sou · H5B349 · 2017-06-02 00:00:00 — Om utlämnandet i sig är tillåtet enligt dataskyddsförordningen får det således ske på vilket sätt som helst så länge föreskrivna säker- hetsåtgärder vidtas och, i relevanta fall, bestämmelserna rörande överföring av personuppgifter till tredjeland följs. Artiklarna om säkerhetsåtgärder och om överföring av personuppgifter till tredje- land kommer att vara direkt tillämpliga. Bestämmelsen i 8 § är en begränsning som förhindrar direkt- åtkomst till registret. Begränsningen är tillåten enligt artikel 6.2 och 6.3 andra stycket i dataskyddsförordningen. Utredningens bedöm- ning är att bestämmelserna i 8 och 9 §§ är förenliga med dataskydds- förordningen. Båda paragraferna kan och bör behållas. I 10 § anges att på lämpligt sätt ska informera den regi- strerade om registret (dvs. formen för hur informationen ska läm- nas). Vidare anges vilken information som ska lämnas. Informatio- nen ska ge upplysning om vem som är personuppgiftsansvarig och redovisa ändamålet med registret och vilken typ av uppgifter som registret får innehålla samt ge upplysning om 1.de sekretess- och säkerhetsbestämmelser som gäller för regist- ret, 2.rätten att få information och rättelse enligt personuppgiftslagen, 3.rätten till skadestånd vid behandling av personuppgifter i strid med denna förordning och personuppgiftslagen, 4.vad som gäller i fråga om sökbegrepp, direktåtkomst och utläm- nande av uppgifter på medium för automatiserad behandling, och 5.om registreringen är frivillig eller inte. Formen för lämnande av information Av artikel 12.1 i dataskyddsförordningen följer att den personupp- giftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artikel 13 och 14 (som anger vilken information som ska lämnas). Informationen ska till- handahållas i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det får informationen tillhandahållas muntligt, förutsatt att den registrera- des identitet bevisats på andra sätt. Eftersom artikel 12 i dataskyddsförordningen är direkt tillämp- lig och då utredningen bedömer att den inhemska lagstiftningen av tydlighetsskäl inte ska dubbelreglera viss förordningstext, föreslår utredningen att första meningen i 10 § förordningen om lärar- och förskollärarregister ska tas bort. Vilken information som ska lämnas Artikel 13 i dataskyddsförordningen reglerar vilken information som den personuppgiftsansvarige ska informera den registrerade om i de fall personuppgifter samlas in från den registrerade. Artikel 14 reglerar den information som ska tillhandahållas om personuppgifterna har erhållits från någon annan än den registrerade. De uppgifter som registreras i registret rörande legitimationer kommer främst från lärare eller förskollärare, dvs. de registrerade, när de ansöker om legitimation. Vid registreringen hämtar Skolver- ket även uppgifter från folkbokföringen, dvs. uppgifter kommer från någon annan än den registrerade. Enligt 27 kap. 4 § skollagen prövar , efter anmälan av , frågor om lärares och förskollärares fortsatta rätt att inneha legitima- tion och om varning ska meddelas. I de fall en lärare eller förskol- lärare har meddelats en varning eller fått sin legitimation återkallad lägger , i egenskap av Lärarnas ansvarsnämnds kansli- resurs, in uppgifterna i registret. Även då registreras uppgifter från någon annan än den registrerade. Följande delar av 10 § förordningen om lärar- och förskollärar- register bedömer utredningen motsvarar bestämmelser i artikel 13 och 14 i dataskyddsförordningen. Att ska ge upplysning om vem som är personuppgiftsansvarig följer av artikel 13.1 a och 14.1 a. Att ändamålet med registret ska redovisas följer av arti- kel 13.1 c och 14.1 c. Att ska ge upplysning om rätten till rättelse enligt personuppgiftslagen finns det motsvarande bestäm- melser om i artikel 13.2 b och 14.2 c. Eftersom artikel 13 och 14 i dataskyddsförordningen är direkt tillämpliga och då utredningen bedömer att den inhemska lagstift- ningen av tydlighetsskäl inte ska dubbelreglera viss förordningstext, ska de delar av 10 § förordningen om lärar- och förskollärarregister som omnämnts i det ovanstående stycket tas bort. Bestämmelserna i 10 § förordningen om lärar- och förskollärar- register ålägger dessutom att informera om vissa uppgif- ter som inte följer av artikel 13 och 14 i dataskyddsförordningen, dvs. de sekretess- och säkerhetsbestämmelser som gäller för regist- ret, rätten att få information enligt personuppgiftslagen, rätten till skadestånd vid behandling av personuppgifter i strid med denna för- ordning och personuppgiftslagen, vad som gäller i fråga om sök- begrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling, samt om registreringen är frivillig eller inte. Eftersom utredningen bedömer att de rättsliga grunderna för behandling av personuppgifter i lärar- och förskollärarregistret är artikel 6.1 c (rättslig förpliktelse) och första ledet i artikel 6.1 e (upp- gift av allmänt intresse) är det förenligt med artikel 6.2 och 6.3 andra stycket att behålla mer specifika bestämmelser såsom dessa. Hän- visningarna till personuppgiftslagen ska dock ändras till hänvisningar till dataskyddsförordningen. Slutligen ålägger 10 § förordningen om lärar- och förskollärar- register att informera den registrerade om vilken typ av uppgifter som registret får innehålla. Artikel 14.1 d innehåller en motsvarande bestämmelse som anger att den personuppgiftsansva- rige ska förse den registrerade med information om de kategorier av personuppgifter som behandlingen gäller. Artikel 13 innehåller dock inte någon motsvarande bestämmelse. Utredningens bedöm- ning är därför att ett behållande av bestämmelsen inte medför en dubbelreglering utan att bestämmelsen på ett tillåtet sätt ålägger en utökad informationsskyldighet i förhållande till data- skyddsförordningen i de fall personuppgifterna har samlats in från den registrerade. Bestämmelsen bör och kan därför finnas kvar. För att tillämparen inte ska ledas till den felaktiga slutsatsen att paragrafen reglerar all information som ska lämna själv- mant föreslås att paragrafen även ska kompletteras med en upplys- ning om att den gäller utöver vad som följer av dataskyddsförord- ningen. Enligt 11 § gäller bestämmelserna i personuppgiftslagen om rättelse och skadestånd vid behandling av personuppgifter enligt förord- ningen. Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med per- sonuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Eftersom 28 § PUL endast avser sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller före- skrifter som utfärdats med stöd av lagen, har det i förordningen om lärar- och förskollärarregister varit nödvändigt att hänvisa till person- uppgiftslagens bestämmelser. Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få fel- aktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Eftersom personuppgiftslagen kommer att upphävas behöver 11 § förordningen om lärar- och förskollärarregister ändras. Eftersom dataskyddsförordningen är direkt tillämplig såvitt gäller rättelse, till skillnad mot vad som gäller enligt personuppgiftslagen, ska någon materiell bestämmelse i nationell rätt inte införas. Enligt utredningens mening saknas det anledning att införa en upplysningsbestämmelse om att det i dataskyddsförordningen finns bestämmelser om rättelse. Med hänsyn till detta föreslår utredningen att 11 §, i den del som avser rättelse, ska upphävas. Som nämnts ovan anger 11 § även att bestämmelserna i person- uppgiftslagen om skadestånd gäller vid behandling av personupp- gifter enligt förordningen om lärar- och förskollärarregister. Enligt 48 § PUL ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgifts- lagen har orsakat. Även avseende rätten till skadestånd har det där- med varit nödvändigt att i förordningen hänvisa till personupp- giftslagens bestämmelser. I dataskyddsförordningen regleras rätten till skadestånd i arti- kel 82. Av artikel 82.1 följer att varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av dataskydds- förordningen ska ha rätt till ersättning från den personuppgifts- ansvarige eller personuppgiftsbiträdet för den uppkomna skadan. Av skäl 146 framgår att behandling som strider mot dataskyddsför- ordningen även omfattar behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med data- skyddsförordningen och medlemsstaternas nationella rätt med när- mare specifikation av dataskyddsförordningens bestämmelser. föreslår att 8 kap. 1 § dataskyddslagen ska innehålla en bestämmelse som upplyser om att rätten till ersätt- ning som regleras i artikel 82 i dataskyddsförordningen även gäller vid överträdelser av bestämmelser i dataskyddslagen och andra för- fattningar som kompletterar dataskyddsförordningen. Förordningen om lärar- och förskollärarregister är en författning som kompletterar dataskyddsförordningen. Eftersom artikel 82 i dataskyddsförordningen är direkt tillämplig bör 11 § förordningen om lärar- och förskollärarregister även upp- hävas i den del som avser skadestånd. Utredningen gör samma bedömning som den gjort i det föregående i fråga om behovet av att i stället göra om bestämmelsen till en upplysningsparagraf. Nämnda paragraf föreslås därför upphävas i sin helhet. 11Kommunernas register över ungdomar som de har aktivitetsansvar för Enligt 29 kap. 9 § skollagen (2010:800) ska en hemkommun löpande hålla sig informerad om hur de ungdomar i kommunen är sysselsatta som har fullgjort sin skolplikt men inte har fyllt och inte genomför eller har fullföljt utbildning på nationella program i gymnasieskola eller gymnasiesärskola eller motsvarande utbildning (aktivitetsansvar). Hemkommunen har inom ramen för ansvaret upp- giften att erbjuda de ungdomar som berörs lämpliga individuella åt- gärder. Åtgärderna ska i första hand syfta till att motivera den enskil- de att påbörja eller återuppta en utbildning. Kommunen ska doku- mentera sina insatser på lämpligt sätt. Kommunen ska föra ett regis- ter över de ungdomar som omfattas av ansvaret. I 29 kap. 9 § finns vidare ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om den dokumentation och den behandling av personuppgifter som är nödvändig för att kommunen ska kunna fullgöra sina skyldighe- ter. Regeringen har meddelat sådana föreskrifter i förordningen (2006:39) om register och dokumentation vid fullgörandet av kom- munernas aktivitetsansvar för ungdomar. Genom förordningen regle- ras således kommunernas register över ungdomar som omfattas av kommunernas aktivitetsansvar närmre. Frågan om de personuppgifter som ska behandlas har sådan karak- tär som innebär ett sådant intrång i de enskildas personliga integritet att det krävs lagreglering av behandlingarna synes ha prövats, i vart fall indirekt, . De senaste ändringarna av 29 kap. 9 § skollagen trädde i kraft . Kommunernas register över ungdomar som de har aktivitetsansvar för des att regeringen även avsåg att göra nödvändiga justeringar i förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar (prop. 2013/14:191 s. 140). Vid förordningens tillkomst gjordes en integritetsintrångs- prövning. Regeringen fann då att det med hänsyn till uppgifternas karaktär inte förelåg skäl att i lag närmare reglera handhavandet av dessa (prop. 2004/05:2 s. 87 f.). 11.2Utredningens uppdrag i denna del Förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar innehåller bestämmel- ser om bl.a. förhållandet till personuppgiftslagen (1998:204, PUL), ändamålet med behandlingen av personuppgifter, vilka uppgifter som får behandlas och uppgiftsskyldighet. När dataskyddsförordningen ska börja tillämpas kommer personuppgiftslagen att upphävas. Utredningen har därför fått i uppdrag att analysera vilka ändring- ar i förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar som behöver göras med anledning av dataskyddsförordningen, den generella reglering som kommer att föreslå och de övriga för- slag utredaren kan komma att lämna. Utredningen ska även lämna de författningsförslag som behövs. 11.3Rättslig grund för personuppgiftsbehandling Bedömning: Bestämmelserna i 29 kap. 9 § skollagen och förord- ningen om register och dokumentation vid fullgörandet av kom- munernas aktivitetsansvar för ungdomar utgör i enlighet med artikel 6.1 c i dataskyddsförordningen en fastställd rättslig för- pliktelse för kommunerna att föra ett register över de ungdomar som omfattas av kommunens aktivitetsansvar. Förandet av regist- ren är dessutom en för kommunerna fastställd uppgift av allmänt intresse i enlighet med första ledet i artikel 6.1 e. Enligt artikel 6.2 och 6.3 andra stycket är det tillåtet att behålla eller införa mer specifika bestämmelser för att anpassa tillämp- ningen av bestämmelserna i dataskyddsförordningen med hänsyn Kommunernas register över ungdomar som de har aktivitetsansvar för till behandling för att efterleva 6.1 c och e. Förordningen om regis- ter och dokumentation vid fullgörandet av kommunernas akti- vitetsansvar för ungdomar är därmed i sig förenlig med data- skyddsförordningen. Enligt artikel 6.1 i dataskyddsförordningen krävs att åtminstone ett av de i artikeln uppräknade villkoren är uppfyllt för att behandling av personuppgifter ska vara laglig. Ett sådant villkor är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (6.1 c). Ett annat villkor är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (6.1 e). En- ligt artikel 6.3 första stycket krävs att den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med unionsrät- ten eller en medlemsstats nationella rätt som den personuppgifts- ansvarige omfattas av. I fråga om rättslig förpliktelse föreslår en förtydligande bestämmelse i 2 kap. 3 § lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen), enligt vilken personuppgifter får behandlas med stöd av artikel 6.1 c om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som bl.a. gäller enligt lag eller annan författning eller följer av beslut som har meddelats med stöd av lag eller annan författning. Av artikel 6.3 andra stycket första meningen i dataskyddsförord- ningen framgår att, i fråga om den rättsliga grunden rättslig för- pliktelse, syftet med behandlingen ska fastställas i den rättsliga grun- den. Enligt torde kravet innebära att en för- pliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår av den författning som förpliktelsen grundas på. gör bedömningen att en myndighets uppdrag enligt myndighetsinstruktionen eller regleringsbrevet i vissa fall kan utgöra en i enlighet med nationell rätt (regeringsformen) fastställd rättslig förpliktelse i dataskyddsförord- ningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst personuppgiftsregister (SOU 2017:39, avsnitt 8.3.2). Av 29 kap. 9 § tredje stycket skollagen följer att hemkommunen ska föra ett register över de ungdomar som omfattas av aktivitets- ansvaret. Det är fråga om en skyldighet för kommunerna att föra detta register (prop. 2013/14:191 s. 140). Kommunernas register över ungdomar som de har aktivitetsansvar för ning utgör 29 kap. 9 § tredje stycket skollagen ett utryck för en rättslig förpliktelse för kommunerna att föra nämnda register. Enligt 3 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar får personuppgifterna i registret behandlas bara om det är nödvändigt för att kommunen ska kunna fullgöra den skyldighet som framgår av 29 kap. 9 § första, andra och tredje styckena skollagen och den uppgiftsskyldighet som följer av 26 kap. 25 § samma lag. Syftet med behandlingen framgår redan av 29 kap. 9 § tredje stycket skollagen, dvs. att registrera de ungdomar som omfattas av kommunens aktivitetsansvar, men även av 3 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar. Den rättsliga för- pliktelsen för kommunerna att föra ett register över de ungdomar som omfattas av aktivitetsansvaret är enligt utredningens bedömning därigenom fastställd i svensk rätt. Beträffande den rättsliga grunden i första ledet i artikel 6.1 e i dataskyddsförordningen, uppgift av allmänt intresse, föreslår Data- skyddsutredningen att det i 2 kap. 4 § dataskyddslagen ska finnas en förtydligande bestämmelse på motsvarande sätt som i fråga om rättslig förpliktelse, dvs. att personuppgifter får behandlas med stöd av artikel 6.1 e om behandlingen är nödvändig för att utföra en upp- gift av allmänt intresse som följer av bl.a. lag eller annan författning eller av beslut som har meddelats med stöd av lag eller annan författ- ning (SOU 2017:39, avsnitt 8.3.4). Vidare konstaterar att statliga och kommunala myndigheters verksamhet i allt väsentligt är av allmänt intresse och att det är den rättsliga grun- den i artikel 6.1 e som vanligen bör tillämpas av myndigheter. Data- skyddsutredningen anför vidare följande. Myndigheternas uppdrag och åligganden framgår av författningar, reger- ingsbeslut och kommunala reglementen, antagna i enlighet med grund- lagens bestämmelser om normgivningskompetens och kommunalt självstyre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler. Nödvändig behandling av personuppgifter kan därmed ske med stöd av artikel 6.1 e i dataskyddsförordningen. Någon ytterligare reglering av myndigheternas obligatoriska uppgifter krävs därmed inte på generell nivå för att myndigheter ska kunna vidta nödvändiga behandlingsåtgärder för att fullgöra sina uppgifter. Kommunernas register över ungdomar som de har aktivitetsansvar för Då kommunernas uppgift att föra ett register över ungdomar som omfattas av aktivitetsansvaret regleras genom lag och förordning be- dömer utredningen att förandet av sådana register inte bara är en rättslig förpliktelse för kommunerna, utan även en uppgift av allmänt intresse. De rättsliga grunderna är fastställda i svensk rätt genom 29 kap. 9 § tredje stycket skollagen och förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitets- ansvar för ungdomar. Av artikel 6.2 i dataskyddsförordningen framgår att medlems- staterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen med hänsyn till behandling för att efterleva punkt 1 c och e. Enligt artikel 6.3 andra stycket andra meningen kan dessutom den rättsliga grunden för behandling, som fastställs i den nationella rätten, inne- hålla särskilda bestämmelser för att anpassa tillämpningen av bestäm- melserna i förordningen i form av bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av upp- gifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Dataskyddsförordningen medger således att det i nationell rätt finns sådana regleringar (registerförfattningar) som införts genom t.ex. förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar. Vidare ska, enligt artikel 6.3 andra stycket sista meningen i data- skyddsförordningen, den rättsliga regleringen uppfylla ett mål av all- mänt intresse och vara proportionell mot det legitima mål som efter- strävas. Utredningen konstaterar att ändringen i 29 kap. 9 § skollagen och förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar tillkommit i den ord- ning som regeringsformen utpekar för föreskrifter av nu aktuellt slag. Bestämmelserna har bedömts relevanta och proportionerliga av regeringen och, såvitt avser ändringen i skollagen, även av Lagrådet och . Inte heller har såvitt framkommit någon tillsynsmyn- dighet uttalat någon kritik eller tveksamhet i dessa avseenden. Det är därför rimligt att utgå från att de ändamål m.m. som fastställts i sam- Kommunernas register över ungdomar som de har aktivitetsansvar för band med författningsarbetet är relevanta och proportionerliga i för- hållande till det integritetsintrång behandlingarna kan innebära. Den- na bedömning är giltig även i de avseenden som avses i dataskydds- förordningen. Utredningen har inte heller vid genomgången av för- ordningen om register och dokumentation vid fullgörandet av kom- munernas aktivitetsansvar för ungdomar funnit några exempel på bestämmelser som kan sägas vara irrelevanta eller oproportionerliga. Utredningen anser således att förordningen uppfyller kraven i arti- kel 6.3 andra stycket i dataskyddsförordningen. Med anledning av att dataskyddsförordningen och en ny generell lagstiftning som i vissa delar kompletterar förordningen ska börja tillämpas, påkallas dock ställningstaganden till och ändringar i vissa av bestämmelserna i förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar. En genomgång av befintliga bestämmelser görs i följande avsnitt. Förslag: I 2 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar ska anges att förordningen kompletterar dataskyddsförordningen. Vidare ska förordningens förhållande till den föreslagna lagen med kompletterande bestämmelser till EU:s dataskyddsförord- ning (dataskyddslagen) regleras. Hänvisningen till personupp- giftslagen ska tas bort. Bestämmelsen i 5 § om förbud mot att behandla känsliga per- sonuppgifter ska anpassas till dataskyddsförordningen genom att hänvisa till artikel 9.1 i stället för 13 § PUL. Bestämmelsen i 5 § om förbud mot att behandla uppgifter om lagöverträdelser m.m. ska ändras så att den när dataskyddsför- ordningen och dataskyddslagen ska börja tillämpas kommer att ha samma materiella innebörd som . Bestämmelserna om rättelse och skadestånd i 6 § ska upp- hävas. Förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar består av tio paragrafer som finns under rubrikerna inledning, förhållandet till personupp- Kommunernas register över ungdomar som de har aktivitetsansvar för giftslagen, ändamål, personuppgifter som får behandlas, förbud mot behandling av känsliga personuppgifter m.m., rättelse och skadestånd, gallring, dokumentation och uppgiftsskyldighet. Nedan redogörs för regleringen i respektive paragraf och vilka behov av ändringar som utredningen anser är påkallade med anledning av att dataskyddsför- ordningen ska börja tillämpas. Enligt 1 § första stycket innehåller förordningen bestämmelser om 1.behandling av personuppgifter i samband med att kommunerna för register över ungdomar som de har aktivitetsansvar för,