sou · GVB364 · 2008-01-01 00:00:00 — Bestämmelserna i 28 § personuppgiftslagen om rättelse m.m. är således bara tillämpliga när uppgifterna behandlats i strid med den lagen eller föreskrifter som utfärdats med stöd av personuppgifts- lagen. Har personuppgifter behandlats på något sätt som bara står i strid med bestämmelser i en registerförfattning, gäller alltså for- mellt inte bestämmelserna i 28 § personuppgiftslagen om rättelse m.m. Den registrerade bör emellertid vid behandling av person- uppgifter i strid med den föreslagna studiestödsdatalagen eller före- skrifter som kan ha meddelats i anslutning till lagen ha samma möjligheter till rättelse m.m. som enligt 28 § personuppgiftslagen. Det är därför nödvändigt att i studiestödsdatalagen ta in en särskild bestämmelse om detta som hänvisar till bestämmelserna om rät- telse m.m. i personuppgiftslagen. Enligt 48 § personuppgiftslagen ska den personuppgifts- ansvarige ersätta en registrerad för skada och kränkning av den per- sonliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgifts- ansvarige visar att felet inte berodde på honom eller henne. Ska- deståndsbestämmelserna i personuppgiftslagen gäller framför de allmänna bestämmelserna om skadestånd i skadeståndslagen (1972:207), eftersom sistnämnda lag är subsidiär i förhållande till andra regleringar, 1 kap. 1 § skadeståndslagen. I den mån en fråga inte är reglerad i personuppgiftslagen ska dock bestämmelserna i skadeståndslagen tillämpas. Det gäller exempelvis frågor om beräk- ning av ersättningens storlek. Skillnaden mellan de särskilda bestämmelserna i personuppgiftslagen och bestämmelserna i ska- deståndslagen består främst i att ersättning enligt personuppgifts- lagen kan avse ren förmögenhetsskada och kränkning av den per- sonliga integriteten även om brottslig gärning inte begåtts. En annan viktig skillnad är att bestämmelsen i personuppgiftslagen bygger på ett i princip strikt skadeståndsansvar, medan ska- deståndsskyldighet enligt skadeståndslagen förutsätter åtminstone ett oaktsamt handlande från skadevållarens sida. Bestämmelserna i 48 § personuppgiftslagen om skadestånd gäller dock bara ersättningsskyldighet vid behandling av person- uppgifter i strid med bestämmelserna i den lagen. De är alltså inte tillämpliga vid behandling av personuppgifter i strid med andra Ett motsvarande skadeståndsansvar som det som gäller enligt 48 § personuppgiftslagen bör dock finnas även vid behandling av personuppgifter som utförs i strid med den före- slagna studiestödsdatalagen eller föreskrifter som kan ha meddelats i anslutning till lagen. En bestämmelse med denna innebörd bör därför tas in i studiestödsdatalagen. De föreslagna bestämmelserna är inte avsedda att innebära avvi- kelser från personuppgiftslagen. En behandling av personuppgifter i strid med bestämmelserna i personuppgiftslagen när dessa är till- lämpliga (därför att frågan inte reglerats särskilt i studiestödsdata- lagen), kan således föranleda rättelse m.m. och skadestånd enligt personuppgiftslagen. Utredningens bedömning: Det behövs ingen straffbestäm- melse i studiestödsdatalagen. I 49 § personuppgiftslagen finns det bestämmelser om straff för den som genom visst handlande bryter mot vissa bestämmelser i personuppgiftslagen. En behandling av personuppgifter i strid med bestämmelserna i personuppgiftslagen när dessa är tillämpliga där- för att frågan inte reglerats särskilt i studiestödsdatalagen eller annan författning med från personuppgiftslagen avvikande bestämmelser och som är straffbar enligt personuppgiftslagen, kan föranleda straffansvar enligt 49 § personuppgiftslagen. För felaktig behandling av personuppgifter som sker vid myn- dighetsutövning kan tjänstefelsansvar enligt 20 kap. 1 § brotts- balken komma i fråga. Det gäller om gärningen inte är belagd med straff enligt någon annan bestämmelse, t.ex. 49 § personuppgifts- lagen. Även bestämmelsen om straff för dataintrång i 4 kap. 9 c § bör nämnas i sammanhannget. En behandling av personuppgifter i strid med bestämmelserna i den föreslagna studiestödsdatalagen kan således, om förutsättning- arna för det är uppfyllda, föranleda straffansvar för tjänstefel enligt . Mot den bakgrunden anser utredningen att det inte finns behov av någon särskild bestämmelse om straff vid över- trädelser av bestämmelserna i den föreslagna studiestödsdatalagen. 6.16Gallring och begränsning av direkt elektronisk tillgång Utredningens förslag: Direkt elektronisk tillgång till person- uppgifter, som normalt sett inte behövs för återbetalning eller återkrav av studiestöd, i ett ärende om studiestöd ska begränsas till ett fåtal personer senast efter utgången av det kalen- derår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. Behövs personuppgifterna för ett nytt ärende om studiestöd, får begränsningen upphävas. Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gall- ras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personupp- gifter i ärendet som kan ha betydelse i ett nytt ärende om stu- diestöd behöver dock inte gallras förrän de kan ha sådan betydelse. Personuppgifter som behandlas för att förbereda handlägg- ningen av ärenden ska i den utsträckning de inte tillförts ett ärende om studiestöd gallras senast efter det att upp- gifterna registrerades. Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål eller för redo- visningsändamål. får också i enstaka fall besluta att personuppgifterna i ett ärende om studie- stöd ska bevaras på papper eller annat icke elektroniskt medium. Personuppgiftslagen innehåller vissa bestämmelser om hur länge personuppgifter får bevaras. Enligt 9 § personuppgiftslagen ska den personuppgiftsansvarige se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ända- målen med behandlingen. Därefter måste personuppgifterna avidentifieras eller förstöras. Personuppgifter får dock bevaras för historiska, statistiska och vetenskapliga ändamål än vad som sagts. Motsvarande bestämmelser finns i artikel 6 i EG- direktivet. Enligt 8 § andra stycket personuppgiftslagen hindrar emellertid inte bestämmelserna i personuppgiftslagen att en myn- dighet arkiverar och bevarar allmänna handlingar. Det har, trots Lagrådets protester, ansetts att en sådan bestämmelse är tillåten enligt EG-direktivet.41 När det däremot gäller personuppgifter som inte utgör eller finns i allmänna handlingar följer alltså av 9 § första stycket i och tredje stycket personuppgiftslagen att personupp- gifterna inte får bevaras än vad som är nödvän- digt med hänsyn till de ändamål för vilka uppgifterna behandlas eller så länge uppgifterna därefter behövs för historiska, statistiska eller vetenskapliga ändamål. måste uppgifterna avidentifieras eller utplånas. Grundläggande bestämmelser om bevarande och gallring av all- männa handlingar hos myndigheter finns i arkivlagen (1990:782).42 I arkivlagen slås det fast att myndigheternas arkiv är en del av det nationella kulturarvet. Det i lagen angivna syftet med arkivbild- ningen är att myndigheternas arkiv ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och förvaltningen samt forskningens behov. En myndighets arkiv bildas av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (minnesanteckningar, utkast och koncept) som myndigheten beslutar ska tas hand om för arkive- ring. Upptagningar för automatisk databehandling som är tillgäng- liga för flera myndigheter, så att de där utgör allmänna handlingar, ska dock bilda arkiv endast hos en av dessa myndigheter, i första hand den myndighet som svarar för huvuddelen av upptagningen. Huvudregeln enligt arkivlagen är att allmänna handlingar ska bevaras. Enligt 10 § arkivlagen får emellertid gallring ske. Vid gall- ring ska alltid beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår ska kunna tillgodose arkivbildning- ens syften. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning, gäller dessa bestämmelser. Enligt 14 § arkivförordningen (1991:446) får statliga myndigheter gallra allmänna handlingar endast i enlighet med före- 1997/98:44 s. 47 f. 42Beskrivningen av bestämmelserna i arkivförfattningarna baseras på motsvarande beskrivning i SOU 2006:82 s. 510 ff. skrifter eller beslut av , om inte särskilda gallringsföre- skrifter finns i lag eller förordning. Med gallring avses traditionellt att vissa handlingar sorteras ut ur sitt sammanhang och sedan förstörs. När det gäller gallring av elektroniska upptagningar innebär detta normalt att viss informa- tion raderas från databäraren, dvs. det fysiska underlaget. Det är dock inte nödvändigt att den egentliga information som finns på ett elektroniskt medium verkligen förstörs för att det ska vara fråga om gallring i traditionell mening. Tvärtom kan ett visst material gallras genom att den elektroniskt lagrade informationen överförs till en pappersutskrift, varefter den raderas från det elektroniska mediet. Även om alla uppgifter då fortfarande kan tyckas finnas kvar på papper, så har olika sökmöjligheter eller möjligheter att göra sammanställningar eller kontroller av handlingars autenticitet – t.ex. elektroniska signaturer – gått förlorade, vilket medför att materialet har gallrats. Innebörden av att ett visst material gallrats, har alltså ansetts vara att möjligheten att få fram information ur materialet på något sätt har försämrats. har sålunda definierat gallring som förstöring av allmänna handlingar och upp- gifter i allmänna handlingar. Förstöring av sådana hand- lingar/uppgifter i samband med överföring till annan databärare räknas enligt som gallring, om överföringen medför informationsförlust, förlust av möjliga informationssamman- ställningar, förlust av sökmöjligheter eller förlust av möjligheter att fastställa informationens autenticitet (RA-FS 2003:2). Det är vanligt att det i särskilda registerförfattningar finns bestämmelser om att personuppgifter ska gallras.43 I CSN:s studiestödsverksamhet kan vissa personuppgifter ha bety- delse . Studielån som tagits kan t.ex. betalas tillbaka , varför vissa uppgifter om lånet har betydelse . Uppgifter om att en per- son fått studiestöd kan vidare t.ex. ha betydelse för att enligt studiestödsförfattningarna bedöma rätten till nytt studie- stöd. Alla personuppgifter i ett ärende om studiestöd har dock inte 43 Se härtill , Gallring i allmänna handlingar av integritetsskyddsskäl i Handlingsoffentlighet utan handlingar?, Skrifter utgivna av nr 21, 2004, s. 39–48. betydelse för återbetalning, återkrav eller nya ärenden om studie- stöd. Att många personuppgifter i en myndighets verksamhet finns mera allmänt elektroniskt tillgängliga – en knapptryckning bort – innebär särskilda integritetsrisker i jäm- förelse med att uppgifterna finns på papper i ett arkiv eller i elek- troniskt format med begränsad tillgänglighet. är den enkla elektroniska tillgången för behöriga handläggare till de per- sonuppgifter som ofta behövs i verksamheten en förutsättning för att verksamheten ska kunna bedrivas effektivt. Att personuppgifter som kan ha någon betydelse för myndighetens verksamhet sparas – på papper eller i elektroniskt format – innebär vidare också integritetsrisker. är det viktigt får vårt nationella kulturarv att vissa uppgifter sparas under i princip evig tid. Utredningen har gjort en avvägning mellan de intressen som gör sig gällande och därvid gjort bl.a. följande allmänna överväganden. CSN bör av effektivitetsskäl få ha personuppgifter som normalt sett kan antas behövas frekvent i studiestödsverksamheten mera allmänt elektroniskt tillgängliga för de personer som behöver upp- gifterna för att kunna fullgöra sina arbetsuppgifter inom studie- stödsverksamheten. I avsnitt 6.11 har utredningen närmare berört hur den elektroniska tillgången för den enskilde handläggaren hos CSN bör vara ordnad. Den direkta elektroniska tillgången till personuppgifter som kan antas behövas frekvent i studiestödsverksamheten bör däremot av integritetsskyddsskäl begränsas till bara ett fåtal personer hos CSN. Därmed minskar den direkta elektroniska till- gängligheten till personuppgifterna på ett sätt som liknar den arkivläggning som brukar ske av pappershandlingar som inte längre normalt sett behövs särskilt ofta i verksamheten. Man kan uttrycka det som att personuppgifterna förs över från det mera allmänt till- gängliga datasystemet för den dagliga verksamheten (STIS) till en arkivdatabas som bara en liten krets av personer har direkt tillgång till. Dessa personer kan se till att handläggare som i ett aktuellt ärende behöver personuppgifter i ett sparat ärende får elektronisk eller annan tillgång till personuppgifterna i just det ärendet. Personuppgifter som kan ha betydelse i CSN:s stu- diestödsverksamhet bör av integritetsskyddsskäl som huvudregel förstöras. Hänsynen till vårt nationella kulturarv gör dock att ett urval av personuppgifter bör få sparas för evigt i elektroniskt for- mat, på papper eller i någon annan form (t.ex. på s.k. mikrokort). I enstaka fall bör av närmast rättssäkerhetsskäl också personupp- gifterna i ett visst ärende kunna sparas på papper eller annat icke elektroniskt medium. Vidare bör det vara tillåtet att spara person- uppgifter som har betydelse för den ekonomiska redovisningen inom staten. Utredningen har inte funnit anledning att föreslå särskilda bestämmelser om gallring och begränsad direkt elektronisk tillgång beträffande annat än den stora mängden ärenden om studiestöd och den behandling som sker för att förbereda handläggningen. Det innebär att de ganska fåtaliga personuppgifter, ofta om andra än studerande, som i enlighet med föreskrivna ändamål behandlas i CSN:s studiestödsverksamhet utan att avse förberedande hand- läggning eller ingå i ärenden om studiestöd, t.ex. i register över anmälda kontaktpersoner på olika läroanstalter, inte omfattas av de föreslagna bestämmelserna. Utredningen har nämligen ansett att sådana bestämmelser inte behövs för dessa personuppgifter. Det ställningstagandet förutsätter att det inte regelmässigt eller syste- matiskt registreras personuppgifter från ärendena om studiestöd för att användas utanför ärendena i CSN:s studiestödsverksamhet. Så är inte fallet , och de föreslagna bestämmelserna om när personuppgifter får behandlas (se avsnitt 6.8) är också avsedda att förhindra detta. Utredningen föreslår således inte några bestämmelser om gall- ring avseende den avskilda praxisdatabasen med vägledande avgö- randen. Det ligger i sakens natur att avgöranden (prejudikat) kan vara vägledande . Det går emellertid inte att med hjälp av namn eller personnummer söka fram uppgifter om en viss person i praxisdatabasen. Därför har utredningen ansett att det inte behövs några bestämmelser om gallring avseende praxisdatabasen, trots att den i och för sig kan innehålla (indirekta) personuppgifter av känslig natur. 6.16.3Begränsning av direkt elektronisk tillgång till personuppgifter efter det att studiestöd senast beviljades eller ansökan om studiestöd avslogs i ett ärende om en viss typ av studiestöd, t.ex. studiehjälp, för en person bör behovet av att ha personuppgifterna mera allmänt elektroniskt tillgängliga i studiestödsverksamheten hos CSN som regel ha avklingat. De personuppgifter som normalt sett behövs för återbetalning eller återkrav av studiestöd behöver dock, när sådant är aktuellt, alltjämt få finnas mera allmänt elektro- niskt tillgängliga i verksamheten för att administrera återbetal- ningen eller återkravet. Övriga personuppgifter i det gamla ärendet kan man däremot förmodligen ofta anta aldrig kommer att behövas mera i CSN:s studiestödsverksamhet. I vart fall kan det antas att dessa personuppgifter behövs relativt sällan. Mot den bakgrunden föreslår utredningen att direkt elektronisk tillgång till personuppgifter, som normalt sett inte behövs för åter- betalning eller återkrav av studiestöd, i ett ärende om studiestöd ska begränsas till ett fåtal personer senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansö- kan om studiestöd avslogs. Som exempel på uppgifter som kan behövas för återbetalning av studiestöd kan, förutom närmast självklara uppgifter såsom skul- dens storlek och gäldenärens identitet, följande nämnas. I vissa fall kan studielån – enligt nuvarande eller tidigare gällande ordning – som lämnats för viss utbildning, i huvudsak gymnasiestudier, för att den studerande ska få behörighet för högskoleutbildning delvis skrivas av under förutsättning att den studerande senare faktiskt genomgår sådan utbildning (se i nuvarande reglering 4 kap. 22 § studiestödslagen och 4 kap. 9 § studiestödsförordningen). Uppgif- ten om att den studerande fått studielån som kan skrivas av senare under vissa förutsättningar får anses normalt sett behövas för åter- betalning av studiestöd, eftersom uppgiften i det tänkta normal- fallet – att den studerande faktiskt använder den behörighets- grundande utbildningen och studerar vidare – påverkar det belopp som ska betalas tillbaka. Med ärende om studiestöd avser utredningen ett ärende om en viss typ av studiestöd – ärendetyperna studiehjälp, ersättning för dagliga resor, studielån, Rg-bidrag och TUFF-ersättning – för en viss person. En person som får studiemedel i form av både studiebidrag och studielån för vissa studier har således fått stu- diestöd i ett enda ärende i den mening utredningen avser. Gör den personen något års studieuppehåll för att sedan få studiemedel i form av studiebidrag och, eventuellt, studielån för helt andra stu- dier, är det vidare ändå fråga om ett enda ärende om studiestöd i den mening utredningen avser. I ett enda ärende om (en viss typ av) studiestöd kan det förekomma flera olika slags händelser, åtgärder och beslut, t.ex. beviljning, återkrav, återbetalning, ned- sättning av studiestöd och upprättande av betalningsplaner. Om återbetalning eller återkrav inte är aktuellt, ska alltså den direkta elektroniska tillgången till personuppgifterna i ett ärende om studiemedel för en person begränsas till ett fåtal personer senast efter utgången av det kalenderår då studiemedel senast beviljades eller ansökan om studiemedel avslogs avseende den per- sonen. Det gäller även om personen då skulle vara aktuell i ett ärende om en annan typ av studiestöd, t.ex. TUFF-ersättning. Det är i första hand CSN som har att bedöma vilka person- uppgifter som normalt sett behövs för återbetalning eller återkrav av studiestöd. Avsikten är dock inte att bedömningen ska utfalla så att alla personuppgifter i ärendet normalt sett behövs. Med ett fåtal personer avser utredningen en eller några anställda vid varje kontor eller funktionell enhet hos CSN eller motsvarande begränsade totala antal personer som fördelas på kontor och enhe- ter på annat sätt. Med direkt elektronisk tillgång avser utredningen att de aktuella personerna på egen hand kan med hjälp av dator komma åt upp- gifterna. Om en handläggare som inte har direkt elektronisk tillgång till personuppgifterna (arkivdatabasen) i ett visst fall skulle i arbetet behöva få del av avförda personuppgifter i ett ärende, hindrar inte den föreslagna bestämmelsen att någon med sådan tillgång på begä- ran sänder personuppgifterna i det efterfrågade ärendet i elektro- niskt format eller på annat sätt till den som behöver uppgifterna. Detsamma gäller om det är någon utomstående som efterfrågar uppgifterna. Skulle det visa sig att avförda personuppgifter i ett ärende behövs för ett nytt ärende om studiestöd, bör personuppgifterna kunna återföras från arkivdatabasen till det mera allmänt tillgäng- liga datasystemet för den dagliga verksamheten (STIS) eller göras mera allmänt tillgängliga på annat sätt. Utredningen föreslår därför att begränsningen av den direkta elektroniska tillgången till vissa personuppgifter får upphävas, om personuppgifterna behövs för ett nytt ärende om studiestöd. Det kan inte uteslutas att den närmare utformningen av de för- slagna bestämmelserna kan behöva ändras tid efter annan, t.ex. därför att det tillkommer en ny typ av studiestöd som är konstru- erad på annat sätt än de nuvarande eller därför att det visar sig att vissa personuppgifter i de gamla ärendena faktiskt behövs ganska ofta i verksamheten. Utredningen, som inte anser det nödvändigt med bestämmelser i lag, föreslår därför att bestämmelserna ska tas in i en till studiestödsdatalagen anknytande förordning, studie- stödsdataförordningen, i enlighet med den lagbestämmelse om att regeringen får meddela närmare föreskrifter om elektronisk tillgång som utredningen föreslagit i avsnitt 6.11. Eftersom avsikten som nämnts är att personuppgifterna i de gamla ärendena ska avföras till ett slags arkivdatabas som bara en liten krets av personer har direkt elektronisk tillgång till, bör inte heller direktåtkomst kunna medges till dessa personuppgifter annat än såvitt avser den direktåtkomst för den registrerade som avses i avsnitt 6.12.6. Bestämmelser härom kan också meddelas i förordning, vilket utredningen föreslår. efter det att ett ärende om en viss typ av studiestöd för en person slutligt handlagts hos CSN bör behovet för CSN:s studie- stödsverksamhet att över huvud taget ha kvar personuppgifterna i ärendet normalt ha avklingat. I vissa fall kan dock vissa person- uppgifter i ärendet fortfarande ha betydelse enligt studiestöds- författningarna för ett nytt ärende om studiestöd. Mot den bakgrunden föreslår utredningen att personuppgifterna i ett ärende om studiestöd ska gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansö- kan om studiestöd avslogs, om återbetalning eller återkrav av stu- diestöd inte är aktuellt, och i annat fall senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldig- heten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd ska dock inte behöva gallras förrän de kan ha sådan betydelse. Med ärende om studiestöd avser utredningen även här ett ärende om en viss typ av studiestöd – ärendetyperna studie- hjälp, ersättning för dagliga resor, studiemedel, Rg-bidrag och TUFF-ersättning – för en viss person. Om återkrav inte blivit aktuellt, ska alltså personuppgifterna i ett ärende om studiehjälp för en person gallras senast efter utgången av det kalenderår då studiehjälp senast beviljades avseende den personen. Det gäller även om personen då skulle vara aktuell i ett ärende om en annan typ av studiestöd, t.ex. studiemedel för studier på högskolenivå direkt efter de studiehjälpsberättigande gymnasiestudierna. I ett enda ärende om (en viss typ av) studiestöd kan det förekomma flera olika slags händelser, åtgärder och beslut, t.ex. beviljning, återkrav, återbetalning, nedsättning av studiestöd och upprättande av betalningsplaner. Om återbetalning av studielån är aktuellt i ett ärende om stu- diemedel för en person, behöver alltså inte några personuppgifter i ärendet om studiemedel för den personen gallras förrän efter utgången av det kalenderår då full betalning skedde eller betal- ningsskyldigheten annars upphörde. Personuppgifterna i det ären- det ska enligt förslaget emellertid gallras då även om personen vid tillfället skulle vara aktuell i ett ärende om en annan typ av studie- stöd, t.ex. TUFF-ersättning.