beslut i ett ärende som överklagats och där överprövningen inte är klar . Det kan vidare gälla att anspråk på skadestånd framställts med anledning av handläggningen av ett ärende. Även andra undantagsfall där personuppgifterna i ett ärende om studiestöd kan ha betydelse även efter gallringstidpunkten torde kunna tänkas. Det bör därför vara möjligt för CSN att i enstaka fall besluta att personuppgifterna i ett ärende om studiestöd trots de föreslagna gallringsbestämmelserna ska bevaras på papper eller annat icke elektroniskt medium. Begränsningen till enstaka fall innebär bl.a. att CSN inte regel- mässigt får besluta om bevarande bara därför att personuppgifterna i en viss ärendetyp kanske skulle kunna komma att ha betydelse. Det ligger i sakens natur att beslut om bevarande ska fattas före den föreskrivna gallringstidpunkten. Kra- vet på att personuppgifterna ska bevaras på ett icke elektroniskt medium innebär att uppgifterna måste föras över från datasystemet till ett sådant medium, t.ex. papper eller s.k. mikrokort. Med elek- troniskt medium avser utredningen ett medium där personuppgif- terna lagras i elektroniskt format, dvs. binär form, såsom ettor och nollor. På ett icke elektroniskt medium lagras personuppgifterna i stället i ett statiskt format, där det inte är möjligt att på elektronisk väg göra olika sammanställningar av informationen. För vårt nationella kulturarvs skull är det vidare av betydelse att ett visst urval av personuppgifter bevaras för evigt. Därför bör det vara möjligt att meddela föreskrifter om att vissa personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål trots de föreslagna gallringsbestämmelserna. Härigenom kan rätten att ta del av allmänna handlingar, behovet av information för rätt- skipningen och förvaltningen samt forskningens behov beaktas, dvs. de ändamål som arkivlagen syftar till att tillgodose. När det gäller personuppgifter som behandlats för att förbereda handläggningen av ärenden men där det inte blivit något ärende om studiestöd torde det inte behövas någon möjlighet till bevarande efter den föreslagna gallringsfristen för dessa uppgifter. 6.17Detaljreglering i förordning och myndighetsföreskrifter Utredningens allmänna överväganden avseende nivån på författ- ningsregleringen på området har redovisats i avsnitt 6.2. Av vad som sagts i tidigare avsnitt framgår det vidare att utredningen före- slår att det av studiestödsdatalagen framgår a. att regeringen får meddela föreskrifter om när behandling av personuppgifter som behövs för att förbereda handläggningen av ärenden i studiestödsverksamhet får utföras (avsnitt 6.8.2), b.att regeringen får meddela föreskrifter om begränsningar av de tilllåtna ändamålen för behandling av personuppgifter och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål (avsnitt 6.8.2), c.att regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om intern elektronisk tillgång till personuppgifter för den som deltar i CSN:s studiestöds- verksamhet och om dokumentation och kontroll av den elek- troniska tillgången (avsnitt 6.11), d.att regeringen får meddela föreskrifter i förordning om att direktåtkomst och annat elektroniskt utlämnande är tillåtet (avsnitt 6.12.2), e.att regeringen meddelar föreskrifter om vilka personuppgifter som får omfattas av direktåtkomsten för och arbetslöshetskassorna (avsnitt 6.12.4), och f.att regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål eller för redo- visningsändamål trots bestämmelserna i lagen om gallring (av- snitt 6.16). Av vad som anförs i avsnitt 6.6.4 och 6.8.4 framgår det också att bestämmelser om uppgiftsskyldighet i bl.a. förordning enligt utredningens förslag ska ta över bestämmelserna i studiestödsdata- lagen. Det förefaller lämpligt att försöka samla de flesta specifika före- skrifter av regeringen som knyter an till studiestödsdatalagen i en förordning. Utredningen lämnar förslag till en sådan förordning – studiestödsdataförordningen – som innehåller de nya föreskrifter av regeringen som enligt utredningens mening behövs för när- varande. I detta avsnitt berörs de föreskrifter som sålunda föreslås. När det i detta avsnitt och i förslaget till studiestödsdataförordning talas om adress avses såväl postadress som elektronisk adress, t.ex. e-postadress. Enligt utredningens mening saknas det skäl att utfärda några andra sådana detaljföreskrifter rörande intern elek- tronisk tillgång som avses i punkt c ovan än dem som föreslagits i avsnitt 6.16.3. Däremot bör CSN:s villkor för intern elektronisk tillgång till personuppgifter samt dokumentation och kontroll av dokumentationen följas upp. Som angivits i avsnitt 6.8.2 får det anses särskilt integritetskänsligt att CSN behandlar personuppgifter om individer som inte alls berörs av myndighetens ålagda arbetsuppgifter. Utredningen har som också framgår av nämnda avsnitt ändå kommit fram till att CSN bör få fortsätta att behandla personuppgifter om individer som kan komma att bli aktuella i ett ärende om studiestöd för att förbereda handläggningen i den utsträckning regeringen föreskriver det. I de fall de personuppgifter som behandlas är tämligen harm- lösa ur ett integritetsperspektiv och fördelarna med behandlingen överväger det integritetsintrång som de registrerade får vidkännas bör behandlingen av personuppgifter kunna tillåtas. Det är enligt 9 § första stycket f personuppgiftslagen (1998:204) inte tilllåtet att behandla fler personuppgifter än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. Eftersom det saknas avvikande bestämmelser härom i den föreslagna studie- stödsdatalagen, gäller denna begränsning även för CSN:s behand- ling av personuppgifter för förberedande handläggning.44 CSN behandlar personuppgifter för att förbereda en eventuellt kommande handläggning i två fall som berörs nedan. Något behov att behandla personuppgifter för förberedande hand- läggning i andra fall har inte förts fram till utredningen. Utred- ningen anser därför att det inte finns anledning att överväga ytterligare fall av behandling av personuppgifter för för- beredande handläggning. Det första fallet är den behandling av personuppgifter som sker för att förbereda handläggningen av ärenden om studiehjälp för de per- soner som fyller (se avsnitt 4.2.5). Som framgått ovan (se avsnitt 2.2.1) betalas det allmänna barnbidraget till och med det kvartal då barnet fyller . Därefter betalas förlängt barnbidrag så länge barnet studerar i . Studiehjälp kan betalas, om barnet studerar efter . Eftersom en stor andel av 16- 44 EG-direktivet innehåller en motsvarande bestämmelse (artikel 6.1 c), och den bestämmelsen har ansetts vara direkt tillämplig i den meningen att den kan åberopas av enskild inför nationella domstolar för att dessa inte ska tillämpa nationella rättsregler som strider mot bestämmelsen, dom i de förenade målen C-465/00, C-138/01 och C-139/01, 2003 s. . åringarna fortsätter att studera och det således är många som sam- tidigt får rätt till studiehjälp , är det rationellt att förbereda handläggningen, inklusive utbetalning, genom att regi- strera nödvändiga uppgifter om de personer som fyller . För att kunna förbereda handläggningen hämtar CSN in uppgifter om personnummer alternativt samordningsnummer på barnet och den eller de som var betalningsmottagare av det allmänna eller för- längda barnbidraget från samt namn, adress, sekretessmarkering, medborgarskap och invandrings- och utvand- ringsdatum på barnet och den eller de som var betalningsmottaga- ren av det allmänna eller förlängda barnbidraget från . Från hämtar CSN in uppgifter om bankkonto för den eller de personer som var betalningsmottagare. Uppgifterna om medborgarskap och invandrings- och utvandringsdatum behövs, eftersom det för den som inte är svensk medborgare gäller olika bestämmelser om rätt till studiehjälp (1 kap. 4–6 §§ och 2 kap. 4 § studiestödslagen). En avvägning mellan å ena sidan den registrerades intresse av att slippa bli registrerad och å andra sidan behovet av en effektiv handläggning av ärenden utfaller enligt utredningens mening på så sätt att CSN alltjämt bör få förbereda handläggningen avseende landets 16-åringar på det sätt som sker. De personuppgifter som samlas in synes vara väl avgränsade och inte innefatta fler uppgifter än som är nödvändigt. Denna verksamhet bör därför få fortsätta. Uppgifter om andra personer än den som fyller och den eller de personer som senaste mottog det allmänna eller förlängda barn- bidraget för barnet bör inte få registreras för att förbereda hand- läggningen. Antagna till utbildning som berättigar till studiemedel Det andra fallet av förberedande handläggning avser personer som registrerar sig på eller, när det gäller utbildningar som avses i avdel- ning A1 och A2 i bilagan till studiestödsdataförordningen (2000:655), antagits till en utbildning som berättigar till studie- medel. Som framgått ovan (se avsnitt 4.2.5) inhämtar CSN i sam- band med terminsstart uppgifter från Ladok och avseende samtliga personer som registrerat sig på universitet och högskolor oavsett om de (ännu) sökt studiemedel. De person- uppgifter som hämtas in är personnummer alternativt sam- ordningsnummer, namn och adress. För de personer som antagits till utbildningar som avses i avdelning A1 och A2 i bilagan till stu- diestödsdataförordningen inhämtas motsvarande uppgifter och uppgifter om studieresultat från respektive läroanstalt. Uppgifter om personnummer alternativt samordningsnummer, namn, adress, sekretessmarkering, medborgarskap och invandrings- och utvand- ringsdatum hämtas från . Uppgifterna om medborgar- skap och invandringsdatum behövs, eftersom det för den som inte är svensk medborgare gäller olika bestämmelser om rätt till studiemedel (1 kap. 4–6 §§ och 3 kap. 4 § studiestödslagen). Denna förberedande handläggning innebär att CSN till viss del kommer att registrera personer som inte kommer att beröras av CSN:s verk- samhet, t.ex. därför att de inte ansöker om studiemedel. På motsvarande sätt som i fråga om registreringen av uppgifter om 16-åringar utfaller en avvägning mellan de registrerades intresse av att inte behöva registreras och behovet av en effektiv handlägg- ning av ärenden till CSN:s fördel. CSN bör därför få fortsätta med denna förberedande handläggning på oförändrat sätt. 6.17.3Personuppgifter som får behandlas Utredningen har ansett att det inte är lämpligt eller möjligt att i lag precisera de ändamål för vilka personuppgifter får behandlas mer än vad som har redovisats ovan (se avsnitt 6.8.2). De föreslagna beskrivningarna av de tillåtna ändamålen i studiestödsdatalagen är förhållandevis allmänt hållna, och utredningen föreslår att reger- ingen bemyndigas att meddela föreskrifter om begränsningar av de i lagen angivna tillåtna ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Utredningen har inte sett att det finns skäl att föreskriva någon begränsning av de ändamål för vilka person- uppgifter får behandlas. Däremot finns det enligt utredningens mening skäl att i ett par fall föreskriva begränsning av vilka person- uppgifter som får behandlas för vissa ändamål. Dessa fall berörs i det följande. Som framgår ovan av avsnitt 6.8.2 föreslås det att CSN får behandla personuppgifter för att informera studiestödsberättigade om stu- diestödsförmåner och studiesociala förmåner. Även om de registre- rade föreslås ha en rätt att motsätta sig behandling av personupp- gifter för detta ändamål (se avsnitt 6.5), finns det skäl att begränsa CSN:s möjlighet att behandla personuppgifter för detta ändamål. Eftersom behandlingen inte är nödvändig för att CSN ska kunna fullgöra sin kärnverksamhet, är det nämligen särskilt viktigt att behovet av integritetsskydd för den enskilde tillgodoses. För att CSN ska kunna distribuera informationen till de berörda, krävs det att personuppgifter avseende namn och adress behandlas. Eftersom CSN använder CSN-nummer45 eller person- nummer alternativt samordningsnummer som sökkriterier, behöver även uppgifter om sådana nummer användas. För att den informa- tion som skickas ut ska kunna anpassas till de berördas situation, behövs vidare uppgift om vilken typ av studiestöd som kan vara aktuell och om medborgarskap. I det s.k. 16-årsbrevet med infor- mation om studiehjälp som CSN sänder ut anges – för kontroll – det registrerade bankkontot för en eventuell framtida mottagare av utbetalning av studiehjälp (se avsnitt 6.17.2), varför även uppgift om bankkonto behöver behandlas. Distribution av bevis om studier På motsvarande sätt som gäller vid behandling av personuppgifter för att informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner har en registrerad enligt utredningens förslag rätt att motsätta sig behandling av personuppgifter för att ta fram och till studerande distribuera bevis om studier med studie- stöd. Hanteringen av sådana bevis sker till viss del genom utomstående aktörer (se avsnitt 4.2.5). Detta gör att integ- ritetsaspekterna blir än mer betonade. Utredningen föreslår bl.a. på grund härav begränsningar i fråga om vilka personuppgifter som CSN får behandla för ändamålet att ta fram och distribuera nu aktuella bevis. 45 Se not 3 i avsnitt 4.2.2. För att nu aktuella bevis ska kunna utfärdas och distribueras fordras uppgifter om namn och adress på den studerande. För att möjliggöra säker identifikation är det också nödvändigt att upp- gifter om personnummer alternativt samordningsnummer och CSN-nummer behandlas. För att en studerande ska ha rätt att få t.ex. krävs det att denne studerar minst på halvtid . Studietakt och studietid har alltså betydelse för att kunna ta fram bevisen. Sådana personuppgifter bör därför också få behandlas. Några andra personuppgifter än vad som sagts finns det enligt utredningens mening inte något behov av att behandla för att ta fram och till studerande distribuera bevis om studier med studie- stöd. Därför bör det meddelas en föreskrift av innebörd att några sådana andra personuppgifter inte får behandlas. 6.17.4Begränsning av intern direkt elektronisk tillgång till personuppgifter Av vad som anförs i avsnitt 6.16.3 framgår det att utredningen föreslår att det i studiestödsdataförordningen tas in en bestäm- melse om begränsning av intern direkt elektronisk tillgång till per- sonuppgifter i vissa gamla ärenden. Enligt utredningens förslag till studiestödsdatalag får bl.a. Försäk- ringskassan och arbetslöshetskassorna ha direktåtkomst till per- sonuppgifter som behandlas i CSN:s studiestödsverksamhet (se avsnitt 6.12.4). I förslaget har även angetts att regeringen meddelar närmare föreskrifter om vilka personuppgifter som får omfattas av direktåtkomsten för och arbetslöshetskassorna. De legala förutsättningarna för informationsutbytet har beskrivits ovan i avsnitt 4.2.5. Av vad som sägs där framgår det att CSN har en vidsträckt uppgiftsskyldighet i förhållande till Försäkrings- kassan och arbetslöshetskassorna. Det informationsutbyte som i praktiken sker rutinmässigt på elektronisk väg är dock mer begrän- sat än vad det verkar finnas legala förutsättningar för. Enligt utred- ningens mening finns det inte anledning att tillåta direktåtkomst till flera personuppgifter än vad som omfattas av det rutinmässiga elektroniska informationsutbytet som sker . Det innebär att det bör meddelas föreskrifter om att direktåtkomsten begränsas för till uppgifter om personnummer, samordningsnummer, av CSN åsatt särskilt identifikationsnummer (s.k. CSN-nummer), utbetalat studiestödsbelopp per viss tids- period, beviljat studiestöd per och typ av studiestöd samt för arbetslöshetskassorna till uppgifter enligt 23 § förord- ningen (1997:835) om arbetslöshetsförsäkring, dvs. uppgifter om namn, personnummer och i förekommande fall samordnings- nummer, att en ansökan om studiestöd har lämnats in, för vilken tidsperiod studiestöd har sökts och beviljats, vilket studiestöd som har beviljats, omfattningen av studiestödet, vilket studiestöd som har betalats ut, för vilken tidsperiod studiestöd har betalats ut, och om CSN ändrat eller återtagit ett beslut om studiestöd. Som beskrivits i avsnitt 4.2.5 har det införts en webbase- rad elevrapporteringsrutin för skolor där den rapporterande läro- anstalten i samband med rapportering av nya och ändrade uppgifter till CSN får tillgång till de uppgifter läroanstalten tidigare lämnat till CSN, se också avsnitt 6.12.2. Den tillgången till person- uppgifter för skolorna får anses innebära direktåtkomst. Det bör därför föreskrivas i förordning att sådan direktåtkomst är tillåten. I avsnitt 6.12.5 finns det ett utkast till hur en bestämmelse i stu- diestödsdataförordningen om direktåtkomst för socialnämnder skulle kunna utformas. Av vad som anförs i avsnitt 6.16.3 framgår det att utredningen föreslår att direktåtkomst ska begränsas genom förordning så att den inte i nu avsedda fall avser personuppgifter till vilka den interna direkta elektroniska tillgången begränsats. Som framgår av avsnitt 6.12.2 lämnar CSN ut personuppgifter på elektroniskt vis till ett antal aktörer. Sådant utlämnade får enligt den föreslagna studiestödsdatalagen inte ske utan den registrerades samtycke om det inte finns stöd i lag eller förordning för utläm- nandet. I två av de fall som anges i nämnda avsnitt kan utläm- nandet lämpligen ske efter inhämtande av samtycke. Det rör sig om utlämnande till reseföretag och försäkringsmäklare. I de övriga fal- len behöver utlämnandet ske utan inhämtande av samtycke. Utred- ningen föreslår därför en bestämmelse i studiestödsdataförord- ningen om att CSN får lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst till aktuella aktörer i den omfattning som sker . Som också framgår av avsnitt 6.12.2 behöver CSN lämna ut per- sonuppgifter elektroniskt i samband med att CSN har direkt- åtkomst eller annan elektronisk tillgång till personuppgifter hos någon annan. Utredningen föreslår därför en bestämmelse i studie- stödsdataförordningen om att CSN också får lämna ut person- uppgifter elektroniskt på annat sätt än genom direktåtkomst i den utsträckning det behövs för att annan ska kunna lämna ut person- uppgifter elektroniskt till CSN. Utredningen har föreslagit vissa lagregler om gallring av de person- uppgifter som behandlas i CSN:s studiestödsverksamhet (avsnitt 6.16). Det har vidare föreslagits att regeringen, eller den myndighet som regeringen bestämmer, ska få meddela föreskrifter om att per- sonuppgifter trots lagreglerna om gallring får bevaras för histo- riska, statistiska eller vetenskapliga ändamål eller för redovisnings- ändamål. Att bedöma vilket bevarande som är påkallat för de angivna ändamålen kräver särskild sakkunskap. Därför är det lämpligt att inte regeringen utan i första hand expertmyndigheten bedömer behovet av bevarande och självt utfärdar föreskrifter om bevarande. Utredningen föreslår därför att i förordning bemyndigas att utfärda föreskrifter om bevarande av person- uppgifter för de angivna ändamålen. Det får förutsättas att Riks- arkivet när det gäller föreskrifter om bevarande för redovisnings- ändamål samråder med expertmyndigheten på området, Ekonomi- styrningsverket som bl.a. ska utveckla god redovisningssed inom staten.46 46 Jämför RA-FS 2004:3. Utredningens förslag: Studiestödsdatalagen och den kom- pletterande studiestödsdataförordningen ska träda i kraft . Bestämmelserna om gallring och begränsning av intern direkt elektronisk tillgång till personuppgifter ska dock inte börja tillämpas förrän . Studiestödsdatalagen och studiestödsdataförordningen bör efter sedvanlig remissbehandling, lagrådsremiss, proposition och behandling i kunna träda i kraft . Enligt CSN behövs det för systemutvecklingsarbete m.m. för att genomföra de föreslagna bestämmelserna om gallring och begränsning av den interna direkta elektroniska tillgången till personuppgifter i gamla ärenden (se avsnitt 6.16). För att medge tid för sådant arbete föreslår utredningen att bestämmelserna om gall- ring och begränsning av intern direkt elektronisk tillgång till per- sonuppgifter inte ska börja tillämpas förrän efter ikraft- trädandet av lagen och förordningen i övrigt, dvs.