sou · H5B349 · 2017-06-02 00:00:00 — Enligt 5 § får den registrerade ha direktåtkomst till sådana person- uppgifter om sig själv i antagningsregistret som får lämnas ut till henne eller honom. Vid sådan direktåtkomst ska den registrerades identitet kontrolleras genom en säker metod för identifiering. I dataskyddsförordningen finns inga särskilda bestämmelser om direktåtkomst, utan det krävs – i likhet med vad som gäller för all behandling av personuppgifter – att behandlingen uppfyller de krav som dataskyddsförordningen ställer, bl.a. de grundläggande krav som finns i artikel 5. Utredningen gör i denna del därför motsva- rande bedömning som i fråga om föregående paragraf. Bestämmel- serna i 4 kap. 5 § kan och bör således behållas. 4 kap. 6 § Fjärde kapitlet i förordningen avslutas med bestämmelser om gall- ring i 6 §. I första stycket anges, på motsvarande sätt som i gallrings- bestämmelserna i 2 kap. 7 § och 3 kap. 8 §, att för gallring av antag- ningsregistret gäller 10 § första och andra styckena arkivlagen, om inte något annat föreskrivs i förordningen. Enligt andra stycket i 6 § ska uppgifter om en student gallras efter det att uppgifterna senast har påförts. En uppgift om medborgarskap som UHR behö- ver som underlag för beslut om anmälningsavgift eller studieavgift ska, enligt tredje stycket, gallras så snart antagningsregistret har upp- daterats med uppgift om huruvida studenten tillhör den personkrets som ska betala anmälningsavgift eller studieavgift. När den rättsliga grunden är uppgift av allmänt intresse är det enligt artikel 6.2 och 6.3 andra stycket i dataskyddsförordningen tillåtet med särskilda bestämmelser om lagringstid. Bestämmelserna i 4 kap. 6 § är enligt utredningens mening således förenliga med dataskyddsförordningen. Paragrafen kan och bör därför behållas. Enligt ovan har utredningen kommit fram till att hänvisningen till personuppgiftslagen i 1 kap. 1 § andra stycket ska utgå och att den i en ny paragraf, 1 a §, ska ersättas med en upplysningsbestämmelse om dataskyddsförordningen samt en reglering om förhållandet till dataskyddslagen. Utredningen anser vidare att bestämmelserna i 1 kap. 4–6 §§ om information, rättelse och skadestånd samt överklagande ska upp- hävas. Skälet är att det i fråga om information, rättelse och skade- stånd finns direkt tillämpliga bestämmelser i dataskyddsförord- ningen. I fråga om överklagande är det tillräckligt med den reglering som föreslår i dataskyddslagen. Rubrikerna närmast före 1 kap. 4–6 ska av naturliga skäl därmed också utgå. Även rubriken närmast före 1 kap. 1 §, ”Inledning”, bör då utgå. Under denna rubrik har samtliga de bestämmelser som utredningen anser ska vara kvar, inklusive hänvisningen till person- uppgiftslagen, funnits. Enligt utredningens bedömning är det där- med tillräckligt med kapitlets övergripande rubrik, ”Allmänna be- stämmelser”. I fråga om bestämmelserna i 2 kap. bedömer utredningen att bestämmelsen i 1 § tredje stycket ska upphävas, eftersom den om- fattas av mer preciserad och långtgående reglering som finns i direkt tillämpliga bestämmelser i dataskyddsförordningen. Vidare bedöms att 5 a § ska ändras på så sätt att den hänvisar till artikel 9.1 i data- skyddsförordningen i stället för som till 13 § PUL, efter- som personuppgiftslagen kommer att upphävas när dataskydds- förordningen ska börja tillämpas. Slutligen, i fråga om 4 kap., anser utredningen att 3 § ska ändras på motsvarande sätt som 2 kap. 5 a §, dvs. att en hänvisning ska göras till artikel 9.1 i dataskyddsförordningen i stället för som till 13 § PUL. Ovan nämnda förslag till ändringar är, enligt utredningens bedöm- ning, påkallade med anledning av att dataskyddsförordningen ska börja tillämpas. I övrigt anser utredningen att bestämmelserna är för- enliga med dataskyddsförordningen och att de kan och bör behållas. Under utredningens arbete har dock kommit fram att det finns behov av ändringar som inte är motiverade utifrån att dataskyddsförord- ningen ska börja tillämpas. I följande avsnitt lämnas en redogörelse för vad som kommit fram i nämnda avseende. 5.6.4Behov av översyn utifrån andra skäl än dataskyddsförordningen Bedömning: Den tekniska utvecklingen och den praktiska han- teringen av personuppgifter när det gäller redovisning m.m. vid universitet och högskolor har gjort att det finns ett behov av en omfattande översyn av förordningen. En sådan översyn bör inne- fatta analyser av bl.a. hur moderna och teknikneutrala register- författningar är utformade, hur detaljerat det ska anges vilka upp- gifter som får eller ska behandlas, hur utlämnande av uppgifter ska regleras och om och i så fall hur direktåtkomst ska regleras. En sådan översyn som utredningen bedömer är påkallad krävs dock inte för att anpassa förordningen till dataskyddsförord- ningen och den reglering som har före- slagit. Att utredningen i föregående avsnitt kommit till slutsatsen att endast ett fåtal bestämmelser i förordningen om redovisning av stu- dier m.m. vid universitet och högskolor behöver ändras med anled- ning av dataskyddsförordningen innebär inte att det inte finns behov av ytterligare ändringar. Tvärtom har det under utredningens arbete blivit tydligt att det i många avseenden finns ett behov av en omfat- tande översyn av förordningen. Vid genomgången av 2 och 4 kap. i förordningen har utredningen kunnat konstatera att bestämmelserna i många fall inte motsvarar de verkliga förhållandena. Exempelvis konstaterar utredningen att de statliga lärosätena för sin studieadministration använder sig av Ladok. Ladok är ett system som består av flera gemensamt tillgängliggjorda uppgiftssamlingar. Förordningens 2 kap. bygger dock på förutsätt- ningen att varje lärosäte för ett eget, i förhållande till övriga separat, studieregister. I 4 kap. regleras ett särskilt antagningsregister som får föras av UHR. NyA, som UHR använder sig av vid antagningsförfarandet, innehåller de uppgifter som anges i 4 kap. 2 § men systemet används inte enbart som ett register. Systemet används mest som ett hand- läggningssystem och uppgifterna i systemet har gjorts gemensamt tillgängliga för högskolorna som använder NyA i lika stor utsträck- ning som UHR. Vidare följer bestämmelserna i 2 och 4 kap. i förordningen inte heller den lagstiftningsteknik och systematik som tillämpats i mot- svarande författningar inom andra sektorer (jfr exem- pelvis prop. 2014/15:63 s. 60 f. och s. 78 f. samt prop. 2015/16:65 s. 35 f.). Detta är ägnat att skapa oklarheter och tillämpnings- svårigheter. Det kan med fog ifrågasättas om det utifrån ett data- skyddsperspektiv är relevant att med så hög detaljeringsnivå ange exakt vilka uppgifter som lärosätena och UHR får behandla och hur behandlingen ska ske (se 2 kap. 3–5 §§ och 4 kap. 2 §) så länge ända- målen med behandlingen är noga angivet. En översyn av bestämmelserna om utlämnande av uppgifter i 2 kap. 6 och 6 a §§ kan också vara värdefullt. finns det en osäkerhet om uppräkningen i 2 kap 6 § är uttömmande eller om ut- lämnande kan ske även till andra aktörer. Även i 4 kap. finns det anledning att se över bestämmelserna om utlämnande av uppgifter (se 4 §), bl.a. med anledning av att uppgifterna i NyA gjorts gemen- samt tillgängliga för högskolorna. Vidare kan konstateras att 4 kap. 5 § innehåller bestämmelser om direktåtkomst medan det i 2 kap. inte finns några motsvarande be- stämmelser. har dock studenterna direktåtkomst till uppgifter i Ladok. En analys av behovet av att reglera direktåtkomst och i så fall på vilket sätt är därmed önskvärt. Det är därför påkallat med en allmän översyn av bestämmelserna i förordningen i syfte att skapa ett tydligare och därmed rättssäkrare stöd för behandling av personuppgifter för lärosätena och UHR. Genom en modernisering av förordningens bestämmelser ökar också möjligheterna för lärosätena och UHR att ha en ändamålsenlig och effektiv personuppgiftshantering. En sådan översyn som utred- ningen anser är angelägen ligger dock utanför uppdraget i och med att den inte krävs med anledning av dataskyddsförordningen, den generella reglering föreslår och utredning- ens förslag i övrigt. En sådan översyn ryms inte heller inom den tids- ram som utredningen har till förfogande för att fullgöra uppdraget. Utredningen lämnar därför inga förslag i dessa delar. 6Yrkeshögskolan och andra eftergymnasiala utbildningar består av hundratals olika eftergymnasiala utbild- ningar som enligt 1 § lagen (2009:128) om ska svara mot arbetslivets behov. Enligt 4 § får utbildning inom yrkeshög- skolan anordnas av statliga universitet och högskolor, andra statliga myndigheter, kommuner, landsting och enskilda fysiska eller juri- diska personer. Utbildning genom bedrivs således av ett flertal olika aktörer på ett stort antal platser. Av Myndigheten för () statistiska årsrapport (s. 12) framgår att det 2016 fanns 227 anordnare som bedrev utbildning inom yrkes- högskolan. Drygt hälften av dessa anordnare var privata anordnare. Av rapporten framgår vidare att det startades 739 utbild- ningsomgångar och att det var 1 900 omgångar som pågick under hela eller delar av kalenderåret. Av 2 och 7 §§ lagen om och 1 kap. 2 § förord- ningen (2009:130) om framgår att består av de utbildningar som MYH prövar och beslutar om genom ett ansökningsförfarande och som inte är utbildningar enligt hög- skolelagen (1992:1434) eller utbildningar som kan leda fram till en examen enligt lagen (1993:792) om tillstånd att utfärda vissa examina. I förordningen om finns mer detaljerade bestäm- melser om bl.a. vilka krav som ställs för att en utbildning ska få ingå i , utbildnings- och kursplaner, betyg, tillgodoräknande av utbildning och annan verksamhet, examen, tillträde till utbildning, organisation, studerandeinflytande, utvärdering och uppföljning, stat- lig finansiering, försäkringar och avskiljande från utbildning. Det finns ytterligare förordningar som kompletterar lagen om , förordningen (2017:13) om behörighetsgivande för- och andra eftergymnasiala utbildningar utbildning inom och förordningen (2009:131) om utbildning inom som uppdragsutbildning. Av 1 § i först nämnda förordning framgår att behörighetsgivande förutbild- ning inom syftar till att ge den studerande kunska- per som motsvarar de krav på behörighet som är uppställda för den ordinarie yrkeshögskoleutbildningen. Med uppdragsutbildning avses utbildningsverksamhet som anordnas mot ersättning från uppdrags- givare som inte är en fysisk person och där uppdragsgivaren utser den som ska få delta i utbildningen (2 § lagen om ). Till skillnad från de flesta andra utbildningar inom saknar uppdragsutbildningar möjligheten till statlig finansiering (3 § förordningen om utbildning inom som uppdrags- utbildning). Som nämnts ovan är det MYH som prövar och beslutar vilka utbildningar som ska ingå i . MYH:s övriga uppgifter framgår av bl.a. förordningen (2011:1162) med instruktion för Myn- digheten för . MYH ska bl.a. svara för ett register över uppgifter om de studerande i utbildningarna inom yrkeshög- skolan och i de utbildningar inom som bedrivs som uppdragsutbildningar samt de studerandes studieresultat, betyg, exa- mina och utbildningsbevis (2 § 5). MYH ska också pröva frågor om stöd enligt förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar. MYH ska även svara för ett register över uppgifter om de studerande i utbildningarna och de studerandes studieresultat, betyg, intyg och utbildningsbevis (2 § 6). Konst- och kulturutbildningar är en eftergymnasial utbildnings- form som tidigare omfattades av bestämmelserna i den numera upp- hävda förordningen (2000:521) om statligt stöd till kompletterande utbildningar. Utbildningarna finns inom exempelvis dans, musik, teater, film, konst och mode. De bedrivs av enskilda fysiska eller juridiska personer men står under statlig tillsyn som, enligt 4 § första stycket 1 förordningen med instruktion för Myndigheten för yrkes- högskolan, utövas av MYH. Utbildningarna får stöd genom att ställas under statlig tillsyn, förklaras berättiga de studerande till studiestöd eller berättiga till statsbidrag (1 § förordningen om stöd för konst- och kulturutbild- ningar och vissa andra utbildningar). Många av utbildningarna för- bereder för fortsatta studier i högskolan, t.ex. på konst-, musik- eller och andra eftergymnasiala utbildningar Andra leder direkt till ett yrke, såsom dansare, designer eller musikalartist. Förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar omfattar även kor- tare kurser som har som syfte att bevara eller utveckla kulturarvet, t.ex. stickning, smide eller folkdans. överfördes 120 utbildningar från regelverket för kompletterande utbildningar till det nya regelverket för konst- och kulturutbildningar. Utbildningarna bedrevs av 42 olika organisatio- ner fördelade på 56 skolor. Detta framgår av MYH:s statistiska års- rapport (s. 36) och MYH:s faktablad med kortfattad statistik om konst- och kulturutbildningar . 6.2Utbildningsanordnarnas behandling av personuppgifter Av föregående avsnitt framgår att utbildningarna inom yrkeshög- skolan anordnas av ett flertal olika huvudmän, både offentliga och enskilda. 2016 fanns totalt 227 anordnare. Utbildningarna som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar har endast enskilda fysiska eller juridiska personer som huvudmän. Av föregående avsnitt framgår att det 2016 fanns totalt 42 organisationer, fördelade på 56 skolor, som anordnade såda- na utbildningar. Det är inte möjligt att här ange samtliga behandlingar av person- uppgifter som sker hos de olika utbildningsanordnarna. Utifrån ut- redningens uppdrag, att det när dataskyddsförordningen ska börja tillämpas ska finnas en reglering som möjliggör en ändamålsenlig behandling inom utbildningsområdet, ges nedan en översiktlig beskrivning endast av utbildningsanordnarnas huvudsakliga behand- lingar. Utbildningsanordnarnas behandlingar av känsliga personupp- gifter och uppgifter som rör fällande domar i brottmål redogörs för i avsnitt 6.4.2. och andra eftergymnasiala utbildningar Enligt 15 § lagen om ska en utbildning inom yrkes- högskolan vara öppen för alla som uppfyller behörighetsvillkoren för utbildningen. Bestämmelser om behörighet finns i 3 kap. 1–4 §§ för- ordningen om . Av 17 § lagen om framgår att om inte alla behöriga sökande till en utbildning kan tas emot, ska ett urval göras bland de sökande. I 3 kap. 5–7 §§ förord- ningen om finns mer specificerade bestämmelser om urval. Av dessa framgår bl.a. att tillämpliga urvalsgrunder är betyg, särskilt prov, tidigare utbildning och yrkeserfarenhet. I samband med antagning till utbildning inom behandlas där- med personuppgifter i form av namn, personnummer, kontaktupp- gifter och den sökandes olika utbildningar och meriter. Av 2 kap. 4 § förordningen om framgår att ut- bildningen ska bedrivas i form av en eller flera kurser. Enligt 2 kap. 10 och 11 §§ ska betyg sättas på en genomförd kurs med något av uttrycken Icke godkänt, Godkänt och Väl godkänt. Av 2 kap. 9 § framgår att det i den obligatoriska kursplanen ska anges vilka prin- ciper för betygssättning och former för kunskapskontroll som ska tillämpas. I bedrivandet av själva utbildningen behandlas således per- sonuppgifter i form av i vart fall namn, personnummer och genom- förda moment i undervisningen och den studerandes då erhållna resultat. Enligt 2 kap. 12 § förordningen om ska en stude- rande, under vissa förutsättningar, för en del av utbildningen kunna få tillgodoräkna sig annan genomgången utbildning eller motsvaran- de kunskaper, färdigheter och kompetenser som har förvärvats i yrkesverksamhet eller på annat sätt. I fråga om prövning av tillgodo- räknande behandlas därmed personuppgifter i form av namn, per- sonnummer och sökandens tidigare meriter. Enligt 14 § lagen om får utbildningsanordnaren utfärda utbildningsbevis och examensbevis. Av 2 kap. 13 och 14 §§ framgår vilka krav en studerande ska uppfylla för att få avsluta ut- bildningen med en yrkeshögskoleexamen respektive en kvalificerad yrkeshögskoleexamen. Enligt 2 kap. 15 § ska en studerande som upp- fyller kraven för en examen på begäran få ett examensbevis av den ansvariga utbildningsanordnaren. En studerande som inte har full- gjort vad som krävs för en examen eller som inte begär att få ett och andra eftergymnasiala utbildningar examensbevis ska, enligt 2 kap. 16 §, på begäran få ett utbildnings- bevis. För att nämnda bevis ska kunna utfärdas behöver det behand- las personuppgifter i form av namn, personnummer, genomförda kurser och betyg. Av 9 § första stycket lagen om framgår att utbild- ning inom , för vilken utbildningsanordnaren får statsbidrag eller särskilda medel enligt 8 §, ska vara avgiftsfri för de studerande. Enstaka inslag som de studerande får betala ett obetyd- ligt belopp för får dock förekomma. Av tredje stycket följer att anordnare av utbildningar som inte får statsbidrag eller särskilda medel får ta ut skäliga studerandeavgifter. Behandling av personupp- gifter kan därmed förekomma för att fastställa skyldighet att betala vissa avgifter och att betalning har skett. Vidare finns det i 2 kap. 17 § förordningen om ett bemyndigande för MYH att meddela föreskrifter om att den ansvariga utbildningsanordnaren ska lämna uppgifter till MYH om de studerande och deras studieresultat, betyg och examina. MYH får även meddela föreskrifter om på vilket sätt och när uppgifterna ska lämnas. Med stöd av bemyndigandet har MYH meddelat föreskrifter om studiedokumentation (MYHFS 2016:8). Av 3 § framgår att utbildningsanordnarna för varje utbildning ska lämna uppgifter om de studerandes fullständiga personnummer, för- namn och efternamn. Enligt 4 § ska uppgifterna rapporteras till myn- digheten genom en av myndigheten tillhandahållen digital plattform eller tjänst. För detta ändamål använder MYH sig av ett studiedoku- mentationssystem. Vidare ska, enligt 5 § i MYH:s föreskrifter, upp- gifter om de studerandes resultat rapporteras till MYH löpande och utan dröjsmål. Om betyg inte kan sättas ska detta rapporteras. Om en kurs har tillgodoräknats ska det framgå av rapporteringen (6 §). En- ligt 7 § ska kopior på examensbevis och utbildningsbevis skickas in till MYH. Av 8 § framgår att ett examensbevis ska innehålla uppgifter i form av bl.a. den studerandes fullständiga personnummer, förnamn och efternamn, examensarbete, betyg och eventuella tillgodoräknan- den. Samma uppgifter, med undantag för uppgift om examensarbete, ska också finnas i ett utbildningsbevis (9 §). och andra eftergymnasiala utbildningar 6.2.2Konst- och kulturutbildningar och vissa andra utbildningar Enligt 24 § förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar är den behörig att antas till utbildningen som har genomgått gymnasieskolan eller gymnasiesärskolan eller motsvarande utbildning. Behörig att antas är också den som annars bedöms kunna tillgodogöra sig utbildningen. Enligt 13 § ska det för varje utbildning finnas en utbildningsplan. Av denna ska framgå bl.a. de grunder och metoder som ska användas vid urval bland behöriga sökande till utbildningen. Av planen ska även framgå hur bl.a. behö- righetsbedömningar, urval och antagning ska dokumenteras. I sam- band med antagning till utbildning behandlas därmed personupp- gifter i form av namn, personnummer, kontaktuppgifter och den sökandes olika utbildningar och meriter. Enligt 12 § ska utbildningen bedrivas i form av en eller flera kur- ser. Av 14 § framgår att det för varje kurs ska finnas en kursplan. Av kursplanen ska framgå bl.a. de former för kunskapskontroll som ska tillämpas. Det ska även framgå om betyg ska sättas på kursen och i så fall de principer för betygssättning som ska tillämpas. Enligt 15 och 16 §§ ska det efter en genomförd kurs sättas betyg eller utfärdas ett intyg. En studerande som avslutat en utbildning ska på begäran få ett utbildningsbevis av den ansvariga utbildningsanordnaren där utbild- ningens innehåll och den studerandes resultat anges. I bedrivandet av själva utbildningen och för utfärdandet av intyg och utbildningsbevis behandlas således personuppgifter i form av i vart fall namn, person- nummer och genomförda moment i undervisningen och den stude- randes då erhållna resultat. I 24 a § anges att om det finns särskilda skäl får utbildnings- anordnaren i enskilda fall besluta att den som är antagen till utbild- ningen får anstånd med att påbörja studierna eller fortsätta sina stu- dier efter studieuppehåll. I samband med sådana beslut kan därmed personuppgifter behöva behandlas. Av 10 § följer att utbildningsanordnarna får ta ut studerande- avgifter. Dessa ska dock vara skäliga i förhållande till utbildningens karaktär och de kostnader som utbildningsanordnaren har för utbild- ningen. Behandling av personuppgifter kan därmed förekomma för att fastställa skyldighet att betala vissa avgifter och att betalning har skett. och andra eftergymnasiala utbildningar Av 2 § 6 förordningen med instruktion för Myndigheten för framgår att MYH ska svara för ett register över upp- gifter om de studerande i utbildningarna och de studerandes studie- resultat, betyg, intyg och utbildningsbevis. Behandling av personupp- gifter behöver därmed ske när utbildningsanordnarna lämnar nämnda uppgifter till MYH. 6.3Rättslig grund för personuppgiftsbehandling 6.3.1Utredningens uppdrag i denna del För att personuppgifter ska få behandlas helt eller delvis automatiskt, eller för att annan behandling ska få ske av personuppgifter som ingår i eller kommer att ingå i ett register, krävs att en rättslig grund i artikel 6.1 i dataskyddsförordningen är tillämplig. Enligt artikel 6.3 första stycket ska grunden för den behandling av personuppgifter som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller den nationella rätten som den personuppgiftsansvarige omfattas av. Enligt kommittédirektiven behöver det analyseras vad data- skyddsförordningens krav i denna del innebär i fråga om nationell författningsreglering. ska analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs behandling och lämna behövliga och lämpliga författningsförslag. När det gäller behandling av personuppgifter som utförs av myn- digheter, kommuner, landsting och enskilda inom utbildningsområ- det, förutom forskningsverksamhet, uppdras det åt utredningen att analysera om en eller flera regleringar på nationell nivå är möjlig och kan behövas, utöver den generella reglering som Dataskyddsutred- ningen kommer att föreslå, för att säkerställa att nödvändig behand- ling av personuppgifter inom utbildningsområdet kan ske på ett ända- målsenligt sätt som enskildas fri- och rättigheter skyddas. Utredningen ska därför, i fråga om de som anordnar utbildning inom och enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar, undersöka vil- ken reglering på nationell nivå av personuppgiftsbehandling som är möjlig och kan behövas, utöver dataskyddsförordningen och den och andra eftergymnasiala utbildningar generella reglering som kommer att föreslå, samt lämna de författningsförslag som behövs. regleras utbildningsanordnarnas personuppgiftsbehand- ling av personuppgiftslagen (1998:204, PUL). kom- mer personuppgiftslagen att upphävas och dataskyddsförordningen och den av föreslagna lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen) ska börja tillämpas. För utbildningsanordnarna innebär detta att de måste ha stöd för sin behandling i en rättslig grund enligt artikel 6.1 i dataskyddsför- ordningen, om behandlingen helt eller delvis företas på automatisk väg eller om behandlingen avser personuppgifter som ingår i eller kommer att ingå i ett register.