sou · H5B349 · 2017-06-02 00:00:00 — EU:s dataskyddsförordning och utbildningsområdet SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 Till statsrådet och chefen Regeringen beslutade att tillkalla en särskild utre- dare med uppdrag att föreslå kompletterande regleringar för behand- ling av personuppgifter inom utbildningsområdet, med undantag för forskningsverksamhet (dir. 2016:63). Till särskild utredare förordnades chefsjuristen vid . Som sakkunnig i utredningen förordnades kanslirådet vid . Som experter att biträda utredningen förordnades den 26 septem- ber 2016 ämnesrådet vid , juristen vid Myndigheten för , enhets- chefen vid , departements- sekreteraren vid , för- bundsjuristen vid , chefsjuristen vid Specialpedagogiska skolmyndigheten , departementssekreteraren vid , juristen vid , juristen vid Datainspektionen , chefsjuristen vid Universitets- och högskolerådet Drazenko Jozic, verksjuristen vid Centrala studie- stödsnämnden , förbundsjuristen vid Kom- muner och Landsting och handläggaren vid . entledigades från sitt uppdrag och departementssekreteraren vid Per utsågs i hans ställe. Som sekreterare anställdes juristen vid Pensions- myndigheten , numera , och kammarrättsassessorn . Utredningen, som har tagit sig namnet Utbildningsdatautred- ningen, överlämnar härmed betänkandet EU:s dataskyddsförordning och utbildningsområdet (SOU 2017:49). Till betänkandet har fogats ett särskilt yttrande av experten . Uppdraget är härmed slutfört. 1.1Förslag till lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina .......................................... 1.2Förslag till lag om ändring i lagen (2009:128) om 1.3Förslag till lag om ändring i studiestödsdatalagen (2009:287)................................................................................ 1.4 Förslag till lag om ändring i skollagen (2010:800)................ 1.5Förslag till förordning om sökbegränsningar vid personuppgiftsbehandling i vissa utbildningsformer och 1.6Förslag till förordning om ändring i förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor....................................................... 1.7Förslag till förordning om ändring i förordningen (2006:39) om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för 1.8 Förslag till förordning om ändring i studiestödsdataförordningen (2009:321) .............................. 1.9Förslag till förordning om ändring i förordningen (2011:268) om lärar- och förskollärarregister ...................... 1.10 Förslag till förordning om ändring i förordningen (2012:811) med instruktion för Universitets- och 1.11Förslag till förordning om ändring i förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar................................................... Utredningens uppdrag och arbete................................ Dataskydd i allmänhet............................................................ Dataskydd i svensk rätt .......................................................... Utgångspunkten är förslag .......... förslag i korthet ............ Skolväsendet för barn och unga 4.1.2Särskilda utbildningsformer för barn och ungdomar enligt 24 kap. skollagen......................... 4.1.3Annan pedagogisk verksamhet enligt 25 kap. Skolväsendet för vuxna ........................................... 4.1.5Särskilda utbildningsformer för vuxna enligt 24 kap. skollagen ..................................................... 4.2Utredningen om offentlighet och sekretess i skolans syn på skolans personuppgiftsbehandling ............................. 4.3Skydd för uppgifter om barn – yttrande av artikel 29- It-användning ........................................inom skolväsendet Personuppgiftsbehandling ....................inom skolväsendet Rättslig .....................grund för personuppgiftsbehandling Utredningens uppdrag i denna del Uppgift av allmänt intresse Utredningens uppdrag i denna del 4.7.2Behov av att behandla känsliga Dataskyddsförordningen och dataskyddslagen ... Behov av särskild reglering .................................... Personuppgifter som rör lagöverträdelser........................... Utredningens uppdrag i denna del ....................... Dataskyddsförordningen och dataskyddslagen ... Behov av särskild reglering .................................... Behov av ytterligare reglering............................................... Uppförandekod för skolväsendet ........................................ Universitets- och högskolesektorn ............................. Rättslig .....................grund för personuppgiftsbehandling Utredningens uppdrag i denna del ....................... Uppgift av allmänt intresse................................... 5.4Känsliga personuppgifter och uppgifter som rör Utredningens uppdrag i denna del ....................... 5.4.2Behov av att behandla känsliga personuppgifter och uppgifter som rör fällande domar i brottmål ..................................... Dataskyddsförordningen och dataskyddslagen .. Behov av särskild reglering ................................... 5.5 Behov av ytterligare reglering .............................................. 5.6Förordningen om redovisning av studier m.m. vid universitet och högskolor .................................................... Utredningens uppdrag i denna del ....................... Rättslig grund för personuppgiftsbehandling ..... 5.6.3Behov av ändringar med anledning av 5.6.4Behov av översyn utifrån andra skäl än Utbildningsanordnarnas ....behandling av personuppgifter 6.2.2Konst- och kulturutbildningar och vissa andra 6.3 Rättslig grund för personuppgiftsbehandling..................... Utredningens uppdrag i denna del ....................... Uppgift av allmänt intresse................................... 6.4Känsliga personuppgifter och uppgifter som rör Utredningens uppdrag i denna del ....................... 6.4.2Behov av att behandla känsliga personuppgifter och uppgifter som rör fällande domar i brottmål...................................... Dataskyddsförordningen och dataskyddslagen ... Behov av särskild reglering.................................... Behov av ytterligare reglering............................................... Utredningens uppdrag i denna del ....................... 6.6.2MYH:s register över studerande i 6.6.3MYH:s register över studerande i konst- och kulturutbildningar och vissa andra 7.1.2Behandling av personuppgifter inom Utredningens uppdrag i denna del ....................... Rättslig grund för personuppgiftsbehandling...... Behov av reglering i övrigt .................................... 7.2.2Behandling av personuppgifter inom Utredningens uppdrag i denna del ....................... Rättslig grund för personuppgiftsbehandling ..... Behov av reglering i övrigt .................................... Register över deltagare i studieförbundens verksamhet .... Utredningens uppdrag i denna del ....................... Behov av reglering ................................................. Utredningens uppdrag i denna del ...................................... Rättslig grund för personuppgiftsbehandling..................... Behov av ändringar i studiestödsdatalagen ......................... Behov av ändringar i studiestödsdataförordningen ............ Utredningens ......................................uppdrag i denna del Behov av ...................................................särskild reglering Behandlingar av personuppgifter i Skolhuvudmännens utlämnande av uppgifter 9.3.3Registrering i , utlämnande till SCB och 9.3.4Överföring av uppgifter till Utlämnande av uppgifter till kommuner............. 9.4 Behov av ytterligare reglering .............................................. Lärar- och förskollärarregistret .................................. Utredningens uppdrag i denna del....................................... Rättslig grund för personuppgiftsbehandling ..................... Behov av ändringar................................................................ Kommunernas register över ungdomar som de har Utredningens uppdrag i denna del....................................... Rättslig grund för personuppgiftsbehandling ..................... Behov av ändringar................................................................ Övriga myndigheter med anknytning till Utredningens förslag till nya eller ändrade regler............... 13.4.1 Konsekvenser för staten, kommuner och 13.4.2 Konsekvenser för enskilda huvudmän som Konsekvenser för den personliga integriteten .................... Konsekvenser i övrigt ........................................................... Ikraftträdande och övergångsbestämmelser ................ Förslaget till lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina........................................ Förslaget till lag om ändring i lagen om (2009:128) ............................................................................. Förslaget till lag om ändring i studiestödsdatalagen (2009:287) ............................................................................. Förslaget till lag om ändring i skollagen (2010:800) .......... Artikel 29-arbetsgruppen för skydd nationell databas för betygsuppgifter vuxenutbildning på gymnasial nivå direktiv /46/EG av 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter förordning (EU) 2016/679 av den om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän lag (2018:xx) med kompletterande bestämmelser till EU:s dataskydds- Europeiska unionens domstol/ följande sida/sidor personuppgiftslagen (1998:204) antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning). Utredningen har i detta betänkande valt att benämna den nya rättsakten dataskyddsförordningen. Dataskyddsförord- ningen är direkt tillämplig i medlemsstaterna och ska börja tillämpas . Genom dataskyddsförordningen upphävs Europa- parlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter (dataskydds- direktivet), vilket innebär att personuppgiftslagen (1998:204, PUL) måste upphävas. En särskild utredare fick regeringens uppdrag att lämna förslag till upphävande av den nuvarande generella per- sonuppgiftsregleringen (dir. 2016:15). Utredningen, som tog sig namnet (Ju 2016:04), fick även i uppdrag att analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs behandling av personuppgifter. I uppdrag ingick också bl.a. att överväga vilka kompletterande bestämmelser om undantag från förbudet att behandla känsliga personuppgifter som bör finnas i den generella regleringen. I uppdrag ingick dock inte att se över eller lämna förslag till förändringar av sådan sektorsspecifik reglering om behandling av personuppgifter som finns i bl.a. särskilda registerförfattningar. Utredningen har fått i uppdrag att föreslå kompletterande regler- ingar för behandling av personuppgifter inom utbildningsområdet, med undantag för forskningsverksamhet. Syftet är att regleringen ska möjliggöra en ändamålsenlig behandling av personuppgifter inom utbildningsområdet som den ska skydda den enskildes fri- och rättigheter. I utredningens uppdrag ingår att undersöka vilken reglering på nationell nivå av personuppgiftsbehandling inom utbildningsområ- det som är möjlig och kan behövas utöver dataskyddsförordningen och den generella reglering som kommer att föreslå. Uppdraget omfattar även att analysera om det utöver dataskydds- förordningen och den generella reglering som kommer att föreslå finns ett behov av kompletterande regleringar för behandling av känsliga personuppgifter inom utbildningsområdet. I utredningens uppdrag ingår vidare att se över vilka anpassningar av studiestödsdatalagen (2009:287), studiestödsdataförordningen (2009:321), förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor, förordningen (2011:268) om lärar- och förskollärarregister och förordningen (2006:39) om regis- ter och dokumentation vid fullgörandet av kommunernas aktivitets- ansvar för ungdomar som behövs med anledning av dataskyddsför- ordningen, den generella reglering som kommer att föreslå och de övriga förslag som utredningen kan kom- ma att lämna. Slutligen ingår det även i utredningens uppdrag att analysera om det behövs något författningsstöd – utöver dataskyddsförordningen, den generella reglering som kommer att föreslå och de övriga förslag utredningen kan komma att lämna – för att personuppgifter även fortsättningsvis ska kunna behandlas i betygsdatabasen , i de register som Myndigheten för yrkes- högskolan (MYH) svarar för samt i registret över deltagare i studie- cirklar och annan folkbildningsverksamhet hos studieförbunden. Utredningen bedömer att det för huvudmän inom skolväsendet och aktörer enligt 24 och 25 kap. skollagen (2010:800) finns en i svensk rätt fastställd uppgift av allmänt intresse att tillhandahålla, anordna och bedriva utbildning och annan pedagogisk verksamhet. kommuns åligganden enligt skollagen är en i svensk rätt fastställd uppgift av allmänt intresse. För sådan personuppgiftsbehandling som är nödvändig för utförandet av dessa uppgifter är den rättsliga grun- den i första ledet i artikel 6.1 e i dataskyddsförordningen tillämplig. Därutöver kan dessa organ i viss utsträckning använda sig av de rättsliga grunderna i artikel 6.1 c (rättslig förpliktelse) och andra ledet i 6.1 e (myndighetsutövning). Dessa kan även i viss utsträckning använda sig av samtycke som rättslig grund (arti- kel 6.1 a). Vidare kan enskilda huvudmän även tillämpa den rättsliga grunden i artikel 6.1 f (intresseavvägning). Beträffande behandling av känsliga personuppgifter bedömer ut- redningen att kommuner, landsting och staten, även som huvudmän inom skolväsendet, kan finna stöd för viss sådan behandling i Data- skyddsutredningens förslag till bestämmelser i 3 kap. 3 § lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen). Enligt utredningens bedömning har enskilda huvudmän – när de anordnar utbildning enligt skollagen – samma behov av att kunna behandla känsliga personuppgifter som offentliga huvudmän. De enskilda huvudmännen kan dock inte grun- da sådan behandling i dataskyddslagen annat än i den mån offent- lighetsprincipen och sekretesslagstiftningen enligt författning gäller i ett organs verksamhet. I dessa fall möjliggör 3 kap. 3 § 2 dataskydds- lagen sådan behandling av känsliga personuppgifter som är oundviklig i organets verksamhet som en direkt följd av bland annat tryckfrihets- förordningens och offentlighets- och sekretesslagens (2009:400) bestämmelser om allmänna handlingar och diarieföring. Vissa skolformer och anordnare av vissa utbildningar har dess- utom ett behov av att kunna behandla känsliga personuppgifter mer systematiskt, bl.a. grundsärskolan och sameskolan, som det inte finns stöd för i dataskyddslagen. Detsamma gäller för kommunerna när de ska utföra vissa uppgifter som de är ålagda enligt skollagen. Utredningen bedömer därför att det finns behov av att möjlig- göra sådan behandling. För tydlighets skull föreslår utredningen att det i ett nytt 28 a kapitel i skollagen ska införas bl.a. motsvarande bestämmelser som föreslår i 3 kap. 3 och 4 §§ dataskyddslagen. Kapitlet ska tillämpas vid den personuppgifts- behandling som både offentliga och enskilda huvudmän, hemkom- munen och aktörer enligt 24 och 25 kap. skollagen utför. Vidare föreslås att huvudmän för vissa skolformer, bl.a. grund- särskolan och specialskolan, och för vissa utbildningar, bl.a. Rh-an- passad utbildning och fristående grundskola som begränsats till att avse elever som är i behov av särskilt stöd, under vissa förutsättningar får behandla uppgifter om hälsa. Sameskolan föreslås få behandla uppgifter om etniskt ursprung under vissa förutsättningar. Hemkommunen föreslås få behandla uppgifter om hälsa i vissa fall och uppgift om hälsa och etniskt ursprung när det är nödvändigt för att fullgöra skyldighet enligt 7 kap. 21 § skollagen. För att leva upp till dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläg- gande rättigheter och intressen föreslår utredningen att det ska införas bestämmelser om förbud mot att använda sökbegrepp som avslöjar känsliga personuppgifter. Huvudmän för de skolformer och utbildningar som föreslås få behandla uppgifter om hälsa respektive etniskt ursprung under vissa förutsättningar undantas dock från för- budet för just sökbegrepp som avslöjar hälsa respektive etniskt ur- sprung. Detsamma gäller för hemkommunen i de fall den getts sär- skild möjlighet att behandla vissa känsliga personuppgifter. Reger- ingen föreslås få meddela föreskrifter om begränsningar av möjlig- heten att använda de sökbegrepp som tillåts. Vidare föreslås regeringen få meddela föreskrifter om ytterligare undantag från förbudet i artikel 9.1 i dataskyddsförordningen om det behövs med hänsyn till det viktiga allmänna intresset att anordna utbildning enligt skollagen eller föreskrifter som har meddelats med stöd av skollagen. Förslaget till dataskyddslag innehåller en upplysningsbestämmel- se som tydliggör att förbudet i artikel 10 mot behandling av person- uppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel inte gäller för myndigheter. Utredningen bedömer att i förskolor, skolor och vuxenutbildningsenheter vars huvudmän är staten, en kommun eller ett landsting kommer personuppgifter som rör fällande domar i brottmål och liknande i de enskilda fall sådan behandling bedöms nödvändig kunna behandlas med stöd av dataskyddsförordningen. Utredningen bedömer att det för fristående skolor finns skäl att möjliggöra behandling av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffproces- suella tvångsmedel i elevhälsan i löpande text om det är absolut nöd- vändigt för ändamålet med behandlingen och i skriftlig dokumenta- tion som ska föras enligt 5 kap. 24 § skollagen om det är absolut nödvändigt för ändamålet med behandlingen. Sammanfattningsvis bedömer utredningen att en ändamålsenlig personuppgiftsbehandling, som skyddar den enskildes fri- och rättigheter, för huvudmän inom skolväsendet, hemkommunen och aktörer enligt 24 och 25 kap. skollagen kan ske med stöd av bestämmelserna i dataskyddsförordningen och dataskyddslagen samt de förslag som utredningen lämnar. Utredningen anser att det enligt bestämmelserna i 2 kap. 6 § andra stycket och 2 kap. 20 § första stycket 2 regeringsformen inte krävs en särskild lag för den person- uppgiftsbehandling som utförs av huvudmännen inom skolväsendet. Utredningen anser att det inte heller finns något annat skäl för ytter- ligare reglering än den som utredningen föreslår. Utredningen anser att goda skäl talar för att det ska tas fram en uppförandekod för skolväsendets personuppgiftsbehandling. Utred- ningen föreslår därför att regeringen ger lämplig myndighet i upp- drag att vidta åtgärder för att initiera och stödja utarbetandet av en uppförandekod för skolväsendet. Utredningen bedömer att det för statliga högskolor och enskilda utbildningsanordnare med examenstillstånd enligt lagen (1993:792) om tillstånd att utfärda vissa examina finns en i svensk rätt fastställd uppgift av allmänt intresse att anordna och bedriva högskoleutbild- ning. För sådan personuppgiftsbehandling som är nödvändig för utförandet av denna uppgift är den rättsliga grunden i första ledet i artikel 6.1 e i dataskyddsförordningen tillämplig. Därutöver kan läro- sätena i viss utsträckning använda sig av de rättsliga grun- derna i artikel 6.1 c (rättslig förpliktelse) och andra ledet i 6.1 e (myndighetsutövning). Lärosätena kan i viss utsträckning även an- vända sig av samtycke som rättslig grund (artikel 6.1 a). Enskilda utbildningsanordnare kan dessutom tillämpa den rättsliga grunden i artikel 6.1 f (intresseavvägning). Beträffande behandling av känsliga personuppgifter bedömer utredningen att statliga högskolor kan finna stöd för sådan behand- ling i förslag till bestämmelser i 3 kap. 3 § dataskyddslagen. förslag, med undantag för behandling av känsliga personuppgifter med anledning av offentlig- hetsprincipen, gäller endast för myndigheter. Eftersom utredningen bedömer att enskilda utbildningsanordnare har samma behov som statliga högskolor att behandla känsliga personuppgifter föreslår utredningen att det i lagen om tillstånd att utfärda vissa examina ska införas bestämmelser med motsvarande innebörd som de som Data- skyddsutredningen föreslår. Vidare bedömer utredningen att enskilda utbildningsanordnare, i ärenden om avskiljande av studenter från utbildning, har samma be- hov som statliga högskolor att behandla personuppgifter som rör fällande domar i brottmål. Utredningen föreslår därför en bestäm- melse som möjliggör sådan behandling, eftersom dataskyddsförord- ningen och dataskyddslagen endast medger att statliga högskolor behandlar sådana uppgifter. För att leva upp till dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grund- läggande rättigheter och intressen föreslår utredningen att det ska införas en bestämmelse om förbud mot att använda sökbegrepp som avslöjar känsliga personuppgifter och uppgifter som rör fällande domar i brottmål. Sammanfattningsvis bedömer utredningen att en ändamålsenlig personuppgiftsbehandling, som skyddar den enskildes fri- och rättigheter, för lärosätenas del kan ske med stöd av bestämmel- serna i dataskyddsförordningen och dataskyddslagen samt de förslag som utredningen lämnar. Utredningen anser inte att det enligt bestämmelserna i 2 kap. 6 § andra stycket och 2 kap. 20 § första stycket 2 regeringsformen krävs en särskild lag för statliga högsko- lors personuppgiftsbehandling. Utredningen anser att det inte heller finns något annat skäl för ytterligare reglering än den som utred- ningen föreslår. Förordningen om redovisning av studier m.m. vid universitet och högskolor Utredningen bedömer att bestämmelserna i förordningen om redo- visning av studier m.m. vid universitet och högskolor utgör i enlighet med artikel 6.1 c i dataskyddsförordningen fastställda rättsliga för- pliktelser för statliga högskolor att föra ett studieregister och för att föra ett universitets- och högskoleregister samt ett register för sammanställning av statistik över högskolornas personal. Förandet av nämnda register är dessutom fastställda upp- gifter av allmänt intresse i enlighet med första ledet i artikel 6.1 e. För Universitets- och högskolerådets (UHR) del finns det genom bestämmelserna i förordningen om redovisning av studier m.m. vid universitet och högskolor en fastställd uppgift av allmänt intresse att föra ett antagningsregister. Vidare konstaterar utredningen att det enligt artikel 6.2 och 6.3 andra stycket i dataskyddsförordningen är tillåtet att behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen med hänsyn till behand- ling för att efterleva artikel 6.1 c och e.