sou · H5B349 · 2017-06-02 00:00:00 — Det är därför rimligt att utgå från att de ändamål m.m. som fastställts i samband med författningsarbetet är relevanta och proportionerliga i förhållande till det integritetsintrång behand- lingarna kan innebära. Denna bedömning är giltig även i de avseen- den som avses i dataskyddsförordningen. Utredningen har inte heller vid genomgången av förordningen funnit några exempel på bestäm- melser som kan sägas vara irrelevanta eller oproportionerliga. Utred- ningen anser således att förordningen uppfyller kraven i artikel 6.3 andra stycket i dataskyddsförordningen. Med anledning av att dataskyddsförordningen och en ny generell lagstiftning som i vissa delar kompletterar förordningen ska börja tillämpas, påkallas dock ställningstaganden till och ändringar i vissa av bestämmelserna i förordningen om lärar- och förskollärarregister. En genomgång av befintliga bestämmelser görs i följande avsnitt. Förslag: I 2 § förordningen om lärar- och förskollärarregister ska anges att förordningen kompletterar dataskyddsförordningen. Vidare ska förordningens förhållande till den föreslagna lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) regleras. Hänvisningen till personuppgiftslagen ska tas bort. I ett nytt tredje stycke i 6 § ska en hänvisning till artikel 5.1 b i dataskyddsförordningen införas. Hänvisningen ersätter den nuva- rande hänvisningen till finalitetsprincipen i 9 § PUL som finns i 6 § andra stycket. Bestämmelserna om information i 10 § ska ändras på så sätt att de endast reglerar den informationsskyldighet som gäller utöver den informationsskyldighet som kommer att gälla enligt data- skyddsförordningen. Bestämmelserna om rättelse och skadestånd i 11 § ska upp- hävas. Förordningen om lärar- och förskollärarregister består av elva para- grafer som finns under rubrikerna inledning, personuppgiftsansvarig, registrets ändamål, registrets innehåll, direktåtkomst, utlämnande på medium för automatiserad behandling, information samt rättelse och skadestånd. Nedan redogörs för regleringen i respektive paragraf och vilka behov av ändringar som utredningen anser är påkallade med anledning av att dataskyddsförordningen ska börja tillämpas. Enligt 1 § förordningen om lärar- och förskollärarregister ska Skol- verket, för de ändamål som anges i 5 och 6 §§, med hjälp av auto- matiserad behandling föra ett register över legitimerade och tidigare legitimerade lärare och förskollärare. Bestämmelsen ålägger således att föra en viss typ av register för vissa ändamål. Dataskyddsförordningen hindrar inte att medlemsstaterna fritt bestämmer tillämpningsområdet för nationell lagstiftning som kom- pletterar dataskyddsförordningen (jfr artikel 6.2). Enligt utredning- ens bedömning är 1 § därmed förenlig med dataskyddsförordningen. Bestämmelsen bör därför finnas kvar och inte ändras. I 2 § anges att personuppgiftslagen gäller vid behandling av per- sonuppgifter i registret om inte annat följer av denna förordning. När dataskyddsförordningen ska börja tillämpas kommer person- uppgiftslagen att upphävas och den föreslagna dataskyddslagen träda i kraft. Med anledning av detta behöver den nu aktuella hänvisningen i 2 § förordningen om lärar- och förskollärarregister ändras. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat och har företräde framför nationell lagstiftning. Förordningen om lärar- och förskollärarregister innehåller endast sådana tillåtna be- stämmelser som kompletterar eller tar över bestämmelserna i data- skyddsförordningen. För att tillämparen ska få en fullständig bild av vilken reglering som gäller bör en bestämmelse med en upplysning om att dataskyddsförordningen gäller tas in i förordningen. Den föreslagna dataskyddslagen kommer, på samma sätt som personuppgiftslagen, att vara subsidiär i förhållande till andra författ- ningar om behandling av personuppgifter. Av tydlighetsskäl bör en hänvisning till dataskyddslagen införas, såsom görs till person- uppgiftslagen. Utredningen föreslår därför att det i 2 § första stycket förord- ningen om lärar- och förskollärarregister ska anges att förordningen kompletterar dataskyddsförordningen. I ett nytt andra stycke ska förhållandet till dataskyddslagen regleras. I 3 § anges att en registrerad inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt förordningen. I dataskyddsdirektivet regleras den registrerades rätt att göra invändningar i artikel 14. Om den nationella lagstiftningen inte före- skriver något annat, ska den registrerade, enligt artikel 14 a, ha rätt att av avgörande och berättigade skäl som rör hans personliga situa- tion motsätta sig behandlingen, åtminstone i de fall då uppgifterna behandlas med stöd av en intresseavvägning av det slag som framgår av 10 § f PUL eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. I 12 § andra stycket PUL har införts en bestämmelse som anger att en registrerad med ett par undantag inte har rätt att motsätta sig sådan behandling av person- uppgifter som är tillåten enligt personuppgiftslagen. I dataskyddsförordningen regleras rätten att göra invändningar i artikel 21. Enligt artikel 21.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e (uppgift av all- mänt intresse eller myndighetsutövning) eller f (intresseavvägning). Den personuppgiftsansvarige får inte längre behandla personupp- gifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättig- heter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Enligt artikel 23.1 e ska det dock vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt, som den personuppgiftsansva- rige eller personuppgiftsbiträdet omfattas av, införa en lagstiftnings- åtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bl.a. artikel 21. En sådan begränsning ska ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, sär- skilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. SOU 2017:49 Lärar- och förskollärarregistret Enligt artikel 23.2 ska alla lagstiftningsåtgärder som avses i punkt 1 innehålla specifika bestämmelser, åtminstone när det är rele- vant, avseende a)ändamålen med behandlingen eller kategorierna av behandling, b)kategorierna av personuppgifter, c)omfattningen av de införda begränsningarna, d)skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, e)specificeringen av den personuppgiftsansvarige eller kategorier- na av personuppgiftsansvariga, f)lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, g)riskerna för de registrerades rättigheter och friheter, och h)de registrerades rätt att bli informerade om begränsningen, så- vida detta inte kan inverka menligt på begränsningen. Dataskyddsförordningen ställer därmed högre krav på den natio- nella begränsande regleringen än dataskyddsdirektivet, eftersom det i dataskyddsdirektivet inte anges några särskilda villkor för en sådan reglering. Den första frågan är om förordningen om lärar- och förskollärar- register omfattas av artikel 21 i dataskyddsförordningen. Om den rättsliga grunden för behandling av personuppgifter enligt förord- ningen om lärar- och förskollärarregister är att behandlingen är nödvändig för för att fullgöra en rättslig förpliktelse är artikel 21 inte tillämplig och den registrerade har därmed inte rätt att göra någon invändning mot behandlingen av hans eller hennes per- sonuppgifter. Om så är fallet är 3 § förenlig med dataskyddsförord- ningen. Som anges ovan anser utredningen att två rättsliga grunder enligt artikel 6.1 är tillämpliga, rättslig förpliktelse (c) och uppgift av all- mänt intresse (e). Eftersom flera rättsliga grunder kan vara tillämp- liga enligt dataskyddsförordningen, och då utredningens uppfattning är att även den rättsliga grunden uppgift av allmänt in- tresse är en tillämplig grund för behandlingen av personuppgifter i lärar- och förskollärarregistret, prövar utredningen om förutsätt- ningarna enligt artikel 23 för att begränsa den registrerades rätt att göra invändningar är uppfyllda. Ett av syftena med att införa lärar- och förskollärarregistret var att skapa möjlighet för skolhuvudmännen att få en reell tillgång till säker och aktuell information om legitimerade lärare och förskol- lärare för att kunna kontrollera om den lärare eller förskollärare som anställs innehar legitimation, tilldelats en eller flera varningar eller fått sin legitimation återkallad (prop. 2010/11:20 s. 67). Utredningens uppfattning är därför att förordningen om lärar- och förskollärarregister reglerar behandling av personuppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e. Förordningen innehåller även sådana relevanta begräns- ningar som räknas upp i artikel 23.2, dvs. ändamålen med behand- lingen (5 och 6 §§), kategorierna av personuppgifter (7 §), omfatt- ningen av de införda begränsningarna (3 §), skyddsåtgärder (8 och 9 §§), specificering av den personuppgiftsansvarige (4 §) och den registrerades rätt att bli informerad om begränsningen (10 §). Enligt utredningens bedömning har förordningen införts efter noggranna överväganden av vilka bestämmelser, utöver de som finns i personuppgiftslagen, som är relevanta i sammanhanget. Förut- sättningarna för att behålla begränsningen av den registrerades rätt att göra invändningar i 3 § är enligt utredningens bedömning därmed uppfyllda. Bestämmelsen kan och bör därför behållas. I 4 § anges att är personuppgiftsansvarig för behandling av personuppgifter i lärar- och förskollärarregistret. Av definitionen i artikel 4.7 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsam- mans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. I förordningen om lärar- och förskollärarregister anges ända- målen och medlen för behandlingen. Enligt utredningens bedömning är det således tillåtet att i förordningen ange att är per- sonuppgiftsansvarig. Bestämmelsen i 4 § kan och bör därför behållas. Enligt 5 § får personuppgifterna i registret behandlas för att föra en aktuell förteckning över legitimerade och tidigare legitimerade lärare och förskollärare. När den rättsliga grunden är rättslig förpliktelse och uppgift av allmänt intresse är det enligt artikel 6.2 och 6.3 andra stycket i data- skyddsförordningen tillåtet med särskilda bestämmelser om bl.a. ändamålsbegränsningar. Bestämmelsen i 5 § kan och bör därför be- hållas. I 6 § första stycket anges att personuppgifterna i registret får, utöver det som anges i 5 §, behandlas om det behövs för att 1.handlägga ärenden om legitimation enligt 2 kap. 16 § skollagen, enligt föreskrifter som har meddelats med stöd av 2 kap. 16 b § andra stycket skollagen eller enligt 27 kap. 4 § skollagen, 2.lämna uppgifter till utländska myndigheter i enlighet med förord- ningen (2016:157) om erkännande av yrkeskvalifikationer, 3.utöva tillsyn av skolväsendet och dess personal, och 4.kontrollera identitet och behörighet i samband med tjänstetill- sättning av lärare och förskollärare. Enligt 6 § andra stycket får personuppgifterna i registret också be- handlas för att fullgöra uppgiftslämnande som sker i överensstäm- melse med lag eller förordning. I andra stycket anges vidare att i övrigt gäller 9 § första stycket d och andra stycket PUL. När den rättsliga grunden är rättslig förpliktelse och uppgift av allmänt intresse är det som tidigare angetts tillåtet att införa ända- målsbegränsningar (se artikel 6.2 och 6.3 andra stycket). Beträffande 6 § första stycket 2, dvs. att personuppgifterna i registret får behandlas om det behövs för att lämna uppgifter till ut- ländska myndigheter i enlighet med förordningen om erkännande av yrkeskvalifikationer, kompletterar förordningen om erkännande av yrkeskvalifikationer bestämmelserna i lagen (2016:145) om erkän- nande av yrkeskvalifikationer. Genom lagen och förordningen om erkännande av yrkeskvalifikationer genomförs allmänna bestämmel- ser i och rådets direktiv /36/EG av om erkännande av yrkeskvalifikationer, i lydelsen enligt och rådets direktiv /55/EU (yrkes- kvalifikationsdirektivet). Av 2 § lagen om erkännande av yrkeskvalifikationer framgår att lagen innehåller bestämmelser om bl.a. tillfällig yrkesutövning och om erkännande av yrkeskvalifikationer för den som vill utöva ett reglerat yrke i , som anställd eller som egenföretagare, och som har förvärvat yrkeskvalifikationer eller fått dem erkända i en annan stat inom Europeiska ekonomiska samarbetsområdet (EES) eller i . Av förarbetena (prop. 2015/16:44 s. 47) framgår att yrkeskvalifikationsdirektivet för svenskt vidkommande behöver genomföras på så sätt att EU-medborgare som har förvärvat sina yrkeskvalifikationer i en annan medlemsstat än kan utöva ett reglerat yrke här. Då det ursprungliga yrkeskvalifikationsdirektivet också gällde medborgare i EES-länderna , och samt medborgare i , och dessa stater redan deltar i samarbetet enligt nu gällande avtal, ansåg regeringen att det bara var en tidsfråga innan skulle komma att omfatta yrkeskvalifikationsdirektivet. Mot den bakgrunden ansågs att lagen borde utformas så att den även omfattar EES-länderna , och samt . Av 8 kap. 11 § förordningen om erkännande av yrkeskvalifika- tioner framgår att de behöriga myndigheterna ska med behöriga myndigheter i andra stater inom EES och i utbyta sådana uppgifter som är nödvändiga för att en tjänstemottagares klagomål mot en yrkesutövare som tillfälligt utövar ett yrke i en annan stat än i etableringsstaten ska kunna utredas. Vidare framgår det av 13 § att (Informationssystemet för den inre marknaden) ska användas för utbyte av information med behöriga myndigheter och rådgiv- ningscentrum i andra stater inom EES och i . Bestämmelser om användning av finns i och rådets förordning (EU) nr 1024/2012 av om admi- nistrativt samarbete genom informationssystemet för den inre mark- naden och om upphävande av kommissionens beslut /49/EG (IMI-förordningen). Av bilagan till förordningen om erkännande av yrkeskvalifikationer framgår att är behörig myndighet för de reglerade yrkena lärare och förskollärare. Att kan föra över personuppgifter till aktörer belägna i EES-länder följer bl.a. av definitionen av tredje land i 3 § PUL. Tredje land definieras som en stat som inte ingår i EU eller är ansluten till EES. Kommissionen har fattat beslut enligt artikel 25.6 i dataskyddsdirektivet om adekvat skydds- nivå i , varför personuppgifter även kan föras dit utan att vara i strid med personuppgiftslagen. Dataskyddsförordningen innehåller inte någon definition av tredjeland. Artikel 3 i dataskyddsförordningen anger förordningens territoriella tillämpningsområde och där anges bl.a. ”etablerad i unionen” och ”befinner sig i unionen”. över till myndigheter i , , eller bör det normalt vara fråga om en överföring av personuppgifter till tredjeland eftersom dessa länder inte är medlemmar i . Data- skyddsförordningens bestämmelser om överföring till tredjeland är direkt tillämpliga och medger inte att medlemsstaterna i sin natio- nella rätt tillåter överföring av personuppgifter till tredjeland på annat sätt (se artikel 44–50). Kommissionens beslut om att har adekvat skyddsnivå ska dock bli i kraft tills det ändrats, ersatts eller upphävts av kommissionsbeslut (artikel 45.9 i dataskyddsför- ordningen). Vad utredningen erfar kommer den gemensamma att besluta att även dataskyddsförordningen ska inlem- mas i . arbetar redan för att implementeringen av dataskyddsförordningen ska vara genomförd 2018.2 Om EES-län- derna genomför dataskyddsförordningens bestämmelser i nationell rätt kommer de såsom ha en adekvat skyddsnivå. Utred- ningen bedömer därför att bestämmelsen i 6 § första stycket 2 2 /Regelverk/EUs-personvernforordning/personvernforordningen- vedtatt-i-eu/ (publicerat: ) förordningen om lärar- och förskollärarregister kommer att vara förenlig med dataskyddsförordningen. Som nämnts ovan anger 6 § andra stycket andra meningen att i övrigt gäller 9 § första stycket d och andra stycket PUL. Detta är en hänvisning till den s.k. finalitetsprincipen, dvs. att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. En uttrycklig hänvisning till finalitetsprincipen tillkom första gången efter att Lagrådet anfört att uppbyggnaden och utform- ningen av ändamålsbestämmelserna i förslaget till lag om behandling av personuppgifter inom socialförsäkringens administration gav in- tryck av att de angivna ändamålen var uttömmande. Att det fanns en avsikt att även andra efterkommande behandlingar skulle få företas förutsatt att det inte kunde anses oförenligt med de ursprungliga ändamålen ansågs inte framgå av den föreslagna lagtexten. Reger- ingen föreslog då ett förtydligande – en hänvisning till 9 § första stycket d och andra stycket PUL. Mot bakgrund av att motsvarande förtydligande saknades i andra registerförfattningar betonade regeringen att det inte var fråga om en materiell regel, utan endast ett förtydligande (prop. 2002/03:135 s. 56). Finalitetsprincipen finns uttryckt i artikel 5.1 b och 6.4 i data- skyddsförordningen. Där framgår att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, samt att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Regleringen motsvarar den som finns i artikel 6.1 b i dataskyddsdirektivet. Finalitetsprincipen kommer således att finnas kvar även med dataskyddsförordningen. En bestämmelse med innebörden att personuppgifter, som be- handlas för i författningen uttryckligen angivna ändamål, får behand- las också för andra ändamål när det inte strider mot finalitetsprin- cipen är en sådan specificering som kan och bör behållas. Det bör dock noteras att artikel 13.3 och 14.4 i dataskyddsförordningen i regel innebär att de registrerade på förhand måste informeras om till- tänkt återanvändning av deras personuppgifter. Enligt utredningens bedömning kan en bestämmelse som klargör att de i registerför- fattningen angivna ändamålen inte är uttömmande utan att också sådan behandling som inte strider mot finalitetsprincipen finnas även fortsättningsvis i författningen. Bestämmelsen i 6 § andra stycket andra meningen förordningen om lärar- och förskollarregister behö- ver dock hänvisa till dataskyddsförordningen i stället för som i dags- läget till aktuella bestämmelser i personuppgiftslagen. För tydlighets skull föreslås bestämmelsen placeras i ett eget tredje stycke. Sammanfattningsvis bedömer utredningen att bestämmelserna i 6 §, med nämnda förslag till ändring i andra stycket, är fören- liga med dataskyddsförordningen och att de kan och bör behållas. Enligt 7 § första stycket får registret innehålla endast de uppgifter som räknas upp där, t.ex. namn, kön, personnummer, samordnings- nummer, yrke, lärosäte som utfärdat examen, utbildningsland, lära- rens eller förskollärarens behörighet enligt legitimationen, samt om beslut om varning eller återkallelse av legitimation har meddelats. I andra stycket anges att registret inte får innehålla uppgifter om skä- len för beslut om varning eller återkallelse av legitimation. Av bestämmelserna i 7 § framgår motsatsvis (e contrario) att registret inte får innehålla sådana särskilda kategorier av uppgifter som anges i artikel 9.1 i dataskyddsförordningen (känsliga person- uppgifter). När den rättsliga grunden är rättslig förpliktelse eller uppgift av allmänt intresse är det enligt artikel 6.2 och 6.3 andra stycket i data- skyddsförordningen tillåtet med särskilda bestämmelser om vilka typer av uppgifter som får behandlas. Beträffande personnummer och samordningsnummer får, enligt 22 § PUL, uppgifter om personnummer eller samordningsnummer utan samtycke behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Av 50 § c PUL följer att regeringen får meddela närmare föreskrifter om i vilka fall användning av person- nummer är tillåten. Av artikel 87 i dataskyddsförordningen framgår att medlemssta- terna får närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identi- fiering får behandlas. I ett tillägg anges dessutom att sådana uppgif- ter i sådana fall endast ska användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt dataskyddsförordningen. har i sitt förslag till 3 kap. 13 § dataskydds- lagen föreslagit en bestämmelse med samma ordalydelse som 22 § PUL. Vidare föreslår en bestämmelse i 3 kap. 14 § dataskyddslagen som anger att regeringen får meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten. Bestämmelsen motsvarar såle- des delvis 50 § c PUL. Utredningen anser att det i lärar- och förskollärarregistret är klart motiverat med hänsyn till behandlingen och vikten av en säker iden- tifiering att personnummer eller samordningsnummer används för identifiering. Därtill finns det ett bemyndigande för regeringen i data- skyddslagen att meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten. Sammanfattningsvis bedömer utredningen att bestämmelserna i 7 § förordningen om lärar- och förskollärarregister om vilka uppgif- ter som får behandlas i registret är förenliga med dataskyddsför- ordningen. Paragrafen kan och bör därför behållas. Direktåtkomst och utlämnande på medium för automatiserad behandling Av 8 § framgår att direktåtkomst inte får medges till uppgifterna i registret. Enligt 9 § får personuppgifterna i registret lämnas ut på medium för automatiserad behandling om uppgifterna ska behand- las för de ändamål som anges i 5 och 6 §§. Utlämnande genom direktåtkomst och utlämnande på medium för automatiserad behandling utgör olika former av behandling av personuppgifter som ofta regleras i registerförfattningar. I data- skyddsförordningen och i förslag till data- skyddslag finns det inga särskilda bestämmelser som direkt rör dessa former av behandling eller utlämnande utan det krävs – i likhet med vad som gäller för all behandling av personuppgifter – att behand- lingen uppfyller tillämpliga grundläggande krav i artikel 5 i data- skyddsförordningen och har lagligt stöd enligt artikel 6. Det krävs också att säkerhetsåtgärder enligt artikel 24.1 och 32 är vidtagna. Om utlämnandet sker till en myndighet eller enskild i tredjeland eller till internationella organisationer krävs dessutom att villkoren i kapitel V (artikel 44–50) är uppfyllda.