sou · H5B349 · 2017-06-02 00:00:00 — Myndigheternas uppdrag och åligganden framgår av författningar, reger- ingsbeslut och kommunala reglementen, antagna i enlighet med grund- lagens bestämmelser om normgivningskompetens och kommunalt själv- styre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler. Nödvändig behandling av personuppgifter kan därmed ske med stöd av artikel 6.1 e i dataskyddsförordningen. Någon ytterligare reglering av myndigheternas obligatoriska uppgifter krävs därmed inte på generell nivå för att myndigheter ska kunna vidta nödvändiga behandlingsåtgär- der för att fullgöra sina uppgifter. Utredningen konstaterar att statliga högskolor och SCB är myndig- heter och att deras uppgift att föra olika register regleras i förordning. Bedömningen är därför att förandet av de olika registren är en för statliga högskolor och SCB i svensk rätt fastställd uppgift av allmänt intresse. Vidare har UHR, enligt 2 § förordningen med instruktion för Universitets- och högskolerådet, till uppgift att på uppdrag av univer- sitet och högskolor som omfattas av högskolelagen eller av enskilda utbildningsanordnare som har tillstånd att utfärda examina enligt lagen om tillstånd att utfärda vissa examina biträda vid antagning av studenter och ansvara för ett samordnat antagningsförfarande. Av 4 kap. 1 § första stycket förordningen om redovisning av studier m.m. vid universitet och högskolor framgår att UHR får föra ett antagningsregister och där ange uppgifterna individuellt för varje student. Vidare anges att registret får föras med hjälp av auto- matiserad behandling. Av andra stycket framgår att ändamålet med registret är att bl.a. vara till hjälp för högskolor vid antagning av studenter. Mot bakgrund av angivna bestämmelser finns det, enligt utred- ningens mening, därmed en i svensk rätt fastställd uppgift av allmänt intresse för UHR:s del att föra ett antagningsregister. Utredningen konstaterar sammanfattningsvis att det för statliga högskolor och SCB finns två i svensk rätt fastställda rättsliga grun- der till stöd för behandling av personuppgifter i deras respektive register, artikel 6.1 c och första ledet i artikel 6.1 e, dvs. rättslig för- pliktelse och uppgift av allmänt intresse. För UHR:s del är den rätts- liga grunden uppgift av allmänt intresse tillämplig. Vidare framgår det av artikel 6.2 att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen med hänsyn till be- handling för att efterleva punkt 6.1 c och e. Enligt artikel 6.3 andra stycket andra meningen kan dessutom den rättsliga grunden, som fastställs i den nationella rätten, innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen i form av bl.a. de allmänna villkor som ska gälla för den personuppgiftsan- svariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Dataskyddsförordningen medger således att det i nationell rätt finns sådana regleringar (registerförfattningar) som införts genom t.ex. förordningen om redovisning av studier m.m. vid universitet och högskolor. Vidare ska, enligt artikel 6.3 andra stycket sista meningen i data- skyddsförordningen, den rättsliga regleringen uppfylla ett mål av all- mänt intresse och vara proportionell mot det legitima mål som efter- strävas. Utredningen konstaterar att förordningen om redovisning av stu- dier m.m. vid universitet och högskolor tillkommit i den ordning som regeringsformen utpekar för föreskrifter av nu aktuellt slag. Bestämmelserna har bedömts relevanta och proportionerliga av reger- ingen. Inte heller har såvitt framkommit någon tillsynsmyndighet uttalat någon kritik eller tveksamhet i dessa avseenden. Det är därför rimligt att utgå från att de ändamål m.m. som fastställts i samband med författningsarbetet är relevanta och proportionerliga i förhål- lande till det integritetsintrång behandlingarna kan innebära. Denna bedömning är giltig även i de avseenden som avses i dataskydds- förordningen. Utredningen har inte heller vid genomgången av för- ordningen funnit några exempel på bestämmelser som kan sägas vara irrelevanta eller oproportionerliga. Utredningen anser således att föreskrifterna uppfyller kraven i artikel 6.3 andra stycket i data- skyddsförordningen. Med anledning av att dataskyddsförordningen och en ny generell lagstiftning som i vissa delar kompletterar förordningen ska börja tillämpas, påkallas dock ställningstaganden till och ändringar i vissa av bestämmelserna i förordningen om redovisning av studier m.m. vid universitet och högskolor. En genomgång av befintliga bestäm- melser görs i följande avsnitt. 5.6.3Behov av ändringar med anledning av dataskyddsförordningen Förslag: I 1 kap. 1 § andra stycket ska hänvisningen till person- uppgiftslagen utgå. Det ska införas en ny paragraf, 1 a §, i vilken det ska upplysas om att förordningen kompletterar dataskyddsförordningen. Vidare ska förhållandet till dataskyddslagen regleras. Bestämmelserna i 1 kap. 4–6 §§ om information, rättelse och skadestånd samt överklagande ska upphävas. Rubrikerna när- mast före nämnda paragrafer samt närmast före 1 § ska utgå. Bestämmelsen i 2 kap. 1 § tredje stycket ska upphävas. Bestämmelserna i 2 kap. 5 a § och 4 kap. 3 §, vilka reglerar högskolornas respektive UHR:s möjligheter att behandla käns- liga personuppgifter i antagningsärenden, ska ändras på så sätt att de ska hänvisa till artikel 9.1 i dataskyddsförordningen i stäl- let för till 13 § PUL. Förordningen om redovisning av studier m.m. vid universitet och högskolor består av fyra kapitel. Det första kapitlet innehåller all- männa bestämmelser. I det andra kapitlet finns bestämmelser om studieregister. Personuppgiftsbehandlingen i Ladok träffas av regler- ingen i detta kapitel. Det tredje kapitlet innehåller bestämmelser om rapportering och framställning av officiell statistik. Slutligen, i det fjärde kapitlet, finns bestämmelser om antagningsregister. Person- uppgiftsbehandlingen i UHR:s antagningssystem NyA omfattas av regleringen i detta kapitel. Nedan redogörs för regleringen i respek- tive paragraf och vilka behov av ändringar som utredningen anser är påkallade med anledning av att dataskyddsförordningen ska börja tillämpas. 1 kap. 1 § I första stycket anges att det i förordningen finns bestämmelser om registrering av uppgifter om studier inom utbildning på grundnivå, avancerad nivå och forskarnivå vid statliga universitet och högskolor. Bestämmelserna i förordningen gäller således inte för enskilda utbild- ningsanordnare. I första stycket anges vidare att det i förordningen finns bestämmelser om rapportering av uppgifter till SCB om studen- ter för officiell statistik, framställning av personalstatistik vid SCB och registrering av uppgifter om studie- och yrkesmeriter vid UHR. Upplysningsbestämmelserna i första stycket om förordningens tillämpningsområde saknas det skäl att ändra, eftersom de enligt utredningens bedömning är förenliga med dataskyddsförordningen. I andra stycket finns en upplysning om att förordningen gäller utöver personuppgiftslagen vid helt eller delvis automatiserad behandling av personuppgifter. När dataskyddsförordningen ska börja tillämpas kommer person- uppgiftslagen att upphävas. Hänvisningen till personuppgiftslagen ska således utgå. I övrigt saknas det enligt utredningens bedömning skäl till ändring av andra stycket. I sammanhanget aktualiseras dock frågan om behovet av att upplysa om och reglera förhållandet till bestämmelserna i dataskyddsförordningen och dataskyddslagen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat och har företräde framför nationell lagstiftning. Förordningen om redovisning av studier m.m. vid universitet och högskolor innehåller endast sådana tillåtna bestämmelser som kompletterar eller tar över bestämmelserna i dataskyddsförordningen. För att tillämparen ska få en fullständig bild av vilken reglering som gäller bör en bestämmelse med en upplysning om att dataskyddsförordningen gäller tas in i för- ordningen. Dataskyddslagen kommer, på samma sätt som personuppgifts- lagen, att vara subsidiär i förhållande till annan lagstiftning om behandling av personuppgifter. Av tydlighetsskäl bör en hänvisning till dataskyddslagen införas, så som görs till personupp- giftslagen. Utredningen föreslår därför att det i en ny paragraf, 1 a §, ska anges att förordningen kompletterar dataskyddsförordningen. I andra stycket ska förhållandet till dataskyddslagen regleras. I det tredje stycket i 1 § anges att ett universitet, en högskola, SCB och UHR är personuppgiftsansvariga för behandling av personupp- gifter i sin verksamhet. Av definitionen i artikel 4.7 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsam- mans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Enligt utredningens bedömning är därmed bestämmelsen i 1 kap. 1 § tredje stycket förordningen om redovisning av studier m.m. vid universitet och högskolor förenlig med dataskyddsförordningen. Bestämmelsen om vilka som är personuppgiftsansvariga kan och bör därför behållas. 1 kap. 2 och 3 §§ I 2 § anges att med högskolor avses i förordningen både universitet och högskolor. I följande paragraf finns därefter definitioner av student och doktorand. Enligt utredningens bedömning är bestäm- melserna förenliga med dataskyddsförordningens bestämmelser. Skäl att ändra dessa finns följaktligen inte. 1 kap. 4 § I 4 § regleras vilken information som ska lämnas till den som ansöker om antagning till en utbildning. Enligt bestämmelsen ska högskolan informera den sökande om att uppgifter som har lämnats, liksom uppgifter om studier kommer att behandlas automatiserat i register. Informationen ska innehålla en upplysning om att bestämmelser om registren finns i förordningen och omfatta den information som ska lämnas enligt personuppgiftslagen. Vilken information som enligt dataskyddsförordningen ska till- handahållas den registrerade regleras i artikel 13 och 14. I artikel 13 regleras vilken information som ska tillhandahållas om personupp- gifterna samlas in från den registrerade. I artikel 14 regleras vilken information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Enligt artikel 13.1 c och 14.1 c ska den registrerade förses med information om ändamålen med den behand- ling för vilken personuppgifterna är avsedda samt den rättsliga grun- den för behandlingen. Enligt artikel 14.1 d ska den registrerade även informeras om de kategorier av personuppgifter som behandlingen gäller. Utredningen bedömer därmed att dataskyddsförordningens be- stämmelser om vilken information som ska lämnas till den registre- rade omfattar sådan information som en högskola enligt 1 kap. 4 § förordningen om redovisning av studier m.m. vid universitet och högskolor ska lämna till sökanden. Dataskyddsförordningens be- stämmelser är direkt tillämpliga. Något skäl för att, med stöd av arti- kel 23, begränsa den enskildes rättigheter och de personuppgifts- ansvarigas skyldigheter enligt artikel 13 och 14 föreligger enligt utred- ningens bedömning inte. Mot denna bakgrund anser utredningen att bestämmelsen i 1 kap. 4 § förordningen om redovisning av studier m.m. vid universitet och högskolor ska upphävas. 1 kap. 5 § I 5 § finns en upplysning om att bestämmelserna i personuppgifts- lagen om rättelse och skadestånd gäller vid behandling av person- uppgifter enligt förordningen. I personuppgiftslagen finns bestämmelser om rättelse i 28 §. En- ligt lagrummet är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana per- sonuppgifter som inte har behandlats i enlighet med personuppgifts- lagen eller föreskrifter som har utfärdats med stöd av lagen. Eftersom 28 § PUL endast avser sådana personuppgifter som inte har behand- lats i enlighet med personuppgiftslagen eller föreskrifter som utfär- dats med stöd av lagen, har det i förordningen om redovisning av studier m.m. vid universitet och högskolor varit nödvändigt att hän- visa till personuppgiftslagens bestämmelser. Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få fel- aktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Eftersom personuppgiftslagen kommer att upphävas behöver 5 § i förordningen om redovisning av studier m.m. vid universitet och högskolor ändras. Mot bakgrund av att dataskyddsförordningen är direkt tillämplig såvitt gäller rättelse, till skillnad mot vad som gäller enligt personuppgiftslagen, ska någon materiell bestämmelse i natio- nell rätt inte införas. Enligt utredningens mening saknas vidare anledning att införa en upplysningsbestämmelse om att det i förord- ningen finns bestämmelser om rättelse. Med hänsyn till detta föreslår utredningen att 1 kap. 5 §, i den del som avser rättelse, ska upphävas. Som nämnts ovan anger 5 § att även bestämmelserna i person- uppgiftslagen om skadestånd gäller vid behandling av personupp- gifter enligt förordningen. Enligt 48 § PUL ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgifts- lagen har orsakat. Även avseende rätten till skadestånd har det där- med varit nödvändigt att i förordningen om redovisning av studier m.m. vid universitet och högskolor hänvisa till personuppgifts- lagens bestämmelser. I dataskyddsförordningen regleras rätten till skadestånd i arti- kel 82. Av artikel 82.1 följer att varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av dataskydds- förordningen ska ha rätt till ersättning från den personuppgifts- ansvarige eller personuppgiftsbiträdet för den uppkomna skadan. Av skäl 146 framgår att behandling som strider mot dataskyddsför- ordningen även omfattar behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med data- skyddsförordningen och medlemsstaternas nationella rätt med när- mare specifikation av dataskyddsförordningens bestämmelser. föreslår att 8 kap. 1 § dataskyddslagen ska innehålla en bestämmelse som upplyser om att rätten till ersätt- ning som regleras i artikel 82 i dataskyddsförordningen även gäller vid överträdelser av bestämmelser i dataskyddslagen och andra för- fattningar som kompletterar dataskyddsförordningen. Förordningen om redovisning av studier m.m. vid universitet och högskolor är en författning som kompletterar dataskyddsförordningen. Eftersom artikel 82 i dataskyddsförordningen är direkt tillämplig bör 1 kap. 5 § förordningen om redovisning av studier m.m. vid uni- versitet och högskolor även upphävas i den del som avser skade- stånd. Utredningen gör samma bedömning som i det föregående i fråga om behovet av att i stället göra om bestämmelsen till en upp- lysningsparagraf. 5 § bör följaktligen upphävas i sin helhet. 1 kap. 6 § I 6 § anges att beslut om rättelse och avslag på ansökan om infor- mation enligt 26 § PUL får överklagas hos allmän förvaltnings- domstol följer av 22 a § förvaltningslagen. Enligt artikel 79.1 i dataskyddsförordningen ska varje registrerad som anser att hans eller hennes rättigheter har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med förordningen ha rätt till ett effektivt rätts- medel, utöver rätten att lämna in ett klagomål till en tillsynsmyn- dighet. Av artikel 79.2 framgår att talan mot en personuppgiftsansva- rig eller ett personuppgiftsbiträde ska väckas vid domstolarna i den medlemsstat där den personuppgiftsansvarige eller personuppgifts- biträdet är etablerad. Talan får även väckas vid domstolarna i den medlemsstat där den registrerade har sin hemvist, såvida inte den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet som agerar inom ramen för sin myndighetsutövning. Enligt förslag till 8 kap. 2 § första stycket dataskyddslagen får beslut enligt artiklarna 12.5, 15–19 eller 21 i dataskyddsförordningen som har meddelats av en myndighet i egenskap av personuppgiftsansvarig överklagas till allmän förvalt- ningsdomstol. De rättigheter som kan föranleda överklagbara beslut enligt förslag rör således bl.a. register- utdrag (artikel 15) och rättelse (artikel 16). förslag omfattar därmed vad 1 kap. 6 § förordningen om redovisning av studier m.m. vid universitet och högskolor upplyser om. Frågan utredningen har att ta ställning till är därmed om 6 § ska ändras på så sätt att den hänvisar till dataskyddslagen i stället för som till personuppgiftslagen. I förarbetena i samband med att överklagandebestämmelserna i personuppgiftslagen infördes uttalas bl.a. följande (prop. 2005/06:173 s. 53). Genom införandet av en bestämmelse om överklagande i personupp- giftslagen är det inte längre nödvändigt att i särskilda registerförfatt- ningar, som hänvisar till personuppgiftslagen, ta in överklagandebestäm- melser. Så länge sådana särskilda bestämmelser inte upphävts gäller de dock i första hand eftersom särbestämmelser i annan författning gäller framför personuppgiftslagen (2 §). Det kan finnas anledning att vid över- syn av registerförfattningar särskilt uppmärksamma frågan om överkla- gande. Eftersom utredningen föreslår en bestämmelse i 1 a § andra stycket som hänvisar till dataskyddslagen där det finns en bestämmelse om överklagande, anser utredningen följaktligen att upplysningsbestäm- melsen om överklagande i 1 kap. 6 § ska upphävas. 2 kap. 1 § Första och andra stycket Enligt 1 § första stycket ska varje högskola dokumentera uppgifter om studenter. I andra stycket anges att varje högskola ska föra ett studieregister och där ange uppgifterna individuellt för varje student. Vidare anges att registret får föras med hjälp av automatiserad be- handling. Utredningen bedömer i avsnitt 5.6.2 att det genom nu nämnda bestämmelser finns en för statliga högskolor fastställd rättslig förplik- telse och uppgift av allmänt intresse att föra ett studieregister. Vidare anser utredningen att sådana bestämmelser är möjliga att införa och behålla med stöd av artikel 6.2 och 6.3 andra stycket i dataskydds- Bestämmelserna i 2 kap. 1 § första och andra stycket förordningen om redovisning av studier m.m. vid universitet och högskolor är således förenliga med dataskyddsförordningen och kan och bör behållas. Enligt 2 kap. 1 § tredje stycket ska en högskola upprätthålla en god intern kontroll över studieregistret och det ska finnas en beskrivning av hur registret förs. I dataskyddsförordningen finns det bestämmelser om register över behandling och säkerhet i samband med behandling i artikel 30 respektive artikel 32. Dessa bestämmelser är mer preciserade och långtgående än vad 2 kap. 1 § tredje stycket förordningen om redo- visning av studier m.m. vid universitet och högskolor anger. Bestäm- melsen i tredje stycket kan och bör därför upphävas, eftersom bestämmelserna i dataskyddsförordningen är direkt tillämpliga. Av 2 kap. 1 § fjärde stycket framgår att om en högskola avser att införa ett nytt system för att föra registret eller göra väsentliga för- ändringar i ett befintligt system, ska högskolan samråda dels med i syfte att säkerställa att de uppgifter i registret som ligger till grund för resurstilldelningen blir tillförlitliga, dels med UKÄ och UHR i syfte att säkerställa att uppgifterna i registret uppfyller krav på kvalitet och jämförbarhet mellan olika högskolor. Skyldigheten att i vissa fall samråda med Ekonomistyrningsver- ket, UKÄ och UHR tar inte direkt sikte på personuppgiftsbehand- ling. Någon ändring av fjärde stycket är därmed inte påkallad med anledning av att dataskyddsförordningen ska börja tillämpas. 2 kap. 2 § I 2 § första stycket anges att ändamålet med studieregistret är att säkra att uppgifter om sökande till utbildning, genomgångna studier, betyg över utbildningar och examina bevaras. Härutöver ska uppgif- terna kunna läggas till grund för uppföljning och utvärdering, för antagning av studenter, för beslut om anmälningsavgift och studie- avgift, för avstängning av studieavgiftsskyldiga studenter, för admi- nistration inom respektive högskola, för ändamål som anges i 6 och 6 a §§ (i dessa paragrafer regleras utlämnande av uppgifter), för sådan officiell statistik som avses i 3 kap. samt för resurstilldelning. Enligt andra stycket får registret användas även för forskning. I avsnitt 5.6.2 redovisas utredningens uppfattning att tillämpliga rättsliga grunder för behandling av personuppgifter enligt 2 kap. för- ordningen om redovisning av studier m.m. vid universitet och hög- skolor är artikel 6.1 c och första ledet i artikel 6.1 e i dataskydds- förordningen, dvs. rättslig förpliktelse och uppgift av allmänt intresse. Enligt artikel 6.2 och 6.3 andra stycket är det då tillåtet att i en registerförfattning behålla specifika bestämmelser i form av bl.a. ändamålsbegränsningar. Utredningen anser följaktligen att 2 kap. 2 § förordningen om redovisning av studier m.m. vid universitet och högskolor är förenlig med dataskyddsförordningen och att bestäm- melsen kan och bör behållas. 2 kap. 3 § Av 3 § första stycket framgår att det i studieregistret ska dokumen- teras uppgifter om behörighet, urvalsgrund, skyldighet att betala och betalning av anmälningsavgift och studieavgift, antagning, del- tagande i utbildning och prov, studieresultat, betyg, tillgodoräknad utbildning eller annan tillgodoräknad verksamhet samt examen. Enligt andra stycket ska studieregistret därutöver innehålla sådana uppgifter som krävs för att högskolan ska kunna lämna uppgifter till SCB enligt 3 kap. och UHR enligt 4 kap. Av tredje stycket framgår att studieregistret också får innehålla de uppgifter om studenter som behövs för resultatredovisning. I fråga om vilka uppgifter som ska och får behandlas i studie- registret gör utredningen motsvarande bedömning som den i 2 kap. 2 § om ändamålsbegränsningar, eftersom det enligt artikel 6.2 och 6.3 andra stycket i dataskyddsförordningen är tillåtet att i en regis- terförfattning behålla specifika bestämmelser även i form av vilken typ av uppgifter som ska behandlas. Utredningen bedömer därför att 3 § är förenlig med dataskyddsförordningen och att den kan och bör behållas. 2 kap. 4 § Enligt 4 § ska uppgifterna i studieregistret om dels deltagande i ut- bildning, dels studieresultat föras i kronologisk och systematisk ordning. Underlaget för uppgifterna ska behandlas i enlighet med föreskrifterna om verifikationer i förordningen (2000:606) om myn- digheters bokföring. Även i denna del gör utredningen motsvarande bedömning som den i 2 kap. 2 § om ändamålsbegränsningar, eftersom det enligt artikel 6.2 och 6.3 andra stycket i dataskyddsförordningen är tillåtet att i en registerförfattning behålla specifika bestämmelser även i form av förfaranden för behandling. Utredningen bedömer således att bestämmelserna i 4 § är förenliga med dataskyddsförordningen och att de kan och bör behållas. 2 kap. 5 §