sou · H5B349 · 2017-06-02 00:00:00 — 2.kommunernas dokumentation av sina insatser för dessa ungdo- mar enligt 29 kap. 9 § skollagen, och 3.uppgiftsskyldighet i samband med arbetet med aktivitetsansvaret. Bestämmelsen i första stycket upplyser om förordningens innehåll och är enligt utredningens bedömning förenlig med dataskyddsför- ordningen. Av 1 § andra stycket framgår att bestämmelserna i 3–7 §§ endast gäller om behandlingen av personuppgifter är helt eller delvis auto- matiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier. Dataskyddsförordningen hindrar inte att medlemsstaterna fritt bestämmer tillämpningsområdet för nationell lagstiftning som kom- pletterar dataskyddsförordningen (jfr artikel 6.2). Enligt utredning- ens bedömning är bestämmelsen i andra stycket därmed förenlig med dataskyddsförordningen. I 1 § tredje stycket anges att behandling av personuppgifter som är tillåten enligt denna förordning får utföras även om den registre- rade motsätter sig detta. I dataskyddsdirektivet regleras den registrerades rätt att göra invändningar i artikel 14. Om den nationella lagstiftningen inte före- skriver något annat, ska den registrerade, enligt artikel 14 a, ha rätt att av avgörande och berättigade skäl som rör hans personliga situa- tion motsätta sig behandlingen, åtminstone i de fall då uppgifterna Kommunernas register över ungdomar som de har aktivitetsansvar för behandlas med stöd av en intresseavvägning av det slag som framgår av 10 § f PUL eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. I 12 § andra stycket PUL finns en bestämmelse som anger att en registrerad med ett par undantag inte har rätt att motsätta sig sådan behandling av person- uppgifter som är tillåten enligt personuppgiftslagen. I dataskyddsförordningen regleras rätten att göra invändningar i artikel 21. Enligt artikel 21.1 ska den registrerade, av skäl som hän- för sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseen- de honom eller henne som grundar sig på artikel 6.1 e (uppgift av allmänt intresse eller myndighetsutövning) eller f (intresseavväg- ning). Den personuppgiftsansvarige får inte längre behandla per- sonuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intres- sen, rättigheter och friheter eller om det sker för fastställande, ut- övande eller försvar av rättsliga anspråk. Enligt artikel 23.1 e ska det dock vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt, som den personuppgiftsansva- rige eller personuppgiftsbiträdet omfattas av, införa en lagstiftnings- åtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bl.a. artikel 21. En sådan begränsning ska ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finan- siella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet. Enligt artikel 23.2 ska alla lagstiftningsåtgärder som avses i punkt 1 innehålla specifika bestämmelser, åtminstone när det är relevant, avseende a)ändamålen med behandlingen eller kategorierna av behandling, b)kategorierna av personuppgifter, c)omfattningen av de införda begränsningarna, d)skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, Kommunernas register över ungdomar som de har aktivitetsansvar för e)specificeringen av den personuppgiftsansvarige eller kategori- erna av personuppgiftsansvariga, f)lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, g)riskerna för de registrerades rättigheter och friheter, och h)de registrerades rätt att bli informerade om begränsningen, så- vida detta inte kan inverka menligt på begränsningen. Dataskyddsförordningen ställer därmed högre krav på den nationella begränsande regleringen än dataskyddsdirektivet, eftersom det i dataskyddsdirektivet inte anges några särskilda villkor för en sådan reglering. Den första frågan är om förordningen om register och dokumen- tation vid fullgörandet av kommunernas aktivitetsansvar för ung- domar omfattas av artikel 21 i dataskyddsförordningen. Om den rättsliga grunden för behandling av personuppgifter enligt förord- ningen om register och dokumentation vid fullgörandet av kommu- nernas aktivitetsansvar för ungdomar är att behandlingen är nödvän- dig för kommunen för att fullgöra en rättslig förpliktelse är artikel 21 i dataskyddsförordningen inte tillämplig. Den registrerade har där- med inte rätt att göra någon invändning mot behandlingen av hans eller hennes personuppgifter. Om så är fallet är 1 § tredje stycket för- ordningen om register och dokumentation vid fullgörandet av kom- munernas aktivitetsansvar för ungdomar förenlig med dataskydds- förordningen. Som anges ovan anser utredningen att två rättsliga grunder enligt artikel 6.1 är tillämpliga, rättslig förpliktelse (c) och uppgift av all- mänt intresse (e). Eftersom flera rättsliga grunder enligt dataskydds- förordningen kan vara tillämpliga , och då utredningens uppfattning är att även den rättsliga grunden uppgift av allmänt in- tresse är en tillämplig grund för behandlingen av personuppgifter i nämnda register, prövar utredningen om förutsättningarna enligt artikel 23 för att begränsa den registrerades rätt att göra invänd- ningar är uppfyllda. Av förarbetena framgår att det i alla kommuner finns ungdomar som inte går i gymnasieskolan. Dokumentation av insatser och föran- de av register är en förutsättning för att kommunerna ska kunna full- Kommunernas register över ungdomar som de har aktivitetsansvar för göra sin skyldighet enligt 29 kap. 9 § skollagen. Ett ansvar för att göra insatser för mer än en individ innebär att information behöver samlas systematiskt i en bestämd struktur. Ett register är således en förut- sättning för att kommunerna ska kunna ha en löpande överblick över vilka ungdomar som berörs (prop. 2013/14:191 s. 139). Utredningens uppfattning är därför att förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitets- ansvar för ungdomar reglerar behandling av personuppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i arti- kel 23.1 e. Förordningen innehåller även sådana relevanta begräns- ningar som räknas upp i artikel 23.2, dvs. ändamålen med behand- lingen (3 §), kategorierna av personuppgifter (4 och 5 §§), omfatt- ningen av de införda begränsningarna (1 § tredje stycket) och lag- ringstiden (7 §). Enligt utredningens bedömning har förordningen införts efter noggranna överväganden av vilka bestämmelser, utöver de som finns i personuppgiftslagen, som är relevanta i sammanhanget. Förutsätt- ningarna för att behålla begränsningen av den registrerades rätt att göra invändningar i 1 § tredje stycket är enligt utredningens bedöm- ning därmed uppfyllda. Sammanfattningsvis anser utredningen att bestämmelserna i 1 § är förenliga med dataskyddsförordningen och att de kan och bör behållas. I 2 § anges att personuppgiftslagen gäller vid den behandling av per- sonuppgifter som en kommun vidtar i sin verksamhet enligt 29 kap. 9 § skollagen om inte annat följer av denna förordning. När dataskyddsförordningen ska börja tillämpas kommer person- uppgiftslagen att upphävas och dataskyddslagen träda i kraft. Med anledning av detta behöver den nu aktuella hänvisningen i 2 § för- ordningen om register och dokumentation vid fullgörandet av kom- munernas aktivitetsansvar för ungdomar ändras. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat och har företräde framför nationell lagstiftning. Förordningen om register och dokumentation vid fullgörandet av kommunernas akti- vitetsansvar för ungdomar innehåller endast sådana tillåtna bestäm- Kommunernas register över ungdomar som de har aktivitetsansvar för melser som kompletterar eller tar över bestämmelserna i dataskydds- förordningen. För att tillämparen ska få en fullständig bild av vilken reglering som gäller bör en bestämmelse med en upplysning om att dataskyddsförordningen gäller tas in i förordningen. Den föreslagna dataskyddslagen kommer, på samma sätt som per- sonuppgiftslagen, att vara subsidiär i förhållande till annan lagstift- ning om behandling av personuppgifter. Av tydlighetsskäl bör en hänvisning till dataskyddslagen införas, såsom görs till per- sonuppgiftslagen. Utredningen föreslår därför att det i 2 § första stycket ska anges att förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar kompletterar data- skyddsförordningen. I ett nytt andra stycke ska förhållandet till den nya dataskyddslagen regleras. Enligt 3 § får personuppgifter behandlas bara om det är nödvändigt för att kommunen ska kunna fullgöra den skyldighet som framgår av 29 kap. 9 § första, andra och tredje styckena skollagen och den uppgiftsskyldighet som följer av 26 kap. 25 § samma lag. När den rättsliga grunden är rättslig förpliktelse eller uppgift av allmänt intresse är det enligt artikel 6.2 och 6.3 andra stycket i data- skyddsförordningen tillåtet med särskilda bestämmelser om ända- målsbegränsningar. Utredningens bedömning är därför att 3 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar är förenlig med data- skyddsförordningen och att den kan och bör behållas. Personuppgifter som får behandlas Bestämmelsen i 4 § utgör en begränsning för den personuppgifts- ansvarige eftersom den anger vilka personuppgifter som får behand- las. De uppgifter som får behandlas är namn, personnummer eller samordningsnummer och kontaktuppgifter. Även uppgifter om tidi- gare, nuvarande och framtida sysselsättning i form av t.ex. utbildning får behandlas. Om det är aktuellt med någon individuell åtgärd får Kommunernas register över ungdomar som de har aktivitetsansvar för även uppgifter om åtgärdens innehåll, tidpunkten när åtgärden inleds och upphör samt orsaken till att den upphör behandlas. När den rättsliga grunden är rättslig förpliktelse eller uppgift av allmänt intresse är det enligt artikel 6.2 och 6.3 andra stycket i data- skyddsförordningen tillåtet med särskilda bestämmelser om vilka typer av uppgifter som ska behandlas. Beträffande personnummer och samordningsnummer får, enligt 22 § PUL, uppgifter om personnummer eller samordningsnummer utan samtycke behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Av 50 § c PUL följer att reger- ingen får meddela närmare föreskrifter om i vilka fall användning av personnummer är tillåten. Av artikel 87 i dataskyddsförordningen framgår att medlems- staterna får närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identi- fiering får behandlas. I ett tillägg anges dessutom att sådana uppgif- ter i sådana fall endast ska användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt dataskyddsförordningen. har i sitt förslag till 3 kap. 13 § dataskydds- lagen föreslagit en bestämmelse med samma ordalydelse som 22 § PUL. Vidare föreslår en bestämmelse i 3 kap. 14 § dataskyddslagen som anger att regeringen får meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samord- ningsnummer är tillåten. Bestämmelsen motsvarar således delvis 50 § c PUL. Utredningen anser att det i de register som kommunerna är ålagda att föra för att fullgöra aktivitetsansvaret för ungdomar är klart motiverat med hänsyn till behandlingen och vikten av en säker identifiering att personnummer eller samordningsnummer används för identifiering. Därtill finns det ett bemyndigande för regeringen i dataskyddslagen att meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten. Sammanfattningsvis bedömer utredningen att bestämmelserna i 4 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar om vilka uppgifter som får behandlas i registren är förenliga med dataskyddsförord- ningen. Paragrafen kan och bör därför behållas. Kommunernas register över ungdomar som de har aktivitetsansvar för Förbud mot behandling av känsliga personuppgifter m.m. Enligt 5 § får personuppgifter som omfattas av 13 och 21 §§ PUL inte behandlas. Bestämmelsen innebär således ett förbud mot att behandla känsliga personuppgifter och uppgifter om lagöverträdel- ser m.m. i registren. Motsvarande bestämmelse som den i 13 § PUL finns i artikel 9.1 i dataskyddsförordningen. Enligt artikel 9.1 är dock även behandling av genetiska uppgifter, biometriska uppgifter för att entydigt iden- tifiera en fysisk person och uppgifter om sexuell läggning förbjuden. föreslår bestämmelser i dataskyddslagen som innebär att myndigheter i vissa situationer får behandla känsliga personuppgifter (SOU 2017:39, avsnitt 10.6.2). För att det även fort- sättningsvis ska råda ett förbud mot att behandla känsliga person- uppgifter i de register kommunerna ska föra enligt förordningen om register och dokumentation vid fullgörandet av kommunernas akti- vitetsansvar för ungdomar behöver en bestämmelse motsvarande 5 § fortfarande gälla. En fråga som också aktualiseras är om 5 § bör ändras så att den omfattar även den utvidgade definitionen av känsliga personupp- gifter enligt artikel 9.1. Utredningen bedömer att det – då det inte framkommit att det finns något behov för kommunerna att behandla de nya kategorierna av känsliga personuppgifter i aktuella register – saknas skäl att tillåta kommunerna att i register över de ungdomar som de har aktivitetsansvar för behandla de nya kategorierna av känsliga personuppgifter. Utredningen föreslår därför att en hän- visning till 9.1 i dataskyddsförordningen införs i 5 §. Vidare är det, enligt 21 § första stycket PUL, förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden. Motsvarande bestämmelse som den i 21 § första stycket PUL finns i artikel 10 i dataskyddsförordningen. I artikel 10 anges att behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rät- tigheter och friheter fastställs. Kommunernas register över ungdomar som de har aktivitetsansvar för Bestämmelserna om behandling av uppgifter om lagöverträdelser i 21 § PUL och i artikel 10 i dataskyddsförordningen är således inte likalydande. Begränsningarna i artikel 10 gäller fällande domar, me- dan begränsningarna i 21 § första stycket PUL även omfattar upp- gifter om friande domar. Dessutom innehåller 21 § första stycket ett förbud mot att behandla administrativa frihetsberövanden. Bestäm- melsen i 5 § förordningen om register och dokumentation vid full- görandet av kommunernas aktivitetsansvar för ungdomar är därmed mer restriktiv än vad artikel 10 i dataskyddsförordningen är. föreslår att det i 3 kap. 9 § dataskydds- lagen ska finnas en bestämmelse som anger att personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel får enligt artikel 10 i dataskydds- förordningen behandlas av myndigheter. Som tidigare nämnts med- ger dataskyddsförordningen att medlemsstaterna inför mer restrik- tiva bestämmelser än de som finns i förordningen när den rättsliga grunden för behandlingen av personuppgifterna är rättslig förpliktel- se eller uppgift av allmänt intresse (artikel 6.2 och 6.3 andra stycket). Det har inte framkommit att kommunerna har ett behov av att behandla brottmålsdomar eller uppgifter om administrativa frihets- berövanden i aktuella register. Utredningen anser därför att 5 § för- ordningen om register och dokumentation vid fullgörandet av kom- munernas aktivitetsansvar för ungdomar i denna del ska ändras så att den i materiellt hänseende kommer att ha samma innebörd som även när dataskyddsförordningen börjar tillämpas och per- sonuppgiftslagen upphävs. Sammanfattningsvis anser utredningen att 5 § ska ändras på så sätt att den ska ange att personuppgifter som omfattas av artikel 9.1 i dataskyddsförordningen och personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden inte får behandlas. Enligt 6 § gäller bestämmelserna i 28 och 48 §§ PUL om rättelse och skadestånd vid behandling av personuppgifter enligt förordningen. Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana Kommunernas register över ungdomar som de har aktivitetsansvar för personuppgifter som inte har behandlats i enlighet med personupp- giftslagen eller föreskrifter som har utfärdats med stöd av lagen. Eftersom 28 § PUL endast avser sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som utfärdats med stöd av lagen, har det i förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar varit nödvändigt att hänvisa till personuppgiftslagens bestämmelser. Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Eftersom personuppgiftslagen kommer att upphävas behöver 6 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar ändras. Eftersom data- skyddsförordningen är direkt tillämplig såvitt gäller rättelse, till skill- nad mot vad som gäller enligt personuppgiftslagen, ska någon mate- riell bestämmelse i nationell rätt inte införas. Enligt utredningens mening saknas det anledning att införa en upplysningsbestämmelse om att det i dataskyddsförordningen finns bestämmelser om rättelse. Med hänsyn till detta föreslår utredningen att 6 §, i den del som avser rättelse, ska upphävas. Som nämnts ovan anger 6 § även att bestämmelserna i person- uppgiftslagen om skadestånd gäller vid behandling av personuppgif- ter enligt förordningen om register och dokumentation vid full- görandet av kommunernas aktivitetsansvar för ungdomar. Enligt 48 § PUL ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgifts- lagen har orsakat. Även avseende rätten till skadestånd har det där- med varit nödvändigt att i förordningen hänvisa till personuppgifts- lagens bestämmelser. I dataskyddsförordningen regleras rätten till skadestånd i arti- kel 82. Av artikel 82.1 följer att varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av dataskydds- förordningen ska ha rätt till ersättning från den personuppgifts- ansvarige eller personuppgiftsbiträdet för den uppkomna skadan. Kommunernas register över ungdomar som de har aktivitetsansvar för skäl 146 framgår att behandling som strider mot dataskyddsförord- ningen även omfattar behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med dataskyddsför- ordningen och medlemsstaternas nationella rätt med närmare speci- fikation av dataskyddsförordningens bestämmelser. föreslår att 8 kap. 1 § dataskyddslagen ska innehålla en bestämmelse som upplyser om att rätten till ersätt- ning som regleras i artikel 82 i dataskyddsförordningen även gäller vid överträdelser av bestämmelser i dataskyddslagen och andra för- fattningar som kompletterar dataskyddsförordningen. Förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar är en författning som kompletterar dataskyddsförordningen. Eftersom artikel 82 i dataskyddsförordningen är direkt tillämplig bör 6 § förordningen om register och dokumentation vid fullgöran- det av kommunernas aktivitetsansvar för ungdomar även upphävas i den del som avser skadestånd. Utredningen gör samma bedömning som den gjort i det föregående i fråga om behovet av att i stället göra om bestämmelsen till en upplysningsparagraf. Nämnda paragraf föreslås därför upphävas i sin helhet. Av 7 § framgår att personuppgifter ska gallras ur registret när de inte längre behövs med hänsyn till ändamålet med behandlingen, dock senast vid utgången av det kalenderår när den registrerade fyller . Av artikel 5.1 e i dataskyddsförordningen framgår att vid behand- ling av personuppgifter gäller att de inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna be- handlas. Som tidigare nämnts får medlemsstaterna behålla eller in- föra mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen när den rättsliga grunden för behandlingen av personuppgifterna är rättslig förpliktelse eller uppgift av allmänt intresse (se artikel 6.2 och 6.3 andra stycket). En- ligt utredningens bedömning är 7 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för Kommunernas register över ungdomar som de har aktivitetsansvar för ungdomar därmed förenlig med dataskyddsförordningen. Bestäm- melsen kan och bör därför behållas. I 8 § första stycket anges att av 29 kap. 9 § skollagen framgår att kommunen på lämpligt sätt ska dokumentera sina insatser för de ungdomar i kommunen som omfattas av aktivitetsansvaret. Enligt andra stycket får meddela föreskrifter om innehållet i dokumentationen. Bestämmelsen i 8 § är en bemyndigandebestämmelse som inte behöver anpassas eller förändras med anledningen av att dataskydds- förordningen kommer att börja tillämpas. Den kan och bör därför behållas. I förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar finns avslutningsvis två paragrafer, 9 och 10 §§, under rubriken uppgiftsskyldighet. I 9 § första stycket anges att det av 26 kap. 25 § skollagen framgår att en huvudman för utbildning eller annan verksamhet som är föremål för nationell uppföljning och utvärdering till ska lämna sådana uppgifter om verksamheten och sådan verksamhets- redovisning som behövs för uppföljningen och utvärderingen. Enligt andra stycket får meddela föreskrifter om vilka upp- gifter som ska lämnas för uppföljning och utvärdering enligt 26 kap. 25 § skollagen av hur kommunerna uppfyller sina skyldigheter enligt 29 kap. 9 § samma lag. Bestämmelsen i 9 § är, liksom 8 §, således en bemyndigande- bestämmelse som inte behöver anpassas eller förändras med anled- ningen av att dataskyddsförordningen kommer att börja tillämpas. Den kan och bör därför behållas. Kommunernas register över ungdomar som de har aktivitetsansvar för