sou · GVB364 · 2008-01-01 00:00:00 — Bidrag för studier i mindre omfattning om funktions- hinder, studier på grundskole- eller gymnasienivå som är särskilt anpassade för personer med funktionshinder samt studier inom särvux och alfabetisering i samiska föreslås fortfarande kunna läm- nas enligt nya bestämmelser i två särskilda statsbidragsförord- ningar. De föreslagna statsbidragsförordningarna överensstämmer till sitt innehåll i huvudsak med motsvarande delar i den nu gäl- lande förordningen om bidrag vid korttidsstudier. Det ska dock framhållas att det föreslagits att besluten av de berörda myndig- heterna (SISUS) och inte längre ska få överklagas. Sammantaget innebär de föreslagna förändringarna att studiestöd för korttidsstudier alltjämt kommer att handläggas av SISUS och men att LO:s och TCO:s administration av denna stödform upphör. Samhällets stöd till studerande tar sig olika uttryck över tiden. Stödformer kommer och går. Relativt har rekryterings- bidrag, som omnämns i utredningsdirektiven, utmönstrats som stödform. Det finns även andra, äldre upphävda stödformer såsom 5 Se remisspromemorian Bidrag vid korttidsstudier , U2007/3143/SV. särskilt utbildningsbidrag (UBS), särskilt vuxenstudiestöd (svux) och särskilt vuxenstudiestöd för arbetslösa (svuxa). Även utmönst- rade stödformer kräver ibland behandling av personuppgifter, t.ex. i form av lagring av arkiverade ärenden. Viss aktiv behandling av per- sonuppgifter krävs även för utmönstrade stödformer, eftersom det finns regler om återkrav av felaktigt utbetalat bidrag och om åter- betalning av lån i de fall då stödet har betalats i form av lån. Rekryteringsbidrag, som nämns i utredningsdirektiven, är en numera upphävd form av stöd. Per upphävdes lagen (2002:624) om rekryteringsbidrag till vuxenstuderande och förordningen (2002:744) om rekryteringsbidrag till vuxenstu- derande. Bidragsformen infördes och syftade till att stimulera personer i åldrarna , med tidigare kort utbildning som antingen var eller riskerade att bli arbetslösa eller hade ett funktionshinder, till att utbilda sig. Rekryteringsbidraget avsåg personer som bedömdes ha behov av kompletterande utbild- ning på grundskole- eller gymnasienivå. Det uttalade syftet med rekryteringsbidraget var att stimulera till fortsatta studier. Som namnet antyder var det i sin helhet fråga om ett bidrag. Bidraget var behovsprövat. Detta bidrag var skattefritt och även pensions- grundande. Även tilläggsbidrag (se ovan under avsnitt 2.3.3) kunde komma i fråga för studerande med barn. Viss samordning skedde mellan olika bidragsformer. Så kunde t.ex. rekryteringsbidrag inte lämnas om studiemedel eller korttidsbidrag lämnades för perioden. Prövningen av rätten till rekryteringsbidrag skedde dels av kommunen, dels av CSN. Denna tudelade beslutsbehörighet förut- satte ett nära samarbete mellan kommunerna och CSN. CSN hade därför möjlighet att ge kommunerna direktåtkomst till vissa per- sonuppgifter som lagrats elektroniskt hos CSN. Den bidragsberät- tigade hade även ålagts en skyldighet att anmäla ändrade förhållan- den som kunde påverka bidragsrätten. CSN hade dessutom möjlig- het att inhämta viss information från den aktuella skolan. För det fall det skulle komma fram att rekryteringsbidrag har utbetalats felaktigt ska CSN återkräva beloppet. 3Reglering av behandling av personuppgifter Enligt utredningsdirektiven ska utredningen kartlägga regleringen av personregister och annan behandling av personuppgifter i stu- diestödsverksamheten. I detta avsnitt redogörs för generella bestämmelser på nationell och internationell nivå om behandling av personuppgifter som kan ha betydelse för en reglering av behandling av personuppgifter i studiestödsverksamhet. I avsnitt 4 redogörs för specifika bestäm- melser om sekretess och inhämtande och utlämnande av person- uppgifter som gäller för studiestödsverksamhet. Eftersom de generella bestämmelserna om behandling av per- sonuppgifter syftar till att skydda mot kränkningar av den person- liga integriteten1, inleds kapitlet med ett avsnitt om den personliga integriteten. Därefter följer ett avsnitt om internationella regler, bl.a. EG-direktivet om personuppgifter2, och ett avsnitt om personuppgiftslagen (1998:204). Eftersom utredningen enligt utredningsdirektiven ska analysera behovet av särskilda författ- ningsbestämmelser för behandling av personuppgifter i studie- stödsverksamheten, avslutas kapitlet med ett avsnitt om de sär- skilda registerförfattningar som gäller för andra områden. 1Jämför t.ex. 2 kap. 3 § andra stycket regeringsformen och 1 § personuppgiftslagen (1998:204). 2Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046), kallas i det följande bara EG-direktivet. Reglering av behandling av personuppgifter Den personliga integriteten har uppmärksammats i många statliga utredningar och varit föremål för analys även i många andra sam- manhang. Det genomgående för dessa överväganden har varit att det alltid visat sig vara svårt att precisera innebörden av begreppet personlig integritet. Uppfattningen om vad som omfattas av den personliga integri- teten varierar mellan olika människor. Det beror i hög grad på den enskildes subjektiva uppfattning om vad denne anser ingå i den rent personliga sfären. Den enskildes uppfattning kan i sin tur påverkas av t.ex. politisk eller religiös övertygelse. Dessutom förändras inställningen till integritet över tiden. Värderingar påverkas mycket av den tidsålder och det samhälle man lever i. När det gäller upp- gifter som är personliga kan det också ha betydelse i vilket sam- manhang de används om den enskilde uppfattar det som att hans eller hennes integritet har kränkts eller inte. Det finns en allmän uppfattning i samhället att varje person har ett välgrundat anspråk på att andra personer handlar på ett sådant sätt att hans eller hennes personliga integritet respekteras. Oavsett den exakta definitionen av begreppet personlig integritet finns det en privat sfär som man inte accepterar intrång i. Skyddet för den personliga integriteten uppfattas också som viktigt av de enskilda människor som är berörda. Man skulle kunna tro att människors upplevda obehag av att personuppgifter behandlas i olika samman- hang skulle ha minskat i takt med att användningen av datorer bli- vit vardagsmat och IT-samhället krupit närmare. Emellertid visar de undersökningar som gjorts att många människor är negativa eller åtminstone tveksamma till att deras personuppgifter används utan att de får reda på det och utan att de har någon möjlighet till infly- tande. Människor upplever det som obehagligt att deras person- uppgifter flödar fritt utom deras kontroll, oavsett om uppgifterna i någon mening missbrukas eller om de själva har råkat ut för något negativt på grund av att uppgifterna använts.4 3Framställningen bygger på den som finns i t.ex. SOU 2004:6 s. 27 ff. och SOU 2002:2 s. 4SOU 1997:39 s. 183 f. Se för den senaste undersökningen om allmänhetens attityder till integritetsskydd SOU 2007:22. Reglering av behandling av personuppgifter Skyddet för den personliga integriteten anses vidare vara en grundläggande mänsklig rättighet, skyddad genom internationella instrument, nationell lagstiftning, tradition och kultur. Till grund för stadgandet om värnandet av den enskildes privat- liv i 1 kap. 2 § fjärde stycket regeringsformen ligger uppfattningen att grundsatsen om den enskildes rätt till en fredad sektor är av så väsentlig betydelse i en demokratisk stat att den bör komma till allmänt uttryck i grundlag.5 Det kan dock konstateras att varken svensk lagstiftning eller doktrin innehåller någon enhetlig definition av begreppet personlig integritet. Så används t.ex. i 1 kap. 2 § fjärde stycket regerings- formen begreppet enskilds privatliv när den grundläggande ambitionen för det allmänna att skydda den personliga integri- teten slås fast, eftersom det senare begreppet ansågs svårbegripligt och svårt att avgränsa.6 Begreppet finns emellertid i 2 kap. 3 § andra stycket regeringsformen. Oavsett svårigheten att definitivt klarlägga innebörden i begrep- pet personlig integritet måste man på något sätt ta sig an begreppet i alla sammanhang som rör behandling av personuppgifter och tillämpning av personuppgiftslagen. Det grundläggande syftet med lagstiftningen är skyddet för den personliga integriteten. Man måste därför i vart fall ha en föreställning om begreppets innebörd i allmänhet och dess betydelse för den praktiska tillämpningen i det enskilda fallet. Personlig integritet kan vara att slippa få vissa personliga upp- gifter om sig själv spridda till andra människor. Svårigheten att definiera begreppet positivt har dock lett till att man i stället för- sökt att identifiera vad som konstituerar en kränkning av den per- sonliga integriteten. En integritetskränkning beskrivs i dessa sam- manhang som att förlora kontrollen över sin egen person eller en viss typ av uppgifter om sig själv. När det gäller frågan om vilka förhållanden som generellt sett anses utgöra intrång i annans personliga integritet hänvisas ofta till en av professorn upprättad kränkningskatalog. Som exempel ur denna kan nämnas spridande av förtroliga upp- gifter, avslöjande inför offentligheten av annans privata förhållan- den, utnyttjande av annans namn eller bild och angrepp på annans heder och ära.7 1975/76:209 s. 131. 1975/76:209 s. 131. 7SvJT 1971 s. 698 f. Reglering av behandling av personuppgifter Professorn delar in försöken att precisera innebör- den av begreppet personlig integritet i följande kategorier:8 Den enskilde har en innersta sfär, där förhållanden, egenskaper och handlingar inte bör vara kända av andra än den enskilde själv. Utanför denna innersta sfär finns andra sfärer med grad- vis avtagande känslighet och med växande anspråk från om- världen på att information måste vara tillgänglig. Det finns olika kategorier av data som kan känslighetsgraderas. Exempelvis är adressuppgifter, generellt sett, mindre integri- tetskänsliga än uppgifter om politisk övertygelse. Det finns inga kategorier av data som à priori kan anses okäns- liga från integritetsskyddssynpunkt. Intrångsmöjligheterna hänger helt och hållet samman med i vilken situation uppgifter används, dvs. av vem, för vilket syfte, tillsammans med vilka andra uppgifter osv. Data om individen är individens egendom. Han eller hon måste alltid samtycka till att andra får del av dem. Integritetsskyddets kärna består i en rätt att bli lämnad ifred, att själv få avgöra i vilka sammanhang och under vilka förut- sättningar man träder i förbindelse med omvärlden, framför allt med myndigheter och andra representanter för samhället. Vad som uppfattas som integritetsintrång måste fastställas på statistisk väg. Man måste således hämta vägledning i undersök- ningar av det slag som har utförts av Statis- tiska centralbyrån. Rätten till personlig integritet är vidare inte absolut, utan från tid till annan föremål för inskränkningar. Skyddet för den personliga integriteten måste avvägas mot andra grundläggande demokratiska rättigheter och värden, t.ex. informationsfriheten och yttrande- friheten. 8 , Juridik och IT, 8:e uppl. Reglering av behandling av personuppgifter Man måste också beakta de helt legitima behov som finns att använda personanknuten information i ett samhälle av sådan stor- lek och komplexitet som det vi lever i. Utgångspunkten var i förar- betena till datalag att skyddet för den personliga integri- teten inte kan sträcka sig längre än vad som är möjligt med hänsyn till de krav samhällsgemenskapen uppställer. Det förutsattes såle- des att en väl fungerande samhällsorganisation alltid kommer att medföra intrång i enskilda individers personliga integritet. Frågan blir då vad som kan tolereras och vad som går utöver det som är acceptabelt samt vad som är ett otillbörligt intrång i den personliga integriteten och vad som inte är det. Mot bakgrund härav kan man säga att personers integritet kränks i den mån som det sker ett intrång i deras privata sfär och/eller uppgifter om dem, som det finns rimliga skäl att beteckna som integritetskänsliga, sprids. Dessa uppgifter kan gälla personers egenskaper, uppfattningar eller handlingar. Rättigheten till person- lig integritet kan beskrivas som en prima facierättighet. Den är en giltig och välgrundad rättighet som dock i en konkret handlings- situation kan sättas ur spel om den kommer i konflikt med någon annan rättighet som väger tyngre.9 3.2.2Personlig integritet vid automatiserad behandling av personuppgifter Det klassiska målet för integritetsskyddet i samband med automatiserad behandling av personuppgifter – att få bli lämnad i fred – har enligt vissa fått ett nytt innehåll genom att datakvalitets- frågor tagit över. Man framhåller härvid vikten av att behandlade uppgifter är korrekta, att uppgifterna används i rätt sammanhang och endast för berättigade ändamål. Fokus är mer inriktat på att informationsbehandlingen håller en hög kvalitet än att individens personuppgifter inte får behandlas. Vissa faktorer har ansetts särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid automatiserad behandling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras och varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. 9 SOU 1997:39 s. 796 och 801. Reglering av behandling av personuppgifter Sådana tankegångar kan sägas ligga till grund för de dataskydds- principer som utarbetats10 och som ligger till grund för de s.k. han- teringsreglerna i personuppgiftslagen. Att den personliga integriteten skyddas innebär enligt att användningen av personuppgifter regleras och begränsas. Enligt dess uppfattning står det klart att en integritets- skyddslagstiftning måste hämma användningen av personuppgifter; ju mera användningen hämmas, desto starkare blir integritets- skyddet. Vilken reglering och begränsning av användningen av per- sonuppgifter som är nödvändig för att skydda den personliga integ- riteten ansåg kommittén till stora delar vara en fråga som är bero- ende av rådande värderingar i samhället. Sådan användning som enligt dessa värderingar framstår som otillbörligt intrång i annans personliga integritet ska så långt som möjligt förebyggas. När per- sonuppgifter som är felaktiga eller missvisande används, kan det få svåra konsekvenser för såväl enskilda som verksamheten i sam- hället. Då kan det bli fråga om direkt mätbara fysiska eller ekono- miska skador, t.ex. när fel person sätts i fängelse eller fel ben amputeras. Att användningen av personuppgifter leder till sådana skador kan givetvis aldrig accepteras; det är därför ett oeftergivligt krav att de uppgifter som används är riktiga och inte missvisande. Men i övrigt – dvs. när och hur i och för sig korrekta person- uppgifter används – utgör regleringen av integritetsskyddet en vär- deringsfråga.11 Värderingarna i samhället påverkas bl.a. av hur informations- tekniken uppfattas och används. Detta är emellertid ett dynamiskt område där utvecklingen går snabbt. Man kan dock urskilja åtmin- stone fem aspekter när det gäller hur informationstekniken upp- fattas och används: automation, informationshantering, vardags- teknik, kommunikation och konvergens.12 I datorernas barndom var det automation som stod i fokus. De nya maskinerna utgjorde ett effektivt alternativ till han- tering av t.ex. beräkningar, eftersom de kunde automatiserat bear- beta information på ett strukturerat sätt. I takt med att tekniken för att lagra och återhämta information i datorläsbart format förbättrades ökade intresset för informations- hantering. Man kunde nu ha enorma mängder information tillgäng- 10Se om dessa principer avsnitt 3.3. 11SOU 1997:39 s. 178 f. 12Indelningen och begreppsbildningen i denna del har inspirerats av en artikel av i SOU 2002:112 s. 21–32. Reglering av behandling av personuppgifter lig för datorbehandling, och med rätt struktur och teknik kunde man också lätt finna relevant information. Ungefär i detta skede – när myndigheter och andra stora organi- sationer kunde både ha informationen lättillgänglig och bearbeta den automatiserat – ökade oron för intrång i den personliga integ- riteten och utarbetades som ett svar de s.k. dataskyddsprinciper som ligger bakom EG-direktivet. Men utvecklingen av informationstekniken och synen på och användningen av den stannade inte där. Datorer, och därmed tekniken att enkelt lagra och bearbeta information, har för det första blivit ett vardagligt arbetsredskap och var mans egendom, en vardagsteknik. har för det andra kommunikation alltmer betonats. Internationella datakommunikationsnätverk, såsom Internet, har utvecklats och fått ett enormt genomslag hos organisationer och enskilda. Dessa nätverk kan användas inte bara för att kommuni- cera enskilt med anslutna användare utan också som ett lättillgäng- ligt massmedium där vem som helst kan publicera information. Därmed har den grundläggande konflikten mellan integritetsskydd och yttrande- och informationsfrihet blivit akut. Det faktum att så många datorer är sammankopplade i världsomspännande nätverk gör också säkerhetsfrågor akuta. För det tredje har ett fenomen som brukar benämnas konvergens uppmärksammats . Olika former av informationsteknik smälter samman alltmer – datorkommunikation, telefon, radio och television m.m. – och informationstekniken kommer in på allt fler områden i vårt vardagsliv – positionsbestämning av vardagsföremål såsom fordon och telefoner, intelligenta kylskåp eller hela hem, inpasseringssystem m.m. Den alltmer utbredda och sammansmälta användningen av informationsteknik i vardagslivet, särskilt i kom- bination med lagring, bearbetning och kommunikation av den information som framkommer, har inneburit nya möjligheter att kartlägga individer på ett ibland osynligt sätt. Kommunikation i nätverk förutsätter vidare oftast att de datorer som är sändare och mottagare är identifierade på något sätt, t.ex. genom s.k. IP-num- mer, vilket gör att kommunikationen i sig kan ge upphov till nya former av personanknuten information som kan sparas och använ- das för att kartlägga individer. Reglering av behandling av personuppgifter I flera utredningsbetänkanden från senare tid finns det redogörelser för internationella regler om behandling av personuppgifter, se t.ex. SOU 2004:6 s. 37 ff. och SOU 2006:18 s. 73 ff. För en närmare re- dogörelse för reglerna kan hänvisas till dessa framställningar. Här lämnas för sammanhangets skull bara en översiktlig redogörelse för de viktigaste för bindande internationella reglerna.13 Artikel 8 i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europa- konventionen), som gäller som svensk lag (SFS 1994:1219), lyder enligt följande: Artikel 8 – Rätt till skydd för privat- och familjeliv 1.Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. 2.Offentlig myndighet får inte inskränka åtnjutande av denna rättig- het annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Det står klart att behandling av personuppgifter och t.ex. rätt till tillgång till registrerade personuppgifter i och för sig kan falla inom tillämpningsområdet för artikel 8 i . All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Europa- konventionen tar i första hand sikte på åtgärder av det allmänna. har ansett att bestämmelserna i artikel 8 i Euro- pakonventionen har betydelse vid sidan av EG-direktivet vid bedömningen av nationella regler som tillåter behandling av per- sonuppgifter.14 13Framställningen bygger bl.a. på den som finns i de nämnda betänkandena. 14EG-domstolens dom i mål nr C-465/00 och C-138/01 och C-139/01, 2003 s. . Reglering av behandling av personuppgifter antog en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter, Convention for the Protection of Individuals with regard to Automatic Processing of , den s.k. dataskyddskonventionen. Konventionen trädde i kraft den 1 okto- ber 1985. Samtliga medlemsstater i EU har ratificerat konven- tionen. Konventionen är alltså bindande för . Det har beslutats om ändringar i dataskyddskonventionen för att göra det möjligt för Europeiska unionen att ansluta sig. har antagit ett tilläggsprotokoll till dataskyddskonventionen. Det innehåller bestämmelser om data- skyddsmyndigheter och överföring av personuppgifter mellan län- der. Den beslutade att underteckna och ratificera tilläggsprotokollet, vilket skedde . Till konventionen ansluter en rad rekommen- dationer som inte är direkt bindande. Konventionens tillämpningsområde är enligt huvudregeln auto- matiserade personregister och automatisk databehandling av per- sonuppgifter i allmän och enskild verksamhet (artikel 3). Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i konven- tionen (artikel 11). Konventionen har fem kapitel. Den centrala delen är kapitel II (artiklarna 4–11) som innehåller de grundläggande principerna för dataskydd. Varje konventionspart ska vidta de åtgärder som behövs för att dess nationella lagstiftning ska innehålla dessa grund- läggande principer. Dessa grundläggande principer ska garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehandling av per- sonuppgifter. Detta ska göra det möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna. Kapitel II innehåller krav på beskaffenheten av de person- uppgifter som undergår automatisk databehandling (artikel 5). Dessa krav innebär bl.a. att uppgifterna ska inhämtas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehand- ling, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Reglering av behandling av personuppgifter hetsåtgärder ska vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse m.m. (artikel 7). Vissa ytter- ligare skyddsåtgärder för registrerade personer föreskrivs (artikel 8). Vidare föreskrivs bl.a. att alla som är registrerade i ett person- register ska ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas beskaffenhet och dylikt (artikel 9). För sådana avvikelser krävs det dock dels att de har stöd i nationell lagstift- ning, dels att de utgör en nödvändig åtgärd i ett demokratiskt sam- hälle för att skydda statens säkerhet, allmän säkerhet, statens monetära intressen eller för att undertrycka brottsliga åtgärder eller för att skydda den registrerade eller andra personers fri- och rättig- heter. Rätten till insyn och rättelse m.m. får också i vissa fall in- skränkas i fråga om personregister för statistikändamål eller veten- skapliga forskningsändamål. Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna.