sou · H5B349 · 2017-06-02 00:00:00 — En student som uppfyller fordringarna för en examen ska på begäran få examensbevis av högskolan (6 kap. 9 och 20 §§ högskoleförordningen). En högskolas beslut att avslå en students begäran att få examensbevis eller kursbevis är överklagbart (12 kap. 2 § 6 högskoleförordningen). Betygsättning och examina- tion är således exempel på statliga högskolors myndighetsutövning som fastställts i svensk rätt. Även beslut om antagning, tillgodo- räknande av utbildning eller yrkesverksamhet samt disciplinpåföljd är för statliga högskolors del myndighetsutövning som är fastställd i svensk rätt. Sådana beslut får överklagas enligt bestämmelserna i 12 kap. 2 § 2 och 3 samt 3 § högskoleförordningen. Statliga högsko- lor kan i dessa fall därmed använda sig av andra ledet i artikel 6.1 e i dataskyddsförordningen som rättslig grund för nödvändig person- uppgiftsbehandling. Genom regeringens beslut att lämna tillstånd att utfärda examina ingår av naturliga skäl beslut om t.ex. antagning, examination och disciplinära åtgärder också i enskilda utbildningsanordnares verk- samhet. Det finns således inslag som är att likna vid myndighets- utövning även i deras verksamhet. Av 12 kap. 4 § andra stycket regeringsformen framgår att förvalt- ningsuppgifter kan överlämnas åt juridiska personer och enskilda individer. Innefattar uppgiften myndighetsutövning får ett överläm- nande dock endast göras med stöd av lag. Enligt Dataskydds- utredningens förslag till 2 kap. 4 § 2 dataskyddslagen får personupp- gifter behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig som ett led i myndighetsutövning enligt lag eller annan författning. Enligt 1 kap. 17 § första stycket högskolelagen får en högskola som anges i bilaga till lagen utfärda en gemensam examen tillsam- mans med bl.a. en enskild utbildningsanordnare. Av andra stycket framgår att med gemensam examen avses examina som får utfärdas av de lärosäten som tillsammans har anordnat en utbildning som kan leda till dessa examina. Utbildningen ska ha anordnats inom ett ut- bildningssamarbete mellan sådana lärosäten som avses i första stycket. Motsvarande bestämmelse finns i 2 a § lagen om tillstånd att utfärda vissa examina. Av 1 kap. 18 § högskolelagen följer vidare att en högskola som avses i 1 kap. 17 § inom ramen för ett utbildnings- samarbete får besluta att i viss utsträckning överlåta förvaltnings- uppgifter i fråga om antagning till och tillgodoräknande av utbild- ning till bl.a. en enskild utbildningsanordnare. I övrigt saknas det offentligrättslig reglering avseende enskilda utbildningsanordnares rätt till myndighetsutövning. Utöver examinationsrätten, som regeringen kan lämna tillstånd till med stöd av 6 § lagen om tillstånd att utfärda vissa examina, är sådana inslag i enskilda utbildningsanordnares verksamhet som är att likna vid myndighetsutövning således i ytterst liten omfattning offentligrättsligt reglerad. Enskilda utbildningsanordnares möjlig- heter att tillämpa andra ledet i artikel 6.1 e, dvs. myndighetsutöv- ning, är därmed mycket mindre än de är för statliga högskolor. Att enskilda utbildningsanordnare har begränsade möjligheter att tillämpa andra ledet i artikel 6.1 e är dock inget problem. I fråga om t.ex. antagning, tillgodoräknande och disciplinära åtgärder, som sak- nar offentligrättslig reglering, kan enskilda utbildningsanordnare för nödvändig personuppgiftsbehandling, enligt utredningens bedöm- ning, i stället tillämpa första ledet i artikel 6.1 e, dvs. uppgift av all- mänt intresse. Även statliga högskolor kan förstås tillämpa den rätts- liga grunden uppgift av allmänt intresse i sådana frågor som för deras del utgör offentligrättsligt reglerad myndighetsutövning. Avslutningsvis bör det betonas att det enligt artikel 5.2 i data- skyddsförordningen är den personuppgiftsansvarige som ska ansvara för och kunna visa bl.a. att behandlingen är laglig och att ändamålet är berättigat och nödvändigt. Bedömning: För statliga högskolor finns det i svensk rätt fast- ställda rättsliga förpliktelser som åvilar högskolorna och som gör det nödvändigt att behandla personuppgifter. Även för vissa en- skilda utbildningsanordnare kan det finnas sådana fastställda rättsliga förpliktelser. Den rättsliga grunden i artikel 6.1 c i data- skyddsförordningen kan då tillämpas. Något behov av ytterligare reglering finns inte. I dessa fall kan även den rättsliga grunden i första ledet i arti- kel 6.1 e, dvs. uppgift av allmänt intresse, vara tillämplig. Enligt artikel 6.1 c i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Av artikel 6.3 första stycket framgår att den rättsliga förpliktelsen ska vara fast- ställd i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. gör bedömningen att förpliktelsen inte nödvändigtvis måste framgå av en författning eller liknande. Rätts- liga förpliktelser kan också framgå av exempelvis förelägganden, myndighetsbeslut och domar som har meddelats med stöd av gäl- lande rätt. har därför föreslagit en bestäm- melse i 2 kap. 3 § dataskyddslagen som anger att personuppgifter får behandlas med stöd av artikel 6.1 c i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som bl.a. gäller enligt lag eller annan författning eller som följer av beslut som har meddelats med stöd av lag eller annan författning (SOU 2017:39, avsnitt 8.3.2). Inom aktuellt område skulle rättsliga förpliktelser därmed kunna föras in i regeringens beslut genom vilket tillstånd att utfärda exa- mina lämnas. Enligt artikel 6.3 andra stycket första meningen i dataskydds- förordningen ska syftet med behandlingen fastställas i den rättsliga grunden. Syftet med behandlingen ska alltså vara bestämd av den författning, beslut m.m. som anger eller ger stöd för förpliktelsen. anser att en förpliktelse som är alltför svepande och ger den personuppgiftsansvarige en alltför stor hand- lingsfrihet i fråga om hur den ska uppfyllas, inte utgör en rättslig grund för behandling av personuppgifter (SOU 2017:39, av- snitt 8.3.2). Den rättsliga förpliktelsen måste således i sig vara till- räckligt tydlig när det gäller den behandling av personuppgifter som krävs. Ett exempel på en svepande rättslig förpliktelse finns enligt utred- ningens mening i 4 kap. 1 § högskolelagen. I lagrummet anges att så långt det kan ske med hänsyn till kvalitetskravet i 1 kap. 4 § första stycket ska högskolorna som studenter ta emot de sökande som upp- fyller behörighetskraven för studierna. Stadgandet måste anses utgöra en rättslig förpliktelse men det är oklart vilken personuppgifts- behandling som är nödvändig för att fullgöra den. Det är därmed inte fråga om en sådan rättslig förpliktelse som enligt dataskyddsförord- ningen kan läggas till grund för personuppgiftsbehandling. Ett exempel på en rättslig förpliktelse som enligt utredningens bedömning är tillräckligt tydlig för att ligga till grund för nödvändig personuppgiftsbehandling finns i 6 kap. 20 § första stycket högskole- förordningen. I nämnda bestämmelse anges att en student som har fått en kurs godkänd ska på begäran få kursbevis av högskolan. Ett annat, liknande exempel finns i 6 kap. 9 § högskoleförordningen. I bestämmelsen anges att en student som uppfyller fordringarna för en examen ska på begäran få examensbevis av högskolan. Båda dessa exempel förutsätter att i vart fall namn och personnummer behand- las för att kurs- och examensbeviset ska kunna utfärdas. Det tydligaste exemplet på en rättslig förpliktelse finns annars i förordningen om redovisning av studier m.m. vid universitet och högskolor. Enligt 2 kap. 1 § ska varje högskola dokumentera upp- gifter om studenter och föra ett studieregister där vissa uppgifter enligt 3 och 5 §§ ska dokumenteras. Vidare anser Datainspektionen att skyldigheterna för myndig- heter enligt offentlighetsprincipen är en sådan rättslig skyldighet som avses i den bestämmelse i personuppgiftslagen som motsvarar artikel 6.1 c i dataskyddsförordningen, dvs. 10 § b PUL.4 För att fullgöra de rättsliga skyldigheter som följer av offentlighetsprincipen skulle därmed såväl statliga högskolor som enskilda utbildnings- anordnare kunna tillämpa artikel 6.1 c för nödvändig personupp- giftsbehandling. Genom bestämmelserna i 2 kap. 4 § OSL och lagens bilaga omfattas, som nämnts ovan i avsnitt 5.3.2, nämligen även vissa enskilda utbildningsanordnare av offentlighetsprincipen, bl.a. . Personuppgiftsbehandlingen inom universitets- och högskolesek- torns utbildningsverksamhet bör till största delen dock kunna ske med stöd av första ledet i artikel 6.1 e, dvs. uppgift av allmänt intres- se, eftersom den i stor utsträckning grundas på offentligrättsliga regler. Det torde därför vara i undantagsfall som artikel 6.1 c behöver tillämpas av lärosätena. Även i ovan nämnda situationer kan enligt utredningens mening artikel 6.1 e tillämpas för nödvändig person- uppgiftsbehandling. 4 Datainspektionens , Kontroll av de anställdas Internet- och e-postanvändning m.m. s. 15. Bedömning: Enskilda utbildningsanordnare kan för sin person- uppgiftsbehandling använda sig av den rättsliga grunden i arti- kel 6.1 f i dataskyddsförordningen, dvs. för sådan behandling som är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registre- rades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. Nämnda rättsliga grund skulle kunna vara tillämplig när det är tveksamt om den rättsliga grunden i första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse, är tillämplig. Eftersom det för en- skilda utbildningsanordnare finns en i svensk rätt fastställd upp- gift av allmänt intresse att anordna och bedriva högskoleutbild- ning är det endast i undantagsfall som den rättsliga grunden i arti- kel 6.1 f behöver tillämpas. Enligt artikel 6.1 f i dataskyddsförordningen är behandling laglig om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter (intresseavvägning). Av artikel 6.1 andra stycket framgår att denna grund inte gäller för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Eftersom statliga högskolor är myndigheter som fullgör sina uppgifter när de anordnar och bedriver utbildning enligt högskolelagen med anslutande föreskrifter, är det endast enskilda utbildningsanordnare som kan tillämpa denna grund till stöd för sin personuppgiftsbehandling. Enligt är det, vid tveksamhet om den privaträttsliga aktören kan tillämpa den rättsliga grunden uppgift av allmänt intresse, i stället ofta möjligt att grunda nödvändig behand- ling av personuppgifter på en intresseavvägning i enlighet med artikel 6.1 f i dataskyddsförordningen (SOU 2017:39, avsnitt 8.3.4). Enligt ovan är det utredningens bedömning att anordnande och bedrivande av högskoleutbildning är en i svensk rätt fastställd upp- gift av allmänt intresse, både med staten och med en enskild fysisk eller juridisk person som huvudman. bedö- mer att det inte spelar någon roll om verksamheten utförs på direkt uppdrag av en myndighet eller på eget initiativ, om den uppgift som den personuppgiftsansvarige utför är av allmänt intresse och denna uppgift är fastställd i enlighet med unionsrätten eller den nationella rätten. Enligt finns då en rättslig grund för nödvändig behandling enligt artikel 6.1 e (SOU 2017:39, av- snitt 8.3.4). Enligt utredningens uppfattning bör den rättsliga grun- den i artikel 6.1 f därmed sällan bli aktuell att tillämpa av enskilda utbildningsanordnare i sådan verksamhet som omfattas av tillståndet att utfärda examina. Bedömning: Enskilda utbildningsanordnare och statliga högsko- lor kan i viss utsträckning använda sig av samtycke som rättslig grund för sin personuppgiftsbehandling. Enligt artikel 6.1 a i dataskyddsförordningen är behandling laglig om den registrerade har lämnat sitt samtycke till att dennes personupp- gifter behandlas för ett eller flera specifika ändamål. Med samtycke avses enligt artikel 4.11 varje slag av frivillig, speci- fik, informerad och otvetydig viljeyttring, genom vilken den registre- rade, antingen genom ett uttalande eller genom en entydig bekräf- tande handling, godtar behandling av personuppgifter som rör honom eller henne. Samtycke kan lämnas genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Det kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda behandlingen av sina personuppgifter (se skäl 32 till förordningen). En förklaring om samtycke som den personuppgiftsansvarige i förväg formulerat bör enligt skäl 42 tillhandahållas i en begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk och utan oskäliga villkor. För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifter- na är avsedda. Ett samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke. Enligt skäl 43 till dataskyddsförordningen bör samtycke inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registre- rade och den personuppgiftsansvarige, särskilt om den personupp- giftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Någon sådan skrivning finns inte i skälen till dataskyddsdirekti- vet, men mot bakgrund av att definitionen av samtycke i princip är densamma och de uttalanden som gjorts av bl.a. Artikel 29-gruppen får detta anses gälla enligt befintligt regelverk. Artikel 29-gruppen har yttrat att samtycke i undantagsfall kan vara en giltig grund för stater när de behandlar personuppgifter. Det bör göras en noggrann kontroll för att se om samtycket faktiskt är tillräckligt frivilligt. När den registeransvarige är en offentlig myndighet kommer den rättsliga grunden för att legitimera behandlingen av personuppgifter att vara fullgörandet av en rättslig förpliktelse eller utförandet av en arbets- uppgift av allmänt intresse snarare än samtycke.5 Möjligheten att använda samtycke som rättslig grund är därmed begränsad och aktualiseras främst inom områden som inte är offent- ligrättsligt reglerade. Om behandlingen grundar sig på samtycke ska den personuppgiftsansvarige, enligt artikel 7.1, kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter. Ett exempel på när såväl en statlig högskola som en enskild utbildnings- anordnare kan använda samtycke som rättslig grund är, enligt utred- ningens bedömning, vid registrering av tidigare studenter i alumn- databaser (se avsnitt 5.2), eftersom det är fråga om en tjänst som är helt frivillig, utan direkt koppling till den lagstadgade rätten att stu- dera för den som uppfyller behörighetskraven. 5 Yttrande 15/2011 om definitionen av begreppet samtycke artikel 29-gruppen s. 16–17. Artikel 5 i dataskyddsförordningen innehåller bestämmelser om prin- ciperna för behandling av personuppgifter. Enligt 5.1 a ska person- uppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållan- de till den registrerade. I artikel 6.1 anges att behandling av person- uppgifter är laglig endast om och i den mån som åtminstone ett av de i bestämmelsen angivna villkoren är uppfyllt. Utredningen har i de föregående avsnitten kommit fram till att statliga högskolor och enskilda utbildningsanordnare kan tillämpa flera olika rättsliga grunder i artikel 6.1 i dataskyddsförordningen till stöd för sin personuppgiftsbehandling. I vissa situationer kan dess- utom flera rättsliga grunder vara tillämpliga var för sig. De rättsliga grunder som kan vara tillämpliga är samtycke (a), rättslig förpliktelse (c) eller uppgift av allmänt intresse eller myndig- hetsutövning (e). Statliga högskolors möjligheter att tillämpa de rättsliga grunderna rättslig förpliktelse och myndighetsutövning är större än för de enskilda utbildningsanordnarna. Enskilda utbild- ningsanordnare kan dock tillämpa den rättsliga grunden intresseav- vägning (f), vilket inte är möjligt för statliga högskolor när de fullgör sina uppgifter enligt högskolelagen och anslutande föreskrifter. Den rättsliga grund som främst blir aktuell för såväl statliga högskolor som enskilda utbildningsanordnare att tillämpa är dock första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse, eftersom uppgiften att anordna och bedriva högskoleutbildning är en i svensk rätt fastställd uppgift av allmänt intresse, både med staten eller med en enskild fysisk eller juridisk person som huvudman. När dataskyddsförordningen ska börja tillämpas kan en ändamåls- enlig och nödvändig personuppgiftsbehandling, som skyd- dar den enskildes fri- och rättigheter, för lärosätenas del därmed ske med stöd av bestämmelserna i artikel 6 i dataskyddsförordningen. Något ytterligare regleringsbehov aktualiseras följaktligen inte för att lärosätena ska kunna tillämpa ovan nämnda rättsliga grunder. och uppgifter som rör lagöverträdelser 5.4.1Utredningens uppdrag i denna del I kommittédirektiven konstateras att det inom utbildningsområdet i vissa fall är nödvändigt att behandla känsliga personuppgifter. Upp- draget i denna del är därför att analysera om det, utöver dataskydds- förordningen och den generella reglering som Dataskyddsutred- ningen föreslår, finns ett behov av kompletterande regleringar för behandling av känsliga personuppgifter inom universitets- och hög- skolesektorn samt att lämna de författningsförslag som behövs. Utredningen har inte fått något specifikt uppdrag om behandling av personuppgifter som rör lagöverträdelser. Eftersom utredningen ska föreslå kompletterande regleringar som ska möjliggöra en ända- målsenlig behandling som skyddar den enskildes fri- och rättigheter, ingår det dock i uppdraget att också analysera behovet av reglering i denna del. Enligt artikel 10 i dataskyddsförordningen får behandling av pers- onuppgifter som rör bl.a. fällande domar i brottmål endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Det finns således ett förbud för enskilda att behandla uppgifter som rör fällande domar i brottmål, om inte behandlingen kan anses stå under en myndighets kontroll eller den nationella rätten medger sådan behandling. Även om uppgifter som rör fällande domar i brottmål inte är en känslig uppgift, torde behandling av sådana uppgifter allmänt kunna anses som integritetskänslig. Utredningen anser därför att denna fråga lämpligen behandlas i samma avsnitt som behandling av käns- liga personuppgifter. 5.4.2Behov av att behandla känsliga personuppgifter och uppgifter som rör fällande domar i brottmål Statliga högskolor och enskilda utbildningsanordnare kan behöva behandla känsliga personuppgifter i ett flertal olika sammanhang. Det är inte möjligt att ge en uttömmande beskrivning av samtliga Nedan lämnas därför en redogörelse för de be- handlingar av känsliga personuppgifter som i huvudsak förekommer hos lärosätena. Även behovet av behandling av personuppgifter som rör fällande domar i brottmål redogörs för nedan. För alla högskolor i ska det finnas ett gemensamt högskole- prov (7 kap. 20 § högskoleförordningen). Provdeltagare som styrker lässvårigheter och provdeltagare med diagnosen specifik lässvårighet eller blandad inlärningsstörning har rätt till förlängd skrivtid. Prov- deltagare med dokumenterad svag synskada har rätt till förlängd skrivtid och uppförstorat prov i formatet A3. Provdeltagare med dokumenterad grav synskada har rätt att skriva ett speciellt fram- taget prov i punktskrift och Daisy-format och att ta med sig anteck- ningshjälp. Provdeltagare som behöver ta del av anpassning ska styr- ka behovet med utlåtande eller intyg i samband med anmälan. Utlåtandet eller intyget ska ges in till lärosätet som ska genomföra provet eller till UHR, i de fall det är UHR som ska genomföra provet. Högskolan eller UHR meddelar beslut om anpassning (4– 8 §§ Universitets- och högskolerådets föreskrifter [UHRFS 2015:3] om högskoleprovet). För nämnda provdeltagare behandlas därmed uppgifter om hälsa, dvs. Högskoleförordningen, där det anges att det ska finnas ett gemensamt högskoleprov, gäller för statliga högskolor. Även enskilda utbildningsanordnare kan dock genomföra högskoleprov, vilket Stiftelsen högskolan i gör. Enligt 1 § förordningen (2001:526) om de statliga myndigheternas ansvar för genomförande av funktionshinderspolitiken ska myndig- heter under regeringen utforma och bedriva sin verksamhet med beaktande av de funktionshinderspolitiska målen. Myndigheterna ska verka för att personer med funktionsnedsättning ges full delak- tighet i samhällslivet och jämlikhet i levnadsvillkor. Myndigheterna ska särskilt verka för att deras lokaler, verksamhet och information är tillgängliga för personer med funktionsnedsättning. Enligt 2 kap. 5 § diskrimineringslagen (2008:567) får den som be- driver verksamhet som avses i skollagen eller annan utbildningsverk- samhet inte diskriminera något barn eller någon elev, student eller studerande som deltar i eller söker till verksamheten. Annan utbildningsverksamhet syftar på flera olika former av utbildning, bl.a. högskoleutbildning enligt högskolelagen och utbild- ning som kan leda fram till en examen som en enskild utbildnings- anordnare får utfärda enligt lagen om tillstånd att utfärda vissa exa- mina (prop. 2013/14:198 s. 76 f.). Med diskriminering avses enligt 1 kap. 4 § bl.a. bristande tillgäng- lighet. Med bristande tillgänglighet avses att en person med en funk- tionsnedsättning missgynnas genom att sådana åtgärder för tillgäng- lighet inte har vidtagits för att den personen ska komma i en jäm- förbar situation med personer utan denna funktionsnedsättning som är skäliga utifrån krav på tillgänglighet i lag och annan författning och med hänsyn till de ekonomiska och praktiska förutsättningarna, varaktigheten och omfattningen av förhållandet eller kontakten mel- lan verksamhetsutövaren och den enskilde, samt andra omständig- heter av betydelse. Förbudet mot diskriminering innebär att även åtgärder i fråga om annat än den fysiska miljön kan krävas. Sådana åtgärder bör kunna handla om stöd eller personlig service samt om information och kommunikation (prop. 2013/14:198 s. 78 f.). I högskolelagen och högskoleförordningen finns bestämmelser som för statliga högskolors del kompletterar diskrimineringslagen i ovan nämnda delar. Statliga högskolor ska, så långt det är möjligt, som studenter ta emot de sökande som uppfyller behörighetskraven för studierna. Kan inte alla behöriga sökande till en utbildning tas emot ska ett ur- val göras bland de sökande (4 kap. 1 och 3 §§ högskolelagen). Stat- liga högskolor kan i enstaka fall göra avsteg från de urvalsgrunder som enligt bestämmelserna i 7 kap. högskoleförordningen ska tilläm- pas. Detta framgår av 7 kap. 16, 27 och 32 §§ högskoleförordningen. har en antagningsordning som anger att medi- cinska skäl och permanent eller mycket långvarig funktionsnedsätt- ning kan vara skäl för avsteg under vissa förutsättningar.