sou · H5B349 · 2017-06-02 00:00:00 — 2.behandlingen avser enstaka uppgifter och är nödvändig för att till polisen anmäla misstanke om brott, eller 3.behandlingen avser enstaka uppgifter och är nödvändig för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Enligt förslag till 5 § första stycket förord- ningen med kompletterande bestämmelser till EU:s dataskydds- förordning får Datainspektionen meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som och andra eftergymnasiala utbildningar rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel. I andra stycket anges att Data- inspektionen även i enskilda fall får besluta om att tillåta behandling av sådana personuppgifter som avses i första stycket. 6.4.5Behov av särskild reglering Förslag: I lagen om ska det införas nya bestäm- melser om personuppgiftsbehandling. Dessa ska upplysa om data- skyddsförordningen och reglera förhållandet till dataskyddslagen. Vidare ska utbildningsanordnare få behandla känsliga personupp- gifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende. Utbildnings- anordnare ska också få behandla känsliga personuppgifter i ensta- ka fall, om det är absolut nödvändigt för ändamålet med behand- lingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Offentliga utbildningsanord- nare ska få behandla känsliga personuppgifter om uppgifterna har lämnats till denne och behandlingen krävs enligt lag. Enskilda ut- bildningsanordnare ska få behandla personuppgifter som rör fäl- lande domar i brottmål i löpande text i ett ärende om avskiljande av studerande från utbildning, om det är absolut nödvändigt för ändamålet med behandlingen och om intresset av att skydda andra personer och värdefull egendom klart väger över den risk för otill- börligt intrång i den registrerades personliga integritet som be- handlingen kan innebära. Utbildningsanordnare ska inte få använ- da sökbegrepp som avslöjar känsliga personuppgifter och mot- svarande förbud ska även gälla för enskilda utbildningsanordnare i fråga om personuppgifter som rör fällande domar i brottmål. Slut- ligen ska regeringen få meddela föreskrifter om ytterligare undan- tag från förbudet i artikel 9.1 i dataskyddsförordningen. I förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar ska det, med undantag för bestämmelser om behandling som krävs enligt lag och bemyndigande för reger- ingen, införas bestämmelser med motsvarande innehåll. och andra eftergymnasiala utbildningar Bedömning: Offentliga utbildningsanordnare inom yrkeshög- skolan kan med stöd av artikel 10 i dataskyddsförordningen be- handla personuppgifter som rör fällande domar i brottmål. Data- skyddslagen föreslås innehålla en upplysningsbestämmelse om att myndigheter får behandla sådana uppgifter. Det finns inget behov av att införa någon ytterligare reglering för nämnda utbildnings- anordnares behandling av personuppgifter som rör fällande domar i brottmål. Ovan redovisar utredningen att offentliga utbildningsanordnare inom kan behöva behandla känsliga personuppgifter i sam- band med att de fullgör sina skyldigheter enligt offentlighets- principen. I övrigt kan såväl offentliga som enskilda utbildnings- anordnare inom samt anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar behöva behandla känsliga personuppgifter vid handläggning av ansökningar om särskilt pedagogiskt stöd, när beslutade stödåtgärder ska verkställas, i samband med ansökningar om statsbidrag eller särskilda medel för kostnader för stöd till stu- derande med funktionsnedsättning samt i ärenden om anstånd, studieuppehåll, trakasserier, sexuella trakasserier och avskiljande av studerande från utbildning. I ärenden om avskiljande kan även per- sonuppgifter som rör fällande domar i brottmål behöva behandlas. Utredningen bedömer att dataskyddsförordningen inte utesluter att samtycke kan användas som rättslig grund för behandling av per- sonuppgifter, även känsliga sådana, av utbildningsanordnarna. En bedömning måste dock göras av vilken slags behandling som sam- tycket avser för att avgöra om det är lämpligt. För den behandling av känsliga personuppgifter som behövs för att utbildningsanordnarna ska kunna utföra uppgiften att anordna och bedriva utbildning inom eller enligt förord- ningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar bör dock utbildningsanordnarna inte vara beroende av om den registrerade lämnar sitt samtycke till sådan behandling. Detta eftersom det kan ifrågasättas om den registrerade i många fall har något verkligt val i frågan om behandlingen ska ske eller inte och därmed en reell möjlighet att motsätta sig behandlingen. Därtill är det av naturliga skäl uteslutet att samtycke kan användas som rättslig grund för behandlingar i samband med utredningar eller ärenden om och andra eftergymnasiala utbildningar Enligt utredningens bedömning bör det för den behandling av känsliga personuppgifter som är nödvändig därför finnas ytterligare rättsliga grunder som kan användas som stöd för sådan behandling. I fråga om behandling av personuppgifter som rör fällande domar i brottmål i utredningar och ärenden om avskiljande omfattas inte offentliga utbildningsanordnare inom av förbudet i 21 § PUL. Enskilda utbildningsanordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan behandla sådana uppgifter i ostrukturerat material med stöd av 5 a § PUL. När dataskyddsförordningen ska börja tillämpas kommer den bestämmelsen dock att upphävas. Det kan därför vara nödvändigt att införa en rättslig grund som möjliggör för dessa ut- bildningsanordnare att behandla sådana uppgifter i motsvarande utredningar och ärenden som kan leda till att en studerande tvingas lämna utbildningen. Behandling i löpande text Enligt förslag till 3 kap. 3 § 1 dataskydds- lagen får myndigheter behandla känsliga personuppgifter med stöd av artikel i dataskyddsförordningen i löpande text om uppgif- terna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende. anser att begränsningen till löpande text inte utesluter att handlingar med ostrukturerade käns- liga personuppgifter lagras elektroniskt i ärendehanteringssystem eller liknande (SOU 2017:39, avsnitt 10.6.2). Enligt artikel får känsliga personuppgifter behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. En myndighet kan således inte tillämpa en sådan bestämmelse som föreslår i vilken typ av ärende som helst. Utredningen bedömer att förslag möj- liggör för offentliga utbildningsanordnare inom att, i den mån det är nödvändigt, även fortsättningsvis kunna behandla känsliga personuppgifter i ärenden om t.ex. särskilt pedagogiskt stöd, i ärenden om statsbidrag eller särskilda medel för kostnader för särskilt pedagogiskt stöd samt i ärenden om trakasserier, sexuella och andra eftergymnasiala utbildningar trakasserier och avskiljande (se motsvarande avsnitt i Universitets- och högskolesektorn, avsnitt 5.4.5). Någon ytterligare reglering krävs därmed inte för att offentliga utbildningsanordnare inom yrkes- högskolan, i de fall det är nödvändigt, ska kunna behandla känsliga personuppgifter för nämnda ändamål när dataskyddsförordningen ska börja tillämpas. Vidare kan det inte uteslutas att det finns andra typer av ärenden där offentliga utbildningsanordnare behöver be- handla känsliga personuppgifter. Sådan behandling kan då också ske med stöd av förslag, förutsatt bl.a. att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. Det förhåller sig dock annorlunda för de enskilda utbildnings- anordnarna inom och anordnarna av sådana utbild- ningar som avses i förordningen om stöd för konst- och kulturut- bildningar och vissa andra utbildningar, vilka också är enskilda fysis- ka eller juridiska personer. Som framgår av avsnitt 6.4.2 kan motsva- rande ärenden som nämnts ovan finnas hos dessa utbildningsanord- nare. De har därmed, förutsatt att det är relevant och nödvändigt, samma behov av att kunna behandla känsliga personuppgifter som de offentliga utbildningsanordnarna inom . kan sådan behandling ske i ostrukturerat material med stöd av 5 a § PUL, men den bestämmelsen kommer att upphävas när dataskydds- förordningen ska börja tillämpas. förslag omfattar inte enskilda utbildningsanordnare. Utredningen anser där- för att det finns behov av att införa bestämmelser som möjliggör för enskilda utbildningsanordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar att behandla känsliga personuppgifter i vissa ärenden på motsvarande sätt som för offentliga utbildninganordnare inom . Eftersom de har möjlighet att utföra sådana behandlingar, bedö- mer utredningen att integritetsintrånget för den enskilde varken blir större eller mindre genom att sådana bestämmelser införs. Sammanfattningsvis anser utredningen att det ska införas en be- stämmelse enligt vilken känsliga personuppgifter, med stöd av arti- kel i dataskyddsförordningen, får behandlas av enskilda utbild- ningsanordnare inom i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende. Motsvarande bestämmelse ska införas även för de som anordnar utbildningar som avses i förordningen om stöd för konst- och andra eftergymnasiala utbildningar och kulturutbildningar och vissa andra utbildningar. Som utredning- en konstaterar ovan i fråga om offentliga utbildningsanordnare inom innebär kopplingen till artikel att känsliga per- sonuppgifter inte kan behandlas i vilken typ av ärende som helst. Det krävs att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. Av artikel 5.2 framgår att det är den personuppgiftsansva- rige som ska ansvara för och kunna visa att man har stöd för de behandlingar man utför. Behandling som krävs på grund av lag Enligt förslag till 3 kap. 3 § 2 dataskydds- lagen får myndigheter behandla känsliga personuppgifter med stöd av artikel i dataskyddsförordningen om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag. Enligt utredningens bedömning innebär det att offentliga utbild- ningsanordnare inom även fortsättningsvis kommer att kunna uppfylla de åligganden enligt bl.a. offentlighetsprincipen som ankommer på dem, t.ex. att diarieföra handlingar som innehåller känsliga personuppgifter. förslag till be- stämmelse i dataskyddslagen är i detta avseende därmed tillräcklig för de offentliga utbildningsanordnarnas nödvändiga behandling av käns- liga personuppgifter. Enskilda utbildningsanordnare inom och anord- nare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar, vilka också är enskilda fysiska eller juridiska personer, omfattas inte av offentlig- hetsprincipen. För deras del behöver det således inte införas en mot- svarande bestämmelse. Absolut nödvändig behandling i andra fall Enligt förslag till 3 kap. 3 § 3 dataskydds- lagen får känsliga personuppgifter med stöd av artikel i data- skyddsförordningen behandlas av en myndighet i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behand- lingen inte innebär ett otillbörligt intrång i den registrerades person- liga integritet. Enligt ska bestämmelsen möj- och andra eftergymnasiala utbildningar liggöra behandling av känsliga personuppgifter hos myndigheter i enstaka fall, även i situationer då det saknas en koppling till ett visst ärende eller behandlingen inte krävs enligt annan lag. Som exempel på när bestämmelsen kan vara tillämplig anger inom en myndighet i samband med utvärdering (SOU 2017:39, av- snitt 10.6.2). Bestämmelsen i dataskyddslagen är direkt tillämplig på offentliga utbildningsanordnare inom . När det gäller deras behandling av känsliga personuppgifter kan, enligt utredningens bedömning, paragrafen vara tillämplig t.ex. när beslut att bevilja sär- skilt pedagogiskt stöd ska verkställas. Även för enskilda utbildningsanordnare inom och anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan behandling av känsliga personuppgifter vara nödvändig i vissa fall när det saknas koppling till ett visst ärende. T.ex. tillhandahåller även nu nämnda utbildningsanordnare särskilt pedagogiskt stöd. De har därmed samma behov som offentliga utbildningsanordnare inom att behandla känsliga personuppgifter i samband med att t.ex. beslut att bevilja stödåtgärder ska verkställas. Sådan behandling kan ske i ostrukturerat material med stöd av 5 a § PUL. När dataskyddsförordningen ska börja tillämpas kommer dock personuppgiftslagen att upphävas. Om någon reglering som möjliggör fortsatt sådan behandling inte införs är enskilda utbildningsanordnare inom och anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar hänvi- sade till att använda sig av samtycke från den registrerade. Att enbart använda sig av samtycke för all behandling som kan krävas i fråga om t.ex. särskilt pedagogiskt stöd kan vara problematiskt, eftersom det kan vara svårt för den enskilde att överblicka omfattningen och arten av de behandlingar som krävs när beslutade stödåtgärder ska verk- ställas. I övervägandena till förslaget till 3 kap. 3 § 3 dataskyddslagen an- ger att sådan behandling som bestämmelsen tar sikte på måste regleras på ett sätt som beaktar dataskyddsför- ordningens krav på proportionalitet och skyddsåtgärder. Bestämmel- sen innehåller därför rekvisitet ”absolut nödvändigt” för att markera att behandling av känsliga personuppgifter i här aktuella fall bara ska och andra eftergymnasiala utbildningar ske efter en noggrann prövning i det enskilda fallet (SOU 2017:39, avsnitt 10.6.2). anser vidare att prövningen också bör ske med beaktande av vilket intrång behandlingen utgör för den registre- rades integritet. har därför formulerat be- stämmelsen på sådant sätt att en avvägning ska göras av om en i och för sig absolut nödvändig behandling av känsliga personuppgifter innebär ett otillbörligt intrång i den registrerades integritet, vilket skulle kunna få till följd att behandlingen inte är tillåten. Bestämmelsen i den föreslagna 3 kap. 3 § 3 dataskyddslagen inne- håller således rekvisit som starkt markerar att bestämmelsen ska till- lämpas restriktivt och först efter noggranna avvägningar mellan behovet av behandlingen och intrånget i den enskildes integritet. Utredningen anser sammanfattningsvis att bestämmelser motsva- rande 3 kap. 3 § 3 dataskyddslagen ska införas för enskilda utbild- ningsanordnare inom och anordnare av sådana ut- bildningar som avses i förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar. Dessa aktörer har samma behov som offentliga utbildningsanordnare inom att i vissa fall kunna behandla känsliga personuppgifter även när det sak- nas koppling till ett visst ärende. En bestämmelse med sådana starkt begränsande rekvisit, tillgodoser, enligt utredningens bedömning, dataskyddsförordningens krav på proportionalitet och skyddsåtgär- der. Behandling av personuppgifter som rör fällande domar i brottmål Förbudet i artikel 10 för behandling av personuppgifter som rör fäl- lande domar i brottmål gäller inte för myndigheter. Dataskydds- utredningen föreslår att det ska finnas en upplysningsbestämmelse om nämnda förhållande i 3 kap. 9 § dataskyddslagen. Även när data- skyddsförordningen ska börja tillämpas kommer således offentliga utbildningsanordnare inom att kunna behandla per- sonuppgifter som rör fällande domar i brottmål i ärenden om avskil- jande enligt 19 § lagen om och 7 kap. förordningen om . Någon ytterligare reglering i denna del krävs därmed inte för de offentliga utbildningsanordnarnas behandlingar. och andra eftergymnasiala utbildningar För enskilda utbildningsanordnare inom är det dock annorlunda. Som framgår ovan kan de ha egna regelverk om avskiljande som i stort sett motsvarar de som gäller för offentliga utbildningsanordnare. De har därmed samma behov som offentliga utbildningsanordnare inom att behandla personupp- gifter som rör fällande domar i brottmål. Sådant behov kan även anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar ha. kan enskilda utbildningsanordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar behandla personuppgifter som rör fällande domar i brottmål i ostrukturerat material med stöd av 5 a § PUL. När dataskyddsförordningen ska börja tillämpas kommer dock personuppgiftslagen att upphävas. Enligt förslag till 4 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning får personuppgifter som rör bl.a. fällande domar i brottmål behandlas av andra än myndigheter om 1.behandlingen är nödvändig för att rättsliga anspråk ska kunna fast- ställas, göras gällande eller försvaras i ett enskilt fall, 2.behandlingen avser enstaka uppgifter och är nödvändig för att till polisen anmäla misstanke om brott, eller 3.behandlingen avser enstaka uppgifter och är nödvändig för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Enligt utredningens bedömning är det inte möjligt för enskilda ut- bildningsanordnare inom och anordnare av utbild- ningar som avses i förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar att behandla personupp- gifter som rör fällande domar i brottmål i ett ärende om avskiljande med stöd av förslag i nämnda delar. Enligt förslag till 5 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning be- myndigas Datainspektionen att meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som rör bl.a. fällande domar i brottmål. I vilken mån Datainspektionen kom- mer att använda sig av det föreslagna bemyndigandet och i så fall på vilket sätt är oklart. och andra eftergymnasiala utbildningar Dataskyddsförordningen och dataskyddslagen tillåter således inte att enskilda utbildningsanordnare inom och anord- nare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar behandlar per- sonuppgifter som rör fällande domar i brottmål i ärenden om avskil- jande och det saknas förslag till undantag som möjliggör sådan be- handling. Frågan är då om utredningen bör föreslå sådana bestäm- melser. I förarbetena till lagen om uttalas bl.a. att reger- ingen i andra sammanhang inte har ansett det lämpligt att reglera för- hållandet mellan en student eller en sökande och en enskild utbild- ningsanordnare i offentligrättslig ordning (prop. 2008/09:68 s. 46). Frånvaron av offentligrättslig reglering om avskiljande av studerande för enskilda utbildningsanordnare inom och anord- nare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar, som också är enskilda fysiska och juridiska personer, beror således inte på att frågan är av underordnad betydelse för deras del. Vidare tar bestäm- melser om avskiljande sikte på bl.a. övriga studerandes och utbild- ningsanordnarnas arbetstagares säkerhet. Det måste därmed, enligt utredningens bedömning, anses vara lika angeläget att enskilda utbild- ningsanordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar har möjlighet att behandla personupp- gifter som rör fällande domar i brottmål i deras motsvarighet till ärenden om avskiljande. Med beaktande av att dessa utbildnings- anordnare kan behandla sådana uppgifter i ostrukturerat material med stöd av 5 a § PUL anser utredningen därför att sådana bestämmelser bör införas. En bestämmelse som möjliggör för enskilda utbildningsanordnare att behandla personuppgifter som rör fällande domar i brottmål måste, enligt artikel 10 i dataskyddsförordningen, omfattas av lämp- liga skyddsåtgärder för de registrerades rättigheter och friheter. En sådan bestämmelse bör därför bestå av rekvisit som starkt betonar att det är fråga om en restriktiv tillämpning där en noggrann av- vägning behöver göras mellan behovet av behandling och intrånget i den enskildes integritet. Enligt utredningens uppfattning kan ut- formningen av förslag till 3 kap. 3 § 3 data- skyddslagen tjäna som riktmärke. och andra eftergymnasiala utbildningar Behandling av personuppgifter som rör fällande domar i brottmål skulle då kunna tillåtas om det är absolut nödvändigt, vilket innebär att regleringen ska tillämpas restriktivt och inte möjliggöra uppre- pad, omfattande, strukturell eller storskalig behandling. För att ytterligare begränsa bestämmelsens tillämpning bör den enligt utredningens uppfattning också innehålla en avvägningsnorm. Av 19 § andra stycket lagen om framgår att en förut- sättning för avskiljande på grund av att den studerande bl.a. har gjort sig skyldig till allvarlig brottslighet, är att det till följd av ett sådant förhållande bedöms föreligga en påtaglig risk att den studerande kan komma att skada någon annan person eller värdefull egendom under utbildningen. Den bestämmelse som ska möjliggöra för enskilda utbildningsanordnare inom yrkehögskolan och anordnare av utbild- ningar som avses i förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar att behandla personupp- gifter som rör fällande domar i brottmål kan då lämpligen innehålla en avvägningsnorm enligt vilken intresset för andras säkerhet och värdefull egendom ska ställas mot den risk för otillbörligt intrång i den registrerades personliga integritet som behandlingen kan inne- bära. Det åligger därmed dessa utbildningsanordnare att göra en nog- grann avvägning i varje enskilt fall om den avsedda behandlingen kan göras. Sammanfattningsvis anser utredningen att det ska införas en be- stämmelse som anger att personuppgifter som rör fällande domar i brottmål får behandlas av en enskild utbildningsanordnare inom i löpande text i ett ärende om avskiljande, om det är absolut nödvändigt för ändamålet med behandlingen och om intres- set av att skydda andra personer och värdefull egendom klart väger över den risk för otillbörligt intrång i den registrerades personliga integritet som behandlingen kan innebära. Motsvarande bestämmel- se ska även införas för anordnare av utbildningar som avses i för- ordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Utredningen bedömer avslutningsvis att bestämmelser med sådana starkt begränsande rekvisit uppfyller kraven i artikel 10 i dataskyddsförordningen. och andra eftergymnasiala utbildningar De förslag till bestämmelser i dataskyddslagen som Dataskydds- utredningen lämnar för att möjliggöra för myndigheter att i vissa fall behandla känsliga personuppgifter har sin grund i artikel . För att i denna del leva upp till förordningens krav på lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen, föreslår även en skyddsåtgärd i form av en sökbegränsning i 3 kap. 4 § dataskydds- lagen. Vid behandling som sker enbart med stöd av 3 kap. 3 § data- skyddslagen får en myndighet inte använda sökbegrepp som avslöjar känsliga personuppgifter (SOU 2017:39, avsnitt 10.6.2). menar att sökningar som avslöjar och sammanställer känsliga personuppgifter är en åtgärd som i sig inne- bär en integritetskränkning.