sou · H4B325 · 2016-10-18 00:00:00 — Sådana bestäm- melser är viktiga inte minst eftersom utredningen också föreslår att behandling av personuppgifter ska kunna utföras även om den en- skilde motsätter sig behandlingen. En uttrycklig och uttömmande reglering i dessa avseenden får till följd att personuppgiftsaktörerna inte själva kan besluta om ytterligare ändamål för vilket eller vilka personuppgifter får samlas in i verksamheterna vilket ger vissa integritetsgarantier. Vi föreslår att personuppgifter ska kunna behandlas för följande ändamål i systemet för försöksverksamheterna. Punkten 1: förbereda och genomföra datorbaserade nationella prov, extern bedömning, medbedömning och nationell kunskaps- utvärdering Vi föreställer oss att aktörerna kan komma att behöva samla, och lägga, in personuppgifter inför, och vid, genomförandet av En försöksverksamhet med datorbaserade prov, … de olika delarna av försöksverksamheterna och föreslår därför att behandling för sådana ändamål ska vara tillåten. Begreppen datorbaserade nationella prov, extern bedömning, medbedöm- ning och nationell kunskapsutvärdering har samma innebörd som i de föreslagna förordningarna om försöksverksamhet med dator- baserade nationella prov, extern bedömning och medbedömning samt om försöksverksamhet med nationell kunskapsutvärdering. Punkten 2: bedöma, rapportera, utvärdera och utveckla datorbas- erade nationella prov, extern bedömning, medbedömning och nationell kunskapsutvärdering Elevlösningarna av de datorbaserade nationella proven kommer att bedömas av lärare, alternativt automatiskt av en dator. Sådan behandling ska således vara tillåten. Bedöma omfattar alltså både och automatisk bedömning. Rapportera omfattar såväl inhämtning av provresultat för att förmedla resultaten till del- tagande elever som rapportering av uppgifter till t.ex. SCB och de universitet och högskolor som utvecklar datorbaserade nationella prov. Vidare omfattas universitetens och högskolornas utvärder- ing av elevlösningar för att kunna utveckla uppgifter till proven och stickprovsundersökningarna av ”utvärdera och utveckla”. Punkten 3: betygssätta ett ämne eller en kurs Vi anser det sannolikt att en lärare kan behöva gå in och hämta ut uppgifter om provresultat inför betygssättningen av en elev i ett ämne eller en kurs. Detta inte minst eftersom försöksverk- samheterna innehåller inslag av extern bedömning och medbe- dömning där bedömningen av elevlösningarna kan komma att göras av någon annan än den ansvariga och betygssättande läraren. Behandling för sådana ändamål ska således vara tillåten. Punkten 4: utvärdera och följa upp försöksverksamheterna I försöksförordningarna (se punkten 1) anges att ska följa upp och utvärdera försöksverksamheterna. I förordning- arna anges också att huvudmännen för de skolenheter som ingår i försöken är skyldiga att medverka i uppföljning och utvärder- ing av dem. Vi föreslår därför att personuppgiftsbehandling ska vara tillåten för sådana ändamål. En försöksverksamhet med datorbaserade prov, … Punkten 5: lämna ut uppgifter enligt vad som föreskrivs i lag eller förordning I den utsträckning det finns en skyldighet för någon av aktörerna att enligt lag eller förordning lämna ut uppgifter till andra ska sådan behandling vara tillåten. Jämför uppgifter som kan behöva lämnas till enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. Utlämnandet förutsätter dock att uppgifterna inte omfattas av sekretess. Med andra avses såväl myndigheter som enskilda personer. Punkterna 6 och 7: framställa statistik och tillgodose forsknings- behov Om t.ex. skolenheterna själva har behov av att behandla upp- gifter för statistikändamål finns stöd för sådan behandling i punkten 6. Personuppgifter får även behandlas för att t.ex. tillgodose berörda universitets och högskolors eventuella behov av att använda uppgifter för forskning. Vi föreslår också vilka personuppgifter som ska få behandlas. Det är i huvudsak fråga om personuppgifter som normalt förekommer i, eller samlas in vid genomförande av, pappersbaserade nationella prov och som behövs för bl.a. statistikframställning och betygs- sättning (t.ex. kön, skolenhet, provresultat och betyg). Utöver sådana uppgifter föreslår vi att uppgifter som den registrerade själv har lämnat i syfte att de ska behandlas i försöksverksamheterna och upptagningar som den registrerade medverkat till i samma syfte ska få behandlas. Med själv lämnat avses sådana uppgifter som eleven själv lämnat i svaren på ett nationellt prov eller en stickprovs- undersökning. Med upptagningar avses t.ex. bild- och ljudupp- tagningar. Utredningens förslag: Utöver vad som följer av vissa bestäm- melser i PUL ska känsliga personuppgifter endast få behandlas om uppgifterna har lämnats i en elevlösning av ett datorbaserat nationellt prov eller i en stickprovsundersökning i försöks- En försöksverksamhet med datorbaserade prov, … verksamheterna, om uppgifterna är nödvändiga för hanteringen av datorbaserade nationella prov och stickprovsundersökningar och uppföljning av försöksverksamheterna eller om de före- kommer i löpande text. Enligt 13 § PUL är det förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och person- uppgifter som rör hälsa eller sexualliv (s.k. känsliga person- uppgifter). Trots förbudet får sådana uppgifter behandlas i de fall som anges i 15–19 §§ PUL. Utredningen bedömer att det i vissa fall kan uppkomma situat- ioner när känsliga personuppgifter kommer att behöva behandlas utöver de undantag som anges i de nu nämnda bestämmelserna i . Det är t.ex. sannolikt att elever vid genomförandet av dator- baserade prov och stickprovsundersökningar kan komma att ange mer eller mindre känsliga personuppgifter i sina svar. För att den personuppgiftsansvarige ska kunna behandla prov- och undersök- ningsresultat som innehåller känsliga personuppgifter krävs författ- ningsstöd. Vi föreslår därför en sådan reglering. Därutöver föreställer vi oss att en lärare t.ex. kan komma att behöva anteckna om en provanpassning har skett eller om en elev presterade lågt på ett prov på grund av sitt hälsotillstånd eftersom sådana uppgifter kan ha betydelse vid betygssättningen i ett ämne eller en kurs (jämför vårt förslag i avsnitt 12.1). Vidare kan en elev ha varit frånvarande från ett prov av liknande anledning. Sådana uppgifter kan ha betydelse vid en uppföljning av deltagandet i försöksverksamheterna. För att möjliggöra behandling av känsliga uppgifter under sådana omständigheter föreslås att den person- uppgiftsansvarige ska få behandla en känslig personuppgift om upp- giften är nödvändig för hanteringen av datorbaserade prov och stick- provsundersökningar eller för uppföljning av försöksverksam- heterna. Vidare anser vi att känsliga personuppgifter bör få behandlas i datasystemet om de förekommer i löpande text. Något krav på nödvändighet föreslås inte, eftersom ingen av aktörerna i försöks- verksamheterna kan ha full kontroll över vilka uppgifter som lämnas till dem. En försöksverksamhet med datorbaserade prov, … För att behandlingen ska vara tillåten krävs att den sker i enlighet med lagens övriga bestämmelser och att de grundläggande kraven i PUL är uppfyllda. Utredningens förslag: Sådana känsliga personuppgifter som avses i 13 § eller 21 § PUL ska inte få användas som sökbegrepp. I ett datasystem eller annan textmassa som lagrats på medium för automatiserad behandling är det möjligt att ange ett sökbegrepp i en sökmotor och därigenom söka igenom den lagrade informationen och hitta de poster eller uppgiftskonstellationer där begreppet före- kommer (enkel sökning). Genom att använda enkel sökning är det alltså ofta möjligt att snabbt göra en sammanställning av exempel- vis förekomsten av vissa känsliga personuppgifter i en databas och även att göra en sammanställning av dessa uppgifter. Om en aktörs samlingar av elektroniskt lagrade personuppgifter är tillgängliga för sökning utan några begränsningar uppkommer utan tvivel betydande risker för otillbörliga intrång i enskildas integritet. Utredningen föreslår mot denna bakgrund att sökningar med känsliga sökbegrepp inte ska få förekomma. Vi anser att känsliga sökbegrepp ska omfatta känsliga personuppgifter enligt 13 § PUL och uppgifter om lagöverträdelse m.m. i 21 § samma lag. Vi föreslår därför en sådan bestämmelse. Med känsliga sökbegrepp avses också bokstäver, koder eller siffror som avslöjar eller rör sådana uppgifter och med vilkas hjälp det med en sökmotor eller liknande funktion går att ta fram ett urval av lagrade personuppgifter om en eller flera personer ur en samlad informationsmängd eller sortera personuppgifterna i informationsmängden. 11.2.10Förhållandet till personuppgiftslagen och annan lagstiftning Utredningens förslag: I den mån PUL innehåller bestämmelser om behandling av personuppgifter som saknar motsvarighet i lagen om behandling av personuppgifter inom det nationella En försöksverksamhet med datorbaserade prov, … systemet för kunskapsbedömning, ska, enligt huvudregeln, PUL tillämpas vid behandling av personuppgifter i försöksverksam- heterna. Vid Statens skolverks behandling av personuppgifter för att framställa statistik ska lagen om den officiella statistiken och anslutande författningar tillämpas i stället för lagen om behandling av personuppgifter inom det nationella systemet för kunskapsbedömning. PUL är generellt tillämplig inom sitt tillämpningsområde. Lagens bestämmelser tillämpas således vid behandling av personuppgifter som utförs av både myndigheter och enskilda, om det inte finns några avvikande bestämmelser i annan lag eller förordning. I den utsträckning föreskrifter med avvikande bestämmelser meddelas tillämpas PUL normalt vid sidan av den avvikande regleringen. Detta gäller för flertalet registerförfattningar. En sådan författningsteknik har bl.a. den fördelen att risken blir mindre att dataskyddsdirektivet inte blir fullt och korrekt genom- fört på det berörda området, eftersom endast de föreslagna avvik- elserna från PUL behöver prövas i förhållande till direktivets bestämmelser. Denna teknik har också fördelen att ändringar som görs i den generella lagstiftningen får direkt genomslag även på det särreglerade området. Utredningen anser att behandlingen av personuppgifter inom försöksverksamheterna bör regleras på detta sätt. Det innebär att den föreslagna lagen endast kommer att reglera frågor som är specifika för försöksverksamheterna och att lagen i dessa delar ersätter motsvarande bestämmelser i . I den mån PUL inne- håller bestämmelser som saknar motsvarighet i den föreslagna lagen ska dock PUL tillämpas vid behandling av personuppgifter i försöksverksamheterna. Detta följer också av 2 § PUL. Eftersom en del av verksamhet utgörs av framställ- ning av officiell statistik enligt lagen (2001:99) om den officiella statistiken föreslår vi att de särskilda bestämmelser om behandling av personuppgifter som finns i den lagen, och i anslutande författ- ningar till den lagen, ska tillämpas på sådan verksamhet hos i stället för den föreslagna lagen. En försöksverksamhet med datorbaserade prov, … 11.2.11 Behandling i strid med lagen, information och gallring Utredningens förslag: Bestämmelserna i 28 och 48 §§ PUL om rättelse och skadestånd ska gälla för behandling av person- uppgifter enligt den föreslagna lagen eller föreskrifter som har meddelats i anslutning till den lagen. Den personuppgiftsansvarige ska se till att den registrerade får information om personuppgiftsbehandlingen. Informationen ska innehålla upplysningar om vem som är personuppgifts- ansvarig, ändamålen med behandlingen och vilka personupp- gifter som får behandlas, den uppgiftsskyldighet och direktåt- komst som kan följa av lag eller förordning, de sekretess-, tyst- nadsplikts- och säkerhetsbestämmelser som gäller för uppgift- erna och behandlingen, rätten att ta del av uppgifter enligt 26 § PUL, rätten till rättelse och skadestånd, vad som gäller i fråga om sökbegrepp, bevarande och gallring samt att registreringen inte är frivillig. Personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för. Regeringen eller den myndighet som regeringen bestämmer ska dock få meddela föreskrifter, eller i ett enskilt fall besluta, att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål och att gallring ska ske senast . Bestämmelserna i 28 § PUL om rättelse gäller endast för uppgifter som har behandlats i strid med PUL eller föreskrifter som har utfärdats med stöd av den lagen. Uppgifter som har behandlats i strid med den nu föreslagna lagen omfattas således av bestäm- melsen i PUL endast om behandlingen också strider mot PUL eller mot föreskrifter som meddelats med stöd av personuppgiftslagen. På motsvarande sätt gäller ett skärpt skadeståndsansvar24, enligt 24 Till skillnad från vad som gäller enligt skadeståndslagens (1972:207) allmänna bestämmelser kan ersättning enligt PUL lämnas för ren förmögenhetsskada och för kränkning av den personliga integriteten även om en brottslig gärning inte har begåtts. Skadeståndsbestämmelsen i PUL bygger på ett strikt skadeståndsansvar medan skadeståndsskyldighet enligt skade- ståndslagens bestämmelser kräver ett vårdslöst handlande från skadevållarens sida. En försöksverksamhet med datorbaserade prov, … 48 § PUL endast för behandling av personuppgifter i strid med PUL. För att säkerställa att felaktiga behandlingar enligt den nu före- slagna lagen kan rättas och att ersättning kan lämnas för skada och kränkning som en sådan behandling har orsakat den registrerade föreslås att bestämmelserna i 28 och 48 §§ PUL även ska omfatta behandlingar som utförs i strid med den föreslagna lagen eller föreskrifter som har meddelats i anslutning till lagen. Att förslaget omfattar behandling av personuppgifter i strid med föreskrifter som har meddelats i anslutning till lagen beror på att bestäm- melserna i lagen kan komma att kompletteras med bestämmelser på förordningsnivå eller verkställighetsföreskrifter på myndighetsnivå. I 23 och 24 §§ PUL finns bestämmelser om när och under vilka omständigheter information om personuppgiftsbehandling ska lämnas till en registrerad. Under vissa omständigheter är inform- ation inte nödvändig, t.ex. om det finns bestämmelser om registrer- ande eller utlämnande av personuppgift i en annan författning. Den registrerade har samma innebörd som i 3 § PUL. Som framkommit ovan anser utredningen det mycket sannolikt att flera aktörer kommer att vara inblandade i behandlingen av per- sonuppgifter i försöksverksamheterna och att deras roller samt till- gång till personuppgifter kan komma att skifta beroende på vilket ansvar de har i hanteringen av prov och undersökningar. Detta torde innebära att det blir svårare att få en överblick över den behandling som utförs samt av vem och i vilket syfte behandlingen utförs, inte minst eftersom de registrerade kommer att vara barn eller unga vuxna. Vi har också föreslagit att behandlingen av person- uppgifter ska vara tillåten oavsett samtycke till behandlingen. Mot denna bakgrund framstår det som särskilt angeläget i integritets- hänseende att de registrerade får tydlig och uttömmande inform- ation om den personuppgiftsbehandling som utförs. Vi föreslår därför att det i lagen förs in en särskild bestämmelse om vilken information som den personuppgiftsansvarige ska lämna. Informat- ionsskyldigheten föreslås gå utöver den grundinformation som enligt 25 § PUL ska lämnas, för att göra det tydligt för den En försöksverksamhet med datorbaserade prov, … registrerade vilken behandling som ska utföras och vilka rättigheter som han eller hon har. Huruvida varje personuppgiftsansvarig kommer att behöva lämna information till den registrerade eller om det kan överlåtas till en eller endast några av de aktörer som utpekas som person- uppgiftsansvariga, får bedömas när utformningen av datorsystemet har kommit längre och aktörernas roller är mera definierade.25 Vi föreslår därför nu att den personuppgiftsansvarige ska lämna informationen. I vilken form och på vilket sätt informationen ska lämnas bör den personuppgiftsansvarige bestämma. Den personuppgifts- ansvarige bör också bestämma till vem informationen ska lämnas. Datainspektionen har uttalat att information bör kunna lämnas till den som kan tillgodogöra sig informationen även om denne är omyndig eller har förvaltare och att information normalt bör kunna lämnas till den som fyllt . kan det dock finnas skäl att informera såväl den underårige som vårdnadshavaren.26 Vi delar denna uppfattning. Dessutom anser vi att oavsett om informat- ionen endast lämnas till den registrerade eller om den även lämnas till vårdnadshavaren så bör den personuppgiftsansvarige försäkra sig om att informationstexten har ett enkelt och lättläst språk. För det fall systemet utformas så att det finns flera personuppgifts- ansvariga som ska lämna samma information, t.ex. varje skolenhet, anser vi att det är lämpligt att informationslämnandet samordnas så att information lämnas till samma personkategorier, , på samma sätt och i samma form. PUL innehåller bestämmelser om hur länge personuppgifter får bevaras. Enligt 9 § PUL ska den personuppgiftsansvarige se till att personuppgifter inte bevaras än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. Därefter måste personuppgifterna avidentifieras eller förstöras. 25Jämför propositionen Personuppgiftslag (prop. 1997/98:44), s. 79 ff och , S. & , H.-O. (2011). 4:e uppl., s. 374 ff. 26Se Datainspektionen (2000). Information till registrerade enligt personuppgiftslagen. Datainspektionens allmänna råd, s. 9. En försöksverksamhet med datorbaserade prov, … är personuppgifter för historiska, statistiska och vetenskapliga ändamål. Sådana uppgifter får bevaras . Ett annat undantag är att personuppgifter som utgör allmänna handlingar enligt 8 § PUL kan arkiveras och bevaras utan hinder av lagens övriga bestämmelser. Uppgifterna får då bevaras enligt bestäm- melserna i arkivlagen (1990:782). Enligt 3 § arkivlagen ska myndigheternas arkiv bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och för- valtningen samt forskningens behov. Allmänna handlingar får enligt 10 § arkivlagen endast gallras om återstående arkivmaterial kan tillgodose dessa ändamål och det krävs särskilda föreskrifter eller beslut av arkivmyndigheten för att gallring ska få ske. Arkiv- lagens utgångspunkt är således att allmänna handlingar ska bevaras. I registerförfattningar anges ofta att uppgifterna ska gallras senast om det inte finns föreskrifter om undantag. Att det i registerförfattningarna föreskrivs att gallring ska ske motiveras i första hand av integritetshänsyn. Vid automatiserad behandling av personuppgifter uppkommer helt andra möjligheter till sökning och sammanställning av information än vid icke auto- matiserad behandling, vilket ökar risken för kränkningar av den per- sonliga integriteten. Detta gäller inte minst register som innehåller stora mängder personuppgifter. En avvägning måste således göras mellan å ena sidan skyddsintresset för den personliga integriteten och å andra sidan aktörernas behov av tillgång till uppgifterna i verksamheterna. Eftersom stora mängder personuppgifter kommer att samlas i datasystemet ökar risken för kränkningar av den personliga integriteten. Utredningen förordar därför en särskild regel om gall- ring. Inom försöksverksamheterna kommer såväl förberedelser och genomförande som rapportering av datorbaserade nationella prov, extern bedömning och medbedömning samt nationell kunskaps- utvärdering att hanteras. Försöksverksamheten avseende datorbas- erade nationella prov, extern bedömning och medbedömning kommer att bedrivas parallellt med de pappersbaserade nationella proven och föranleda vissa jämförelser mellan dem. Vi föreställer oss därför att uppgifterna från de datorbaserade nationella proven och den försöksverksamheten rent allmänt kommer att vara av stort En försöksverksamhet med datorbaserade prov, … intresse såväl under som efter verksamhetens genomförande. Det- samma gäller för försöksverksamheten med nationell kunskaps- utvärdering. Vissa uppgifter kommer således att behöva finnas till- gängliga medan andra kategorier av personuppgifter kan gallras i ett tidigare skede. Vi föreslår därför inte en bestämd tidsram för när gallring ska ske utan förordar att möjligheten till gallring knyts till ändamålet med behandlingen av personuppgiften (jämför avsnitten 11.2.7 och 11.2.8). En sådan begränsning bör vara tillräcklig för att tillgodose skyddsintresset för den personliga integriteten. En gallringsbestämmelse som anknyter till ändamålen med be- handlingen innebär dock inte samma tydliga incitament för aktörerna att gallra personuppgifter som specifika gallringsfrister. Vi förutsätter därför att det utarbetas rutiner och riktlinjer för hur gallringen av uppgifter i registret ska genomföras. Uppgifter i registret kan även behöva behandlas exempelvis för historiska, statistiska eller vetenskapliga ändamål, vilket innebär att uppgifterna behöver bevaras även efter det att de inte längre behövs för de ändamål som de behandlas för. Vi föreslår därför att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om, eller i enskilt fall besluta om, att person- uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål och att gallring ska få ske senast . 11.3Etiska överväganden i samband med försöksverksamheten med datorbaserade prov, extern bedömning och medbedömning Utredningen om förbättrade resultat i grundskolan27 konstaterar i sitt betänkande att etiska överväganden alltid måste göras innan en försöksverksamhet inleds. Genom ett försök utsätts elever för olika behandling eftersom några deltar i försöket, andra inte. Invänd- ningar av etisk karaktär är att olika elever behandlas olika på grund av försöksverksamheten. Om en åtgärd leder till positiva resultat för den grupp som omfattas av den kan det anses som orättvist att 27 Betänkandet Utvärdera för utveckling – om utvärdering av skolpolitiska reformer (SOU 2014:12). En försöksverksamhet med datorbaserade prov, … övriga elever inte får samma fördel. Om en åtgärd i stället leder till negativa resultat kan det upplevas som en orättvis behandling av de elever som ingår i försöket. Utredningen om förbättrade resultat i poängterar att de etiska övervägandena ofta kan hanteras på ett ansvarsfullt sätt. I de fall en försöksverksamhet snabbt visar så stora positiva effekter att det kan uppfattas som oförsvarligt att endast låta för- söksgruppen omfattas av dem, är det inget som hindrar att man beslutar att tidigarelägga genomförandet av reformen eller förändr- ingen för samtliga elever. När en försöksverksamhet i stället visar starka oförutsedda negativa effekter kan försöket justeras så att dessa inte uppstår. 11.3.1Etiska överväganden med koppling till datorbaserade prov Vi är medvetna om att datorbaserade prov kan medföra såväl för- delar som nackdelar för enskilda elever. Att genomföra prov på dator kan påverka elevernas resultat i både positiv och negativ riktning. Olika elever är olika vana att använda datorer och att t.ex. läsa texter på skärm. I en försöksverksamhet med digitala prov kan tekniska problem uppstå. Som exempel kan prov vara svåra att genomföra och elevresultat kan försvinna om internetuppkopp- lingen bryts. Elevers motivation kan också påverkas av om ett prov görs digitalt eller med papper och penna. Dessutom kan digitala prov gynna eller missgynna olika elever eller grupper av elever. En digitalisering av proven kan även påverka lärarna, t.ex. genom minskad administration när proven distribueras och bedöms digitalt. Datorbaserade prov ställer krav på skolorna att de är utrustade med datorer.