sou · H4B325 · 2016-10-18 00:00:00 — Försöksverksamheten med datorbaserade nationella prov m.m. föreslås bedrivas fr.o.m. medan genomförandet av stickprovsundersökningar inom försöksverksamheten med nationell kunskapsutvärdering föreslås äga rum först . Vi föreslår därför att lagen ska träda i kraft . Vi har i vårt arbete utgått ifrån nu gällande lagstiftning och ett flertal antaganden. Våra resonemang och förslag beskrivs i nedan- stående avsnitt. Utredningens förslag: Lagen om behandling av personuppgifter inom det nationella systemet för kunskapsbedömning ska till- lämpas vid behandling av personuppgifter vid , , universitet och högskolor som utveck- lar datorbaserade nationella prov och stickprovsundersökningar och skolenheter i försöksverksamheter enligt förordningen om försöksverksamhet med datorbaserade nationella prov, extern bedömning och medbedömning och förordningen om försöks- verksamhet med nationell kunskapsutvärdering. Lagen ska bara tillämpas om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda krit- erier. Syftet med lagen är dels att ge aktörerna möjlighet att be- handla personuppgifter på ett ändamålsenligt sätt i försöks- verksamheterna, dels att skydda människor mot att deras per- sonliga integritet kränks vid sådan behandling. Utifrån hur nationella prov genomförs och används , uppgifter från och egna överväganden, bedömer utredningen att 13Jämför 2 kap. regeringsformen och propositionen En reformerad grundlag (prop. 2009/10:80), s. 171 ff. 14Se avsnitt 14. En försöksverksamhet med datorbaserade prov, … flera olika aktörer kommer att komma i kontakt med, och behöva använda, personuppgifterna i försöksverksamheterna i olika om- fattning. Beroende på systemets tekniska utformning och aktörernas faktiska åligganden är det dock inte givet vilken roll respektive aktör kommer att ha vid varje skede av behandlingen av person- uppgifter i försöksverksamheterna. Utöver att och deltagande skolenheter kommer att vara inblandade i försöksverksamheterna bedömer vi att såväl () som de universitet och högskolor som utvecklar nationella prov och stickprovsundersökningar kommer att behöva tillgång till, och kunna använda, personuppgifter från systemet. Skolenheterna kan t.ex. tänkas lägga in och hantera uppgifter om elevernas person- eller samordningsnummer, klass, årskurs eller läsår och provresultat. SCB kommer att behöva upp- gifter för att ta fram statistik åt medan universiteten och högskolorna behöver hela elevlösningar för att kunna utveckla prov, provuppgifter och stickprovsundersökningar. Det är inte självklart att kommer att ombedöma de datorbaserade nationella proven på samma sätt och i samma omfattning som man ombedömer de pappersbaserade nationella proven.15 Vårt förslag omfattar därför inte inspektionens ombedömning. Om det skulle bli aktuellt med ett sådant uppdrag inom ramen för försöksverksamheterna ligger det enligt vår mening nära till hands att dra paralleller mellan Skolinspektionens om- bedömning och universitetens och högskolornas utveckling av prov och undersökningar eftersom såväl Skolinspektionen som universit- eten och högskolorna har behov av elevlösningar. Om Skolinspektionen ska ombedöma de datorbaserade nationella proven bör myndighetens roll och behov utredas närmare. Lagen ska bara tillämpas om behandlingen av personuppgifter är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, dvs. den ska ha samma tillämpningsområde som PUL. Vi föreslår inte att automatiserad behandling av uppgifter i ostruktur- erat material ska undantas från lagens tillämpningsområde (jämför 15 Avseende grunden för uppdraget om ombedömning, se central rättning i Regleringsbrev för avseende . En försöksverksamhet med datorbaserade prov, … 5 a § PUL). Anledningen till det är att vi bedömer att samlingen av uppgifter kommer att vara strukturerad på ett sådant sätt att hanter- ingsreglerna ska tillämpas vid behandling av alla personuppgifter som förekommer – såväl strukturerade som ostrukturerade – även om vissa personuppgifter inte har strukturerats.16 Syftet med lagen är dels att möjliggöra en ändamålsenlig behandling av de personuppgifter som förekommer i försöksverk- samheterna med datorbaserade nationella prov, extern bedömning och medbedömning samt nationell kunskapsutvärdering, dels att skydda de deltagande eleverna mot att deras integritet kränks vid behandlingen av personuppgifter. Utredningens förslag: , Statistiska central- byrån, universitet och högskolor som utvecklar datorbaserade nationella prov och stickprovsundersökningar och skolenheter i försöksverksamheterna ska vara personuppgiftsansvariga för den behandling av personuppgifter som de utför. Med personuppgiftsansvarig avses enligt 3 § PUL den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Begreppet behandling av personuppgifter infattar enligt samma bestämmelse alla åtgärder som vidtas beträffande sådana uppgifter vare sig det är fråga om insamling, registrering, lagring, sökning, bearbetning, utlämnande, radering eller någon annan åtgärd. Enligt vår uppfattning är det mycket sannolikt att skolenheterna kommer att vidta åtgärder i fråga om personuppgifterna i en sådan omfattning och på ett sådant sätt att de bör anses som person- uppgiftsansvariga för sin respektive behandling. Det framstår också som sannolikt att kommer att ha en så pass central roll i försöksverksamheterna och driften av systemet att myndigheten bör anses som personuppgiftsansvarig för de åtgärder den utför. 16 Jämför propositionen Översyn av personuppgiftslagen (prop. 2005/06:173), s. 23. En försöksverksamhet med datorbaserade prov, … föreslår därför att de nu nämnda aktörerna ska vara personuppgifts- ansvariga för den respektive behandling de utför. Vad gäller SCB samt universiteten och högskolorna får de uppgifter skickade till sig från varje skolenhet. SCB översänder sedan bearbetade statistikuppgifter till för fortsatt statistikbearbetning. Vi har därför utgått ifrån att motsvarande upp- gifter kommer att behöva hanteras av dessa aktörer i ett liknande upplägg inom ett datorbaserat system. Hur sammanställandet och översändandet rent faktiskt kommer att gå till beror, återigen, på hur systemet utformas. Ett datorbaserat system möjliggör en effektivisering av skol- enheternas sammanställande och översändande av uppgifter. Systemet kan kanske utformas så att varje skolenhet med några få knapptryckningar kan sätta samman de uppgifter som SCB efter- frågar för att sedan skicka över uppgifterna i en fil. Detsamma bör kunna gälla de elevlösningar som universiteten och högskolorna efterfrågar för sitt arbete. Ett sådant upplägg torde enligt vår mening betraktas som ett utlämnande på medium för automatiserad behandling (jämför HFD 2015 ref. 61). En annan lösning bygger på att aktörerna får s.k. direktåtkomst till systemet och själva hämtar upp de uppgifter de behöver för att utföra sina arbetsuppgifter. Direktåtkomst innebär att en aktör har tillgång till personupp- gifter i ett datasystem för att t.ex. söka bland och läsa uppgifter men att aktören inte själv har några rättsliga befogenheter eller faktiska möjligheter att ändra eller komplettera de uppgifter som ingår i samlingen.17 Direktåtkomst kan också innebära att en aktör hämtar hem uppgifter från ett system för bearbetning i det egna systemet. Utlämnande på medium för automatiserad behandling innebär att utlämnandet sker t.ex. genom usb, e-post eller direkt överföring av filer via internet eller annat nätverk. Varje sådant utlämnande föregås av ett beslut om överföring av den aktör som lämnar ut uppgifterna och som regel lämnas informationen i en sådan form att mottagaren själv kan bearbeta den. 18 Vidare sker, till skillnad från direktåtkomst, en prövning vid varje enskilt utlämn- ande av huruvida uppgifterna kan lämnas ut eller om exempelvis 17Jämför propositionerna (prop. 2007/08:126), s. 70 och Utökat elektroniskt informationsutbyte (prop. 2007/08:160), s. 57 f. 18Jämför propositionen Utökat elektroniskt informationsutbyte (prop. 2007/08:160), s. 77 och betänkandet Myndighetsdatalag (SOU 2015:39), s. 124 f. En försöksverksamhet med datorbaserade prov, … sekretessbestämmelser utgör något hinder för utlämnande (jämför avsnitt 11.2.4). Oavsett hur uppgifterna lämnas över till SCB och till universi- teten och högskolorna torde ett personuppgiftsansvar aktualiseras när uppgifterna börjar användas och bearbetas av respektive aktör, dvs. efter att uppgifterna har kommit dem tillhanda. Vi bedömer därför att varje ovan nämnd aktör kommer att komma i kontakt med och vidta sådana åtgärder avseende i vart fall vissa person- uppgifter i systemet att användningen kommer att falla in under PUL:s behandlings- och ansvarsbegrepp. Mot denna bakgrund föreslår vi att dessa aktörer ska ha personuppgiftsansvar för sin respektive behandling av personuppgifter. 11.2.4Direktåtkomst och utlämnande på medium för automatiserad behandling Utredningens förslag: Direktåtkomst till personuppgifter som behandlas i försöksverksamheterna ska endast vara tillåten i den utsträckning som anges i lag eller förordning. Regeringen eller den myndighet som regeringen bestämmer ska få meddela före- skrifter om de krav på säkerhetsåtgärder som ska gälla vid direktåtkomst. och de universitet och högskolor som utvecklar datorbaserade nationella prov och stickprovs- undersökningar ska få ha direktåtkomst till personuppgifter som behandlas i försöksverksamheterna i den mån uppgifterna behövs för att de ska kunna utföra sina uppdrag. Åtkomsten ska vara förbehållen de personalkategorier som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vilka personuppgifter som får omfattas av sådan direktåtkomst. Den registrerade ska få ha direktåtkomst till personuppgifter som behandlas i försöksverksamheterna, om uppgifterna avser honom eller henne själv och om de förekommer i ett dator- baserat nationellt prov eller i en stickprovsundersökning som han eller hon deltar i. En försöksverksamhet med datorbaserade prov, … Personuppgifter ska få lämnas ut på medium för auto- matiserad behandling för i lagen särskilt angivna ändamål. Som framgått ovan innebär direktåtkomst att en aktör ges tillgång till ett system som vanligtvis innehåller ett stort antal person- uppgifter. Direktåtkomst innebär också att den utlämnande aktören inte har kontroll över vilka uppgifter som lämnas ut vid varje åtkomsttillfälle. Från integritetshänseende har det därför ansetts lämpligt att reglera tillgången till uppgifter på detta sätt genom särskilda bestämmelser om direktåtkomst.19 Utredningen har ingen annan uppfattning vad gäller försöksverksamheterna utan föreslår, för det fall systemet utformas på sådant sätt att direkt- åtkomst till personuppgifter aktualiseras, att utlämnande genom direktåtkomst bara ska få ske i den utsträckning som medges i lag eller förordning. En direktåtkomst förutsätter att det finns tillräckligt säkra tek- niska lösningar för att säkerställa identifieringen av den som efter- frågar uppgifter. Det måste också finnas tekniska lösningar för att t.ex. reglera tillgången till antalet uppgifter på grund av integritets- skäl eller spärra tillgången till uppgifter som inte kan lämnas ut till en viss aktör på grund av sekretess. Tillgång till uppgifter genom direkt- åtkomst innebär nämligen att uppgifterna i sekretesslagens mening anses utlämnade till mottagaren i och med att direktåtkomsten finns.20 Någon sekretessprövning blir således aldrig aktuell vid ut- lämnande genom sådan åtkomst. För det fall det finns en författ- ningsreglerad skyldighet att lämna ut uppgifter via direktåtkomst blir sekretessprövning inte heller aktuell.21 Detta bör enligt vår upp- fattning beaktas i det fortsatta arbetet. Vid direktåtkomst mellan myndigheter gäller enligt 11 kap. 4 § offentlighets- och sekretess- lagen (2009:400) dock som huvudregel att en sekretessbelagd uppgift hos den utlämnande myndigheten blir sekretessbelagd hos 19 Jämför propositionen Utökat elektroniskt informationsutbyte (prop. 2007/08:160), s. 57 f. 20Jämför propositionen Utökat elektroniskt informationsutbyte (prop. 2007/08:160), s. 73. 21Jämför propositionen Utökat elektroniskt informationsutbyte (prop. 2007/08:160), s. 74. SOU 2016:25 En försöksverksamhet med datorbaserade prov, … den mottagande myndigheten med stöd av samma sekretess- bestämmelse.22 Vilka säkerhetsåtgärder som ska anges är bl.a. beroende av systemets utformning och aktörernas behov och roller. De är därför svåra att förutse. Vi bedömer dock att det inte är rimligt att precisera dessa krav i lagen. I stället föreslår vi att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid direktåtkomst. Direktåtkomst för SCB och universitet och högskolor Ovan har utredningen resonerat kring att det är möjligt att det datorbaserade systemet för hanteringen av försöksverksamheterna kommer att utformas på ett sådant sätt att SCB och de universitet och högskolor som utvecklar datorbaserade nationella prov kommer att hämta upp de uppgifter de behöver på egen hand i systemet. Vår uppfattning är att direktåtkomst endast bör tillåtas om det efter noggranna överväganden framstår som det mest lämpliga och effektiva sättet att hämta uppgifter. Vid övervägandena bör stor hänsyn tas till integritetsaspekter. Även om det inte är givet att direktåtkomst kommer att förekomma i försöksverksamheterna lämnar vi förslag till en bestämmelse som innebär att SCB samt universiteten och högskolorna får ha direktåtkomst till de person- uppgifter de behöver för att kunna utföra de uppdrag de får av . Åtkomsten ska begränsas till de personalkategorier som behöver uppgifterna för att kunna utföra sitt arbete. Den måste också falla inom lagens tillåtna behandlingsändamål. Som en ytterligare säkerhetsåtgärd föreslår vi att regeringen eller den myn- dighet som regeringen bestämmer ska få meddela föreskrifter om vilka personuppgifter som får omfattas av sådan direktåtkomst. Beroende på systemets utformning samt aktörernas roller och behörigheter kan direktåtkomst möjligen vara ett alternativ till att få del av elevlösningar när skolenheter ska samarbeta om bedöm- ning. Denna fråga bör således bevakas. En annan fråga som bör 22 Se propositionerna Offentlighets- och sekretesslag (prop. 2008/09:150), s. 326 f. och Utökat elektroniskt informationsutbyte (prop. 2007/08:160), s. 74. samt Lenberg, E. & , U. m.fl., Offentlighets- och sekretesslagen. En kommentar (, Zeteo), kommentaren till 11 kap. 4 §. En försöksverksamhet med datorbaserade prov, … bevakas är om det finns anledning att föreskriva att det finns en uppgiftsskyldighet mellan aktörerna vid direktåtkomst (jämför stycket Direktåtkomst ovan). Försöksverksamheterna ska genomföras med medverkan av elever. Utredningen utgår ifrån att vissa personuppgifter kommer att fin- nas inlagda i systemet redan innan eleverna genomför dator- baserade nationella prov och stickprovsundersökningar och att eleverna då kan komma att få tillgång till i vart fall några av dem. Eftersom direktåtkomst till personuppgifter som behandlas i försöksverksamheterna bara ska få förekomma i den utsträckning som anges i lag eller förordning föreslår vi att den enskilda eleven ska medges direktåtkomst till sådana uppgifter om honom eller henne själv som förekommer i ett datorbaserat nationellt prov eller i en stickprovsundersökning som hon eller han deltar i. Att upp- gifterna ska förekomma i ett prov eller liknande som eleven deltar i innebär att uppgifterna endast ska vara tillgängliga för eleven vid genomförandet av provet eller stickprovsundersökningen, dvs. att åtkomsten är begränsad . Tillgängligheten förutsätter givetvis också att sekretess inte gäller för personuppgifterna. Vid den tekniska utformningen av systemet bör det därför säkerställas att eleven endast kan få tillgång till de personuppgifter som omfattas av hans eller hennes behörighet och som provet eller undersökningen pågår. Utlämnande på medium för automatiserad behandling Utredningen har resonerat om att SCB och de universitet och hög- skolor som utvecklar nationella prov kan komma att hämta ut upp- gifter från datasystemet genom direktåtkomst. Som ett alternativ till ett sådant utlämnande har vi nämnt utlämnande på medium för automatiserad behandling. Såvida inte hinder för utlämnande före- ligger på grund av sekretessbestämmelser finns normalt sett inget som hindrar utlämnande på medium för automatiserad behandling (jämför 2 kap. 13 § tryckfrihetsförordningen). Av säkerhets- och integritetsskäl anser vi dock att det finns skäl att begränsa ett En försöksverksamhet med datorbaserade prov, … utlämnande på medium för automatiserad behandling till att endast omfatta utlämnande för sådana ändamål som anges i lagen. Vi föreslår därför en sådan bestämmelse. 11.2.5Intern tillgång till personuppgifter Utredningens förslag: Den personuppgiftsansvarige ska be- gränsa sin personals tillgång till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Till- gången till personuppgifterna ska dokumenteras och kontrolleras. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om intern tillgång till personuppgifter och om dokumentation och kontroll. Utöver bestämmelser om direktåtkomst och utlämnande på medium för automatiserad behandling föreslår utredningen också bestäm- melser om intern tillgång till personuppgifter. Med intern tillgång avses anställdas eller uppdragstagares möjligheter att elektroniskt och automatiskt få tillgång till personuppgifter som finns tillgäng- liga i systemet. Sådan tillgång ska enligt vår mening begränsas till vad varje anställd behöver för att kunna utföra sina arbetsuppgifter inom för- söksverksamheterna. Detta innebär bl.a. att behörigheter ska följas upp och förändras eller inskränkas efter hand som ändringar i den enskilda arbetstagarens arbetsuppgifter ger anledning till det. Vilken behörighet arbetstagaren behöver får således avgöras från fall till fall. Syftet med bestämmelsen är att säkerställa att den per- sonuppgiftsansvarige gör aktiva och individuella behörighetstilldel- ningar utifrån personalkategorierna och verksamheten. Även risk- analyser måste göras där hänsyn tas till olika slags risker som kan förknippas med en alltför stor tillgång till uppgifterna. Skyddade personuppgifter som är sekretessmarkerade är ett exempel på en uppgiftskategori som kan kräva särskilda riskbedömningar. För att främja den enskildes säkerhet föreslår vi att tillgången till personuppgifter dokumenteras i någon form av logg och att den personuppgiftsansvarige åläggs att systematiskt och fortlöpande företa kontroller av om obehörig åtkomst till uppgifter om de registrerade förekommer. En sådan bestämmelse innebär bl.a. att En försöksverksamhet med datorbaserade prov, … faktiska dataintrång med större säkerhet kommer att kunna kon- stateras och beivras. Bestämmelsen bör också få en avhållande verkan på personal som kan frestas att olovligen läsa uppgifter. Vidare föreslår vi att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om intern tillgång till personuppgifter och om dokumentation och kontroll. Före- skrifterna kan t.ex. tänkas omfatta hur kontroller ska utföras, om- fattningen av dokumentationen av åtkomst och hur länge den ska sparas. Dokumentationen kan t.ex. avse när och av vem en slagning gjorts i systemet. 11.2.6Behandling av personuppgifter och samtycke Utredningens förslag: Personuppgiftsbehandling ska få ske även om den enskilde motsätter sig behandlingen av person- uppgifter. Den registrerade ska enligt dataskyddsdirektivet i vissa fall, bl.a. när det gäller en behandling som är nödvändig för att utföra en arbets- uppgift av allmänt intresse eller som är ett led i myndighetsut- övning som utförs av den registeransvarige eller tredje man till vilken uppgiften har lämnats ut, ha rätt att motsätta sig behandling av uppgifter som rör honom eller henne, utom när den nationella lagstiftningen föreskriver något annat. I PUL finns en bestämmelse om att en registrerad med ett par undantag inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt PUL.23 Eftersom det finns en skyldighet att delta i nationella prov och nationell kunskapsutvärdering anser vi att personuppgifter behöver behandlas inom försöksverksamheterna oberoende av den registrer- ades inställning. Vi föreslår därför att det i lagen anges att sådan behandling av personuppgifter som är tillåten enligt lagen får utföras även om den enskilde motsätter sig behandlingen. 23 12 § PUL. En försöksverksamhet med datorbaserade prov, … 11.2.7Ändamål och personuppgifter som får behandlas Utredningens förslag: Personuppgifter ska endast få behandlas om det behövs för att förbereda och genomföra datorbaserade nationella prov, extern bedömning, medbedömning och nationell kunskaps- utvärdering, bedöma, rapportera, utvärdera och utveckla datorbaserade nationella prov, extern bedömning, medbedömning och nationell kunskapsutvärdering, betygssätta ett ämne eller en kurs, utvärdera och följa upp försöksverksamheterna, lämna ut uppgifter enligt vad som föreskrivs i lag eller för- ordning, framställa statistik, och I den mån det är nödvändigt för de i lagen angivna ändamålen ska följande personuppgifter få behandlas: uppgifter om den registrerades namn, kön och person- eller samordningsnummer, uppgifter om den registrerades skolenhet, årskurs, läsår, ämne eller kurs, studievägskod och undervisningsgrupp, uppgifter om den registrerades provtillfälle, resultat och betyg på datorbaserade nationella prov eller stickprovsunder- sökningar, deltagande i sådana prov och undersökningar och kurs- eller ämnesbetyg, uppgifter som den registrerade själv har lämnat i syfte att de ska behandlas, och upptagningar som den registrerade har medverkat till i syfte att de ska behandlas. En försöksverksamhet med datorbaserade prov, … I registerförfattningar finns normalt bestämmelser om för vilket eller vilka ändamål personuppgifter får behandlas. Bestämmelserna styr vilka uppgifter som får samlas in och utgör en ram för vilken behandling som är tillåten i den aktuella verksamheten. Utgångspunkten för särregleringen av personuppgiftsbehand- ling i registerförfattningarna återfinns i 9 § PUL. Där framgår bl.a. att personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och att de insamlade uppgifterna ska vara adekvata och relevanta i förhållande till de angivna ända- målen. Av bestämmelsen framgår också att fler uppgifter än vad som är nödvändigt med hänsyn till ändamålen inte får behandlas och att de personuppgifter som behandlas ska vara riktiga och, om nödvändigt, aktuella. Prövning av om en personuppgift behövs för en viss behandling eller inte måste göras kontinuerligt och inte bara när den samlas in och registreras. Även vid en senare hantering ska personuppgiften alltså behövas för ändamålet med just den senare hanteringen. Inom försöksverksamheterna kommer en mängd person- uppgifter att förekomma. För att säkerställa att inte fler uppgifter än nödvändigt samlas in och behandlas i försöksverksamheterna och för att klargöra för de registrerade vilka uppgifter som kommer att hanteras digitalt föreslås att samtliga ändamål för vilka behandling ska få ske ska anges i lagen, liksom vilka personuppgifter som ska kunna behandlas för de i lagen angivna ändamålen.