sou · H5B349 · 2017-06-02 00:00:00 — 8Regeringens beslut , U2016/01099/UF, U2016/05429/UF (delvis), U2016/05629/UF, Riktlinjer för i fråga om användningen av anslagen 14:1 och 14:3 utgiftsområde 17 Kultur, medier trossamfund och fritid. 9FBR, Statsbidrag till studieförbund , villkor och fördelningskriterier, s. 18 och 23. ring ska inhämtas i samband med information om registreringen vid deltagarens anmälan. Vissa uppräknade undantag från personnum- merrapportering accepteras. FBR har genom årliga avtal med () gett SCB i uppdrag att hantera insamlingen och framställa deltagar- statistiken. Insamlingen av uppgifter till deltagarstatistiken görs från de tio studieförbunden. Studieförbunden rap- porterar således in deltagarnas personuppgifter till SCB. SCB bearbetar sedan dessa uppgifter genom att matcha per- sonnummer mot Registret över totalbefolkningen och hämtar där- igenom uppgifter om bl.a. folkbokföring (på län- och kommunnivå), kön, ålder, utländsk/svensk bakgrund och född i /utomlands. Vidare hämtas uppgift om deltagarnas högsta utbildning från Utbild- ningsregistret. SCB sammanställer en gång aggregerade, sekretessgrans- kade och avidentifierade data till FBR. FBR har inte tillgång till per- sonuppgifterna utan personuppgifter och kod för att knyta uppgift till en enskild individ finns hos SCB. Det är SCB som förvaltar registret. I utredningens kommittédirektiv anges att FBR är personupp- giftsansvarig för ett centralt register som innehåller uppgifter om del- tagare i studiecirklar och annan folkbildningsverksamhet. Av den beskrivning som getts av FBR framgår dock att det inte är ett centralt register utan flera register/personuppgiftssamlingar. skapas utifrån studieförbundens rapportering ett nytt register över de som deltar i studiecirklar och annan folkbild- ningsverksamhet. efter att SCB levererat aggregerad statistik i exceltabeller till FBR gallras, dvs. raderas, det insamlade materialet. Kodnyckeln för insamlingen som skett under vårter- minen sparas dock för att möjliggöra uppföljning av nya och återkommande deltagare. Därefter gallras även kodnyckeln löpande årsvis. För halvårsinsamlingen gallras materialet utan sparande av kodnyckel efter att bearbetningen gjorts. FBR är per- sonuppgiftsansvarig för registren och SCB är personuppgiftsbiträde och förvaltar registren. Syftena med dessa centrala register är dels att kunna ta fram den statistik som krävs för återrapportering till i form av årsredovisning och budgetunderlag som FBR är skyldigt att göra, dels att skapa underlag för fördelningen av statsbidrag och att med detta som underlag göra det möjligt att tillföra folkbildningsverk- samheten i övrigt offentlig utbildnings- och kulturstatistik. Cirka 2,4 miljoner deltagare rapporteras till registren. var det fråga om 914 763 unika individer. Någon särskild registerförfattning som reglerar behandlingen av personuppgifter i registren finns inte. 7.3.2Utredningens uppdrag i denna del Som nämnts i föregående avsnitt omfattas FBR:s register över delta- gare i studiecirklar och annan folkbildningsverksamhet hos studie- förbunden inte av någon särskild registerförfattning. Datainspek- tionen har en i skrivelse till (Utbildningsdeparte- mentet) konstaterat att det är ett mycket omfattande register och har påtalat att myndigheten anser att ett centralt register av denna omfattning och detta slag behöver regleras i en särskild registerför- fattning10. Av utredningens kommittédirektiv framgår att en bedömning av om registret behöver regleras i en särskild registerförfattning behö- ver göras mot bakgrund av att personuppgiftslagen kommer att upp- hävas när dataskyddsförordningen ska börja tillämpas. Vidare anges att bestämmelserna i en eventuell registerförfattning behöver vara anpassade till bestämmelserna i dataskyddsförordningen och till den generella reglering som kommer att föreslå och de regleringar på utbildningsområdet som utredningen kan kom- ma att föreslå. Mot den bakgrunden ska utredningen analysera om det behövs något författningsstöd utöver dataskyddsförordningen, den gene- rella reglering som kommer att föreslå och de övriga förslag utredaren kan komma att lämna för att personupp- gifter ska kunna behandlas i registret över deltagare i studiecirklar och annan folkbildningsverksamhet hos studieförbunden. Utred- ningen ska även lämna de författningsförslag som behövs. 10 Datainspektionens skrivelse , dnr 1382-2008, U2008/6677/SV. Bedömning: FBR och studieförbunden tillämpar samtycke från deltagarna i studiecirklar och annan folkbildningsverksamhet som rättslig grund för behandlingen av deras personuppgifter i FBR:s centrala uppgiftssamlingar över deltagare i studiecirkel och annan folkbildningsverksamhet som förvaltas av SCB. FBR och studie- förbunden kan även efter det att dataskyddsförordningen ska börja tillämpas använda samtycke, dvs. artikel 6.1 a i dataskydds- förordningen, till stöd för denna personuppgiftsbehandling. Varken 2 kap. 6 § regeringsformen eller några andra skäl for- drar att det införs någon särskild reglering av behandlingen av per- sonuppgifter hos FBR i fråga om uppgiftssamlingarna. Rättslig grund för behandling av personuppgifter Enligt artikel 6.1 i dataskyddsförordningen krävs att åtminstone ett av de i artikeln uppräknade villkoren är uppfyllt för att behandling av personuppgifter ska vara laglig. Ett sådant villkor är samtycke från den registrerade (a). Ett annat villkor är att behandlingen är nödvän- dig för att fullgöra en rättslig förpliktelse som åvilar den personupp- giftsansvarige (c). Ett ytterligare villkor är att behandlingen är nöd- vändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (e). Enligt artikel 6.3 första stycket krävs att den grund för behand- lingen som avses i punkt 1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den person- uppgiftsansvarige omfattas av. har uttalat att grunden för behandlingen inte kan vara behandlingen i sig (SOU 2017:39 avsnitt 8.3.1). Med grunden för behandlingen avses den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen. Beträffande rättsliga förpliktelser (arti- kel 6.1 c) har ansett att dessa kan vara fast- ställda genom att framgå av författning, men även av myndighets- beslut och domar som har meddelats med stöd av gällande rätt (SOU 2017:39 avsnitt 8.3.2). Även angående uppgifter av allmänt intresse har ansetts att dessa kan vara fastställda genom författning eller beslut som följer av lag eller annan författning (SOU 2017:39 avsnitt 8.3.4). Enligt artikel 6.3 andra stycket ska dessutom avseende 6.1 c syftet med behandlingen vara fastställt i den rättsliga grunden. Beträffande behandling enligt 6.1 e ska syftet med behandlingen vara nödvändigt för att utföra en uppgift av allmänt intresse. Unionsrätten eller med- lemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Den första frågan som utredningen behöver ta ställning till är vilken eller vilka rättsliga grunder som personuppgiftsbehandling i nämnda register kan grundas på. FBR är en ideell organisation som genom 7 b § lagen om överläm- nande av förvaltningsuppgifter inom verksamhetsområde har anförtrotts förvaltningsuppgiften att pröva frågor om fördelning av statsbidrag mellan folkhögskolor, studieför- bund och studerandeorganisationer inom folkhögskolan. I 5 § andra stycket förordningen om statsbidrag till folkbildningen anges att FBR beslutar om vilka som ska få statsbidrag och fördelar tillgäng- liga medel mellan dem. Vidare anges i 15 § andra stycket att FBR ska, i enlighet med de riktlinjer som regeringen meddelar, lämna reger- ingen sådana sakuppgifter om verksamheten och sådan verksamhets- redovisning som behövs för uppföljning och utvärdering. Regeringen meddelar riktlinjer för FBR. I riktlinjerna anges att FBR ska redovisa hur statsbidraget har använts för studieförbundens verksamhet. Detta ska ske genom att antalet studiecirklar, antalet studietimmar och ämnesinriktning på cirklarna anges. Det totala deltagarantalet ska redovisas. Även bl.a. antalet del- tagare som är utrikes födda och deltagarnas utbildningsbakgrund ska redovisas.11 Av nämnda bestämmelser framgår att förvaltningsuppgifter som innefattar myndighetsutövning anförtrotts åt FBR. Uppgifterna består i att FBR i den mån det finns tillgång till medel ska besluta bl.a. vilka studieförbund som ska få statsbidrag och fördela tillgäng- liga medel mellan dem. Nödvändig behandling av personuppgifter 11 Regeringens beslut dnr U2016/01099/UF, U2016/05429/UF (delvis), U2016/05629/UF, Riktlinjer för i fråga om användningen av anslagen 14:1 och 14:3 inom utgiftsområde 17 Kultur, medier trossamfund och fritid, s. 4. för att utföra myndighetsutövningen kan därför ske med stöd av 6.1 e i dataskyddsförordningen. FBR är genom de riktlinjer regeringen beslutat om förpliktad att redovisa hur statsbidraget har fördelats och bl.a. redogöra för antalet studiecirklar och antalet studietimmar. Vidare ska det totala antalet deltagare redovisas. Antalet deltagare som är utrikes födda och anta- let deltagare med funktionsnedsättning liksom deltagarnas utbild- ningsbakgrund ska anges. Enligt utredningens uppfattning är det fråga om sådana rättsliga förpliktelser som avses i 6.1 c i dataskydds- förordningen. FBR redovisar i deltagarregistret uppgifter om utri- kes- och inrikesfödda, utbildningsbakgrund, ålder och kön. Uppgif- ter om antalet deltagare med funktionsnedsättning samlas inte in på individnivå utan redovisas i ett annat sammanhang. Av den rättsliga förpliktelsen kan utläsas att antalet deltagare måste redovisas men enligt utredningens bedömning kan dock inte syftet med behandlingen av enskilda deltagares i studieförbunden personuppgifter hos FBR utläsas. Enligt utredningens bedömning kan därför inte den rättsliga grunden rättslig förpliktelse användas som grund för behandlingen. Frågan är då om den rättsliga grunden uppgift av allmänt intresse är tillämplig. Att tillhandahålla utbildning är enligt utredningens bedömning en uppgift av allmänt intresse. FBR tillhandahåller ingen utbildning men har genom författningar getts i uppdrag att besluta vilka utbildningsanordnare, i form av folkhögskolor och studieför- bund som uppfyller vissa villkor, som ska få statsbidrag samt fördela tillgängliga medel mellan dem. anser att uppgifter som utförs i syfte att utföra ett uttryckligt uppdrag eller till följd av ett åliggande bör anses vara av allmänt intresse oavsett om de faktiskt utförs i myndighetens egen regi eller t.ex. genom utkontraktering utförs av någon annan. När en juridisk eller fysisk person, på uppdrag av en eller statlig myndighet, utför en förvaltningsuppgift som åligger kommunen eller myndigheten bör entreprenören anses utföra en uppgift av allmänt intresse (SOU 2017:39 avsnitt 8.3.4). Genom lagen om överlämnande av förvaltningsuppgifter inom verksamhets- område har FBR anförtrotts förvaltningsuppgiften att pröva frågor om fördelning av statsbidrag mellan folkhögskolor, studieförbund och studerandeorganisationer inom folkhögskolan. Enligt utred- ningens bedömning utgör detta en uppgift av allmänt intresse som är fastställd genom den författningen. Regleringen är tydlig och precis och dess tillämpning är förutsägbar för de som omfattas av den. FBR skulle således kunna behandla nödvändiga personuppgifter för att utföra uppgiften av allmänt intresse, dvs. i detta fall samla in och föra ett register över deltagarna i studieförbundens studiecirklar och annan folkbildningsverksamhet för att kunna återrapportera till , förutsatt att syftet med behandlingen är nödvän- digt för att utföra uppgiften av allmänt intresse (artikel 6.3 andra stycket i dataskyddsförordningen). Utredningen konstaterar att är personupp- giftsbehandling tillåten om den är nödvändig för att kunna utföra en arbetsuppgift av allmänt intresse (jfr 10 § d PUL). Det rättsliga stödet tillämpas dock enligt de uppgifter utredningen hämtat in inte av FBR för nu aktuell personuppgiftsbehandling. Av FBR:s villkor och fördelningskriterier för statsbidrag till studieförbund framgår i stället att studieförbunden ska inhämta samtycke i samband med information om registreringen vid deltagarens anmälan. Ett studieförbund formulerar själv målen för sin verksamhet utifrån samhällets stöd till en fri och frivillig folkbildningsverksam- het och utifrån sin profil.12 Att delta i en studiecirkel eller annan folkbildningsverksamhet som anordnas av ett studieförbund är fritt och frivilligt. Det är därmed enligt utredningens mening tydligt att det inte råder betydande ojämlikhet mellan de enskilda vars person- uppgifter behandlas och studieförbunden eller FBR (jfr skäl 43 till dataskyddsförordningen). Både FBR och studieförbunden kan såle- des som använda sig av samtycke som rättslig grund för behandling av personuppgifterna när dataskyddsförordningen ska börja tillämpas. Enligt utredningens uppfattning finns det alltså ingen anledning att hos FBR behandla personuppgifterna med stöd av någon annan rättslig grund än vad som sker enbart på grund av att dataskyddsförordningen ska börja tillämpas. Det bör dock betonas att en förutsättning för att ett samtycke ska kunna utgöra rättslig grund för personuppgiftsbehandlingen är att de krav som uppställs i förordningen på ett giltigt samtycke är uppfyllda (artikel 4.11, 7 och 8, se även skäl 32, 42 och 43). Utred- ningen är vidare av uppfattningen att det inte heller finns några prak- tiska hinder för studieförbunden att inhämta sådana giltiga sam- 12 FBR, Statsbidrag till studieförbund , villkor och fördelningskriterier, s. 6. Studieförbunden och FBR måste dock innan dataskydds- förordningen ska börja tillämpas se över sina rutiner och formulär så att giltiga samtycken kan hämtas in och dokumenteras. Mot denna bakgrund bedömer utredningen att dataskyddsför- ordningen inte medför att det behöver införas någon särskild regler- ing för att möjliggöra att FBR kan behandla deltagarnas i studie- cirklar och annan folkbildningsverksamhet hos studieförbunden personuppgifter med stöd av dataskyddsförordningen. Utredningen noterar vidare att FBR och de eventuella biträden som anlitas utöver att ha rättslig grund i dataskyddsförordningen även måste uppfylla övriga krav i förordningen såsom exempelvis artiklarna 5 och 89.1. Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling Enligt regeringsformen är var och en gentemot det allmänna skyd- dad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den en- skildes personliga förhållanden (2 kap. 6 §). Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § första stycket under vissa för- utsättningar göras genom lag. Datainspektionen har i sitt beslut ansett att det centrala register som FBR då påbörjat att skapa över deltagare i studieförbundens studiecirklar och annan folkbildningsverksamhet behövde regleras i en särskild registerförfattning. Registret beräkna- des innehålla uppgifter om över en miljon individer. De uppgifter som registreras är bl.a. namn, personnummer, kön och vilken kurs man deltagit i. Datainspektionens uppfattning var att ett centralt register av denna omfattning och detta slag behövde regleras i en särskild registerförfattning, under förutsättning att det fanns ett behov av ett sådant centralt register och behandlingen av personupp- gifter var proportionell i förhållande till intrånget i den enskildes personliga integritet.13 Av de uppgifter som FBR lämnat till utredningen framgår att studieförbunden tillämpar den rättsliga grunden samtycke från del- tagarna i studiecirklarna och annan folkbildningsverksamhet för att 13 Datainspektionens beslut , dnr 204-2008. bl.a. kunna lämna ut uppgifterna till FBR och för att FBR i sin tur ska kunna behandla uppgifterna för bl.a. statistikändamål. En för- utsättning för att samtycket ska vara giltigt är som ovan angetts att de krav som uppställs i dataskyddsförordningen på ett giltigt sam- tycke är uppfyllda. Det är alltså av avgörande betydelse att studie- förbunden lämnar klar och tydlig information om de personupp- giftsbehandlingar som kommer att ske och i övrigt säkerställer att rättsligt giltiga samtycken kan lämnas. Det ankommer inte på utred- ningen att bedöma om de samtycken som studieförbunden i dags- läget inhämtar uppfyller dessa krav eller inte. Det är en tillsynsfråga. Då utredningens bedömning som framgått ovan är att samtycke till behandlingen kan fortsätta att utgöra den rättsliga grunden för personuppgiftsbehandlingen är det vidare utredningens uppfattning att regeringsformen inte ställer upp ett krav på en särskild registerlag för FBR:s behandling av deltagarnas i studiecirklar och annan folk- bildningsverksamhet personuppgifter. Det har som framgår av det föregående inte framkommit att det finns skäl för att ändra det rätts- liga stödet för personuppgiftsbehandlingen. Frågan är då om det ändå är lämpligt att införa någon särskild reglering av de uppgiftssamlingar om deltagarna i studiecirklar och annan folkbildningsverksamhet som lagras hos SCB för FBR:s räk- ning. Utredningen gör i denna fråga följande bedömning. Det kan konstateras att även om de aktuella registren/uppgifts- samlingarna innehåller uppgifter om ett stort antal individer kan uppgifterna som registreras inte bedömas som särskilt integritets- känsliga. De variabler som ingår i studieförbundens rapportering till SCB om deltagarna i förbundens kurser och arrangemang är: 11.Funktion (övrig eller ledare) 12.Notering (skyddad ID, person med samordningsnummer, delta- gare med ofullständigt personnummer, medborgare i EU/EES inkl. utan svenskt personnummer) 13.Arrangemangstyp (folkbildning med statsbidrag, uppdrag via FBR:s avtal ”Svenska från dag ett” eller ”Vardagssvenska”) 14.LMA-nummer (dossiernummer). SCB kompletterar dessa uppgifter med uppgifter om utländsk/ svensk bakgrund, världsdelskod och utbildningsnivå genom att hämta dem från Registret över totalbefolkningen och Utbildnings- registret. Uppgifterna om utländsk bakgrund och världsdelskod skulle eventuellt i något fall kunna säga något om en individs etnici- tet. Regeringen har dock funnit att en isolerad uppgift om medbor- garskap eller uppgifter om nationalitet eller ursprungsland inte avslö- jar etniskt ursprung (prop. 2001/02:144 s. 41 och prop. 2009/10:85 s. 325). Registren innehåller enligt utredningens bedömning inte några känsliga personuppgifter. Dessutom omfattas uppgifterna hos SCB av statistiksekretess (24 kap. 8 § offentlighets- och sekretess- lagen [2009:400]). FBR får endast tillgång till aggregerade, sekretessgranskade och avidentifierade data. efter leverans till FBR förstörs det insamlade materialet med de av SCB tillagda uppgifterna. De upp- gifter som finns i SCB:s register är kodnyckeln bestående av id, år för deltagande, förbundskod, distriktskod, avdelningskod, län/kommun och verksamhetsform (dvs. studiecirkel eller annan folkbildningsverksamhet). Vidare innebär den enskildes samtycke inte i något avseende att fältet är fritt för FBR att behandla personuppgifterna. Kraven i data- skyddsförordningen – inte minst de som framgår av artikel 5 – ska ändå vara uppfyllda. Utredningen konstaterar vidare att införandet av dataskyddsförordningen i väsentliga delar kommer innebära ett utökat skydd för enskildas integritet. Med hänsyn till dessa omstän- digheter anser utredningen att en särskild reglering av nu aktuella uppgiftssamlingar inte skulle innebära något väsentligt ökat integri- tetsskydd. Mot den bakgrunden är utredningens bedömning att det inte behövs något ytterligare författningsstöd för den behandling av personuppgifter FBR utför i nu aktuella avseenden. Det bör även noteras att SCB tillsammans med Myndigheten för kulturanalys gett in en hemställan till Finansdepartemen- tet om bl.a. en ändring i förordningen (2001:100) om den officiella statistiken så att ansvaret för statistikområdet över- förs från Myndigheten för kulturanalys till SCB.14 Om den begärda ändringen i förordningen om den officiella statistiken genomförs kommer SCB att med stöd av lagen (2001:99) om den officiella sta- tistiken kunna samla in uppgifter motsvarande dem som samlas in och leverera t.ex. aggregerade tabeller till FBR som motsvarar dess behov. 14 SCB:s och Myndigheten för kulturanalys hemställan till om ändring i förordningen (2001:100) om den officiella statistiken, , SCB:s dnr 2017/418, Myn- digheten för kulturanalys dnr 2017-32. 8.1Utredningens uppdrag i denna del Enligt 1 § andra stycket förordningen (2007:1071) med instruktion för fullgör Centrala studiestödsnämn- den (CSN) uppgifter enligt bl.a. studiestödslagen (1999:1395) och studiestödsförordningen (2000:655). För behandling av personupp- gifter i studiestödsverksamheten tillämpar CSN studiestödsdata- lagen (2009:287). Den innehåller bl.a. bestämmelser om förhållandet till personuppgiftslagen (1998:204, PUL). I studiestödsdataförord- ningen (2009:321) finns bestämmelser som kompletterar studiestöds- datalagens bestämmelser. När dataskyddsförordningen ska börja tillämpas kommer person- uppgiftslagen att upphävas. Utredningen har därför fått i uppdrag att se över vilka anpassningar av studiestödsdatalagen och studiestöds- dataförordningen som behövs med anledning av dataskyddsförord- ningen, den generella reglering som kom- mer att föreslå och de övriga förslag utredningen kan komma att läm- na. Utredningen ska även lämna de författningsförslag som behövs. 8.2Rättslig grund för personuppgiftsbehandling Bedömning: Studiestödsverksamhet är en för CSN i svensk rätt fastställd uppgift av allmänt intresse i enlighet med första ledet i artikel 6.1 e samt artikel 6.3 första stycket i dataskyddsförord- ningen. Enligt artikel 6.2 och 6.3 andra stycket är det tillåtet att behålla eller införa mer specifika bestämmelser för att anpassa tillämp- ningen av bestämmelserna i dataskyddsförordningen med hänsyn till behandling för att efterleva artikel 6.1 e. Studiestödsdatalagen och studiestödsdataförordningen är därmed i sig förenliga med dataskyddsförordningen. Enligt artikel 6.1 i dataskyddsförordningen krävs att åtminstone ett av de i artikeln uppräknade villkoren är uppfyllt för att behandling av personuppgifter ska vara laglig. Ett sådant villkor är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (6.1 e). En- ligt artikel 6.3 första stycket ska den grund för behandlingen som av- ses i punkt 1 e fastställas i enlighet med unionsrätten eller en med- lemsstats nationella rätt som den personuppgiftsansvarige omfattas av. föreslår att det i 2 kap. 4 § lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) ska finnas en bestämmelse som anger att person- uppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförord- ningen om behandlingen är nödvändig bl.a. för att den personupp- giftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av bl.a. lag eller annan författning eller av beslut som har med- delats med stöd av lag eller annan författning. Vidare konstaterar att statliga och kommunala myndigheters verksamhet i allt väsentligt är av allmänt intresse och att det är den rättsliga grunden i artikel 6.1 e som vanligen bör tillämpas av myn- digheter (SOU 2017:39, avsnitt 8.3.4). Vidare anför Dataskydds- utredningen följande. Myndigheternas uppdrag och åligganden framgår av författningar, reger- ingsbeslut och kommunala reglementen, antagna i enlighet med grund- lagens bestämmelser om normgivningskompetens och kommunalt själv- styre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler. Nödvändig behandling av personuppgifter kan därmed ske med stöd av artikel 6.1 e i dataskyddsförordningen.