sou · H5B349 · 2017-06-02 00:00:00 — bestämmelser till EU:s dataskydds- förordning. Känsliga personuppgifter får med stöd av artikel i data- skyddsförordningen behandlas av en utbildningsanordnare 1. i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, eller 2. i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behand- lingen inte innebär ett otillbörligt intrång i den registrerades person- liga integritet. Personuppgifter som rör fällan- de domar i brottmål får behandlas av en utbildningsanordnare i löpande text i ett ärende om av- skiljande av studerande från ut- bildning, om det är absolut nöd- vändigt för ändamålet med be- handlingen och om intresset av att skydda andra personer och värde- full egendom klart väger över den risk för otillbörligt intrång i den registrerades personliga integritet som behandlingen kan innebära. Vid behandling enligt 39 b och 39 c §§ får en utbildningsanord- nare inte använda sökbegrepp som avslöjar känsliga personupp- gifter eller uppgifter som rör fäl- lande domar i brottmål. Myndigheten för får meddela föreskrifter om 1. utbildningsplaner och kursplaner, 2. betyg, intyg och 2. betyg, 3. att den ansvariga ningsanordnaren ska lämna upp- gifter till myndigheten om de stude- samt på vilket sätt och när upp- gifterna ska lämnas, och 3. verkställigheten av 4. verkställigheten av Denna förordning träder i kraft . 2Utredningens uppdrag och arbete Utredningens uppdrag har varit att för utbildningsområdet, med undantag för forskningsverksamhet, föreslå regleringar för behand- ling av personuppgifter som ska komplettera dataskyddsförord- ningen och den generella reglering som (Ju 2016:04, dir. 2016:15) haft i uppdrag att föreslå. I kommittédirektiven anges även att utredningen ska analysera om det utöver dessa regleringar finns behov av kompletterande regler- ingar för behandling av känsliga personuppgifter inom utbildnings- området. Utredningen ska också analysera behovet av reglering för vissa särskilt angivna register och vilka ändringar som behöver göras i vissa särskilt angivna författningar. Den reglering som föreslås ska möjliggöra en ändamålsenlig behandling av personuppgifter inom utbildningsområdet som den skyddar den enskildes fri- och rättigheter. Utredningens direktiv finns i bilaga 1. Utredningens uppdrag har spänt över ett heterogent område – utbild- ningsområdet såsom det angetts i kommittédirektiven – som den i direktiven givna tidsramen måste hållas. För att kunna hålla tidsramen har utredningen ansett det nödvändigt att tolka uppdraget tämligen strikt. Utredningen har därför inte, med något undantag, tagit sig an uppgifter som inte klart framgår av de direktiv som läm- nats. Utredningens uppdrag och arbete Som angetts ovan har utredningens uppdrag varit att för utbild- ningsområdet utreda och föreslå de nödvändiga anpassningar av nationell rätt som dataskyddsförordningen och den generella regler- ing som haft i uppdrag att föreslå ger anled- ning till. Syftet är att utbildningsanordnarna även fortsättningsvis ska kunna utföra nödvändiga behandlingar av personuppgifter om barnen i förskolan, eleverna i t.ex. , gymnasieskolan och kom- munal vuxenutbildning, studenterna i högskola och universitet, studerande i t.ex. folkhögskola, yrkeshögskola, konst- och kultur- utbildningar samt deltagarna i studiecirklar och annan folkbildnings- verksamhet. Den personuppgiftsbehandling som behöver vidtas med anledning av att utbildningsanordnaren även är arbetsgivare omfattas inte av direktiven. Enligt utredningens bedömning omfattas vidare inte heller den personuppgiftsbehandling som sker vid statliga myndigheter vars verksamhet anknyter till utbildningsområdet, t.ex. Statens skolinspek- tion, och Universitets- och högskolerådet (UHR), av direktiven, annat än i de fall det särskilt har angivits att utredningen ska analysera behovet av reglering av särskilda register som förs av en myndighet eller behovet av anpassningar av författningar som styr en myndighets personuppgiftsbehandling. Beträffande dessa aktörers personuppgiftsbehandling har dock utredningen funnit anledning att övergripande analysera deras möjligheter att behandla personupp- gifter sett i ljuset av dataskyddsförordningen och den av Dataskydds- utredningen föreslagna lagen (2018:xx) med kompletterande bestäm- melser till EU:s dataskyddsförordning (se avsnitt 12). Utredningen har strävat efter att sådan personuppgiftsbehandling som är tillåten i möjligaste mån ska kunna fortsätta. Ut- redningens arbete har således inte syftat till att vare sig utvidga eller inskränka möjligheterna till behandling av personuppgifter, annat än då dataskyddsförordningen kräver en sådan förändring. Utredningen har inte haft i uppdrag att analysera eller beskriva vilka förändringar som dataskyddsförordningen i sig innebär för utbildningsanordnarnas (personuppgiftsansvarigas) möjligheter att behandla och skyldigheter att skydda personuppgifter. Det har inte heller varit utredningens uppgift att bedöma konsekvenserna av data- skyddsförordningens bestämmelser eller av de förändringar som dessa innebär för utbildningsområdet. Utredningens uppdrag och arbete Som framgår ovan av beskrivningen av utredningens uppdrag har utredningen varit beroende av Dataskydds- utredningens bedömningar och förslag. Något färdigt betänkande från har dock inte förelegat i sådan tid under utredningens arbete att det kunnat beaktas. När det i betänkandet hänvisas till bedömningar och förslag är det således till de preliminära texter som utredningen getts möjlighet att ta del av och lämna synpunkter på under hand. Utredningsarbetet har annars bedrivits på sedvanligt sätt med regelbundna expert- gruppssammanträden. Utredningen har haft fem sammanträden med sakkunnig och experter. Utredningsarbetet har även i övrigt bedrivits i nära samarbete med experterna. har 13 möten hållits med företrädare för myn- digheter och andra organisationer för att inhämta kunskap om den personuppgiftsbehandling som sker inom utbildningsområdet. Enskilda möten har hållits med respektive Datainspektionen, , , , , Kommuner och Landsting, Statistiska central- byrån (SCB), Myndigheten för , Sameskolstyrelsen, Specialpedagogiska skolmyndigheten och Centrala studiestödsnämn- den. Ett gemensamt möte har hållits med företrädare för och Ladokkonsortiet. Vidare har ytterligare ett gemensamt möte med företrädare för , , och Datainspektionen hållits. har ett gemensamt möte med företrädare för och hållits. Vidare har texter med utredning- ens bedömningar och förslag beretts med Universitetskanslers- ämbetet, SCB och Sameskolstyrelsen. Parallellt med utredningen har ett flertal andra utredningar också haft i uppdrag att anpassa svensk rätt till dataskyddsreformen. Utred- ningen tog tillsammans med (U 2016:04) initiativ till att en informell samordningsgrupp bildades . I den informella samordningsgruppen har även bl.a. Data- skyddsutredningen och Utredningen om 2016 års dataskyddsdirek- tiv (Ju 2016:06) ingått. har det hållits tio möten i denna samordningsgrupp. Utredningens uppdrag och arbete Utredningen har även samrått med (Ju 2014:09). I dagens samhälle behandlas stora mängder personuppgifter elektro- niskt av både privata och offentliga aktörer. Det är nödvändigt för att företag ska kunna bedriva en konkurrenskraftig affärsverksamhet och för att offentliga organ ska kunna utföra sina uppdrag på ett effektivt och rättssäkert sätt. Denna hantering är dock förenad med påtagliga risker. Om de personuppgifter som samlats in utnyttjas för andra syften än avsett eller annars behandlas på ett otillbörligt sätt, eller om uppgifterna på grund av säkerhetsbrister hamnar i fel hän- der, kan det leda till allvarlig skada för enskildas personliga integritet. För att skydda enskildas integritet har det därför ansetts finnas ett behov av bestämmelser som begränsar hur, när och varför person- uppgifter får behandlas och som reglerar hur otillåten behandling ska förhindras och beivras. Det finns flera internationella överenskommelser som innehåller reglering till skydd för den personliga integriteten. En kortfattad genomgång av den övergripande rättsliga regleringen till skydd för den personliga integriteten i den mån denna reglering är av relevans med avseende på behandling av personuppgifter finns i Dataskydds- utredningens betänkande Ny dataskyddslag – Kompletterande be- stämmelser till EU:s dataskyddsförordning, SOU 2017:39, avsnitt 3.2 Internationella överenskommelser. 3.2Dataskydd i svensk rätt Grundläggande bestämmelser till skydd för den personliga integrite- ten finns i regeringsformen. I 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt för bl.a. den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. Enligt 2 kap. 6 § andra stycket regeringsformen, som trädde i kraft , är var och en gentemot det allmänna skyd- dad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet mot integritetsintrång kan dock enligt 2 kap. 20 § första stycket 2 regeringsformen begränsas genom lag. Det krävs därmed särskilt författningsstöd för åtgärder från det allmännas sida som innefattar betydande intrång i den personliga integriteten, om in- trånget sker utan samtycke och innebär övervakning eller kartlägg- ning av den enskildes personliga förhållanden. I förarbetena till 2 kap. 6 § andra stycket regeringsformen utta- las bl.a. följande (prop. 2009/10:80 s. 250). Vid bedömning av vilka åtgärder som kan anses utgöra ett ”betydande intrång” ska både åtgärdens omfattning och arten av det intrång åtgär- den innebär beaktas. Även åtgärdens ändamål och andra omständigheter kan ha betydelse vid bedömningen. Bestämmelsen omfattar endast såda- na intrång som på grund av åtgärdens intensitet eller omfattning eller av hänsyn till uppgifternas integritetskänsliga natur eller andra omstän- digheter innebär ett betydande ingrepp i den enskildes privata sfär. Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om det fria flödet av så- dana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garan- tera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204, PUL). Bestämmelserna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Personuppgiftslagen kompletteras av bestämmelser i personuppgifts- förordningen (1998:1191). betänkande SOU 2017:39 innehåller en utförligare beskrivning av personupp- giftslagen, se avsnitt 3.4.2. antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning). I dagligt tal används ofta den vedertagna förkortningen, GDPR. har dock valt att i sitt betänkande benämna den nya rättsakten dataskyddsförordningen. Utredningen har därför valt att göra detsamma. Dataskyddsförordningen kommer att ersätta det nuvarande dataskyddsdirektivet och utgöra grunden för generell personuppgiftsbehandling inom EU. Enligt artikel 288 andra stycket i Fördraget om Europeiska unionens funktionssätt ska en EU-förordning ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. Till skillnad från EU-direk- tiv ska alltså förordningar inte implementeras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmel- ser. Detta innebär att dataskyddsförordningen är direkt tillämplig. Även om dataskyddsförordningen är direkt tillämplig i medlems- staterna, till skillnad från dataskyddsdirektivet, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Förordningen har därmed i vissa delar en direktivliknande karaktär. I skäl 8 till förordningen an- ges också att om denna förordning föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas natio- nella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av den- na förordning i nationell rätt. beskriver i sitt betänkande SOU 2017:39 dataskyddsförordningens syfte, tillämpningsområde och sakliga för- ändringar med förordningen, se avsnitt 4.2.1–4.2.3. Utredningen har fått i uppdrag att undersöka vilken reglering på nationell nivå av personuppgiftsbehandling inom utbildningsområ- det, med undantag för forskningsverksamhet, som är möjlig och kan behövas utöver dataskyddsförordningen och den generella reglering som kommer att föreslå. Utredningen har således att utgå från den generella reglering som Dataskyddsutred- ningen kommer att föreslå och de bedömningar den utredningen gör. Något färdigt betänkande från har dock inte förelegat i sådan tid under utredningens arbete att det kunnat beaktas. När det i det följande hänvisas till bedömningar och förslag är det således till de preliminära texter som utredningen getts möjlighet att ta del av och lämna synpunkter på under hand. Här nedan redovisas i korthet relevanta delar av Dataskydds- utredningens förslag till nytt svenskt regelverk för dataskydd. 3.4.1Dataskyddsutredningens förslag i korthet föreslår att en lag, lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen), med tillhörande förordning, som kompletterar data- skyddsförordningen på ett generellt plan, ska träda i kraft som personuppgiftslagen och personuppgiftsförord- ningen ska upphävas. Sektorsspecifika författningsbestämmelser om behandling av personuppgifter ska ha företräde framför den nya lagen. Rättslig grund för behandling av personuppgifter I artikel 5 i dataskyddsförordningen anges ett antal principer för be- handling av personuppgifter, bl.a. att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (5.1 a). Vad som krävs för att en behandling ska vara laglig framgår av artikel 6. Enligt artikel 6.1 är behandling endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktel- se som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning. f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Artikel 6.1 i dataskyddsförordningen motsvarar i stora drag artikel 7 i dataskyddsdirektivet, som har genomförts i svensk rätt genom 10 § PUL. Den största skillnaden är att det enligt förordningen inte är tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grund som utgår från en avvägning mellan den person- uppgiftsansvariges berättigade intressen och den registrerades rättig- heter och intressen (jfr 10 § f PUL). Den möjligheten kvarstår där- emot för privata aktörer som behandlar personuppgifter. I andra stycket av artikel 6.1 anges nämligen att led f i första stycket inte ska gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Som framgår ovan måste en behandling av personuppgifter vara nödvändig för att den ska vara tillåten enligt artikel 6.1 b–f. I EU- domstolens dom i målet Huber mot (mål C-524/06), som rörde tolkningen av nödvändighetsrekvisitet i artikel 7 e i data- skyddsdirektivet, uttalade att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämp- ningen av relevanta bestämmelser. anser att domen bör kunna utgöra stöd även vid tolkningen av dataskyddsför- ordningen. Även om exempelvis en uppgift av allmänt intresse skulle kunna utföras utan behandling av personuppgifter, kan behandlingen alltså ur ett unionsrättsligt perspektiv anses vara nödvändig och där- med tillåten enligt artikel 6, om behandlingen leder till effektivitets- vinster (SOU 2017:39, avsnitt 8.2.2). Uppräkningen i artikel 6.1 är uttömmande. Om inget av dessa villkor är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behand- ling. Den omständigheten att behandlingen är laglig enligt artikel 6.1, dvs. att den är rättsligt grundad, innebär inte att behandling kan ske av vilka uppgifter som helst eller på valfritt sätt. Den personupp- giftsansvarige måste också uppfylla kraven i övriga bestämmelser i förordningen, t.ex. de allmänna principerna i artikel 5. I utredningens direktiv anges att när dataskyddsförordningen ska börja tillämpas kommer möjliga grunder för behandling av person- uppgifter inom utbildningsområdet huvudsakligen att vara att den registrerade har lämnat sitt samtycke till att hans eller hennes per- sonuppgifter behandlas för ett eller flera specifika ändamål (6.1 a) eller att behandlingen är nödvändig för att fullgöra en rättslig för- pliktelse (6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (6.1 e). Av artikel 6.3 framgår att den grund för behandlingen som avses i 6.1 c och e ska fastställas i enlighet med unionsrätten eller en med- lemsstats nationella rätt som den personuppgiftsansvarige omfattas av. bedömer att med grunden för behand- lingen i artikel 6.1 c och e avses den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen (SOU 2017:39, avsnitt 8.3.1). anser att det i dataskyddslagen ska finnas en bestämmelse som tydliggör att personuppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som gäller enligt lag eller annan författning eller som följer av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (SOU 2017:39, avsnitt 8.3.2). Vidare föreslås en bestämmelse som tydliggör att personuppgifter får behandlas om behandlingen är nödvändig som ett led i myndig- hetsutövning som den personuppgiftsansvarige utövar enligt lag eller annan författning (SOU 2017:39, avsnitt 8.3.3). Slutligen föreslås en bestämmelse som tydliggör att personupp- gifter får behandlas om behandlingen är nödvändig för att den per- sonuppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (SOU 2017:39, avsnitt 8.3.4). I artikel 8 i dataskyddsförordningen finns villkor som gäller barns samtycke till personuppgiftsbehandling vid erbjudande av informa- tionssamhällets tjänster direkt till ett barn. Enligt Dataskyddsutred- ningen omfattar begreppet informationssamhällets tjänster bl.a. olika sociala medier, t.ex. bloggar, internetforum, webbplatser för video- klipp, chattprogram och sociala nätverk. Även onlinespel och olika applikationer (appar) med spel eller annat innehåll kan omfattas av definitionen (SOU 2017:39, avsnitt 9.4.3). I artikel 8.1 anges att om barnet är ska sådan behand- ling vara tillåten endast om och i den mån samtycke ges eller godkänns av den person som har föräldraansvar för barnet. Data- skyddsförordningen tillåter att en lägre åldersgräns föreskrivs i med- lemsstaternas nationella rätt, dock lägst . Dataskyddsutred- ningen föreslår att barn som har fyllt själva ska kunna samtycka till personuppgiftsbehandling i samband med att informationssam- hällets tjänster erbjuds direkt till barn. Om barnet är ska sådan behandling vara tillåten endast om och i den mån samtycke ges eller godkänns av den person som har föräldraansvar för barnet (2017:39, avsnitt 9.5). I artikel 9 i dataskyddsförordningen regleras behandling av särskilda kategorier av personuppgifter. Enligt artikel 9.1 ska behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening och behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning vara förbjuden. anser att begreppet känsliga personuppgifter är ett tydligare begrepp för de uppgifter som omfat- tas av artikel 9.1 och har, eftersom begreppet även anses inarbetat på EU-nivå, valt att använda det istället (SOU 2017:39, avsnitt 10.2). I artikel 9.2 finns ett antal undantag från förbudet i artikel 9.1. Vissa av bestämmelserna innehåller hänvisningar till medlemsstater- nas nationella rätt och innehåller också krav på någon form av skyddsåtgärder. Enligt bedömning innebär kravet på stöd i nationell rätt att vissa av undantagen i sig bör före- skrivas i nationell rätt antingen i generell eller i sektorsspecifik regler- ing (SOU 2017:39, avsnitt 10.3). föreslår en bestämmelse i dataskydds- lagen som möjliggör behandling av känsliga personuppgifter om det är nödvändigt för att den personuppgiftsansvarige eller den registre- rade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten. Uppgifter ska få lämnas ut till tredje part bara om det finns en skyldighet inom arbetsrätten för den per- sonuppgiftsansvarige att göra det eller om den registrerade uttryck- ligen har samtyckt till utlämnandet (SOU 2017:39, avsnitt 10.5.2). föreslår även bestämmelser med särskilda undantag från förbudet mot behandling av känsliga personuppgifter för myndigheter (SOU 2017:39, avsnitt 10.6.2). Myndigheter ska få behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende. Vidare ska myndigheter och andra organ som omfattas av offentlighetsprincipen få behandla känsliga personuppgifter om des- sa har lämnats till myndigheten eller organet och behandlingen krävs enligt lag. Dessutom ska myndigheter få behandla känsliga person- uppgifter i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt in- trång i den registrerades personliga integritet. Ett förbud för myndigheter att använda sökbegrepp som avslö- jar känsliga personuppgifter föreslås, då behandlingen sker enbart med stöd av de nämnda undantagen. Regeringen föreslås få meddela föreskrifter om ytterligare undan- tag från förbudet mot behandling av känsliga personuppgifter om det behövs med hänsyn till ett viktigt allmänt intresse.