sou · H5B349 · 2017-06-02 00:00:00 — Behovet av att använda samtycke som rättslig grund torde, enligt utredningens bedömning, därmed vara ytterst begränsat för utbildningsanordnar- na. Om behandlingen grundar sig på samtycke ska den personupp- 1 Artikel 29-gruppens yttrande 15/2011 om definitionen av begreppet samtycke s. 16–17. och andra eftergymnasiala utbildningar giftsansvarige, enligt artikel 7.1, kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter. Artikel 5 i dataskyddsförordningen innehåller bestämmelser om prin- ciperna för behandling av personuppgifter. Enligt 5.1 a ska person- uppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhål- lande till den registrerade. I artikel 6.1 anges att behandling av per- sonuppgifter är laglig endast om och i den mån som åtminstone ett av de i bestämmelsen angivna villkoren är uppfyllt. Utredningen har i de föregående avsnitten kommit fram till att de som anordnar och bedriver utbildning inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan tillämpa flera olika rättsliga grunder i artikel 6.1 i dataskyddsförordningen till stöd för sin personuppgifts- behandling. I vissa situationer kan dessutom flera rättsliga grunder vara tillämpliga var för sig. De rättsliga grunder som kan vara tillämpliga är samtycke (a), rättslig förpliktelse (c) eller uppgift av allmänt intresse eller myndig- hetsutövning (e). De som anordnar utbildning enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbild- ningar kan dock inte tillämpa den rättsliga grunden myndighetsutöv- ning. Vidare kan enskilda utbildningsanordnare inom yrkeshögsko- lan och anordnare av sådan utbildning som omfattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbild- ningar tillämpa den rättsliga grunden intresseavvägning (f). Den rättsliga grund som främst blir aktuell för samtliga utbild- ningsanordnare att tillämpa är dock första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse, eftersom uppgiften att anordna och be- driva utbildning inom eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar är en i svensk rätt fastställd uppgift av allmänt intresse. När dataskyddsförordningen ska börja tillämpas kan ändamåls- enlig och nödvändig personuppgiftsbehandling, som skyd- dar den enskildes fri- och rättigheter, för utbildningsanordnarnas del därmed ske med stöd av bestämmelserna i artikel 6 i dataskyddsför- ordningen. Något regleringsbehov aktualiseras följaktligen inte för och andra eftergymnasiala utbildningar att utbildningsanordnarna ska kunna tillämpa ovan nämnda rättsliga grunder. 6.4Känsliga personuppgifter och uppgifter som rör lagöverträdelser 6.4.1Utredningens uppdrag i denna del I utredningens direktiv konstateras att det inom utbildningsområdet i vissa fall är nödvändigt att behandla känsliga personuppgifter. Upp- draget i denna del är därför att analysera om det, utöver dataskydds- förordningen och den generella reglering som Dataskyddsutred- ningen föreslagit, finns ett behov av kompletterande regleringar för den behandling av känsliga personuppgifter som utförs av utbild- ningsanordnarna inom eller av de som anordnar utbildning enligt förordningen om stöd för konst- och kulturutbild- ningar och vissa andra utbildningar. Utredningen ska även lämna de författningsförslag som behövs. Något specifikt uppdrag i fråga om behandling av uppgifter om lagöverträdelser har inte getts utredningen. Eftersom utredningen ska föreslå kompletterande regleringar som ska möjliggöra en ända- målsenlig behandling som skyddar den enskildes fri- och rättigheter, ingår det dock i uppdraget att också analysera behovet av reglering i denna del. Enligt artikel 10 i dataskyddsförordningen får behandling av per- sonuppgifter som rör bl.a. fällande domar i brottmål endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Det finns således ett förbud för enskilda att behandla personupp- gifter som rör fällande domar i brottmål, om inte behandlingen kan anses stå under en myndighets kontroll eller den nationella rätten medger sådan behandling. Även om personuppgifter som rör fällande domar i brottmål inte är en känslig uppgift, torde behandling av sådana uppgifter allmänt kunna anses som integritetskänslig. Utredningen anser därför att behovet av reglering i denna del lämpligen bör behandlas i samma avsnitt som behandling av känsliga personuppgifter. och andra eftergymnasiala utbildningar 6.4.2Behov av att behandla känsliga personuppgifter och uppgifter som rör fällande domar i brottmål Utbildningsanordnarna inom och de som anordnar utbildning enligt förordningen om stöd för konst- och kulturutbild- ningar och vissa andra utbildningar kan behöva behandla känsliga personuppgifter i ett flertal olika sammanhang. Med hänsyn till att det är ett stort antal utbildningsanordnare är det inte möjligt att ge en uttömmande beskrivning av samtliga sådana behandlingar. Nedan lämnas därför en redogörelse för de behandlingar av känsliga person- uppgifter som i huvudsak förekommer hos utbildningsanordnarna. Även behandling av personuppgifter som rör fällande domar i brott- mål redogörs för nedan. Enligt 2 kap. 5 § diskrimineringslagen (2008:567) får den som bedri- ver verksamhet som avses i skollagen eller annan utbildningsverk- samhet inte diskriminera något barn eller någon elev, student eller studerande som deltar i eller söker till verksamheten. Annan utbildningsverksamhet syftar på flera olika former av ut- bildning, bl.a. eftergymnasiala yrkesutbildningar inom yrkeshögsko- lan och utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar (prop. 2013/14:198 s. 77). Med diskriminering avses enligt 1 kap. 4 § bl.a. bristande tillgäng- lighet. Med bristande tillgänglighet avses att en person med en funk- tionsnedsättning missgynnas genom att sådana åtgärder för tillgäng- lighet inte har vidtagits för att den personen ska komma i en jämförbar situation med personer utan denna funktionsnedsättning som är skäliga utifrån krav på tillgänglighet i lag och annan författning och med hänsyn till de ekonomiska och praktiska förutsättningarna, var- aktigheten och omfattningen av förhållandet eller kontakten mellan verksamhetsutövaren och den enskilde samt andra omständigheter av betydelse. Förbudet mot diskriminering innebär att även åtgärder i fråga om annat än den fysiska miljön kan krävas. Sådana åtgärder bör kunna handla om stöd eller personlig service samt om information och kom- munikation (prop. 2013/14:198 s. 78 f.). och andra eftergymnasiala utbildningar För utbildningsanordnare inom finns det en bestämmelse i förordningen om som kompletterar bestämmelserna i diskrimineringslagen. Av 2 kap. 3 § framgår att den ansvariga utbildningsanordnaren ska se till att de studerande som behöver särskilt pedagogiskt stöd i utbildningen får sådant stöd. Av 5 § förordningen om utbildning inom som upp- dragsutbildning följer att detta även gäller för anordnare av upp- dragsutbildningar. Skyldigheten gäller samtliga huvudmän, dvs. även för enskilda utbildningsanordnare. För utbildningar inom yrkes- högskolan får vidare, enligt 5 kap. 2 § förordningen om yrkeshög- skolan, statsbidrag lämnas till kommuner, landsting eller enskilda fysiska eller juridiska personer för kostnader för särskilt pedagogiskt stöd till studerande med funktionsnedsättning. För sådana kostnader får enligt samma paragraf särskilda medel lämnas till universitet eller högskolor som har staten som huvudman och som omfattas av hög- skolelagen. Enligt 5 kap. 4 § är det MYH som beslutar om statsbidrag eller särskilda medel. Av 5 § förordningen om utbildning inom yrkes- högskolan som uppdragsutbildning följer att denna möjlighet att få statsbidrag respektive särskilda medel inte gäller för anordnare av uppdragsutbildningar. För anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar är 30 § i nämnda förordning av intresse. Av bestämmelsen framgår att MYH får lämna extra statsbidrag för nödvändiga stödinsatser för studerande med funktionsnedsättning. För de som anordnar utbildning inom eller sådan utbildning som avses i förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar finns således en skyldighet att vidta skäliga åtgärder för att se till så att personer med en funk- tionsnedsättning också kan delta i undervisningen. Ett sätt att uppfylla denna skyldighet är att erbjuda särskilt pedagogiskt stöd. Exempel på sådant stöd kan vara anteckningsstöd, extra handledning, teckenspråkstolkning och anpassade examinationer. I samband med ansökningar om särskilt pedagogiskt stöd och när beslutade stödåt- gärder ska verkställas behandlar utbildningsanordnarna därmed käns- liga personuppgifter i form av uppgifter om hälsa. Känsliga person- uppgifter kan även behöva behandlas i samband med att utbildnings- anordnarna hos MYH ansöker om statsbidrag eller särskilda medel för kostnader för stöd till studerande med funktionsnedsättning. och andra eftergymnasiala utbildningar I 24 a § förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar anges att om det finns särskilda skäl, får utbildningsanordnaren i enskilda fall besluta att den som är antagen till utbildningen får anstånd med att påbörja studierna eller fortsätta sina studier efter studieuppehåll. Med stöd av bestämmelsen kan en utbildningsanordnare således besluta om t.ex. anstånd med hänsyn till hälsoskäl. Känsliga personuppgifter kan därmed behöva behandlas i samband med ärenden om anstånd och studieuppehåll. För utbildningsanordnare inom saknas det en motsvarande reglering om anstånd och studieuppehåll. Det finns dock inget som hindrar att dessa anordnare har egna regelverk i sådana frågor som innebär att känsliga personuppgifter behöver behandlas. Trakasserier och sexuella trakasserier Av 2 kap. 7 § diskrimineringslagen framgår att om en utbildnings- anordnare får kännedom om att bl.a. en studerande som deltar i eller söker till utbildningsanordnarens verksamhet anser sig i samband med verksamheten ha blivit utsatt för trakasserier eller sexuella tra- kasserier, är utbildningsanordnaren skyldig att utreda omständighe- terna kring de uppgivna trakasserierna och i förekommande fall vidta de åtgärder som skäligen kan krävas för att förhindra trakasserier . Med utbildningsanordnare avses bl.a. den som bedriver eftergym- nasiala yrkesutbildningar enligt lagen om och utbild- ningar som avses i förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar (jfr prop. 2007/08:95 s. 506 och 509 samt prop. 2013/14:198 s. 77). Vad som avses med trakasserier framgår av 1 kap. 4 § diskrimi- neringslagen. Enligt lagens definition är trakasserier ett uppträdan- de som kränker någons värdighet och som har samband med någon av diskrimineringsgrunderna kön, könsöverskridande identitet eller uttryck, etnisk tillhörighet, religion eller annan trosuppfattning, funktionsnedsättning, sexuell läggning eller ålder. Av samma lagrum framgår att med sexuella trakasserier avses ett uppträdande av sexuell natur som kränker någons värdighet. och andra eftergymnasiala utbildningar Enligt 2 kap. 7 § diskrimineringslagen finns det således en skyldig- het för utbildningsanordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar att utreda trakasserier och vidta de åtgärder som skäligen kan krävas för att förhindra trakas- serier . Mot bakgrund av hur trakasserier och sexuella trakasserier definieras i 1 kap. 4 § kan känsliga personuppgifter behö- va behandlas i samband med sådana utredningar och ärenden. Avskiljande av studerande från utbildning Enligt 19 § lagen om får en studerande tills vidare avskiljas från en utbildning som anordnas av staten, en kommun eller ett landsting om han eller hon lider av psykisk störning, missbrukar alkohol eller narkotika eller har gjort sig skyldig till allvarlig brotts- lighet. Som ytterligare förutsättning för ett avskiljande gäller att det, till följd av något av nämnda förhållanden, bedöms finnas en påtaglig risk att den studerande kan komma att skada någon annan person eller värdefull egendom under utbildningen. I 7 kap. förordningen om finns kompletterande bestämmelser om avskiljande av studerande. Av 1 § framgår bl.a. att frågor om avskiljande prövas av enligt 8–20 §§ förordningen (2007:989) om avskiljande av studenter från högskoleutbildning och 8 § förordningen (2007:990) med instruk- tion för . Vidare framgår att avskil- jandenämnden tar upp frågor om avskiljande endast efter skriftlig anmälan från ledningsgruppen för utbildningen. Som framgår ovan gäller bestämmelserna om avskiljande inte för enskilda utbildningsanordnare inom . I förarbetena till lagen om uttalar regeringen att motsvarande frå- gor, när det handlar om utbildning med enskild huvudman, bör reg- leras i civilrättsliga former. Enligt regeringen kan det inom yrkeshög- skolan handla om att enskilda utbildningsanordnare tecknar ett skriftligt avtal med motsvarande innebörd med de studerande som antas till en utbildning (prop. 2008/09:68 s. 47). Även enskilda utbild- ningsanordnare inom kan således ha bestämmelser som till viss del motsvarar ett avskiljande enligt den reglering som gäller för offentliga utbildningsanordnare. och andra eftergymnasiala utbildningar Både offentliga och enskilda utbildningsanordnare kan därmed behöva behandla känsliga personuppgifter i form av hälsa i samband med utredningar och ärenden om avskiljande av studerande från utbildning. I sådana ärenden kan följaktligen också personuppgifter som rör fällande domar i brottmål behöva behandlas. Anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar är endast enskilda fysiska eller juridiska personer. För deras del, i likhet med enskilda utbildningsanordnare inom universitets- och högskolesek- torn (se avsnitt 5.4.2) och , saknas det offentligrättslig reglering om avskiljande. Det går dock inte att utesluta att även anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar har egna regelverk om avskiljande som kan göra det nödvändigt att behandla känsliga personuppgifter och uppgifter som rör fällande domar i brottmål. Utbildning inom kan anordnas av bl.a. statliga uni- versitet och högskolor, andra statliga myndigheter, kommuner och landsting. Eftersom dessa utbildningsanordnare är myndigheter om- fattas de av tryckfrihetsförordningens, offentlighets- och sekretess- lagens (2009:400) och förvaltningslagens (1986:223) bestämmelser om allmänna handlingar, diarieföring och skyldighet att ta emot e- post. För att kunna uppfylla de åligganden som följer av att omfattas av offentlighetsprincipen kan det för dessa utbildningsanordnare bli nödvändigt att behandla känsliga personuppgifter. Utbildningsanordnare inom och de som anordnar sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan behöva behandla känsliga personuppgifter vid handläggning av ansökningar om särskilt pedagogiskt stöd, när beslutade stödåtgärder ska verkställas och i samband med ansökningar om statsbidrag eller särskilda medel för kostnader för särskilt pedagogiskt stöd. Behandling av känsliga per- och andra eftergymnasiala utbildningar sonuppgifter kan även förekomma i ärenden om anstånd, studieuppe- håll, trakasserier, sexuella trakasserier och avskiljande. I ärenden om avskiljande kan dessutom personuppgifter som rör fällande domar i brottmål behöva behandlas. Vidare kan offentliga utbildningsanord- nare inom behöva behandla känsliga personuppgifter med anledning av de åligganden som följer av att de omfattas av offentlighetsprincipen. I fråga om de skyldigheter som offentliga utbildningsanordnare inom har enligt offentlighetsprincipen kan konstateras att enligt 8 § första stycket PUL tillämpas inte bestämmelserna i person- uppgiftslagen i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut person- uppgifter. Vidare får såväl offentliga som enskilda utbildningsanordnare inom samt anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar behandla känsliga personuppgifter i s.k. ostrukturerat material, förutsatt att behandlingen inte innebär en kränkning av den registrerades personliga integritet (5 a § PUL). Därutöver kan offentliga utbildningsanordnare inom yrkeshögsko- lan, med stöd av 8 § personuppgiftsförordningen (1998:1191, PUF) behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Om dessa bestämmelser inte är tillämpliga på behandlingen av käns- liga personuppgifter måste samtycke inhämtas från den registrerade enligt 15 § PUL för att känsliga personuppgifter ska få behandlas. I fråga om personuppgifter som rör fällande domar i brottmål är det, enligt 21 § första stycket PUL, förbjudet för andra än myndig- heter att behandla personuppgifter om lagöverträdelser som inne- fattar bl.a. brott och domar i brottmål. Förbudet gäller således inte för offentliga utbildningsanordnare inom . Med stöd av 5 a § PUL kan dock även enskilda utbildningsanordnare behandla sådana uppgifter i ostrukturerat material. och andra eftergymnasiala utbildningar Med särskilda kategorier av personuppgifter (känsliga personupp- gifter) avses enligt artikel 9.1 i dataskyddsförordningen personupp- gifter som avslöjar ras eller etniskt ursprung, politiska åsikter, reli- giös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk per- sons sexualliv eller sexuella läggning. Enligt artikel 9.1 är huvud- regeln att det är förbjudet att behandla känsliga personuppgifter. För- budet är dock förenat med en rad viktiga undantag. De som aktua- liseras i detta sammanhang är artikel 9.2 a och g. Enligt 9.2 a ska förbudet i 9.1 inte tillämpas om den registrerade uttryckligen har lämnat sitt samtycke till behandlingen av dessa upp- gifter för ett eller flera specifika ändamål. Av framgår att förbudet i 9.1 inte ska tillämpas om behand- lingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vil- ken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Utifrån denna möjlighet för medlemsstaterna att skapa förutsätt- ningar för att möjliggöra behandling av känsliga personuppgifter har i dataskyddslagen föreslagit tre generella undantag från förbudet att behandla känsliga personuppgifter för myndigheter (SOU 2017:39, avsnitt 10.6.2). Det första gäller behandling av uppgifter i löpande text om upp- gifterna har lämnats i ett ärende eller är nödvändiga för handlägg- ningen av ett ärende (3 kap. 3 § 1 dataskyddslagen). Enligt Data- skyddsutredningen bör begränsningen till löpande text inte utesluta att handlingar med ostrukturerade känsliga personuppgifter lagras elektroniskt i ärendehanteringssystem eller liknande. Det andra undantaget gäller om uppgifterna har lämnats till myn- digheten och behandlingen krävs enligt lag (3 kap. 3 § 2 dataskydds- lagen). Bestämmelsen möjliggör behandling av känsliga personupp- gifter som är oundviklig i myndigheternas verksamhet som en direkt följd av tryckfrihetsförordningens, offentlighets- och sekretesslagens och andra eftergymnasiala utbildningar och förvaltningslagens bestämmelser om allmänna handlingar, diarie- föring och skyldighet att ta emot e-post. Utöver detta föreslås myndigheter få behandla känsliga person- uppgifter i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt in- trång i den registrerades personliga integritet (3 kap. 3 § 3 data- skyddslagen). Syftet med paragrafen är att möjliggöra behandling av känsliga personuppgifter i enstaka fall även i situationer då det saknas en koppling till ett visst ärende eller behandlingen inte direkt krävs enligt annan lag. Det kan vara fallet t.ex. inom en myndighet i sam- band med utvärdering. Kravet på att behandlingen ska vara absolut nödvändig för syftet med behandlingen innebär att regleringen ska tillämpas restriktivt och inte möjliggöra upprepad, omfattande, struk- turell eller storskalig behandling. Vid bedömningen av om behand- lingen utgör ett otillbörligt intrång ska vikt läggas vid t.ex. uppgif- ternas känslighet och den inställning de registrerade kan antas ha till att uppgiften behandlas. Som skyddsåtgärd, för att säkerställa den registrerades grundläg- gande rättigheter och intressen, föreslår avslutningsvis, i 3 kap. 4 § dataskyddslagen, ett förbud för myndig- heter att vid behandling som sker enbart med stöd av 3 kap. 3 § använda sökbegrepp som avslöjar känsliga personuppgifter. Personuppgifter som rör fällande domar i brottmål Enligt artikel 10 i dataskyddsförordningen får behandling av person- uppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämp- liga skyddsåtgärder för de registrerades rättigheter och friheter fast- ställs. föreslår bestämmelser om behandling av personuppgifter som rör lagöverträdelser i 3 kap. 9–12 §§ data- skyddslagen. I 9 § anges att personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångs- och andra eftergymnasiala utbildningar medel får enligt artikel 10 i dataskyddsförordningen behandlas av myndigheter. Enligt är det av stor vikt att regleringen i artikel 10 i dataskyddsförordningen, även vad avser myndigheters behandling, tydliggörs så långt möjligt i nationell rätt. Dataskydds- utredningen anser att ett sådant införlivande behövs när det gäller myndigheters behandling av uppgifter om lagöverträdelser, bl.a. för att tydliggöra att myndigheter inte behöver uttryckligt stöd i före- skrifter eller särskilda beslut för att få behandla uppgifter om lag- överträdelser (SOU 2017:39, avsnitt 11.4). I 3 kap. 10 § anges att den myndighet som regeringen bestämmer får i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter som avses i 9 §. Ytterligare ett bemyndigande finns i 12 §. Enligt nämnda bestämmelse får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om i vilka fall andra än myndigheter får behandla sådana uppgifter som avses i 9 §. I 3 kap. 11 § anges att behandling av sådana personuppgifter som avses i 9 § får ske om behandlingen är nödvändig för att den per- sonuppgiftsansvarige ska kunna följa föreskrifter om bevarande och vård av arkiv. I 4 och 5 §§ förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning föreslår kom- pletterande bestämmelser avseende behandling av personuppgifter som rör lagöverträdelser. Enligt 4 § får personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångs- medel behandlas av andra än myndigheter om 1.behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras i ett enskilt fall,