sou · H5B349 · 2017-06-02 00:00:00 — Enligt ligger företeelsen nära det som ursprungligen har motiverat förbudet mot behandling av känsliga personuppgifter, nämligen möjligheten att kartlägga personer på grundval av exempelvis etnicitet eller politiska åsikter. anser att med ett sökförbud uppnås ett relativt effektivt skydd av just de intressen som bestämmelserna om känsliga personuppgifter ska värna. Sökbegränsningar av detta slag måste enligt Dataskyddsutred- ningen anses omfatta alla typer av tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information så att känsliga personuppgifter avslöjas. förslag till sökförbud i 3 kap. 4 § data- skyddslagen gäller endast för myndigheter. Enskilda utbildnings- anordnare inom och anordnare av sådana utbildning- ar som avses i förordningen om stöd för konst- och kulturutbild- ningar och vissa andra utbildningar omfattas således inte av den före- slagna bestämmelsen, utan endast offentliga utbildningsanordnare inom . De skäl som finns för att sökbegränsningar ska gälla för de utbildningsanordnare inom som är offentliga gör sig, enligt utredningens bedömning, dock gällande även för enskilda utbildningsanordnare inom och anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Mot- svarande bestämmelser som begränsar deras möjligheter till behand- ling av känsliga personuppgifter bör därför också införas. och andra eftergymnasiala utbildningar För de enskilda utbildningsanordnarna inom och anordnarna av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar bör vidare ett motsvarande förbud också gälla vid deras behandling av personuppgifter som rör fällande domar i brottmål. På så sätt fast- ställs, i enlighet med artikel 10 i dataskyddsförordningen, ytterligare en skyddsåtgärd för de registrerades rättigheter och friheter. De nya bestämmelsernas placering Enligt ovan har utredningen kommit fram till att offentliga utbild- ningsanordnare i förslag kan finna stöd för sådan behandling av känsliga personuppgifter som är nödvändig vid handläggning av vissa ärenden och för att uppfylla de åligganden som följer av att omfattas av offentlighetsprincipen. Genom Dataskydds- utredningens förslag kan offentliga utbildningsanordnare även i vissa andra fall finna stöd för sådan behandling av känsliga personupp- gifter som är absolut nödvändig. Vidare bedömer utredningen att bestämmelser som möjliggör sådan nödvändig eller absolut nödvändig behandling av känsliga per- sonuppgifter bör införas även för enskilda utbildningsanordnare, eftersom de har samma behov av att kunna behandla känsliga person- uppgifter. Ett undantag finns dock för behandling som krävs enligt lag. Eftersom enskilda utbildningsanordnare inte omfattas av offent- lighetsprincipen, saknas behov av en bestämmelse som möjliggör be- handling av känsliga personuppgifter i detta avseende. Utredningen bedömer även att det finns behov av en reglering som möjliggör för enskilda utbildningsanordnare att behandla personuppgifter som rör fällande domar i brottmål i deras motsvarighet till ärenden om avskil- jande av studerande. Vad utredningen därefter har att ta ställning till är var sådana bestämmelser lämpligast bör placeras. I förslag till 3 kap. 8 § dataskyddslagen ges ett bemyndigande till regeringen att meddela föreskrifter om yt- terligare undantag från förbudet i artikel 9.1 i dataskyddsförord- ningen att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. I förslaget till 3 kap. 10 och 12 §§ dataskyddslagen bemyndigas regeringen, eller den myndighet och andra eftergymnasiala utbildningar som regeringen bestämmer, att meddela föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som rör bl.a. fällande domar i brottmål. Det är således ur ett dataskyddsperspektiv möjligt att föreskriva om dessa undantag i en förordning. De be- stämmelser som myndigheter har att tillämpa enligt dataskyddslagen är dock i lagform. Utredningens bedömning är därför att det är lämpligt att bestämmelserna som ger enskilda utbildningsanordnare stöd för att behandla känsliga personuppgifter och uppgifter som rör fällande domar i brottmål förs in på samma normhierarkiska nivå. Detta görs lämpligen i lagen om eftersom det är genom den lagen som den rättsliga grunden uppgift av allmänt intres- se fastställs. Lagen om gäller för samtliga utbildningsanord- nare inom , såväl enskilda som offentliga. Även om offentliga utbildningsanordnare kan finna stöd för nödvändig eller absolut nödvändig behandling av känsliga personuppgifter i Data- skyddsutredningens förslag till bestämmelser i dataskyddslagen, är det för tydlighets skull lämpligt att bestämmelserna om behandling av känsliga personuppgifter, som enligt utredningens bedömning bör införas i lagen om , även omfattar de offentliga utbild- ningsanordnarna. I lagen om ska det därför införas en bestämmelse som anger att utbildningsanordnarna får behandla känsliga person- uppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende. Det ska även införas en bestämmelse som anger att utbildnings- anordnarna inom får behandla känsliga personupp- gifter i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. För de offentliga utbildningsanordnarna inom ska det införas en bestämmelse som anger att de får behandla känsliga personuppgifter om uppgifterna har lämnats till utbildningsanord- naren och behandlingen krävs enligt lag. För de enskilda utbildningsanordnarna inom ska det införas en bestämmelse som möjliggör behandling av personupp- gifter som rör fällande domar i brottmål i ärenden om avskiljande. Avslutningsvis ska det införas bestämmelser om förbud att an- vända sökbegrepp som avslöjar känsliga personuppgifter och uppgif- och andra eftergymnasiala utbildningar ter som rör fällande domar i brottmål, upplysningsbestämmelser avseende förhållandet till dataskyddsförordningen och dataskydds- lagen samt ett bemyndigande för regeringen att föreskriva om ytter- ligare undantag från förbudet i artikel 9.1. Sistnämnda bestämmelse behöver införas eftersom utredningen föreslår en särreglering för offentliga utbildningsanordnare, vilka annars kunnat tillämpa bestäm- melserna om känsliga personuppgifter i dataskyddslagen där det finns ett motsvarande bemyndigande för regeringen i 3 kap. 8 §. En förut- sättning när nya undantag övervägs med stöd av bemyndigandet är att en noggrann bedömning görs för att säkerställa att dataskydds- förordningens krav i övrigt, bl.a. skyddsåtgärder, är uppfyllda. Konst- och kulturutbildningar och vissa andra utbildningar I fråga om anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar bedömer utredningen enligt ovan att de har samma behov av att behandla känsliga personuppgifter och uppgifter som rör fällande domar i brottmål som enskilda utbildningsanordnare inom yrkes- högskolan. I föregående avsnitt bedömer utredningen att sådana bestämmelser, för utbildningsanordnarna inom , lämpligen ska finnas i lagform. För de som anordnar och bedriver konst- och kulturutbildningar och vissa andra utbildningar regleras verksamheten dock i en förordning. Det är också i den förordningen som den rättsliga grunden uppgift av allmänt intresse fastställs. I föregående avsnitt konstateras att bestämmelser om undantag från förbudet i artikel 9.1 och bestämmelser om behandling av person- uppgifter som rör fällande domar i brottmål, mot bakgrund av de bemyndiganden som föreslår ska finnas för regeringen i dataskyddslagen, är möjliga att införa i en förordning. Det är således möjligt att komplettera förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar med bestämmelser om behandling av känsliga personuppgifter och upp- gifter som rör fällande domar i brottmål. Utredningen anser därför att det i förordningen ska införas en bestämmelse som möjliggör för utbildningsanordnarna att behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende. och andra eftergymnasiala utbildningar Det ska även införas en bestämmelse som anger att utbildnings- anordnarna får behandla känsliga personuppgifter i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och be- handlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vidare ska det införas en bestämmelse som möjliggör behandling av personuppgifter som rör fällande domar i brottmål i ärenden om avskiljande. Avslutningsvis ska det införas en bestämmelse om förbud att använda sökbegrepp som avslöjar känsliga personuppgifter och upp- gifter som rör fällande domar i brottmål samt upplysningsbestäm- melser avseende förhållandet till dataskyddsförordningen och data- skyddslagen. 6.5Behov av ytterligare reglering Bedömning: Dataskyddsförordningen, dataskyddslagen och ut- redningens förslag till författningsreglering av behandling av känsliga personuppgifter och uppgifter som rör fällande domar i brottmål utgör en ändamålsenlig reglering för personuppgifts- behandlingen för de som anordnar och bedriver utbildning inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Bestämmelserna utgör ett välavvägt skydd för de studerandes personliga integritet. Den personuppgiftsbehandling som de offentliga utbildnings- anordnarna inom utför och som inte omfattas av utredningens förslag till lagreglering är inte sådan att det krävs ytterligare lagreglering enligt 2 kap. 6 § regeringsformen. Någon ytterligare reglering, utöver förslagen till reglering av behandling av känsliga personuppgifter och uppgifter som rör fällande domar i brottmål, behövs därmed inte. När personuppgiftslagen upphävs kommer den personuppgiftsbe- handling som utförs inom och av de anordnare av utbildningar som avses i förordningen om stöd för konst- och kul- turutbildningar och vissa andra utbildningar i huvudsak att omfattas av dataskyddsförordningens och den föreslagna dataskyddslagens och andra eftergymnasiala utbildningar I föregående avsnitt lämnar utredningen dock förslag till reglering av behandling av känsliga personuppgifter och uppgifter som rör fällande domar i brottmål. Frågan är således om det, utöver nämnda regleringar och förslag, krävs eller om det av annat skäl är lämpligt med en ytterligare för- fattning i form av en särskild lag för att ytterligare reglera utbild- ningsanordnarnas personuppgiftsbehandling i andra fall än då det gäller behandling av känsliga personuppgifter och lagöverträdelser. Dataskyddsförordningen möjliggör genom artikel 6.2 och 6.3 för medlemsstaterna att införa särskilda registerförfattningar men var- ken dessa bestämmelser eller förordningen i sig innebär något krav på att det införs sådana författningar. Enligt utredningens bedömning i avsnitt 6.3 kan utbildnings- anordnarna som rättslig grund för sin nödvändiga behandling av per- sonuppgifter tillämpa artikel 6.1 a, c eller e i dataskyddsförordning- en. Enskilda utbildningsanordnare kan dessutom tillämpa arti- kel 6.1 f som rättslig grund för nödvändig behandling. Som framgår i avsnitt 6.3 bedömer utredningen att det inte behövs någon särskild reglering för att utbildningsanordnarna ska kunna tillämpa dessa rättsliga grunder. Utredningen gör där även bedömningen att nämn- da rättsliga grunder i dataskyddsförordningen är tillräckliga för sådan behandling som är nödvändig för att utbildningsanordnarna ska kunna utföra de uppgifter och utöva sådan verksamhet som framgår av för utbildningsanordnarna relevanta författningar och beslut grundade i dessa. För utbildningsanordnarnas behandling av känsliga personuppgif- ter föreslår utredningen bestämmelser som möjliggör sådan nödvän- dig eller absolut nödvändig behandling. Som framgår av avsnitt 6.4.5 är det utredningens bedömning att föreslagna bestämmelser är till- räckliga för utbildningsanordnarnas behov av behandling av känsliga personuppgifter enligt relevanta författningar. Därtill finns det i viss utsträckning möjlighet att använda sig av samtycke som rättslig grund. I fråga om enskilda utbildningsanordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar föreslår utredningen bestämmelser som möjliggör behandling av personupp- gifter som rör fällande domar i brottmål i ärenden om avskiljande. och andra eftergymnasiala utbildningar Dessa anser utredningen är tillräckliga för att tillgodose nämnda utbildningsanordnares behov i denna del. Utredningens förslag till bestämmelser om behandling av känsliga personuppgifter och uppgifter som rör fällande domar i brottmål omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter i enlighet med dataskyddsförordningens bestämmelser i artikel och artikel 10. Om utredningens förslag genomförs kommer det därmed att finnas rättsliga grunder som anordnarna av utbildning inom yrkes- högskolan och anordnarna av sådan utbildning som avses i förord- ningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan tillämpa för nödvändig personuppgiftsbehandling även efter det att personuppgiftslagen upphävs . Ur den synvinkeln saknas det anledning att införa en särskild register- författning. Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den person- liga integriteten, om det sker utan samtycke och innebär övervak- ning eller kartläggning av den enskildes personliga förhållanden. Skyddet i bestämmelsen gäller bara mot åtgärder från det allmännas sida och träffar därmed inte åtgärder som en enskild vidtar i för- hållande till en annan enskild (prop. 2009/10:80 s. 250). Skyddet mot betydande intrång i den personliga integriteten enligt regerings- formen gäller således endast åtgärder som offentliga utbildnings- anordnare inom vidtar i förhållande till sina stude- rande. Av 2 kap. 20 § framgår att skyddet får begränsas genom lag. I avsnitt 5.5 bedömer utredningen att statliga högskolors person- uppgiftsbehandling inte är sådan att den utgör ett betydande intrång i regeringsformens mening. Enligt utredningens mening gör, i till- lämpliga delar, motsvarande överväganden till den bedömningen sig gällande även beträffande den personuppgiftsbehandling som utförs av offentliga utbildningsanordnare inom . Utred- ningen bedömer således att den behandling som utförs av nämnda utbildningsanordnare, i de delar som inte omfattas av något förslag till lagreglering, inte är sådan att den utgör ett betydande intrång i regeringsformens mening. Något regleringsbehov aktualiseras där- med inte med anledning av regeringsformens bestämmelser. Vidare redovisar utredningen i avsnitt 4.9 sin uppfattning att be- stämmelserna i dataskyddsförordningen ger ett mycket starkt skydd och andra eftergymnasiala utbildningar för den enskildes integritet och rättigheter. I nämnda avsnitt gör ut- redningen bedömningen att en särskild författning som reglerar den skollagsreglerade utbildningsverksamhetens personuppgiftsbehand- ling inte skulle innebära att skyddet för enskildas integritet och rät- tigheter blev starkare. Utredningen bedömer vidare att en sådan reg- lering dessutom skulle kunna vara kontraproduktiv på så sätt att den skulle kunna komma att begränsa möjligheterna att behandla per- sonuppgifter på ett sätt som bidrar till ett effektivt och tidsenligt sätt att, med utnyttjande av tillgängliga tekniska hjälpmedel, bedriva utbildning med ett gott resultat. Enligt utredningens mening gör motsvarande överväganden sig gällande även i fråga om den personuppgiftsbehandling som utförs av utbildningsanordnarna inom och anordnarna av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Sammanfattningsvis är utredningen således av uppfattningen att det saknas skäl att lämna ytterligare förslag till reglering av den behandling av personuppgifter som utförs av de som anordnar utbildning inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. 6.6.1Utredningens uppdrag i denna del Som nämnts ovan i avsnitt 6.1 ska MYH enligt sin instruktion svara för ett register över uppgifter om de studerande i utbildningarna inom och i de utbildningar som bedrivs som upp- dragsutbildningar samt de studerandes studieresultat, betyg, examina och utbildningsbevis (2 § 5). MYH ska också pröva frågor om stöd enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar samt svara för ett register över uppgifter om de studerande i utbild- ningarna och de studerandes studieresultat, betyg, intyg och utbild- ningsbevis (2 § 6). Någon särskild författning som reglerar behandlingen av person- uppgifter i de register som MYH ska svara för finns inte. Behand- lingen av personuppgifter regleras således av personuppgiftslagen. När dataskyddsförordningen ska börja tillämpas kommer person- och andra eftergymnasiala utbildningar uppgiftslagen att upphävas. Utredningen har därför fått i uppdrag att analysera om det behövs något författningsstöd utöver dataskydds- förordningen, den generella reglering som kommer att föreslå och de övriga förslag utredningen kan komma att lämna för att personuppgifter ska kunna behandlas även fortsätt- ningsvis i de register som MYH svarar för. Utredningen ska även lämna de eventuella författningsförslag som behövs. 6.6.2MYH:s register över studerande i Bedömning: För nödvändig behandling vid förandet av det regis- ter som MYH ska svara för enligt 2 § 5 förordningen med instruk- tion för Myndigheten för kan MYH tillämpa de rättsliga grunderna i artikel 6.1 c och första ledet i artikel 6.1 e i dataskyddsförordningen, dvs. rättslig förpliktelse och uppgift av allmänt intresse. Skäl att ändå införa en särskild reglering för MYH:s behandlingar finns inte. Utbildningsanordnarna kan tillämpa samma rättsliga grunder för nödvändig behandling när de fullgör den uppgiftsskyldighet de har enligt MYH:s föreskrifter om studiedokumentation, som MYH har meddelat med stöd av bemyndigande i 2 kap. 17 § för- ordningen om . Något ytterligare regleringsbehov aktualiseras därmed inte heller för utbildningsanordnarnas del. Behov av reglering av MYH:s behandlingar MYH ska som nämnts ovan svara för ett register över uppgifter om de studerande i utbildningarna inom och i de ut- bildningar inom som bedrivs som uppdragsutbild- ningar samt de studerandes studieresultat, betyg, examina och ut- bildningsbevis (2 § 5 förordningen med instruktion för Myndigheten för ). För nödvändig behandling av personuppgifter vid förandet av registret är det enligt utredningens bedömning två rättsliga grunder i dataskyddsförordningen som aktualiseras, rättslig förpliktelse (arti- kel 6.1 c) och uppgift av allmänt intresse (första ledet i artikel 6.1 e). För att nämnda grunder ska kunna tillämpas krävs, enligt artikel 6.3 och andra eftergymnasiala utbildningar första stycket, att dessa är fastställda i enlighet med svensk rätt. Ett ytterligare krav för att kunna tillämpa rättslig förpliktelse och uppgift av allmänt intresse som grund för nödvändig personuppgiftsbehand- ling framgår av artikel 6.3 andra stycket. Syftet med behandlingen ska vara fastställd i den rättsliga grunden eller, i fråga om uppgift av allmänt intresse, ska vara nödvändigt för att utföra uppgiften. I fråga om uppgift av allmänt intresse konstaterar att myndigheternas uppdrag och åligganden framgår av bl.a. författningar antagna i enlighet med grundlagens bestämmelser om normgivningskompetens. Enligt har de åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsägbara regler. Data- skyddsutredningen anser därför att nödvändig behandling av person- uppgifter kan ske med stöd av första ledet i artikel 6.1 e i data- skyddsförordningen (SOU 2017:39, avsnitt 8.3.4). Genom bestämmelsen i MYH:s instruktion som anger att myn- digheten ska föra det aktuella registret, bedömer utredningen att för- utsättningarna i artikel 6.3 första stycket i dataskyddsförordningen är uppfyllda, dvs. att det finns en för MYH i svensk rätt fastställd rättslig förpliktelse och uppgift av allmänt intresse att föra registret. Vidare är syftet med behandlingen, att föra ett register över de stu- derande och deras resultat m.m., fastställd i den rättsliga grunden. När dataskyddsförordningen ska börja tillämpas kan MYH följakt- ligen tillämpa artikel 6.1 c och första ledet i artikel 6.1 e för sådan behandling som är nödvändig vid förandet av registret. Frågan utredningen därefter har att ta ställning till är om det ändå finns skäl att särskilt reglera behandlingarna i MYH:s register. I 2 kap. 17 § andra stycket förordningen om har MYH bemyndigats att meddela föreskrifter om att den ansvariga utbildningsanordnaren ska lämna uppgifter till myndigheten om de studerande och deras studieresultat, betyg och examina. MYH får meddela föreskrifter om på vilket sätt och när uppgifterna ska läm- nas. Med stöd av bemyndigandet har MYH utfärdat föreskrifter om studiedokumentation (MYHFS 2016:8). Av bestämmelserna i föreskrifter framgår att det inte är några känsliga eller integritets- känsliga uppgifter som ska rapporteras till MYH, utan endast upp- gifter i form av bl.a. namn, personnummer och studieresultat. Enligt utredningen talar detta emot att det skulle finnas ett behov av att och andra eftergymnasiala utbildningar reglera behandlingarna i registret särskilt. Därtill ska det enligt utredningens uppfattning beaktas att det är fråga om frivilliga studier och att det ligger i de studerandes egna intresse att säkerställa att uppgifter om deras studieresultat finns bevarade någonstans. Sammanfattningsvis finns det stöd i dataskyddsförordningen som MYH kan tillämpa för sådan behandling av personuppgifter som är nödvändig för att föra registret. Skäl att ändå införa en särskild reg- lering för behandlingarna finns inte. Behov av reglering av utbildningsanordnarnas behandlingar Som nämnts i föregående avsnitt får MYH, enligt 2 kap. 17 § förord- ningen om , meddela föreskrifter om att den ansva- riga utbildningsanordnaren ska lämna uppgifter till MYH om de stu- derande och deras studieresultat, betyg och examina. MYH får med- dela föreskrifter om på vilket sätt och när uppgifterna ska lämnas. Med stöd av bemyndigandet har MYH utfärdat föreskrifter om studiedokumentation. Föreskrifterna innehåller bestämmelser om på vilket sätt och när anordnare av utbildningar som får stöd enligt för- ordningen om ska lämna uppgifter till MYH om de studerande och deras studieresultat, betyg och examina (1 §). Föreskrifterna gäller även för anordnarna av uppdragsutbild- ningar, eftersom dessa ges stöd enligt förordningen om yrkeshög- skolan i form av tillsyn (se 4 § första stycket 1 förordningen med instruktion för Myndigheten för , 5 § förordningen om utbildning inom som uppdragsutbildning samt 4 kap. 8 § förordningen om ). Att tillsyn kan utgöra en form av stöd framgår av 1 § förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. MYH:s föreskrifter innehåller också bestämmelser om utform- ningen av examensbevis och utbildningsbevis, vilka ska innehålla upp- gifter i form av bl.a. den studerandes fullständiga personnummer, för- namn och efternamn (2, 8 och 9 §§). För varje utbildning ska utbild- ningsanordnaren lämna uppgifter om de studerandes fullständiga personnummer, förnamn och efternamn (3 §).