sou · H5B349 · 2017-06-02 00:00:00 — Vid bedömningen av om be- handlingen utgör ett otillbörligt intrång ska vikt läggas vid sådana aspekter som uppgifternas känslighet, den inställning den registre- rade kan antas ha till att uppgiften behandlas, den spridning uppgif- ten skulle komma att få och risken för vidarebehandling för andra ändamål än insamlingsändamålet. 19 e § Utbildningsanordnare med en enskild fysisk eller juridisk per- son som huvudman får behandla personuppgifter som rör fällande domar i brottmål i löpande text i ett ärende om avskiljande av stude- rande från utbildning, om det är absolut nödvändigt för ändamålet med behandlingen och om intresset av att skydda andra personer och värde- full egendom klart väger över den risk för otillbörligt intrång i den regi- strerades personliga integritet som behandlingen kan innebära. Paragrafen, som är ny, möjliggör för enskilda utbildningsanordnare att i vissa fall behandla personuppgifter som rör fällande domar i brottmål. Övervägandena finns i avsnitt 6.4.5. Kravet på att behandlingen ska vara absolut nödvändig för syftet med behandlingen innebär att bestämmelsen ska tillämpas restriktivt och inte möjliggöra upprepad, omfattande, strukturell eller storskalig behandling. Det innebär också ett krav på att behovet av att behandla uppgifter som rör fällande domar i brottmål i det enskilda fallet ska prövas noga mot ändamålet med behandlingen. Vidare ställer bestämmelsen krav på att den personuppgiftsansva- rige, innan den avsedda behandlingen, ska göra en avvägning mellan intresset av att skydda andra personer och värdefull egendom och den risk för ett otillbörligt intrång i den registrerades integritet som behandlingen kan innebära. 19 f § Vid behandling enligt 19 b–19 d §§ får en utbildningsanord- nare inte använda sökbegrepp som avslöjar känsliga personuppgifter. Vid behandling enligt 19 e § får en enskild utbildningsanordnare inte använda sökbegrepp som avslöjar personuppgifter som rör fällande domar i brottmål. Paragrafen är ny. Paragrafens första stycke har motsvarande utform- ning som 3 kap. 4 § dataskyddslagen. För de offentliga utbildnings- anordnarna tar bestämmelsen över nämnda bestämmelse i data- skyddslagen. Paragrafens första stycke innebär att det gäller ett förbud mot sökning på känsliga personuppgifter hos utbildnings- anordnare. Paragrafens andra stycke innebär att det för enskilda utbildningsanordnare gäller motsvarande sökförbud för personupp- gifter som rör fällande domar i brottmål. Övervägandena finns i av- snitt 6.4.5. Sökförbuden införs för att tillgodose kraven på särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen i artikel och artikel 10 i dataskyddsförordningen. Sök- ningar som avslöjar och sammanställer känsliga personuppgifter och uppgifter som rör fällande domar i brottmål är åtgärder som i sig innebär en integritetskränkning. Förbuden omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information så att känsliga personuppgifter eller upp- gifter som rör fällande domar i brottmål avslöjas. För offentliga utbildningsanordnare innebär sökförbudet för känsliga personuppgifter att offentlighetsprincipen inskränks enligt den så kallade begränsningsregeln i 2 kap. 3 § tredje stycket tryckfri- hetsförordningen. En begäran att få tillgång till en sammanställning av uppgifter som är resultatet av en sådan förbjuden sökning ska alltså avslås på den grunden att sammanställningen inte anses förva- rad hos den offentliga utbildningsanordnaren. Det bör dock under- strykas att begränsningsregeln inte hindrar att sökningar görs i fär- diga elektroniska handlingar vid en begäran om tillgång till allmänna handlingar, dvs. sökning får på begäran ske i upptagningar där utbild- ningsanordnaren eller den som lämnat in handlingen till utbild- ningsanordnaren har gett upptagningen ett bestämt, fixerat, innehåll som går att återskapa gång på gång. § Regeringen får meddela föreskrifter om ytterligare undantag från förbudet i artikel 9.1 i dataskyddsförordningen om det behövs med hänsyn till det viktiga allmänna intresset att anordna utbildning enligt denna lag eller föreskrifter som har meddelats med stöd av denna lag. Paragrafen, som är ny, innebär ett bemyndigande för regeringen att meddela föreskrifter om ytterligare undantag från förbudet att be- handla känsliga personuppgifter för utbildningsanordnarna. Paragra- fen motsvarar delvis 3 kap. 8 § dataskyddslagen, som delvis motsvarar 20 § PUL. Övervägandena finns i avsnitt 6.4.5. 15.3Förslaget till lag om ändring i studiestödsdatalagen (2009:287) 2 § Denna lag kompletterar och rådets förord- ning (EU) 2016/679 av om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Lagen (2018:xx) med kompletterande bestämmelser till EU:s data- skyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen eller lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Vid Centrala behandling av personuppgifter för att framställa statistik ska lagen (2001:99) om den officiella stati- stiken och anslutande författningar tillämpas i stället för denna lag. Paragrafens första stycke har ändrats på så sätt att hänvisningen till personuppgiftslagen (1998:204) ersatts med en upplysningsbestäm- melse om dataskyddsförordningen och, i andra stycket, en reglering om förhållandet till dataskyddslagen. Nuvarande andra stycket har flyttats till ett nytt tredje stycke. Övervägandena finns i avsnitt 8.3. 6 § Särskilda begränsningar gäller för behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt för behand- ling av genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk per- sons sexualliv eller sexuella läggning. Särskilda begränsningar gäller även för behandling av personupp- gifter som avser lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Uppgifter enligt första och andra stycket får behandlas bara för ända- mål som avses i 4 § första stycket 1, om uppgifterna har lämnats i ett ärende i studiestödsverksamheten eller behövs för handläggningen av ett sådant ärende, eller för ändamål som avses i 4 § första stycket 6 och andra stycket. Paragrafen har ändrats på så sätt att den omfattar samtliga kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen och som där benämns särskilda kategorier av personuppgifter. Övri- ga ändringar i lagrummet är endast redaktionella. Övervägandena finns i avsnitt 8.3. 7 § Trots 4 § första stycket får personuppgifter behandlas i Centrala studiestödsverksamhet med den registrerades sam- tycke. Uppgifter som avses i 6 § får behandlas för andra ändamål än som anges i paragrafen bara med den registrerades uttryckliga samtycke. Uppgifter som behandlas med samtycke enligt första stycket får också behandlas enligt 4 § andra stycket. Paragrafen har ändrats på så sätt att bestämmelsen i tredje stycket om återkallande av samtycke har utgått, eftersom motsvarande regle- ring finns i artikel 7.3 i dataskyddsförordningen som är direkt till- lämplig. Övervägandena finns i avsnitt 8.3. 8 § Som sökbegrepp får inte användas 1.uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, reli- giös eller filosofisk övertygelse eller medlemskap i fackförening, 2.genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk per- sons sexualliv eller sexuella läggning, 3.uppgifter som avser lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberö- vanden, 4.uppgifter som rör inkomst, förmögenhet eller anledning till studie- avbrott, eller 5.uppgift om att det allmänna helt eller till en väsentlig del bekostat en persons uppehälle. Vid sökning i ett visst ärende om studiestöd, i en viss handling eller i en sådan avskild samling av personuppgifter som avses i 4 § andra stycket andra meningen får dock sökbegrepp som anges i första stycket användas. Som sökbegrepp får också användas uppgifter som rör 1.hälsa för att ge behörig personal elektronisk tillgång till pågående ärenden där sjukdom har betydelse, och 2.inkomst och förmögenhet för att ge behörig personal elektronisk tillgång till ärenden i syfte att kunna genomföra kontroller av uppgifter som har legat till grund för ett beslut i ett ärende. I paragrafens första stycke har ändringar gjorts så att samtliga kate- gorier av uppgifter som anges i artikel 9.1 i dataskyddsförord- ningen finns med. Övervägandena finns i avsnitt 8.3. 16 § Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personupp- gifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de kan ha sådan betydelse. Personuppgifter som behandlas enligt 4 § första stycket 3 ska, i den utsträckning de inte har tillförts ett ärende om studiestöd, gallras senast efter det att uppgifterna registrerades. Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om att personuppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål eller för redovisningsändamål, även om föreskrif- terna kommer att avvika från första stycket. Centrala studiestödsnämn- den får också, trots första stycket, i enstaka fall besluta att personupp- gifterna i ett ärende om studiestöd ska bevaras på papper eller annat medium som inte är elektroniskt. I paragrafens tredje stycke har formuleringen ”historiska, statistiska eller vetenskapliga ändamål” bytts ut mot den formulering som används i dataskyddsförordningen, dvs. ”arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller sta- tistiska ändamål”. Övervägandena finns i avsnitt 8.3. 15.4Förslaget till lag om ändring i skollagen (2010:800) 28 a kap. Behandling av personuppgifter 1 § Detta kapitel tillämpas vid behandling av personuppgifter i verk- samhet som utförs med stöd av denna lag eller föreskrifter som med- delats med stöd av lagen och de bestämmelser för utbildningen som kan finnas i andra författningar samt beslut som meddelats med stöd av dessa av 1.en huvudman inom skolväsendet enligt 2 kap., 2.en hemkommun enligt denna lag, eller 3.en aktör enligt 24 och 25 kap. Paragrafen, som är ny, är en upplysningsbestämmelse om när kapit- let är tillämpligt och de organ enligt skollagen som kan tillämpa det. 2 § Bestämmelserna i detta kapitel kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskydds- förordningen. Lagen (2018:xx) med kompletterande bestämmelser till EU:s data- skyddsförordning gäller vid behandling av personuppgifter, om inte annat följer av bestämmelserna i detta kapitel eller föreskrifter som har meddelats med stöd av 9 § tredje stycket eller 10 § eller lagen med kom- pletterande bestämmelser till EU:s dataskyddsförordning. Detta kapitel ska inte tillämpas på vårdgivares behandling av per- sonuppgifter inom hälso- och sjukvården eller Kriminalvårdens verk- samhet enligt 24 kap. 10 §. Paragrafen, som är ny, reglerar förhållandet mellan lagens bestäm- melser om personuppgiftsbehandling och andra dataskyddsbestäm- melser. Övervägandena finns i avsnitt 4.7.5. Första stycket innehåller en upplysning om att bestämmelserna i detta kapitel kompletterar dataskyddsförordningens bestämmelser. För den personuppgiftsbehandling som ett organ som avses enligt 1 § utför gäller således i huvudsak bestämmelserna i dataskydds- förordningen. I andra stycket upplyses om att dataskyddslagen är subsidiär i för- hållande till annan lagstiftning. Ett organ som avses i 1 § ska således tillämpa den särreglering som anges i detta kapitel i stället för mot- svarande bestämmelser i dataskyddslagen. I stället för bestämmel- serna om behandling av känsliga personuppgifter med stöd av arti- kel i dataskyddsförordningen enligt 3 kap. 3 och 4 §§ data- skyddslagen gäller således bestämmelserna i detta kapitel. Genom bestämmelsen i tredje stycket undantas den personupp- giftsbehandling som sker inom elevhälsan med stöd av bl.a. patient- datalagens (2008:355) bestämmelser från kapitlets bestämmelser. Det innebär att hälso- och sjukvårdspersonal inom elevhälsan som är skyldig att föra patientjournal och behandla person- uppgifter enligt patientdatalagens bestämmelser även fortsättningsvis ska tillämpa patientdatalagen med tillhörande föreskrifter och inte bestämmelserna i detta kapitel för den personuppgiftsbehandling som omfattas av patientdatalagens tillämpningsområde. I tredje stycket undantas även den personuppgiftsbehandling som sker hos med anledning av utbildningen för intagna i kriminalvårdsanstalt enligt 24 kap. 10 §. Kriminalvården ska i stället tillämpa den av Utredningen om 2016 års dataskyddsdirektiv före- slagna brottsdatalagen (2018:xx) vid sin personuppgiftsbehandling (se SOU 2017:29). 3 § Känsliga personuppgifter får med stöd av artikel i dataskydds- förordningen behandlas av ett sådant organ som avses i 1 § 1.i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, eller 2.om uppgifterna har lämnats till organet och behandlingen krävs enligt lag. Paragrafen är ny. Paragrafen anger, tillsammans med 4–9 §§ när organen som anges i 1 § får behandla känsliga personuppgifter med stöd av artikel i dataskyddsförordningen. Bestämmelsen har motsvarande utformning som 3 kap. 3 § 1 och 2 dataskyddslagen. Bestämmelsen i 3 § 1 motsvarar delvis 8 § personuppgiftsförord- ningen (1998:1191). För de offentliga huvudmännen och hemkommunerna tar bestämmelsen över motsvarande bestämmelse i dataskyddslagen. Även de enskilda huvudmän som – om förslagen i SOU 2015:82 och SOU 2016:62 genomförs – omfattas av bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) ska tillämpa 3 § 2 i stället för 3 kap. 3 § 2 dataskyddslagen. Övervägandena finns i avsnitt 4.7.5. Punkten 1 möjliggör behandling av känsliga personuppgifter i ett organs ärenden, förutsatt att behandlingen sker i löpande text och inte som strukturerad information i register eller liknande. Bestäm- melsen är avsedd att reglera sådan behandling som sker i ärenden i dessas kärnverksamhet, dvs. huvudmännens utbildningsverksamhet enligt skollagen med tillhörande föreskrifter eller i ärenden enligt skollagen hos hemkommunerna. Uppgifterna måste vidare ha läm- nats in av någon utomstående eller vara nödvändiga för handlägg- ningen av ärendet. Begränsningen till löpande text utesluter inte att handlingar med ostrukturerade känsliga personuppgifter lagras elektroniskt i ärendehanteringssystem eller liknande. Ordet nödvändigt bör här ha motsvarande betydelse som i EU- rätten, dvs. det innebär inte ett krav på att det ska vara helt omöjligt att fullgöra förpliktelsen eller utföra uppgiften utan att behand- lingsåtgärden vidtas (dom i mål nr C-524/06, Huber mot ). Punkten 2 möjliggör sådan behandling av känsliga personupp- gifter som är oundviklig i ett organs verksamhet som en direkt följd av tryckfrihetsförordningens, offentlighets- och sekretess- lagens och förvaltningslagens (1986:223) bestämmelser om allmän- na handlingar, diarieföring och skyldighet att ta emot e-post. 4 § I grundsärskolan, specialskolan, gymnasiesärskolan och särskild utbildning för vuxna får med stöd av artikel i dataskyddsförord- ningen uppgifter om hälsa behandlas om det är nödvändigt för ända- målet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vad som föreskrivs i första stycket gäller även 1.i gymnasieskolan med Rh-anpassad utbildning, 2.i utbildning i gymnasieskolan för elever som är döva, hörselska- dade eller dövblinda eller har en språkstörning, 3.i fristående förskoleklass som begränsats till att avse elever som är i behov av särskilt stöd för sin utveckling enligt 9 kap. 17 §, 4.i fristående grundskola som begränsats till att avse elever som är ibehov av särskilt stöd enligt 10 kap. 35 § 2, och 5.i fristående gymnasieskola som begränsats till att avse elever som är i behov av särskilt stöd enligt 15 kap. 33 § 1. Paragrafen är ny. Paragrafen, som har sin grund i artikel i data- skyddsförordningen omfattar grundsärskolan, specialskolan, gymna- siesärskolan, särskild utbildning för vuxna, fristående skolor som begränsats till elever som är i behov av särskilt stöd och vissa gym- nasieutbildningar som vänder sig särskilt till elever med funktions- nedsättningar. Paragrafen möjliggör att nödvändig personuppgifts- behandling kan ske hos dessa aktörer utan samtycke från eleven eller dess vårdnadshavare under förutsättning att behandlingen inte inne- bär ett otillbörligt intrång i den registrerades integritet. Övervägan- dena finns i avsnitt 4.7.5. Inom dessa utbildningsformer är alla personuppgifter känsliga personuppgifter eftersom eleverna som går i dessa har en funktions- nedsättning. En uppgift om att en elev går på en sådan skola eller sådan utbildning blir därför en uppgift om hälsa. Syftet med bestäm- melsen är att personuppgifter som t.ex. namn, personnummer, adress, vårdnadshavare och kontaktuppgifter till dessa ska kunna behandlas i t.ex. elevregister, klasslistor och närvarolistor, men även i löpande text i den faktiska verksamheten, dvs. undervisningen, utan att samtycke behöver inhämtas, på samma sätt som motsvarande uppgifter i t.ex. en grundskola. Det måste dock beaktas att det rör sig om känsliga personuppgifter vilket har betydelse vid bestäm- mande av dataskydd och åtkomstbegränsningar. Då bestämmelserna innebär en mer tillåtande behandling av vissa känsliga personuppgifter för dessa skolformer och utbildningar än andra uppställs ett krav att behandlingen inte innebär ett otillbörligt intrång i den registrerades integritet. Vid bedömningen av om en personuppgiftsbehandling utgör ett otillbörligt intrång ska vikt läg- gas vid t.ex. uppgifternas känslighet, den inställning den registrerade kan antas ha till att uppgiften behandlas och den spridning uppgiften skulle komma att få. Beträffande behandling av andra känsliga personuppgifter än upp- gift om hälsa gäller de övriga bestämmelserna i detta kapitel även för dessa skolformer och utbildningar. 5 § I sameskolan får med stöd av artikel i dataskyddsförord- ningen uppgifter om etniskt ursprung behandlas om det är nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Paragrafen är ny. Paragrafen, som har sin grund i artikel i data- skyddsförordningen, möjliggör att nödvändig personuppgiftsbehand- ling inom sameskolan kan ske utan samtycke. I sameskolan är en uppgift om att en elev går på skolan en uppgift om etniskt ursprung och därigenom en känslig personuppgift. Övervägandena finns i av- snitt 4.7.5. Syftet med bestämmelsen är att personuppgifter som t.ex. namn, personnummer, adress, vårdnadshavare och kontaktuppgifter till dessa ska kunna behandlas i t.ex. elevregister, klasslistor och när- varolistor, men även i löpande text i den faktiska verksamheten, dvs. undervisningen, utan att samtycke måste inhämtas på samma sätt som motsvarande uppgifter i t.ex. en grundskola. Det måste dock beaktas att det rör sig om känsliga personuppgifter vilket har bety- delse vid bestämmande av dataskydd och åtkomstbegränsningar. Då bestämmelserna innebär en mer tillåtande behandling av upp- giften om etniskt ursprung för sameskolan än andra skolformer upp- ställs ett krav att behandlingen inte innebär ett otillbörligt intrång i den registrerades integritet. Vid bedömningen av om en person- uppgiftsbehandling utgör ett otillbörligt intrång ska vikt läggas vid t.ex. uppgifternas känslighet, den inställning den registrerade kan antas ha till att uppgiften behandlas och den spridning uppgiften skulle komma att få. Beträffande behandling av andra känsliga personuppgifter än uppgift om etniskt ursprung gäller de övriga bestämmelserna i detta kapitel även för sameskolan. 6 § En hemkommun får med stöd av artikel i dataskyddsför- ordningen behandla uppgifter om hälsa om det är nödvändigt för hand- läggningen av 1.ett ärende om mottagande i grundsärskolan enligt 7 kap. 5 § andra stycket, 2.ett ärende om en sökande tillhör målgruppen för gymnasiesär- skolan enligt 18 kap. 5 §, eller 3.ett ärende om tilläggsbelopp för en elev som har ett omfattande behov av särskilt stöd. För att behandlingen enligt första stycket ska vara tillåten krävs dess- utom att den inte innebär ett otillbörligt intrång i den registrerades per- sonliga integritet. Paragrafen är ny. Paragrafen, som har sin grund i artikel i data- skyddsförordningen, möjliggör för hemkommunen att kunna behandla nödvändiga uppgifter i ärenden om dels mottagande i grundsärskolan och om sökanden tillhör målgruppen för gymnasie- särskolan, dels tilläggsbelopp för en elev som har ett omfattande behov av särskilt stöd. Paragrafen möjliggör för hemkommunen att behandla nödvändiga uppgifter i dels löpande text, dels i ärende- hanteringssystem. Övervägandena finns i avsnitt 4.7.5. För att minska risken för integritetsintrång uppställs i andra stycket ett krav på att behandlingen inte får innebära ett otillbörligt intrång i den registrerades personliga integritet för att den ska vara tillåten. Vid bedömningen av om en personuppgiftsbehandling utgör ett otillbörligt intrång ska vikt läggas vid t.ex. uppgifternas käns- lighet, den inställning den registrerade kan antas ha till att uppgiften behandlas och den spridning uppgiften skulle komma att få. 7 § En hemkommun får med stöd av artikel i dataskyddsför- ordningen behandla uppgifter om etniskt ursprung och hälsa i form av elevens namn, personnummer, samordningsnummer, adress och vård- nadshavare om det är nödvändigt för att fullgöra skyldigheter enligt 7 kap. 21 §. Paragrafen är ny. Paragrafen, som har sin grund i artikel i data- skyddsförordningen, möjliggör för hemkommunen att behandla vissa särskilt angivna uppgifter om elever om hemkommunen bedö- mer att det är nödvändigt för att uppfylla sitt ansvar enligt 7 kap. 21 § skollagen att se till att skolpliktiga barn som inte går i dess grundskola eller grundsärskola på något annat sätt får föreskriven utbildning. För att kunna uppfylla denna skyldighet är kommunerna i behov av att kunna föra ett register över var de skolpliktiga barnen fullgör sin skolplikt. En uppgift om att en elev går i t.ex. en fri- stående grundsärskola är en uppgift om hälsa och en uppgift om att en elev går i en sameskola är en uppgift om etniskt ursprung. En kommun kan med stöd av bestämmelsen behandla uppgifter om att en elev fullgör sin skolplikt i t.ex. en fristående grundsär- skola eller i en sameskola.