sou · H5B349 · 2017-06-02 00:00:00 — Förordningen om redovis- ning av studier m.m. vid universitet och högskolor är därmed i sig förenlig med dataskyddsförordningen. För att anpassa förordningens bestämmelser till dataskyddsför- ordningen föreslår utredningen att hänvisningen till personuppgifts- lagen i 1 kap. 1 § andra stycket ska utgå och ersättas med nya bestämmelser i en ny paragraf. I den nya paragrafen, 1 a §, ska det upplysas om att förordningen kompletterar dataskyddsförordning- en. Därtill ska förhållandet till dataskyddslagen regleras. Utred- ningen föreslår vidare att bestämmelserna om information, rättelse och skadestånd samt intern kontroll över studieregistret som finns i 1 kap. 4 och 5 §§ samt 2 kap. 1 § tredje stycket ska upphävas, efter- som det finns direkt tillämpliga bestämmelser i dataskyddsförord- ningen med motsvarande innehåll. Bestämmelsen om överklagande i 1 kap. 6 § föreslår utredningen också ska upphävas, eftersom det finns bestämmelser om överklagande i dataskyddslagen. Avslut- ningsvis föreslår utredningen att hänvisningarna till 13 § PUL, som finns i 2 kap. 5 a § och 4 kap. 3 §, ska ändras på så sätt att de hänvisar till artikel 9.1 i dataskyddsförordningen i stället. I artikel 9.1 finns motsvarande förbud mot behandling av känsliga personuppgifter som finns i 13 § PUL. Utredningen lyfter även fram att den tekniska utvecklingen och den praktiska hanteringen av personuppgifter när det gäller redo- visning m.m. vid universitet och högskolor har gjort att det finns ett behov av en omfattande översyn av förordningen. En sådan översyn som utredningen bedömer är påkallad krävs dock inte för att anpassa förordningen till dataskyddsförordningen och den reglering som har föreslagit. Utredningen lämnar därför inga förslag i dessa delar. och andra eftergymnasiala utbildningar Utredningen bedömer att det för anordnare av utbildningar inom och sådana utbildningar som avses i förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar finns en i svensk rätt fastställd uppgift av allmänt intresse att anordna och bedriva sådana utbildningar. För sådan personuppgiftsbehandling som är nödvändig för utförandet av denna uppgift är den rättsliga grunden i första ledet i artikel 6.1 e i data- skyddsförordningen tillämplig. Därutöver kan utbildningsanord- narna i viss utsträckning använda sig av de rättsliga grun- derna i artikel 6.1 c (rättslig förpliktelse) och, beträffande utbild- ningsanordnarna inom , andra ledet i artikel 6.1 e (myndighetsutövning). Utbildningsanordnarna kan i viss utsträck- ning även använda sig av samtycke som rättslig grund (artikel 6.1 a). Enskilda utbildningsanordnare inom och anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan dessutom tillämpa den rättsliga grunden i artikel 6.1 f (intresseavvägning). Beträffande behandling av känsliga personuppgifter inom yrkes- högskolan bedömer utredningen att offentliga utbildningsanordnare kan finna stöd för sådan behandling i för- slag till bestämmelser i 3 kap. 3 § dataskyddslagen. För tydlighets skull föreslår utredningen dock att det i lagen (2009:128) om yrkes- högskolan, som gäller för både offentliga och enskilda utbildnings- anordnare, ska införas motsvarande bestämmelser som Dataskydds- utredningen föreslår och att dessa ska gälla för både offentliga och enskilda utbildningsanordnare, eftersom dessa har samma behov av att behandla känsliga personuppgifter. Ett undantag finns dock, en- skilda utbildningsanordnare inom omfattas inte av offentlighetsprincipen. Utredningens förslag i denna del omfattar så- ledes endast offentliga utbildningsanordnare. Utredningen föreslår att motsvarande bestämmelser om behand- ling av känsliga personuppgifter också ska föras in i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. De som anordnar sådana utbildningar har samma behov som anord- nare av utbildningar inom att behandla känsliga per- sonuppgifter. Eftersom de som anordnar utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar inte omfattas av offentlighetsprincipen ska det dock inte föras in någon bestämmelse som möjliggör behandling av känsliga personuppgifter som krävs enligt lag. Vidare bedömer utredningen att det för enskilda utbildnings- anordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar finns skäl att möjliggöra behandling av per- sonuppgifter som rör fällande domar i brottmål i ärenden om av- skiljande av studerande från utbildning. Utredningen föreslår därför sådana bestämmelser, eftersom dataskyddsförordningen och data- skyddslagen endast medger att offentliga utbildningsanordnare inom behandlar sådana uppgifter. För att leva upp till dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grund- läggande rättigheter och intressen föreslår utredningen att det i lagen om och förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar ska införas bestämmelser om förbud mot att använda sökbegrepp som avslöjar känsliga per- sonuppgifter. Motsvarande sökförbud ska även gälla för personupp- gifter som rör fällande domar i brottmål i fråga om enskilda utbild- ningsanordnare inom och anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kul- turutbildningar och vissa andra utbildningar. Sammanfattningsvis bedömer utredningen att en ändamålsenlig personuppgiftsbehandling, som skyddar den enskildes fri- och rättigheter, för utbildningsanordnarnas del kan ske med stöd av bestämmelserna i dataskyddsförordningen och dataskyddslagen samt de förslag som utredningen lämnar. Utredningen anser inte att det enligt bestämmelserna i 2 kap. 6 § andra stycket och 2 kap. 20 § första stycket 2 regeringsformen krävs en särskild lag för den per- sonuppgiftsbehandling som utförs av de offentliga utbildningsanord- narna inom . Utredningen anser att det inte heller finns något annat skäl för ytterligare reglering än den som utred- ningen föreslår. Utredningen bedömer att det för MYH finns en i svensk rätt fast- ställd rättslig förpliktelse och uppgift av allmänt intresse att svara för ett register över uppgifter om de studerande i utbildningarna inom och i de utbildningar inom som bedrivs som uppdragsutbildningar. Utredningen bedömer att mot- svarande gäller för det register över uppgifter om de studerande i utbildningarna enligt förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar som MYH också ska svara för. MYH kan därmed tillämpa de rättsliga grunderna i artikel 6.1 c och första ledet i artikel 6.1 e i dataskyddsförordningen för sådan personuppgiftsbehandling som är nödvändig vid förandet av regist- ren. Utredningen bedömer att det inte finns något ytterligare regle- ringsbehov. Vidare bedömer utredningen att utbildningsanordnarna inom kan tillämpa samma rättsliga grunder när de lämnar uppgifter om de studerande till MYH. Något ytterligare reglerings- behov finns därmed inte heller för deras del. För att säkerställa att anordnarna av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar har en rättslig grund att tillämpa när de ska lämna uppgifter till MYH, föreslår utredningen att MYH ska bemyndigas att meddela föreskrifter om uppgiftslämningen på motsvarande sätt som i 2 kap. 17 § förordningen (2009:130) om . Utredningen bedömer att folkhögskolorna, som stöd för sin person- uppgiftsbehandling när dataskyddsförordningen ska börja tillämpas, kan använda främst samtycke, dvs. artikel 6.1 a i dataskyddsförord- ningen, som rättslig grund för sin behandling av personuppgifter. Folkhögskolor som anordnar utbildning motsvarande vuxenutbildning i svenska för invandrare kan behandla personuppgif- ter om studerande i den verksamheten även med stöd av första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse. Känsliga personupp- gifter kan behandlas med stöd av samtycke enligt artikel 9.2 a. Utredningen bedömer att nämnda rättsliga grunder är tillräckliga för att nödvändig behandling av personuppgifter inom folkhögsko- lorna ska kunna ske på ett ändamålsenligt sätt som enskil- das fri- och rättigheter skyddas. Något behov av ytterligare reglering finns inte. Utredningen bedömer att studieförbunden, som stöd för sin person- uppgiftsbehandling när dataskyddsförordningen ska börja tillämpas, kan använda främst samtycke, dvs. artikel 6.1 a i dataskyddsförord- ningen, som rättslig grund för sin behandling av personuppgifter. Känsliga personuppgifter kan behandlas med stöd av samtycke enligt artikel 9.2 a. Utredningen bedömer att den rättsliga grunden samtycke är till- räcklig för att nödvändig behandling av personuppgifter inom studie- förbunden ska kunna ske på ett ändamålsenligt sätt som enskildas fri- och rättigheter skyddas. Något behov av ytterligare reglering finns inte. Register över deltagare i studieförbundens verksamhet Utredningen bedömer att och studieförbunden kan använda samtycke, dvs. artikel 6.1 a i dataskyddsförordningen, som rättslig grund för behandling av personuppgifter i Folkbildnings- rådets centrala uppgiftssamlingar över deltagare i studiecirkel och annan folkbildningsverksamhet när dataskyddsförordningen ska börja tillämpas. Utredningen anser att varken 2 kap. 6 § andra stycket regeringsformen eller något annat skäl fordrar att det införs någon särskild reglering. Utredningen bedömer att () har en i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet. Vidare konstaterar utredningen att det enligt artikel 6.2 och 6.3 andra stycket i dataskyddsförordningen är tillåtet att behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen med hänsyn till behandling för att efterleva artikel 6.1 e. Studiestödsdata- lagen med tillhörande förordning är därmed i sig förenliga med data- skyddsförordningen. För att anpassa studiestödsdatalagens bestämmelser till data- skyddsförordningen föreslår utredningen att hänvisningen till per- sonuppgiftslagen i 2 § ska ersättas med en upplysningsbestämmelse om dataskyddsförordningen samt, i andra stycket, en reglering om förhållandet till dataskyddslagen. Det nuvarande andra stycket, som reglerar studiestödsdatalagens förhållande till lagen (2001:99) om den officiella statistiken, ska flyttas till ett nytt tredje stycke. Be- stämmelserna i 6 och 8 §§, vilka reglerar begränsningar i rätten att behandla personuppgifter respektive användningen av sökbegrepp, föreslår utredningen ska ändras på så sätt att de ska omfatta samtliga kategorier av personuppgifter som räknas upp i artikel 9.1 i data- skyddsförordningen. Bestämmelsen i 7 § tredje stycket om åter- kallande av samtycke och 15 §, vilken reglerar rättelse och skade- stånd, ska upphävas, eftersom det i dessa delar finns direkt tillämp- liga bestämmelser i dataskyddsförordningen. Avslutningsvis ska bestämmelserna i 16 § tredje stycket och 16 § studiestödsdataför- ordningen ändras på så sätt att formuleringen ”historiska, statistiska eller vetenskapliga ändamål” ändras till ”arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål”. Utredningen föreslår att UHR:s uppgift att ansvara för en nationell databas för betygsuppgifter från gymnasieskolan och den kom- munala vuxenutbildningen på gymnasial nivå, betygsdatabasen , ska fastställas genom att den förs in i en bestämmelse i för- ordningen (2012:811) med instruktion för Universitets- och hög- Såväl ändamålet med registret att användas vid antagning av studenter till studier vid universitet och högskolor som det sta- tistiska ändamål uppgifterna i registret används för ska fastställas i bestämmelsen. Utredningen bedömer vidare att () behöver komplettera sina föreskrifter (SKOLFS 2011:142) om upp- giftsinsamling från huvudmännen inom skolväsendet m.m. för att huvudmännen som bedriver vuxenutbildning på gym- nasial nivå ska ha en rättslig grund att tillämpa när de fullgör sin skyldighet att lämna uppgifter om gymnasieexamen genom att lämna uppgifterna till UHR. Om utredningens förslag genomförs och om kom- pletterar sina föreskrifter bedömer utredningen att ändamålsenliga behandlingar i , som skyddar den enskildes fri- och rättigheter, kan göras även när dataskyddsförordningen ska börja tillämpas. Utredningen anser att det inte finns något ytterligare regleringsbehov med anledning av regeringsformens bestämmelser. Utredningen anser inte heller att det finns anledning att med stöd av artikel 89.2 i dataskyddsförordningen föreskriva om undantag från den registrerades rättigheter som avses i artiklarna 15, 16, 18 och 21, dvs. rätt till information om personuppgifter som behandlas, rätt att få felaktiga personuppgifter rättade, rätt att kräva begränsning av behandling och rätt att göra invändningar mot behandling. Utredningen bedömer att bestämmelserna i förordningen om lärar- och förskollärarregister utgör i enlighet med artikel 6.1 c i data- skyddsförordningen en fastställd rättslig förpliktelse för att föra ett register över legitimerade och tidigare legitimerade lärare och förskollärare. Förandet av registret är dessutom en för Skolver- ket fastställd uppgift av allmänt intresse i enlighet med första ledet i artikel 6.1 e. Vidare konstaterar utredningen att det enligt artikel 6.2 och 6.3 andra stycket är tillåtet att behålla eller införa mer specifika bestäm- melser för att anpassa tillämpningen av bestämmelserna i dataskydds- förordningen med hänsyn till behandling för att efterleva artikel 6.1 c Förordningen om lärar- och förskollärarregister är därmed i sig förenlig med dataskyddsförordningen. För att anpassa förordningens bestämmelser till dataskyddsför- ordningen föreslår utredningen att hänvisningen till personuppgifts- lagen i 2 § ska utgå och ersättas med en upplysning om att förord- ningen kompletterar dataskyddsförordningen. Därtill ska förhål- landet till dataskyddslagen regleras. Utredningen föreslår vidare att det i ett nytt tredje stycke i 6 § ska finnas en hänvisning till arti- kel 5.1 b i dataskyddsförordningen. Hänvisningen ersätter den nuva- rande hänvisningen till finalitetsprincipen i 9 § PUL som finns i 6 § andra stycket. Bestämmelserna om information i 10 § föreslås ändras på så sätt att de endast reglerar den informationsskyldighet som gäl- ler utöver den informationsskyldighet som kommer att gälla enligt dataskyddsförordningen. Slutligen föreslår utredningen att bestäm- melserna om rättelse och skadestånd i 11 § ska upphävas, eftersom det finns motsvarande bestämmelser i dataskyddsförordningen som är direkt tillämpliga. Kommunernas register över ungdomar som de har aktivitetsansvar för Utredningen bedömer att det i svensk rätt finns en i enlighet med artikel 6.1 c i dataskyddsförordningen fastställd rättslig förpliktelse för kommunerna att föra ett register över de ungdomar som om- fattas av kommunens aktivitetsansvar enligt 29 kap. 9 § skollagen. Förandet av registren är dessutom en för kommunerna fastställd uppgift av allmänt intresse i enlighet med första ledet i artikel 6.1 e. Vidare konstaterar utredningen att det enligt artikel 6.2 och 6.3 andra stycket är tillåtet att behålla eller införa mer specifika bestäm- melser för att anpassa tillämpningen av bestämmelserna i data- skyddsförordningen med hänsyn till behandling för att efterleva artikel 6.1 c och e. Förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar är där- med i sig förenlig med dataskyddsförordningen. För att anpassa förordningens bestämmelser till dataskyddsför- ordningen föreslår utredningen att hänvisningen till personupp- giftslagen i 2 § ska utgå och ersättas med en upplysning om att förordningen kompletterar dataskyddsförordningen. Därtill ska för- hållandet till dataskyddslagen regleras. att bestämmelsen i 5 § om förbud mot att behandla känsliga person- uppgifter ska hänvisa till artikel 9.1 i stället för 13 § PUL. Bestäm- melsen i 5 § om förbud mot att behandla uppgifter om lagöver- trädelser m.m. ska ändras så att den när dataskyddsförordningen och dataskyddslagen ska börja tillämpas kommer att ha samma materiella innebörd som . Slutligen föreslår utredningen att bestäm- melserna om rättelse och skadestånd i 6 § ska upphävas, eftersom det finns motsvarande bestämmelser i dataskyddsförordningen som är direkt tillämpliga. Övriga myndigheter med anknytning till utbildningsområdet Direktiven anger inte att det ska göras en analys av om det behöver införas kompletterande regleringar för personuppgiftsbehandlingen hos sådana myndigheter vars verksamhet anknyter till utbildnings- området t.ex. , och . Enligt utredningens uppfattning omfattas därför inte den personuppgifts- behandling som sker vid dessa myndigheter av utredningens upp- drag, annat än i de fall det särskilt har angivits att utredningen ska analysera behovet av reglering av särskilda register som förs av en myndighet eller behovet av anpassningar av författningar som styr en myndighets personuppgiftsbehandling. Då det finns ett intresse av vägledning har utredningen dock fun- nit anledning att göra en generell och övergripande analys av myn- digheternas möjligheter att behandla personuppgifter sett i ljuset av dataskyddsförordningen och den av före- slagna dataskyddslagen. Utredningen bedömer att statliga och kommunala myndigheters verksamhet inom utbildningsområdet i allt väsentligt är en uppgift av allmänt intresse. Denna verksamhet framgår normalt av uppdrag och åligganden i författningar, regeringsbeslut och kommunala regle- menten, antagna i enlighet med grundlagens bestämmelser. Uppgif- ten av allmänt intresse är fastställd genom dessa författningar, beslut och kommunala reglementen. Myndigheterna kan därigenom grunda nödvändig behandling av personuppgifter på första ledet i artikel 6.1 e i dataskyddsförordningen. Utredningen konstaterar dock att det ankommer på myndighe- terna att själva gå igenom all personuppgiftsbehandling som sker inom myndigheten och säkerställa att den har stöd i och är förenlig med dataskyddsförordningens och dataskyddslagens bestämmelser. Utredningen bedömer att utredningens förslag till regleringar inte kommer att innebära någon kostnadsökning för stat, kommuner, landsting och enskilda huvudmän som tillhandahåller och anordnar utbildningsverksamhet. Vidare bedömer utredningen att förslagen är neutrala rörande integritetsskyddet och att förslagen inte förväntas få några andra konsekvenser. Utredningen föreslår att den nya förordningen – förordningen om sökbegränsningar vid personuppgiftsbehandling i vissa utbildnings- former och i hemkommunen – och ändringsförfattningarna ska träda i kraft . Vidare föreslår utredningen tre övergångsbestämmelser för studie- stödsdatalagen, förordningen om lärar- och förskollärarregister, för- ordningen om register och dokumentation vid fullgörandet av kom- munernas aktivitetsansvar för ungdomar samt förordningen om redovisning av studier m.m. vid universitet och högskolor. Enligt den första ska äldre föreskrifter fortfarande gälla för ärenden hos Datainspektionen eller aktuell myndighet som har inletts men inte avgjorts före ikraftträdandet och som avser behandlingar som utförts före ikraftträdandet. Den andra övergångsbestämmelsen ska ange att äldre föreskrifter fortfarande gäller för överklagande av beslut som avser behandlingar som utförts före ikraftträdandet. Enligt den sista övergångsbestämmelsen ska äldre föreskrifter om skadestånd fort- farande gälla för skada som har orsakats före ikraftträdandet. lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina Härigenom föreskrivs att det i lagen (1993:792) om tillstånd att utfärda vissa examina ska införas fyra nya paragrafer, 10–13 §§, av följande lydelse. 10 § Bestämmelserna i 11–13 §§ kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad data- skyddsförordningen. Lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid enskilda utbildningsanordnares behandling av personuppgifter, om inte annat följer av 11–13 §§ eller föreskrifter som har meddelats med stöd av lagen med komplette- rande bestämmelser till EU:s dataskyddsförordning. 11 § Känsliga personuppgifter får med stöd av artikel i data- skyddsförordningen behandlas av en enskild utbildningsanordnare 1.i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, 2.om uppgifterna har lämnats till den enskilde utbildnings- anordnaren och behandlingen krävs enligt lag, eller 3.i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. 12 § Personuppgifter som rör fällande domar i brottmål får behand- las av en enskild utbildningsanordnare i löpande text i ett ärende om avskiljande av student från utbildning, om det är absolut nödvändigt för ändamålet med behandlingen och om intresset av att skydda andra personer och värdefull egendom klart väger över den risk för otillbör- ligt intrång i den registrerades personliga integritet som behandlingen kan innebära. 13 § Vid behandling enligt 11 och 12 §§ får en enskild utbildnings- anordnare inte använda sökbegrepp som avslöjar känsliga personupp- gifter eller uppgifter som rör fällande domar i brottmål. Denna lag träder i kraft . lag om ändring i lagen (2009:128) om Härigenom föreskrivs att det i lagen (2009:128) om yrkeshögsko- lan ska införas sju nya paragrafer, 19 a–§§, samt närmast före 19 a § en ny rubrik av följande lydelse. 19 a § Bestämmelserna i 19 b–§§ kompletterar Europaparla- mentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid utbildningsanordnares behandling av personuppgifter, om inte annat följer av 19 b–19 f §§ eller före- skrifter som har meddelats med stöd av denna lag eller lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. 19 b § Känsliga personuppgifter får med stöd av artikel i data- skyddsförordningen behandlas av en utbildningsanordnare i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende. 19 c § och högskolor samt andra statliga myn- digheter, kommuner och landsting som anordnar utbildning får med stöd av artikel i dataskyddsförordningen behandla känsliga per- sonuppgifter om uppgifterna har lämnats till , högskolan, myndigheten, kommunen eller och behandlingen krävs enligt lag. 19 d § Utöver vad som följer av 19 b och 19 c §§ får känsliga per- sonuppgifter med stöd av artikel i dataskyddsförordningen behandlas av en utbildningsanordnare i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integ- ritet. 19 e § Utbildningsanordnare med en enskild fysisk eller juridisk person som huvudman får behandla personuppgifter som rör fällande domar i brottmål i löpande text i ett ärende om avskiljande av stude- rande från utbildning, om det är absolut nödvändigt för ändamålet med behandlingen och om intresset av att skydda andra personer och värdefull egendom klart väger över den risk för otillbörligt intrång i den registrerades personliga integritet som behandlingen kan inne- bära.