sou · H5B349 · 2017-06-02 00:00:00 — Avslutningsvis bör det åter betonas att det av artikel 5.2 i data- skyddsförordningen följer att det är den personuppgiftsansvarige, dvs. utbildningsanordnaren, som ska ansvara för och kunna visa att behandlingen är laglig, dvs. att det finns en rättslig grund som kan tillämpas på behandlingen. Det ankommer således på utbildnings- anordnaren att bedöma om behandlingen är nödvändig för att utföra en uppgift eller utöva verksamhet som har sin grund i den aktuella författningen och anslutande föreskrifter. Om behandlingen saknar sådan koppling kan den inte anses nödvändig för att utföra uppgiften att anordna och bedriva den aktuella utbildningen. Utbildnings- anordnaren måste då i egenskap av personuppgiftsansvarig avgöra om första ledet i artikel 6.1 e av annat skäl kan vara tillämplig, eller om någon annan av de rättsliga grunderna i artikel 6.1 kan tillämpas på den avsedda behandlingen. Ändamålet med behandlingen måste vara nödvändigt Det bör betonas att rättslig grund inte är en tillräcklig förutsättning för att behandling av personuppgifter ska vara tillåten. I artikel 5.1 b i dataskyddsförordningen anges bl.a. att personuppgifterna ska sam- las in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med des- sa ändamål. Principen om att ändamålen ska vara berättigade utgör i likhet med principen om laglighet en direkt koppling till de rättsliga och andra eftergymnasiala utbildningar grunderna i artikel 6.1. Ett ändamål som inte är berättigat i förhål- lande till den tillämpliga rättsliga grunden är således inte förenligt med artikel 5.1 b. Kopplingen mellan den rättsliga grunden i artikel 6.1 e och kra- vet på särskilda, uttryckligt angivna och berättigade ändamål för- stärks genom artikel 6.3 andra stycket. Där anges att syftet med behandlingen i fråga om behandling enligt punkt 6.1 e, dvs. bl.a. upp- gift av allmänt intresse, ska vara nödvändigt för att utföra uppgiften. Enligt ställer förordningen inte något krav på att ändamålen ska vara fastställda i författning. Dataskydds- utredningen anser följaktligen att ändamålet med behandlingen inte behöver framgå av det sammanhang där uppgiften av allmänt intresse fastställs. Ändamålet med varje enskild behandling måste dock vara nödvändigt för att utföra den fastställda uppgiften. Bestämmelsen i artikel 6.3 andra stycket uttrycker således det samband som måste finnas mellan behandlingen och den fastställda uppgiften och riktar sig till den som bestämmer de särskilda ändamålen för behandlingen, vilket i normalfallet är den personuppgiftsansvarige (2017:39, avsnitt 8.3.4). Även om nödvändiga ändamål för utförandet av uppgiften att anordna och bedriva en utbildning inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar inte behöver framgå av författning, är det genom bestämmelser i för utbildningarna relevanta författningar nödvändigt att behandla personuppgifter för vissa ändamål. Dessa ändamål är därmed nödvändiga för utförandet av uppgiften att anordna och be- driva aktuella utbildningar. Som exempel kan nämnas att en utbildning inom ska vara öppen för alla som uppfyller behörighetsvillkoren för utbild- ningen. Om inte alla behöriga sökande till en utbildning kan tas emot ska ett urval göras. Detta framgår av 15 och 17 §§ lagen om . Vid urval till tillträde till utbildning får, enligt 3 kap. 6 § förordningen om , en eller flera av urvalsgrun- derna betyg, särskilt prov, tidigare utbildning och yrkeserfarenhet användas. Mot bakgrund av nämnda bestämmelser måste det därmed kunna anses nödvändigt, i unionsrättslig mening, för utbildnings- anordnarna inom att samla in och behandla per- sonuppgifter i syfte att rangordna sökandena. Detta ändamål är där- och andra eftergymnasiala utbildningar med nödvändigt för att utföra uppgiften att anordna och bedriva eftergymnasial yrkesutbildning. Motsvarande ändamål för de som anordnar och bedriver utbild- ning enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan utläsas av 13 § i nämnda författning. Enligt bestämmelserna där ska det för varje utbildning finnas en utbildningsplan. Av utbildningsplanen ska det framgå bl.a. de grun- der och metoder som ska användas vid urval bland behöriga sökande till utbildningen. Även för dessa utbildningsanordnare är det således nödvändigt att samla in och behandla personuppgifter för det nöd- vändiga syftet att rangordna sökandena. Vidare ska, enligt 2 kap. 10 § förordningen om , betyg sättas på en genomförd kurs. Enligt 5 § i MYH:s föreskrifter om studiedokumentation ska uppgifter om de studerandes resultat rapporteras till myndigheten genom en av myndigheten tillhanda- hållen digital plattform eller tjänst. Det måste därmed anses nödvän- digt att behandla personuppgifter i syfte att kontrollera att de stude- rande har genomfört obligatoriska moment, för att mäta och värdera de studerandes prestationer och kunskapsnivå samt för att fullgöra uppgiftsskyldigheten. Dessa ändamål är därmed också nödvändiga för fullgörandet av uppgiften att anordna och bedriva utbildningar inom . Av 15 och 16 §§ förordningen om stöd för konst- och kulturut- bildningar och vissa andra utbildningar framgår att det efter en genomförd kurs ska sättas ett betyg eller utfärdas ett intyg. Även för dessa utbildningsanordnare är det därmed nödvändigt att behandla personuppgifter för det nödvändiga syftet att kontrollera att de stu- derande har genomfört obligatoriska moment och för att mäta och värdera de studerandes prestationer och kunskapsnivå. Ovan beskrivs endast några exempel på sådana behandlingar som kan vara nödvändiga för ändamål som i sin tur är nödvändiga för att utbildningsanordnarna ska kunna utföra de uppgifter och utöva sådan verksamhet som ryms inom ramen för uppgiften av allmänt intresse, dvs. att anordna och bedriva utbildningar inom yrkeshög- skolan eller enligt förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar. En uttömmande uppräk- ning är av naturliga skäl inte möjlig att presentera. Det är därför viktigt att betona att det, enligt artikel 5.2 i dataskyddsförordningen, och andra eftergymnasiala utbildningar är den personuppgiftsansvarige som ska ansvara för och kunna visa att uppgifter behandlas för berättigade och nödvändiga ändamål. Bedömning: Utbildningsanordnarna inom vidtar vissa åtgärder med stöd av lagen om och anslu- tande föreskrifter som innefattar myndighetsutövning gentemot en studerande, t.ex. examination. Det är i dessa situationer möjligt för utbildningsanordnarna att tillämpa den rättsliga grunden i andra ledet i artikel 6.1 e i dataskyddsförordningen för sådan be- handling som är nödvändig som ett led i myndighetsutövningen. Även första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse, kan tillämpas vid sådan behandling. Något behov av ytterligare reglering finns inte. De som anordnar och bedriver sådan utbildning som omfattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar har i sin verksamhet inslag som liknar myndighetsutövning. Eftersom bestämmelserna inte finns i lag- form utan i en förordning, är det dock inte enligt svensk rätt fastställt att de har myndighetsutövande befogenheter. Dessa ut- bildningsanordnare kan för sin personuppgiftsbehandling därmed inte tillämpa andra ledet i artikel 6.1 e i dataskyddsförordningen. Anordnarna av utbildning som omfattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan i stället tillämpa första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse, för sådan behandling. Något behov av ytterligare reglering finns inte. Enligt andra ledet i artikel 6.1 e i dataskyddsförordningen får per- sonuppgifter behandlas om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning. Av artikel 6.3 första stycket framgår att rätten att utöva myndighet ska vara fast- ställd i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Dataskydds- utredningen föreslår en bestämmelse i 2 kap. 4 § dataskyddslagen som anger att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig som ett led och andra eftergymnasiala utbildningar i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Enligt artikel 6.3 andra stycket i dataskyddsför- ordningen ska syftet med behandlingen vara nödvändigt som ett led i den personuppgiftsansvariges myndighetsutövning. Ändamålet behö- ver således inte framgå av det sammanhang där den myndighets- utövande befogenheten fastställs. Ändamålet med behandlingen mås- te dock vara nödvändigt som ett led i myndighetsutövningen. För tillämpningen av den rättsliga grunden myndighetsutövning gäller således motsvarande krav som för den rättsliga grunden uppgift av allmänt intresse. Begreppet myndighetsutövning har en unionsrättslig innebörd. Enligt bör man till dess annat framkommer kunna utgå från att det som i brukar anses som myndighets- utövning faller in under begreppet. Myndighetsutövning karaktä- riseras av beslut eller andra ensidiga åtgärder som ytterst är uttryck för samhällets maktbefogenheter i förhållande till medborgarna. Befogenheten till myndighetsutövning måste vara grundad på lag eller annan författning eller på annat sätt kunna härledas ur bemyndi- ganden från de högsta statsorganen. Utanför begreppet myndig- hetsutövning faller råd, upplysningar och faktiskt handlande som inte innebär tvång mot den enskilde (SOU 2017:39, avsnitt 8.3.3). Enligt 14 § andra stycket lagen om får utbild- ningsanordnaren utfärda utbildningsbevis och examensbevis. I samma stycke bemyndigas regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om utbildningsbevis och exa- mensbevis. Av 2 kap. 15 och 16 §§ förordningen om framgår att den studerande under vissa förutsättningar ska få ett exa- mensbevis eller ett utbildningsbevis. Av 4 kap. 2 § framgår att det är ledningsgruppen som ska utfärda dessa bevis. Enligt 8 kap. 2 § första stycket får ett beslut av ansvarig utbildningsanordnare om avslag på en studerandes begäran att få examensbevis eller utbildningsbevis överklagas till . Ytterligare exempel på myndighetsutövning är statliga universitets och högsko- lors prövning av behörighet och tillgodoräknande. Dessa beslut är överklagbara enligt 8 kap. 2 § andra stycket. Verksamheten hos de som anordnar och bedriver utbildning inom omfattar därmed i vissa delar myndighetsutövning som är fastställd i svensk rätt. Nödvändig personuppgiftsbehandling i samband med dessa moment kan därmed grunda sig på andra ledet i och andra eftergymnasiala utbildningar artikel 6.1 e i dataskyddsförordningen. Det bör åter betonas att en ytterligare förutsättning för att kunna tillämpa myndighetsutövning som rättslig grund för behandlingen är att också syftet med behand- lingen är nödvändigt. Det är den personuppgiftsansvarige som ska ansvara för och kunna visa att behandlingen är laglig och att ända- målet är berättigat och nödvändigt (artikel 5.2 i dataskyddsförord- ningen). Om inte andra ledet i artikel 6.1 e är tillämpligt bedömer utredningen att första ledet i nämnda artikel, dvs. uppgift av allmänt intresse, kan vara tillämpligt eftersom t.ex. examination enligt till- lämpliga författningar omfattas av uppgiften att anordna och bedriva utbildning inom . De som anordnar och bedriver sådan utbildning som omfattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar ska sätta betyg eller utfärda intyg. De ska vidare utfärda utbildningsbevis om en studerande begär det. Detta framgår av förordningens bestämmelser i 15–17 §§. Även i deras verksamhet finns således inslag som är att likna vid myndighetsutövning. Av 12 kap. 4 § andra stycket regeringsformen framgår att förvalt- ningsuppgifter kan överlämnas åt juridiska personer och enskilda individer. Innefattar uppgiften myndighetsutövning får ett överläm- nande dock endast göras med stöd av lag. Bestämmelserna om konst- och kulturutbildningar och vissa andra utbildningar finns inte i lag- form utan i en förordning. Enligt utredningens uppfattning är det därmed inte i svensk rätt fastställt att anordnarna av sådan utbildning som omfattas av förordningen om stöd för konst- och kulturutbild- ningar och vissa andra utbildningar har getts myndighetsutövande befogenheter. Dessa utbildningsanordnare kan därmed inte tillämpa andra ledet i artikel 6.1 e i dataskyddsförordningen för sin person- uppgiftsbehandling. Enligt utredningens mening utgör detta dock inte något problem. Liksom utbildningsanordnarna inom yrkeshög- skolan har de som anordnar konst- och kulturutbildningar och vissa andra utbildningar i stället möjlighet att tillämpa första ledet i arti- kel 6.1 e, dvs. uppgift av allmänt intresse, även för sådan verksamhet som liknar myndighetsutövning. och andra eftergymnasiala utbildningar Bedömning: I svensk rätt finns det fastställda rättsliga förplik- telser som åvilar de som anordnar och bedriver utbildning inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar och som gör det nödvändigt att behandla personuppgifter. Den rättsliga grunden i artikel 6.1 c i dataskyddsförordningen kan då tillämpas. Något behov av ytterligare reglering finns inte. I dessa fall kan även den rättsliga grunden i första ledet i arti- kel 6.1 e, dvs. uppgift av allmänt intresse, vara tillämplig. Enligt artikel 6.1 c i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Av artikel 6.3 första stycket framgår att den rättsliga förpliktelsen ska vara fast- ställd i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. bedömer att förpliktelsen inte nödvän- digtvis måste framgå av en författning eller liknande. Rättsliga för- pliktelser kan också framgå av exempelvis förelägganden, myndig- hetsbeslut och domar som har meddelats med stöd av gällande rätt. har därför föreslagit en bestämmelse i 2 kap. 3 § dataskyddslagen som anger att personuppgifter får behandlas med stöd av artikel 6.1 c i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som bl.a. gäller enligt lag eller annan författ- ning eller som följer av beslut som har meddelats med stöd av lag eller annan författning (SOU 2017:39, avsnitt 8.3.2). Enligt artikel 6.3 andra stycket första meningen i dataskydds- förordningen ska syftet med behandlingen fastställas i den rättsliga grunden. Syftet med behandlingen ska alltså vara bestämd av den författning, beslut m.m. som anger eller ger stöd för förpliktelsen. anser att en förpliktelse som är alltför svepande och ger den personuppgiftsansvarige en alltför stor hand- lingsfrihet i fråga om hur den ska uppfyllas, inte utgör en rättslig grund för behandling av personuppgifter. Den rättsliga förpliktelsen måste således i sig vara tillräckligt tydlig när det gäller den behand- ling av personuppgifter som krävs (SOU 2017:39, avsnitt 8.3.2). och andra eftergymnasiala utbildningar Enligt 2 kap. 15 och 16 §§ förordningen om ska den studerande på begäran under vissa förutsättningar få ett exa- mensbevis eller ett utbildningsbevis. Av 17 § förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar fram- går att en studerande som avslutat en utbildning på begäran ska få ett utbildningsbevis av den ansvariga utbildningsanordnaren. Nämnda förpliktelser för utbildningsanordnarna förutsätter att i vart fall namn och personnummer behandlas för att respektive bevis ska kun- na utfärdas. Detta är enligt utredningens bedömning därmed exem- pel på rättsliga förpliktelser som är tillräckligt tydliga för att nöd- vändig personuppgiftsbehandling ska kunna ske med stöd av arti- kel 6.1 c i dataskyddsförordningen. Ytterligare exempel på rättsliga förpliktelser finns i MYH:s före- skrifter om studiedokumentation, som MYH föreskrivit med stöd av 2 kap. 17 § andra stycket förordningen om . Av bestämmelserna i föreskrifterna framgår att utbildningsanordnarna inom ska dokumentera ett flertal uppgifter om de studerande och deras studieresultat samt rapportera dessa uppgifter till MYH. På utbildningsanordnarna inom och de som anordnar utbildning enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar åvilar det därmed vissa rättsliga förpliktelser. Förpliktelserna är fastställda genom be- stämmelser i svensk rätt och av dessa framgår det för vilka ändamål det är nödvändigt att behandla personuppgifter. Den rättsliga grun- den i artikel 6.1 c är därmed tillämplig på sådana behandlingar. Även i dessa fall kan, enligt utredningens uppfattning, första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse, tillämpas för den nöd- vändiga personuppgiftsbehandlingen, eftersom fullgörandet av för- pliktelserna också ingår i uppgiften att anordna och bedriva ut- bildningar inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Det torde därför vara i undantagsfall som artikel 6.1 c behöver tillämpas av utbildningsanordnarna. och andra eftergymnasiala utbildningar Bedömning: Enskilda utbildningsanordnare inom yrkeshögsko- lan och de som anordnar utbildningar som omfattas av förord- ningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan för sin personuppgiftsbehandling använda sig av den rättsliga grunden i artikel 6.1 f i dataskyddsförordningen, dvs. för sådan behandling som är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intres- sen, om inte den registrerades intressen eller grundläggande rät- tigheter och friheter väger tyngre och kräver skydd av person- uppgifter. Nämnda rättsliga grund skulle kunna vara tillämplig när det är tveksamt om den rättsliga grunden i första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse, är tillämplig. Eftersom det för ovan nämnda utbildningsanordnare finns en i svensk rätt fast- ställd uppgift av allmänt intresse att anordna och bedriva aktuella utbildningar är det endast i undantagsfall som den rättsliga grun- den i artikel 6.1 f behöver tillämpas. Enligt artikel 6.1 f i dataskyddsförordningen är behandling laglig om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. Av artikel 6.1 andra stycket framgår att denna grund inte gäller för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Eftersom offentliga utbildningsanordnare inom yrkes- högskolan är myndigheter som fullgör sina uppgifter när de anordnar och bedriver utbildning enligt lagen om med anslu- tande föreskrifter, kan de inte tillämpa den rättsliga grunden i arti- kel 6.1 f för sin personuppgiftsbehandling. Det är således endast de enskilda utbildningsanordnarna inom och de som an- ordnar utbildning som omfattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar som kan använ- da sig av artikel 6.1 f som grund för sin personuppgiftsbehandling. bedömer att den rättsliga grunden i arti- kel 6.1 f, intresseavvägning, ofta är möjlig att tillämpa när det är tvek- och andra eftergymnasiala utbildningar samt om den verksamhet som en privaträttslig aktör bedriver är av allmänt intresse (SOU 2017:39, avsnitt 8.3.4). I avsnitt 6.3.2 bedömer utredningen att anordnande och bedri- vande av utbildning inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbild- ningar är en i svensk rätt fastställd uppgift av allmänt intresse. Arti- kel 6.1 e är inte begränsad till offentliga aktörer, även privaträttsliga organ kan utföra en uppgift av allmänt intresse. Enligt utredningens uppfattning bör den rättsliga grunden i artikel 6.1 f därmed sällan bli aktuell att tillämpa av utbildningsanordnarna i sådan verksamhet som omfattas av lagen om med anslutande föreskrifter och förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar med anslutande myndighetsföreskrifter. Bedömning: De som anordnar och bedriver utbildning inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan i viss utsträck- ning använda sig av samtycke som rättslig grund för sin person- uppgiftsbehandling. Enligt artikel 6.1 a i dataskyddsförordningen är behandling laglig om den registrerade har lämnat sitt samtycke till att dennes personupp- gifter behandlas för ett eller flera specifika ändamål. Med samtycke avses enligt artikel 4.11 varje slag av frivillig, speci- fik, informerad och otvetydig viljeyttring, genom vilken den registre- rade, antingen genom ett uttalande eller genom en entydig bekräftan- de handling, godtar behandling av personuppgifter som rör honom eller henne. Samtycke kan lämnas genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Det kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda behandlingen av sina personuppgifter (se skäl 32 till förordningen). och andra eftergymnasiala utbildningar En förklaring om samtycke som den personuppgiftsansvarige i förväg formulerat bör enligt skäl 42 tillhandahållas i en begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk och utan oskäliga villkor. För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgif- terna är avsedda. Ett samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke. Enligt skäl 43 till dataskyddsförordningen bör samtycke inte ut- göra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registre- rade och den personuppgiftsansvarige, särskilt om den personupp- giftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Någon sådan skrivning finns inte i skälen till dataskyddsdirek- tivet, men mot bakgrund av att definitionen av samtycke i princip är densamma och de uttalanden som gjorts av bl.a. Artikel 29-gruppen får detta anses gälla enligt befintligt regelverk. Artikel 29-gruppen har yttrat att samtycke i undantagsfall kan vara en giltig grund för stater när de behandlar personuppgifter. Det bör göras en noggrann kon- troll för att se om samtycket faktiskt är tillräckligt frivilligt. När den registeransvarige är en offentlig myndighet kommer den rättsliga grunden för att legitimera behandlingen av personuppgifter att vara fullgörandet av en rättslig förpliktelse eller utförandet av en arbets- uppgift av allmänt intresse snarare än samtycke.1 Möjligheten att använda samtycke som rättslig grund är därmed begränsad och aktualiseras främst inom områden som inte är offent- ligrättsligt reglerade. Det finns dock en omfattande reglering för verksamheten inom . Även för utbildningar som om- fattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar finns det en tydlig reglering.