sou · H5B349 · 2017-06-02 00:00:00 — Det ingår också i utredningens uppdrag att bl.a. analysera vilka kompletterande bestämmelser om myndigheters bevarande av allmänna handlingar, användning av uppgifter i dessa och överläm- nande av arkivmaterial till en arkivmyndighet som behövs i den gene- rella regleringen samt analysera vilka övriga kompletterande bestäm- melser om behandling av personuppgifter för arkivering i all- mänhetens intresse samt för vetenskapliga eller historiska forsknings- ändamål eller för statistiska ändamål som bör finnas i den generella regleringen. I uppdraget ingår inte att se över eller lämna förslag till förändringar av sådan sektorsspecifik reglering om behandling av personuppgifter som bl.a. finns i de särskilda registerförfattningarna. När det gäller utbildningsområdet kommer regeringen att besluta att uppdra åt en särskild utredare att föreslå en kompletterande reg- lering av behandling av personuppgifter för forskningsändamål. Syf- tet är att regleringen ska möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål som den skyddar den enskildes fri- och rättigheter. Uppdraget att undersöka vilken nationell kompletterande reglering av behandlingen av personuppgifter som kan behövas på utbildningsområdet Vad är utbildningsområdet? Utbildningsområdet omfattar bl.a. skolväsendet, den verksamhet som bedrivs av universitet och högskolor, och folk- bildningen. Skolväsendet omfattar skolformerna förskola, förskoleklass, grundskola, grundsärskola, specialskola, sameskola, gymnasieskola, gymnasiesärskola, vuxenutbildning och särskild utbild- ning för vuxna. I skolväsendet ingår också fritidshem som komplet- terar utbildningen i förskoleklassen, , grundsärskolan, specialskolan, sameskolan och vissa särskilda utbildningsformer (1 kap. 1 § skollagen [2010:800]). Kommuner är huvudmän för förskola, förskoleklass, grundskola, grundsärskola, gymnasieskola, gymnasiesärskola, vuxenutbildning, särskild utbildning för vuxna och fritidshem. Staten är huvudman för specialskola och sameskola och för förskoleklass och fritidshem vid en skolenhet inom dessa skolformer. I viss utsträckning får ett landsting vara huvudman för gymnasieskola, gymnasiesärskola, vuxen- utbildning och särskild utbildning för vuxna. Efter ansökan som prövas av , eller i vissa fall av kommunen där utbildningen ska bedrivas, får en enskild godkännas som huvudman för förskola, förskoleklass, grundskola, grundsärskola, gymnasie- skola, gymnasiesärskola och fritidshem. Det finns också vissa möj- ligheter för huvudmän inom skolväsendet att bl.a. lägga ut vissa upp- gifter på entreprenad till enskilda fysiska och juridiska personer (23 kap. skollagen). och högskolor ges eftergymnasial utbildning på grundnivå, avancerad nivå och forskarnivå. Examina utfärdas på grundnivå, avancerad nivå och forskarnivå. I vissa fall krävs tillstånd för att utfärda examina. De flesta universitet och högskolor har sta- ten som huvudman. Tillstånd att utfärda examina kan också ges till enskilda utbildningsanordnare. prövar frågor om examenstillstånd. Inom ges eftergymnasiala yrkesutbildningar. Utbildning inom får anordnas av statliga universitet och högskolor, kommuner, landsting och enskilda fysiska eller juri- diska personer. En anordnare av utbildning får ansöka om att utbild- ningen ska ingå i och beslut fattas av Myndigheten för . En utbildning inom ska svara mot behov av kvalificerad arbetskraft i arbetslivet som inte tillgodo- ses genom en utbildning enligt högskolelagen (1992:1434) eller en utbildning som kan leda fram till en examen enligt lagen (1993:792) om tillstånd att utfärda vissa examina. En anordnare av utbildning inom får efter anmälan bedriva sådan utbildning även som uppdragsutbildning. Till folkbildningen räknas bl.a. folkhögskolor och studieförbund. De flesta folkhögskolor drivs av folkrörelser eller andra organisatio- ner. Övriga folkhögskolor ägs och drivs av regioner, landsting eller kommuner. Studieförbunden är ideella organisationer som driver bl.a. studiecirkelverksamhet och kulturverksamhet. Till utbildningsområdet hör även studiestödet. Studiestödet består framför allt av ekonomiskt stöd till enskilda i form av bl.a. studiehjälp och studiemedel. Finns det behov av kompletterande regleringar på utbildningsområdet? När myndigheter och enskilda behandlar personuppgifter inom ut- bildningsområdet sker det huvudsakligen med stöd av PUL. När dataskyddsförordningen träder i kraft kommer möjliga grunder för behandling av personuppgifter huvudsakligen att vara antingen att den registrerade har lämnat sitt samtycke till att hans eller hennes personuppgifter behandlas för ett eller flera specifika ändamål (arti- kel 6.1 a i dataskyddsförordningen) eller att behandlingen är nöd- vändig för att fullföra en rättslig skyldighet (artikel 6.1 c) eller för att utföra en arbetsuppgift av allmänt intresse eller i samband med myn- dighetsutövning (artikel 6.1 e). För att säkerställa att ett samtycke lämnas frivilligt bör enligt beaktandesats 43 i dataskyddsförordningen samtycke inte utgöra en giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansva- rige är en offentlig myndighet och det därför är osannolikt att sam- tycket lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Medlemsländerna har enligt artikel 6.2 i dataskyddsförordningen rätt att i nationell rätt behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen för att efterleva artikel 6.1 (c) och (e) genom att närmare fastställa speci- fika krav för uppgiftsbehandlingen och andra åtgärder för att säker- ställa en laglig och rättvis behandling. Enligt artikel 6.3 ska grunden för den behandling av personupp- gifter som avses i artikel 6.1 c och 6.1 e fastställas i enlighet med unionsrätten eller den nationella rätten som den personuppgifts- ansvarige omfattas av. Denna rättsliga grund kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i data- skyddsförordningen, bland annat de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling av uppgifter, vilken typ av uppgifter som ska behandlas, berörda registrerade, till vilka uppgif- terna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Den nationella lagstiftningen måste uppfylla ett mål av allmänt in- tresse och vara proportionell mot det legitima mål som eftersträvas. Det behöver analyseras vad dataskyddsförordningens krav i den- na del innebär i fråga om nationell författningsreglering. Data- skyddsutredningen ska analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs behandling och lämna behövliga och lämpliga författnings- förslag. Som nämnts har regeringen beslutat att uppdra åt en särskild utredare att föreslå en kompletterande reglering av behand- ling av personuppgifter för forskningsändamål. När det gäller be- handling av personuppgifter som utförs av myndigheter, kommuner, landsting och enskilda inom utbildningsområdet i övrigt behöver det analyseras om en eller flera regleringar på nationell nivå är möjlig och kan behövas, utöver den generella reglering som Dataskyddsutred- ningen kommer att föreslå, för att säkerställa att nödvändig behand- ling av personuppgifter inom utbildningsområdet kan ske på ett ändamålsenligt sätt som enskildas fri- och rättigheter skyd- das. undersöka vilken reglering på nationell nivå av personuppgifts- behandling inom utbildningsområdet, med undantag från forsk- ningsverksamhet, som är möjlig och kan behövas utöver data- skyddsförordningen och den generella reglering som Dataskydds- utredningen kommer att föreslå, och lämna de författningsförslag som behövs. Finns det behov av särskild reglering av behandling av känsliga personuppgifter inom utbildningsområdet? Liksom i det nu gällande dataskyddsdirektivet och 13 § PUL finns det i artikel 9.1 i dataskyddsförordningen ett principiellt förbud mot att behandla särskilda kategorier av personuppgifter. I PUL används uttrycket känsliga personuppgifter för sådana uppgifter. Med särskilda kategorier av personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening liksom be- handling av genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en person eller uppgifter som rör hälsa, sexual- liv eller sexuell läggning. Förbudet är förenat med en rad viktiga un- dantag som fastställs i artikel 9.2–9.4. Förbudet gäller inte om den registrerade uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål (arti- kel 9.2 a). Förbudet gäller inte heller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionslag- stiftningen eller medlemsstaternas nationella rätt. Unionslagstift- ningen och medlemsstatens nationella rätt ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Vidare gäller inte förbudet om behandlingen av personuppgifterna är nödvändig av skäl som hör samman med bl.a. förebyggande hälso- och sjukvård och tillhanda- hållandet av hälso- och sjukvård (artikel 9.2 h). Dessutom får det i medlemsstaternas lagstiftning införas särskilda bestämmelser om data- skydd för att anpassa tillämpningen av bestämmelserna i data- skyddsförordningen i syfte att fullgöra en rättslig skyldighet eller en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra (artikel 6.2). I direktiven till konstateras att möjlig- heten att göra undantag från förbudet mot att behandla känsliga personuppgifter i svensk rätt i stor utsträckning kommer att utnyttjas genom sektorsspecifik lagstiftning men att utgångspunkten bör vara att det även i fortsättningen kommer att behövas vissa bestämmelser om undantag från förbudet av det slag som finns i personupp- giftslagen och personuppgiftsförordningen (1998:1191). Dataskydds- utredningen ska därför överväga vilka kompletterande bestämmel- ser om undantag från förbudet att behandla känsliga personuppgif- ter som bör finnas i den generella regleringen som utredaren ska lämna förslag till. Inom utbildningsområdet är det i vissa fall nödvändigt att be- handla s.k. känsliga personuppgifter. Inom skolväsendet kan det exempelvis handla om sådana uppgifter i samband med modersmåls- undervisning eller om elever i sameskolan som anses avslöja etniskt ursprung eller uppgifter som rör hälsa, t.ex. inom elevhälsan eller i de utredningar som ska göras inför antagning till specialskolan och grundsärskolan och i vissa fall till gymnasiesärskolan. Det behöver därför analyseras om det finns behov av kompletterande bestämmel- ser som reglerar behandling av känsliga personuppgifter inom utbild- ningsområdet utöver den generella reglering som Dataskyddsutred- ningen kommer att föreslå. Eftersom behandling av känsliga person- uppgifter förekommer hos flera olika myndigheter och enskilda be- höver det i detta sammanhang också övervägas om en sådan reglering i så fall behöver finnas i en eller flera olika registerförfattningar. analysera om det utöver dataskyddförordningen och den generella reglering som kommer att föreslå finns ett behov av kompletterande regleringar för behandling av känsliga personuppgifter inom utbildningsområdet, och lämna de författningsförslag som behövs. Uppdraget att analysera behovet av reglering för vissa register När myndigheter och enskilda behandlar personuppgifter inom ut- bildningsområdet sker det huvudsakligen med stöd av PUL. Inom området finns det också några registerförfattningar. Studiestödsdata- lagen (2009:287) tillämpas vid behandling av personuppgifter i Centrala () studiestödsverksamhet. Lagen kompletteras av studiestödsdataförordningen (2009:321). Förord- ningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor reglerar bl.a. register som förs av universitet och hög- skolor. Förordningen (2011:268) om lärar- och förskollärarregister reglerar det register ska föra över legitimerade och tidigare legitimerade lärare och förskollärare. Förordningen (2006:39) om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar reglerar det register kommunerna ska föra över de ungdomar som omfattas av aktivitetsansvaret. Behandling av personuppgifter sker vidare i några register som inte regleras av någon särskild registerförfattning. I dessa fall sker således behandlingen av personuppgifter med stöd av PUL. Univer- sitets- och högskolerådet administrerar betygsdatabasen där uppgifter om examensbevis från gymnasieskolan registreras. Myn- digheten för för register över uppgifter om de stu- derande i utbildningarna inom och i de utbildningar som bedrivs som uppdragsutbildningar samt de studerandes studie- resultat, betyg, examina och utbildningsbevis. Dessutom finns det ett centralt register över deltagare i studiecirklar och annan folkbild- ningsverksamhet hos studieförbunden. Behandling av personuppgifter på studiestödsområdet Studiestödsdatalagen tillämpas vid behandling av personuppgifter i CSN:s studiestödsverksamhet. Den innehåller bl.a. bestämmelser om förhållandet till PUL, ändamålet med behandlingen av person- uppgifter enligt lagen, begränsningar i rätten att behandla person- uppgifter, sökbegrepp som får användas, direktåtkomst och gallring av uppgifter. I den mån PUL innehåller bestämmelser om behand- ling av personuppgifter som saknar motsvarighet i studiestödsdata- lagen ska PUL tillämpas vid behandling av personuppgifter i CSN:s studiestödsverksamhet. I studiestödsdataförordningen finns bestäm- melser som kompletterar lagens bestämmelser. När dataskyddsförordningen träder i kraft kommer PUL att upp- hävas. se över vilka anpassningar av studiestödsdatalagen och studie- stödsdataförordningen som behövs med anledning av dataskydds- förordningen, den generella reglering som kommer att föreslå och de övriga förslag utredaren kan komma att lämna, och lämna de författningsförslag som behövs. Register som rör universitet och högskolor Förordningen om redovisning av studier m.m. vid universitet och högskolor innehåller bestämmelser om registrering av uppgifter om studier inom utbildning på grundnivå, avancerad nivå och forskar- nivå vid statliga universitet och högskolor, rapportering av uppgifter till () om studenter för officiell statistik, framställning vid SCB av personalstatistik över högskolornas per- sonal och registrering av uppgifter i antagningsregistret vid Uni- versitets- och högskolerådet. Förordningen gäller utöver PUL. Bestämmelserna i om rät- telse och skadestånd gäller vid behandling av personuppgifter enligt När dataskyddsförordningen träder i kraft kommer PUL att upphävas. se över vilka ändringar i förordningen om redovisning av studier m.m. vid universitets- och högskolor som behöver göras med anledning av dataskyddsförordningen, den generella reglering som kommer att föreslå och de övriga förslag utredaren kan komma att lämna, och lämna de författningsförslag som behövs. Dåvarande Verket för högskoleservice fick 1996 i uppdrag att skapa och förvalta ett system för inhämtning, kontroll och lagring av pre- sumtiva studenters slutbetyg från gymnasieskolan. Detta blev den nationella betygsdatabasen (). Härigenom skapades ett enkelt sätt att föra över slutbetyg från gymnasieskolor till SCB och högskolornas antagningssystem. Databasen administreras av Univer- sitets- och högskolerådet (UHR). För att fylla det statliga behovet av uppföljning och statistik när det gäller skolväsendet finns det bestämmelser om uppgiftsskyldighet för skolhuvudmännen. Nästan alla skolhuvudmän har kommit att, när det gäller vissa uppgifter, fullgöra sin uppgiftsskyldighet enligt bestämmelserna genom att skicka in uppgifter till . Dessutom har kommuner använt sig av uppgifter ur för att på ett enkelt sätt få uppgift om ungdomar som har gymnasieexamen och därmed inte omfattas av kommunernas aktivitetsansvar för ungdomar. Det är frivilligt för en gymnasieskola att ansluta sig till men av gymnasieskolorna har anslutit sig och 40–45 pro- cent av dem som bedriver vuxenutbildning. De skolor som inte är anslutna till fullgör sin skyldighet att lämna uppgifter genom att själva lämna uppgifter om slutbetyg direkt till . När en person söker till en högskoleutbild- ning överförs uppgiften om gymnasieexamen från till UHR:s antagningsregister. är emellertid inte en del av antagnings- registret och regleras inte av förordningen om redovisning av studier m.m. vid universitet och högskolor, där behandlingen av personupp- gifter i antagningsregistret regleras. Förutom en bestämmelse i förordningen om register och doku- mentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar, om utlämnande av uppgifter från till kommuner, finns det ingen särskild författning som reglerar behandlingen av personuppgifter i . Behandlingen av personuppgifter i regist- ret regleras således av PUL. När dataskyddsförordningen träder i kraft kommer PUL att upphävas. analysera om det behövs något författningsstöd, utöver data- skyddsförordningen, den generella reglering som Dataskydds- utredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna, för att personuppgifter ska kunna behand- las i betygsdatabasen även fortsättningsvis, och lämna de författningsförslag som behövs. Statens skolverks register över legitimerade lärare och förskollärare Enligt förordningen om lärar- och förskollärarregister ska föra ett register över legitimerade och tidigare legitimerade lärare och förskollärare. PUL gäller vid behandling av personupp- gifter i registret om inte annat följer av förordningen. I förordningen regleras vilka ändamål uppgifterna i registret får behandlas för, vilka uppgifter registret får innehålla, utlämnande av uppgifter från regist- ret och information till den registrerade om registret. När dataskyddsförordningen träder i kraft kommer PUL att upp- hävas. analysera vilka ändringar i förordningen om lärar- och förskol- lärarregister som behöver göras med anledning av dataskyddsför- ordningen, den generella reglering som kommer att föreslå och de övriga förslag utredaren kan komma att lämna, och lämna de författningsförslag som behövs. Behandlingen av personuppgifter hos Myndigheten för Enligt förordningen (2011:1162) med instruktion för Myndigheten för ska myndigheten svara för ett register över upp- gifter om de studerande i utbildningarna inom och i de utbildningar som bedrivs som uppdragsutbildningar samt de stu- derandes studieresultat, betyg, examina och utbildningsbevis (2 § 5). Myndigheten ska också pröva frågor om stöd enligt förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar samt svara för ett register över uppgifter om de stu- derande i utbildningarna och de studerandes studieresultat, betyg, intyg och utbildningsbevis (2 § 6). Myndigheten är personuppgifts- ansvarig för behandlingen av personuppgifter i sin verksamhet (9 § 4). Någon särskild författning som reglerar behandlingen av person- uppgifter i de register som myndigheten ska svara för finns inte. Behandlingen av personuppgifter regleras således av PUL. När data- skyddsförordningen träder i kraft kommer PUL att upphävas. analysera om det behövs något författningsstöd utöver data- skyddsförordningen, den generella reglering som Dataskydds- utredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna för att personuppgifter ska kunna behandlas även fortsättningsvis i de register som Myndigheten för yrkes- högskolan svarar för, och lämna de författningsförslag som behövs. Kommunernas register över de ungdomar i kommunen som omfattas av aktivitetsansvaret för ungdomar En hemkommun ska enligt skollagen löpande hålla sig informerad om hur de ungdomar i kommunen är sysselsatta som har fullgjort sin skolplikt men inte har fyllt och inte genomför eller har fullföljt utbildning på nationella program i gymnasieskola eller gymnasiesärskola eller motsvarande utbildning. Ansvaret benämns kommunernas aktivitetsansvar för ungdomar. Hemkommunen har inom ramen för ansvaret uppgiften att erbjuda de ungdomar som berörs lämpliga individuella åtgärder. Åtgärderna ska i första hand syfta till att motivera den enskilde att påbörja eller återuppta en ut- Kommunen ska dokumentera sina insatser på lämpligt sätt. Kommunen ska också föra ett register över de ungdomar som om- fattas av ansvaret. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om den dokumentation och den behandling av personuppgifter som är nödvändig för att kommunen ska kunna fullgöra sina skyldigheter (29 kap. 9 §). Regeringen har meddelat sådana föreskrifter i förordningen om register och doku- mentation vid fullgörandet av kommunernas aktivitetsansvar för ung- domar. Förordningen innehåller bl.a. bestämmelser om förhållandet till personuppgiftslagen, ändamålet med behandlingen av personupp- gifter, vilka uppgifter som får behandlas och om uppgiftsskyldighet. När dataskyddsförordningen träder i kraft ska PUL upphävas. analysera vilka ändringar i förordningen om register och doku- mentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar som behöver göras med anledning av dataskyddsför- ordningen, den generella reglering som kommer att föreslå och de övriga förslag utredaren kan komma att lämna, och lämna de författningsförslag som behövs. Registret över deltagare i studieförbundens verksamhet Genom 7 b § lagen (1976:1046) om överlämnande av förvaltnings- uppgifter inom verksamhetsområde har () anförtrotts förvaltningsuppgiften att pröva frågor om fördelning av statsbidrag mellan folkhögskolor, studie- förbund och studerandeorganisationer inom folkhögskolan. Fördel- ningen av statsbidrag till folkbildningen regleras i förordningen (2015:218) om statsbidrag till folkbildningen. Enligt förordningen ska FBR kontinuerligt följa upp och utvärdera verksamheten i för- hållande till de syften med folkbildningen som anges i förordningen och de villkor som föreskrivs för att statsbidrag ska lämnas. FBR ska också i enlighet med de riktlinjer som regeringen meddelar lämna regeringen sådana sakuppgifter om verksamheten och sådan verksam- hetsredovisning som behövs för uppföljning och utvärdering. ska redovisa hur statsbidraget har använts för studie- förbundens verksamhet. Detta har lett till att ett centralt register över deltagare i studie- cirklar och annan folkbildningsverksamhet hos studieförbunden har skapats. FBR är personuppgiftsansvarigt för registret och SCB är personuppgiftsbiträde och förvaltar registret. Ändamålet med detta centrala register är dels att kunna presentera den statistik och göra den återrapportering som FBR är skyldigt att göra, dels att skapa underlag för fördelningen av statsbidrag och att med detta som underlag göra det möjligt att tillföra folkbildningsverksamheten i öv- rig offentlig utbildnings- och kulturstatistik. Studieförbunden rapporterar in personuppgifter för del- tagarna till SCB, som förvaltar registret. SCB sammanställer aggre- gerade avidentifierade data som med sekretessförbehåll används av FBR. FBR har inte tillgång till personuppgifter utan personuppgifter och kod för att knyta uppgift till en enskild individ finns hos SCB. Till registret rapporteras ca 2,4 miljoner deltagare . var det fråga om 914 763 unika individer.