sou · H5B349 · 2017-06-02 00:00:00 — Av 10 § framgår att Universitets- och högskolerådet (UHR) på begä- ran av en kommun till kommunen ska lämna ut uppgift om en person, som kan omfattas av den kommunens aktivitetsansvar för ungdomar, har examens- eller studiebevis eller motsvarande från gymnasieskolan. Bestämmelsen är en sekretessbrytande bestämmelse som samti- digt fastställer en rättslig förpliktelse för UHR att lämna ut uppgifter på begäran till en kommun (artikel 6.1 c i dataskyddsförordningen). Av bestämmelsen framgår även syftet med behandlingen (artikel 6.3 andra stycket), dvs. Syftet är att kommunen ska få uppgift om en ungdom har examens- eller studiebevis. Enligt utred- ningens bedömning är bestämmelsen förenlig med dataskyddsför- ordningen och kan och bör behållas. Bestämmelsen behandlas även i avsnittet om betygsdatabasen , avsnitt 9. 12Övriga myndigheter med anknytning I kommittédirektiven anges att utbildningsområdet omfattar bl.a. skolväsendet, den verksamhet som bedrivs av universitet och hög- skolor, och folkbildningen. Därefter ges en fördju- pad beskrivning av de olika utbildningsformerna. Vidare anges att till utbildningsområdet hör även studiestödet. De myndigheter vars verksamhet anknyter till utbildningsom- rådet t.ex. , och Universitets- och högskolerådet omnämns inte. Direktiven anger inte heller i övrigt att det ska göras en analys av om det behöver införas komplet- terande regleringar för dessa myndigheters personuppgiftsbehand- ling. Enligt utredningens uppfattning omfattas därför inte den per- sonuppgiftsbehandling som sker vid dessa myndigheter av utred- ningens uppdrag, annat än i de fall det särskilt har angivits att utred- ningen ska analysera behovet av reglering av särskilda register som förs av en myndighet eller behovet av anpassningar av författningar som styr en myndighets personuppgiftsbehandling. Av direktiven framgår dock att utredningen är oförhindrad att inom de ramar som angetts för uppdraget ta upp och belysa även andra frågeställningar som är relevanta för uppdraget. Om utred- ningen kommer fram till att det krävs eller är lämpligt med komplet- terande eller ändrade nationella bestämmelser i andra delar än de som ska utredas särskilt, ska sådana föreslås. tillämpas personuppgiftslagen (1998:204) i myndig- heters verksamhet som inte omfattas av en särskild registerförfatt- ning. Då det finns ett intresse av vägledning finns det enligt utred- Övriga myndigheter med anknytning till utbildningsområdet ningen anledning att övergripande analysera myndigheternas möjlig- heter att behandla personuppgifter sett i ljuset av dataskyddsförord- ningen och den av föreslagna lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Eftersom utredningen inte har i uppdrag att analysera behovet av reglering av vissa specifika myndigheters person- uppgiftsbehandling väljer utredningen att göra en generell bedöm- ning. Bedömning: Statliga och kommunala myndigheters verksamhet inom utbildningsområdet är i allt väsentligt en uppgift av allmänt intresse. Denna verksamhet framgår normalt av uppdrag och ålig- ganden i författningar, regeringsbeslut och kommunala reglemen- ten, antagna i enlighet med grundlagens bestämmelser. Uppgiften av allmänt intresse är fastställd genom dessa författningar, beslut och kommunala reglementen. Myndigheterna kan därigenom grunda nödvändig behandling av personuppgifter på första ledet i artikel 6.1 e i dataskyddsförordningen. Det ankommer dock på myndigheterna att själva gå igenom all personuppgiftsbehandling som sker inom myndigheten och säkerställa att den har stöd i och är förenlig med dataskyddsför- ordningens och dataskyddslagens bestämmelser. ska dataskyddsförordningen börja tillämpas. föreslår att ska data- skyddslagen träda i kraft och personuppgiftslagen upphävas. För den personuppgiftsbehandling som en myndighet gör med stöd av personuppgiftslagen kommer således stöd behöva finnas i dataskyddsförordningen, och för vissa slags behandlingar även i dataskyddslagen. En grundläggande förutsättning för att behandling av personuppgifter ska få ske är att behandlingen har stöd i en rätts- lig grund (ett villkor) i artikel 6.1 i dataskyddsförordningen. Beträffande rättslig grund för behandling av personuppgifter i statliga och kommunala myndigheters verksamhet gör Dataskydds- utredningen följande bedömning (SOU 2017:39, avsnitt 8.3.4). Övriga myndigheter med anknytning till utbildningsområdet Statliga och kommunala myndigheters verksamhet är i allt väsentligt av allmänt intresse. Det är därmed den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen som vanligen bör tillämpas av myndigheter, även utanför området för myndighetsutövning. Viss behandling av personuppgifter är dock även nödvändig med anledning av avtal, t.ex. när det gäller rekryteringsärenden eller inköp, och kan därmed också ske med stöd av den rättsliga grunden avseende just avtal (artikel 6.1 b). Denna rättsliga grund kan i vissa fall även tillämpas av de myndigheter som uttryckligen har getts befogenhet att bedriva uppdragsverksamhet. En myndighet kan också behöva behandla personuppgifter för att upp- fylla en rättslig förpliktelse, t.ex. att föra ett visst register eller gentemot i egenskap av arbetsgivare eller till följd av offentlighets- principen (artikel 6.1 c). Undantagsvis kan det även förekomma behov av behandling av personuppgifter för att skydda intressen av grund- läggande betydelse för fysisk person (artikel 6.1 d). Myndigheter kan däremot inte åberopa den rättsliga grund som utgår från en intresse- avvägning (artikel 6.1 f) när de fullgör sina uppgifter. Myndigheternas uppdrag och åligganden framgår av författningar, regeringsbeslut och kommunala reglementen, antagna i enlighet med grundlagens bestämmelser om normgivningskompetens och kommu- nalt självstyre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler. Nödvändig behandling av personuppgifter kan därmed ske med stöd av artikel 6.1 e i dataskyddsförordningen. Någon ytterligare regle- ring av myndigheternas obligatoriska uppgifter krävs därmed inte på generell nivå för att myndigheter ska kunna vidta nödvändiga behand- lingsåtgärder för att fullgöra sina uppgifter. I artikel 6.3 andra stycket anges att syftet med behandlingen måste vara nödvändigt för att utföra uppgiften. Den specifika behandlingen måste alltså vara nödvändig för ett ändamål som i sin tur är nödvändigt för att myndigheten ska kunna utföra sitt uppdrag. Om myndigheten inte fungerar kan den inte utföra sina fastställda uppgifter. Även admi- nistrativa åtgärder som är nödvändiga för myndighetens förvaltning och funktion är därmed rättsligt grundade i dataskyddsförordningens mening. Det kan inte nog betonas att rättslig grund inte är en tillräcklig förut- sättning för att behandling av personuppgifter ska vara tillåten. Behand- lingen är laglig endast i den mån den faktiskt är nödvändig för att utföra uppgiften. Dessutom måste behandlingen följa de övriga krav som ställs i dataskyddsförordningen, till exempel de principer för behandlingen som anges i artikel 5. Utredningen instämmer i bedömning att en myndighets verksamhet är en uppgift av allmänt intresse. För stat- liga, kommunala eller landstings myndigheter gäller legalitetsprinci- pen, dvs. myndigheternas maktutövning i vidsträckt mening måste ha stöd i föreskrifter och normer som beslutats i enlighet med reger- Övriga myndigheter med anknytning till utbildningsområdet ingsformens eller kommunallagens bestämmelser. Kravet på författ- ningsstöd bildar utgångspunkten för myndigheternas verksamhet, såväl när det gäller att handlägga ärenden och att besluta i dessa som i fråga om annan verksamhet som en myndighet bedriver. Enligt utred- ningens bedömning är myndigheternas verksamhet fastställd i svensk rätt. Om myndighetens verksamhet inte framgår av uppdrag och ålig- ganden i författningar, regeringsbeslut och kommunala reglementen, antagna i enlighet med grundlagens bestämmelser om normgivnings- kompetens och kommunalt självstyre, har myndigheten överträtt legalitetsprincipen. föreslår även en bestämmelse i 2 kap. 4 § dataskyddslagen som tydliggör att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig (1) för att den personuppgiftsansvarige ska kunna ut- föra en uppgift av allmänt intresse som följer av lag eller annan för- fattning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller (2) som ett led i den personupp- giftsansvariges myndighetsutövning enligt lag eller annan författning. Det bör betonas att omständigheten att det finns en rättslig grund enligt artikel 6.1 i dataskyddsförordningen inte ensam är till- räcklig för att behandling av personuppgifter ska vara tillåten. Dess- utom måste behandlingen följa de övriga krav som ställs i data- skyddsförordningen, t.ex. i artikel 5. Det finns även skäl att poängtera att huvudregeln i dataskydds- förordningen är att behandling av känsliga personuppgifter är förbju- den (artikel 9.1). Det finns emellertid undantag från huvudregeln (artikel 9.2). föreslår i 3 kap. 3 § dataskydds- lagen att myndigheter ska kunna behandla känsliga personuppgifter med stöd av artikel i dataskyddsförordningen i vissa fall, näm- ligen i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag eller i enstaka fall, om det är absolut nödvändigt för ändamålet med behand- lingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vidare föreslås i 4 § att en myndig- het inte får använda sökbegrepp som avslöjar känsliga personuppgif- ter (SOU 2017:39, avsnitt 10.6.2). Dataskyddslagen möjliggör således för myndigheter att i vissa fall behandla känsliga personuppgifter. Det bör noteras att dataskydds- Övriga myndigheter med anknytning till utbildningsområdet lagen innehåller fler bestämmelser som möjliggör behandling av käns- liga personuppgifter, t.ex. för arkivändamål av allmänt intresse och statistiska ändamål. Vidare föreslår utredningen bestämmelser som möjliggör för en kommun i egenskap av hemkommun enligt skol- lagen eller huvudman för t.ex. en skola samt för en myndighet i egenskap av huvudman för en skola att behandla känsliga personupp- gifter i vissa situationer, se avsnitt 4.7.5. Utredningen föreslår även bestämmelser om behandling av känsliga personuppgifter som ska gälla för de statliga universitet och högskolor, andra statliga myndig- heter, kommuner och landsting som anordnar utbildning inom yrkes- högskolan, se avsnitt 6.4.5. utgångspunkt har varit att sådan person- uppgiftsbehandling som är tillåten i möjligaste mån ska kunna fortsätta. arbete har inte syftat till att vare sig utvidga eller inskränka möjligheterna till behandling av personuppgifter, annat än då dataskyddsförordningen kräver en så- dan förändring (SOU 2017:39, avsnitt 2.2). Utredningen bedömer att dataskyddsförordningen tillsammans med dataskyddslagen innehåller bestämmelser som möjliggör för myndigheterna att utföra nödvändiga behandlingar av personupp- gifter, även känsliga sådana. Det ankommer dock på myndigheterna att själva gå igenom alla personuppgiftsbehandlingar som sker inom verksamheten och säker- ställa att ändamålsenliga behandlingar har stöd i och är i enlighet med dataskyddsförordningens och dataskyddslagens bestämmelser. Det innebär bl.a. att myndigheten behöver konstatera var den rättsliga grunden för ändamålsenlig personuppgiftsbehandling är fastställd i svensk rätt. För det fall att känsliga personuppgifter behandlas behö- ver myndigheten också försäkra sig om att det finns rättsligt stöd för sådan behandling. Enligt kommittéförordningen (1998:1474) ska en utredning redovisa vilka konsekvenser lämnade förslag kan få i vissa avseenden. I 14−15 a §§ föreskrivs bl.a. att för det fall förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, lands- ting, företag eller andra enskilda, ska en beräkning av dessa konse- kvenser redovisas i betänkandet. Om förslagen innebär samhällseko- nomiska konsekvenser i övrigt så ska dessa redovisas. Vidare ska eventuella konsekvenser för den kommunala självsty- relsen, för brottsligheten och det brottsförebyggande arbetet, samt för bl.a. sysselsättning och offentlig service i olika delar av landet redovisas. Detsamma gäller små företags arbetsförutsättningar, kon- kurrensförmåga eller villkor i övrigt i förhållande till större företags. Om förslagen har konsekvenser för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen ska dessa redovisas. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kostnadsmässiga och andra konsekvenser anges i be- tänkandet. Konsekvenserna ska anges på ett sätt som motsvarar de krav på innehållet i konsekvensutredningar som finns i 6 och 7 §§ för- ordningen (2007:1244) om konsekvensutredning vid regelgivning. Regeringen ska enligt 16 § kommittéförordningen ange närmare i utredningsuppdraget vilka konsekvensbeskrivningar som ska finnas i ett betänkande. Enligt utredningens direktiv ska utredningen redo- göra för ekonomiska och andra konsekvenser av utredningens för- slag. Utöver vad som följer enligt 14–15 a §§ kommittéförordningen ska utredningen redovisa förslagens konsekvenser för den personliga integriteten. ska dataskyddsförordningen börja tillämpas och personuppgiftslagen (1998:204) kommer att upphävas. Inom utbild- ningsområdet behandlas personuppgifter i stor utsträckning med stöd av bestämmelserna i personuppgiftslagen. har fått i uppdrag att bl.a. föreslå de an- passningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. Enligt utredningens direktiv är uppdraget att analysera om bl.a. en eller flera regleringar på nationell nivå är möjlig och kan behövas, utöver den generella reglering som kommer att föreslå, för att säkerställa att nödvändig behandling av person- uppgifter inom utbildningsområdet kan ske på ett ändamålsenligt sätt som enskildas fri- och rättigheter skyddas. Utredningen föreslår att bestämmelser införs som möjliggör nöd- vändig behandling av känsliga personuppgifter och uppgifter om lagöverträdelser i de fall sådan behandling inte kan ske med stöd av bestämmelserna som föreslår i lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen). Ett alternativ skulle kunna vara att föreslå mer detaljerade registerförfattningar för bl.a. skollagsreglerad utbildningsverksamhet samt för högskolor, universitet och yrkes- högskolor. Utredningen anser dock att det är lämpligare att endast föreslå bestämmelser som möjliggör nödvändig behandling av käns- liga personuppgifter och uppgifter om lagöverträdelser m.m., se av- snitt 4.7.5, 4.8.4, 4.9, 5.4.5, 5.5, 6.4.5 och 6.5 för utredningens överväganden. Om inga bestämmelser införs som möjliggör nödvändig behand- ling av känsliga personuppgifter och i viss mån uppgifter om lagöver- trädelser m.m. för de enskilda huvudmännen för fristående förskolor och fristående skolor liksom för de privata utbildningsanordnarna som driver högskola eller yrkesutbildning kommer endast sådan verk- samhet som har att tillämpa offentlighetsprincipen kunna behandla känsliga personuppgifter enligt 3 kap. 3 § 2 dataskyddslagen. Det skulle innebära att t.ex. fristående skolor i aktuella fall inte fullt ut skulle kunna fullgöra sina åligganden enligt skollagen. Beträffande de registerförfattningar som ingår i utredningens uppdrag att se över föreslår utredningen ändringar i form av anpass- ningar till dataskyddsförordningen och den av Dataskyddsutred- ningen föreslagna dataskyddslagen. Om inga ändringar sker i dessa författningar kommer de att innehålla bestämmelser som hänvisar till personuppgiftslagen som kommer att upphävas . Dataskyddsförordningen har visserligen, såsom EU-rättsakt, före- träde före nationell rätt men det är otillfredsställande om det inte sker anpassningar av de svenska bestämmelserna inför att data- skyddsförordningen ska börja tillämpas. 13.3Utredningens förslag till nya eller ändrade regler Utredningen ska analysera om bl.a. en eller flera regleringar på natio- nell nivå är möjlig och kan behövas, utöver den generella reglering som kommer att föreslå, för att säkerställa att nödvändig behandling av personuppgifter inom utbildningsom- rådet kan ske på ett ändamålsenligt sätt som enskildas fri- och rättigheter skyddas. En utgångspunkt i utredningens uppdrag har varit att sträva efter lösningar som medför att de personuppgiftsansvariga inom utbild- ningsområdet kan behandla personuppgifter, när dataskyddsförord- ningen ska börja tillämpas, på ett liknande sätt som de gör och med stöd av den rättsliga grund som de tillämpar för sin personuppgiftsbehandling. En annan utgångspunkt har varit att dataskyddsförordningens artiklar innehåller ett fullgott skydd för enskildas fri- och rättigheter som inte är lägre än det integritetsskydd som personuppgiftslagens bestämmelser ger. Vidare har en uttalad ambition från utredningens sida varit att när det gäller utbildnings- anordnare som har samma verksamhetsreglering ska även samma reglering av behandling av personuppgifter gälla oavsett om verksam- heten bedrivs i privat eller allmän regi. Utredningen har bedömt att det finns ett visst behov av nya bestämmelser, utöver de bestämmelser som har föreslagit, för att utbildningsanordnarna ska kunna behandla känsliga personuppgifter. Utredningen har därför föreslagit att några nya paragrafer ska införas. För att enskilt bedriven utbildningsverk- samhet, t.ex. fristående skolor och enskilda lärosäten, ska kunna be- handla känsliga personuppgifter har utredningen föreslagit särskilda bestämmelser, se avsnitten 4.7.5, 5.4.5 och 6.4.5. För skollagsreglerad verksamhet har utredningen dock föreslagit enhetliga bestämmelser i skollagen angående behandling av känsliga personuppgifter. Dessa regler kommer att gälla för de utbildningsformer som drivs av staten, en kommun eller ett landsting i stället för motsvarande bestäm- melser i dataskyddslagen som föreslår. Det- samma föreslås för kommunerna i samband med vissa åligganden enligt skollagen. På motsvarande sätt föreslår utredningen enhetliga bestämmelser i lagen om som ska tillämpas av såväl offentliga som enskilda utbildningsanordnare inom . I utredningens uppdrag ingår även att se över om det för ett antal särskilt uppräknade register och Centrala () studiestödsverksamhet finns behov av att införa särskilda författningar respektive behov av ändringar av bestämmelser i nu- varande författningar med anledning av dataskyddsförordningen och den reglering som kommer att föreslå. Utredningen har funnit att det finns ett behov av att kodifiera Uni- versitets- och högskolerådets (UHR) uppgift att föra betygsdata- basen genom att föreslå en bestämmelse i UHR:s instruk- tion. Utredningen har även funnit ett behov av att föreslå ändringar i befintliga författningar som reglerar CSN:s studiestödsverksamhet och de aktuella registren med anledning av dataskyddsförordningen. I denna del har utredningen dock inte lämnat förslag till några andra ändringar än rena anpassningar till dataskyddsförordningen. De konsekvensbedömningar som utredningen gör nedan utgår enbart från uppdraget och tar alltså inte hänsyn till de konsekvenser som följer av att direkt tillämpliga bestämmelser i dataskyddsförord- ningen ska börja tillämpas eller att dataskyddslagen förväntas träda i kraft . Dessa regelverk kan dock förväntas få relativt stor påverkan i såväl privat som offentligt bedri- ven utbildningsverksamhet. De kommer att föranleda ett tämligen omfattande utbildningsbehov, behov av förändringar av verksam- hetsinterna rutiner och processer, behov av förändringar i person- uppgiftsbiträdesavtal m.m. Vidare anser utredningen att den samlade dataskyddsreformen kan antas få positiva effekter för skyddet av enskildas integritet. Dessa konsekvenser ingår dock inte i utred- ningens uppdrag att närmare utreda. 13.4.1Konsekvenser för staten, kommuner och landsting Bedömning: Förslagen kommer inte att innebära någon kostnads- ökning för stat, kommuner och landsting. Utredningens avsikt med lämnade förslag är att dessa ska möjliggöra den personuppgiftsbehandling som redan sker med stöd av personuppgiftslagen när dataskyddsförordningen ska börja tilläm- pas. Förslagen som möjliggör för statliga, kommunala och landstings- kommunala huvudmän som anordnar grundsärskola, specialskola, sameskola, gymnasiesärskola och särskild utbildning för vuxna att behandla känsliga personuppgifter utan att behöva inhämta samtycke bedöms kunna innebära att huvudmännens administrativa börda minskar, och därmed att kostnaderna för administration minskar då dessa skolformer med utredningens förslag inte längre behöver admi- nistrera samtycken. Detsamma bedöms gälla för huvudmän för Rh- anpassad utbildning och utbildning i gymnasieskolan för elever som är döva, hörselskadade eller dövblinda eller har en språkstörning. När ny lagstiftning införs krävs det normalt utbildningsinsatser. Det är inte unikt för de förslag som utredningen presenterar utan uppkommer regelmässigt i olika lagstiftningsärenden. Att det krävs utbildning i detta fall beror inte heller enbart på den lagstiftning som utredningen föreslår utan främst på den samlade dataskydds- reformen. Kostnader för utbildning täcks normalt av myndigheter- nas anslag. Kostnaderna för utbildning bör därför rymmas inom befintliga ramar. Ny lagstiftning kräver normalt också nya interna föreskrifter och styrande dokument. Det får anses ingå i de normala uppgifterna för myndigheterna att ta fram sådana föreskrifter och dokument. Utredningen har föreslagit att regeringen ska ge lämplig myn- dighet i uppdrag att vidta åtgärder för att initiera och stödja utarbe- tandet av en uppförandekod för skolväsendet. Ett sådant uppdrag bedömer utredningen kan förväntas ta cirka 1,5 till 2 årsarbetskrafter i anspråk under . Utredningen bedömer att ett sådant uppdrag bör kunna finansieras inom befintliga ramar. Utredningens bedömning är att förslagen i övrigt är kostnads- neutrala. 13.4.2Konsekvenser för enskilda huvudmän som anordnar utbildningsverksamhet Bedömning: Förslagen kommer inte att innebära någon kostnads- ökning för enskilda huvudmän som anordnar utbildningsverk- samhet. Antalet enskilda som anordnar utbildningsverksamhet förändras . Till utbildningsområdet hör huvudmän för fristående för- skolor och fristående skolor liksom enskilda lärosäten, anordnare av yrkeshögskola, anordnare av utbildningar som avses i förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar samt folkhögskolor som inte drivs av kommuner eller landsting samt studieförbund. Dessa är av olika storlek. Enligt Statens skolverks () statistik fanns det 2 708 enskilda förskoleenheter som drevs av 2 058 enskilda huvudmän.1 fanns det 582 skolenheter i förskoleklass som drevs i fristående/enskild verksamhet, 820 skolenheter i grund- skolan som var fristående, 38 skolenheter i grundsärskolan som var fristående, 32 skolenheter i gymnasiesärskolan som var fristående och 428 skolenheter i gymnasieskolan som var fristående.2 /17 fanns det 677 fristående fritidshem, som inte anordnas vid en skolenhet med förskoleklass, grundskola eller grund- särskola, som drevs av 551 enskilda huvudmän.3 Enligt officiella statistik fanns det cirka 1 200 privata aktörer inom kategorin grundläggande vuxen- utbildning, gymnasial vuxen- och påbyggnadsutbildning, särskild utbildning för vuxna och övrig utbildning (ej gymnasieskola och gym- nasiesärskola).4