sou · H5B349 · 2017-06-02 00:00:00 — Dataskydds- utredningen anser att ett sådant införlivande behövs när det gäller myndigheters behandling av uppgifter om lagöverträdelser, bl.a. för att tydliggöra att myndigheter inte behöver uttryckligt stöd i före- skrifter eller särskilda beslut för att få behandla uppgifter om lag- överträdelser (SOU 2017:39, avsnitt 11.4). Enligt 10 § får den myndighet som regeringen bestämmer i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter som avses i 9 §. Enligt 12 § bemyndigas regeringen eller den myndighet som regeringen bestämmer att få meddela föreskrifter om i vilka fall andra än myndigheter får behandla sådana uppgifter som avses i 9 §. I 4 och 5 §§ förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning föreslår kom- pletterande bestämmelser avseende behandling av uppgifter som rör lagöverträdelser. Enligt 4 § får personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångs- medel behandlas av andra än myndigheter om 1.behandlingen är nödvändig för att rättsliga anspråk ska kunna fast- ställas, göras gällande eller försvaras i ett enskilt fall, 2.behandlingen avser enstaka uppgifter och är nödvändig för att till polisen anmäla misstanke om brott, eller 3.behandlingen avser enstaka uppgifter och är nödvändig för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Enligt förslag till 5 § får Datainspektionen meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som rör fällande domar i brottmål, lag- överträdelser som innefattar brott eller straffprocessuella tvångs- medel. 4.8.4Behov av särskild reglering Förslag: I 28 a kap. skollagen ska det införas en bestämmelse som möjliggör för elevhälsan i fristående skolor att i löpande text behandla personuppgifter som rör fällande domar i brottmål, lag- överträdelser som innefattar brott eller straffprocessuella tvångs- medel, om det är absolut nödvändigt för ändamålet med behand- lingen. Vidare möjliggörs för huvudmännen för fristående skolor samt rektorer och lärare i fristående skolor att i skriftlig doku- mentation som åligger dem enligt 5 kap. 24 § skollagen behandla personuppgifter som rör fällande domar i brottmål, lagöverträ- delser som innefattar brott eller straffprocessuella tvångsmedel, om det är absolut nödvändigt för ändamålet med behandlingen. Bedömning: Förskolor, skolor och vuxenutbildningsenheter vars huvudmän är staten, en kommun eller ett landsting kan med stöd av artikel 10 i dataskyddsförordningen behandla personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel. Dataskyddslagen före- slås innehålla en upplysningsbestämmelse om att myndigheter får behandla sådana uppgifter. Det finns inget behov av att införa nå- gon ytterligare reglering för dessa huvudmäns eller övriga huvud- mäns behandling av personuppgifter som rör lagöverträdelser. Förbudet i artikel 10 mot behandling av personuppgifter som rör lagöverträdelser och liknande gäller inte för myndigheter. En upp- lysningsbestämmelse om nämnda förhållande föreslår Dataskydds- utredningen ska finnas i 3 kap. 9 § dataskyddslagen. Även när data- skyddsförordningen ska börja tillämpas kommer således förskolor, skolor och vuxenutbildningsenheter vars huvudmän är staten, en kommun eller ett landsting att kunna behandla personuppgifter som rör lagöverträdelser och liknande i de enskilda fall sådan behandling bedöms nödvändig. Någon ytterligare reglering i denna del krävs därmed inte för dessa huvudmäns behandlingar. Datainspektionen har genom föreskrifter möjliggjort för den elevvårdande verksamheten i fristående skolor att i anteck- ningar behandla uppgifter om bl.a. lagöverträdelser. Med fristående skolor avses i skollagen en skolenhet vid vilken en enskild bedriver utbildning inom skolväsendet i form av förskoleklass, grundskola, grundsärskola, gymnasieskola, gymnasiesärskola eller sådant fritids- hem. I dessa skolformer har det således bedömts finnas ett behov av att i den elevvårdande verksamheten kunna behandla uppgifter om bl.a. lagöverträdelser i anteckningar, dvs. löpande text, eftersom sådan behandling möjliggjorts. I sammanhanget kan även nämnas att sådan behandling sedan 5 a § PUL trädde i kraft även varit möjlig genom att tillämpa den bestämmelsen. Begreppet elevvårdande verksamhet används inte i skollagen. I stället används begreppet elevhälsa som ska omfatta medicinska, psykologiska, psykosociala och specialpedagogiska insatser. I 5 kap. skollagen finns bestämmelser om disciplinära och andra särskilda åtgärder. Med sådana åtgärder avses utvisning, kvarsitt- ning, tillfällig omplacering, tillfällig placering vid annan skolenhet, avstängning och omhändertagande av föremål. Rektor eller en lärare får vidta de omedelbara och tillfälliga åtgärder som är befogade för att tillförsäkra eleverna trygghet och studiero eller för att komma till rätta med en elevs ordningsstörande uppträdande. Huvudman- nen får under vissa förutsättningar besluta att helt eller delvis stänga av en elev från gymnasieskolan, gymnasiesärskolan, kommu- nal vuxenutbildning och särskild utbildning för vuxna (t.ex. 5 kap. 17 § skollagen). Av 5 kap. 24 § skollagen framgår att om vissa åtgärder vidtagits enligt kapitlet, såsom t.ex. utvisning ur undervisningslokalen, tillfäl- lig omplacering till en annan undervisningsgrupp än den eleven annars hör till, tillfällig placering till en annan skolenhet, avstängning från vissa obligatoriska skolformer och avstängning från de frivilliga skolformerna, ska åtgärden dokumenteras skriftligt av den som genomfört den. Utredningen erfar att det i vissa fall i samband med att disci- plinära eller andra särskilda åtgärder, t.ex. avstängning, behöver vid- tas är nödvändigt att behandla en uppgift om bl.a. lagöverträdelser. Ett exempel kan vara i ett ärende rörande avstängning av en narko- tikapåverkad elev som dyker upp i skolan och är farlig för sig själv eller andra. I detta sammanhang skulle det om eleven har dömts för t.ex. ringa narkotikabrott kunna bli aktuellt att även anteckna den uppgiften. Också inom elevhälsan skulle det kunna uppstå situationer där det finns ett berättigat behov av att i löpande text behandla en uppgift om t.ex. lagöverträdelse. Dessa behov av att behandla uppgifter om lagöverträdelser och liknande gör sig lika gällande hos en skolhuvudman som är en kom- mun, staten, eller ett landsting som hos en enskild skolhuvudman. finns det möjlighet att i fristående skolor behandla denna uppgift i fristående text med stöd av bestämmelsen i 5 a § PUL, men även nämnda föreskrift av Datainspektionen. När dataskyddsför- ordningen ska börja tillämpas kommer dock personuppgiftslagen att upphävas. Enligt utredningens bedömning är det inte möjligt för huvudmän för samt rektorer och lärare i fristående skolor att behandla person- uppgifter om lagöverträdelser i anteckningar med anledning av t.ex. en disciplinåtgärd med stöd av förslag i nämnda delar. Samma bedömning görs för elevhälsan inom fri- stående skolors möjlighet att i löpande text behandla uppgifter om t.ex. lagöverträdelser. Enligt förslag till 5 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning bemyndigas Datainspektionen att meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som rör bl.a. fällande domar i brottmål. I vilken mån Datainspek- tionen kommer att använda sig av bemyndigandet och i så fall på vilket sätt är oklart. Dataskyddsförordningen tillåter således inte att personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel behandlas i löpande text i fristående skolor och det saknas förslag till undantag som möjliggör sådan behandling. Frågan är då om utredningen bör föreslå en sådan bestämmelse. Bestämmelser om bl.a. tillfällig omplacering och avstängning i 5 kap. skollagen tar sikte på bl.a. övriga elevernas trygghet och studiero. Det måste därmed, enligt utredningens bedömning, anses vara lika angeläget att det i fristående skolor är möjligt att behandla personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel i dessa sam- manhang som i skolor vars huvudmän är staten, en kommun eller ett landsting. En sådan bestämmelse bör således införas. En bestämmelse som möjliggör för att i fristående skolor behandla personuppgifter som rör bl.a. fällande domar i brottmål måste, enligt artikel 10 i dataskyddsförordningen, omfattas av lämpliga skydds- åtgärder för de registrerades rättigheter och friheter. En sådan bestämmelse bör därför bestå av rekvisit som starkt betonar att det är fråga om en restriktiv tillämpning där en noggrann avvägning behöver göras mellan behovet av behandling och intrånget i den enskildes integritet. Enligt utredningens uppfattning kan utformningen av Data- skyddsutredningens förslag till 3 kap. 3 § 3 dataskyddslagen tjäna som riktmärke. Behandling av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångs- medel skulle då kunna tillåtas om det är absolut nödvändigt, vilket innebär att regleringen ska tillämpas restriktivt och inte möjliggöra upprepad, omfattande, strukturell eller storskalig behandling. En ytterligare lämplig skyddsåtgärd kan, enligt utredningens upp- fattning, vara att avgränsa tillämpningsområdet för bestämmelsen till att gälla enbart i löpande text. Genom dessa begränsningar skapas en möjlighet för dels elevhäl- san, dels huvudman, rektor respektive lärare när dessa har en skyl- dighet enligt 5 kap. 24 § skollagen att dokumentera åtgärder som vidtagits enligt det kapitlet att behandla absolut nödvändiga uppgif- ter om t.ex. fällande domar i brottmål som den enskilda elevens integritet skyddas genom att bestämmelsen ska tillämpas restriktivt och behandlingen endast får ske i löpande text. Utredningens bedömning är att en bestämmelse, med sådana begränsande rekvisit, uppfyller kraven i artikel 10 i dataskyddsför- ordningen. Eftersom det är tillåtet i fristående skolor att behandla uppgifter om bl.a. fällande domar i brottmål i löpande text med stöd av 5 a § PUL gör utredningen bedömningen att den före- slagna bestämmelsens intrång i de enskildas integritet varken blir större eller mindre än med gällande bestämmelser. Såvitt utredningen erfar finns det inte behov av att behandla upp- gifter om lagöverträdelser i fristående förskolors verksamhet och därför föreslås inte någon sådan bestämmelse. Om ett sådant behov skulle uppkomma finns det genom de föreslagna bestämmelserna i dataskyddslagen möjlighet för regeringen eller Datainspektionen att meddela föreskrifter som möjliggör sådan behandling. 4.9Behov av ytterligare reglering Bedömning: Dataskyddsförordningen, dataskyddslagen och ut- redningens förslag till författningsreglering av huvudmännens och hemkommunernas behandling av känsliga personuppgifter och fristående skolors behandling av lagöverträdelser utgör en ändamålsenlig reglering för de skollagsreglerade utbildningsverk- samheternas personuppgiftsbehandling och ett välavvägt skydd för barnens respektive elevernas personliga integritet. Den personuppgiftsbehandling som de skollagsreglerade utbildningsverksamheterna utför och som inte omfattas av utred- ningens förslag till lagreglering är inte sådan att det krävs ytter- ligare lagreglering enligt 2 kap. 6 § regeringsformen. Någon ytter- ligare reglering, utöver förslagen till reglering av huvudmännens behandling av känsliga personuppgifter och fristående skolors behandling av lagöverträdelser och liknande, behövs därmed inte. När personuppgiftslagen upphävs kommer den personuppgifts- behandling som utförs av de skollagsreglerade utbildningsverksam- heterna att i huvudsak omfattas av dataskyddsförordningens och den föreslagna dataskyddslagens bestämmelser samt de bestämmelser utredningen föreslår för huvudmännens och hemkommunernas be- handling av känsliga personuppgifter och fristående skolors behand- ling av lagöverträdelser och liknande. Några områden kommer dock inte omfattas av dessa bestäm- melser. Den personuppgiftsbehandling som sker inom elevhälsans medicinska insatser kommer även fortsättningsvis omfattas av patientdatalagen med tillhörande föreskrifter. Den personuppgifts- behandling som SiS vidtar med anledning av utbildningen som genomförs genom dess försorg för ungdomar som dömts till sluten ungdomsvård och placerats vid särskilt ungdomshem kommer att omfattas av den föreslagna brottsdatalagens bestämmelser (SOU 2017:29). Detsamma gäller den personuppgiftsbehandling som Kriminalvården utför med anledning av utbildningen som mot- svarar vuxenutbildning och särskild utbildning för vuxna för intagna i kriminalvårdsanstalt. Frågan är således om det, utöver nämnda regleringar och förslag, krävs och behövs en ytterligare författning i form av en särskild lag för att ytterligare reglera de skollagsreglerade utbildningsverksam- heternas personuppgiftsbehandling i andra fall än då det gäller be- handling av känsliga personuppgifter och fristående skolors behand- ling av lagöverträdelser och liknande. Dataskyddsförordningen möjliggör genom artikel 6.2 och 6.3 andra stycket för medlemsstaterna att införa särskilda registerför- fattningar men varken dessa bestämmelser eller förordningen i sig innebär något krav på att det införs sådana författningar. Enligt utredningens bedömning kan de skollagsreglerade utbild- ningsverksamheterna som rättslig grund för sin nödvändiga behand- ling av personuppgifter tillämpa artikel 6.1 a, c eller e i dataskyddsför- ordningen (se avsnitt 4.6). För enskilda huvudmän är det inte uteslu- tet att tillämpa artikel 6.1 f som rättslig grund för nödvändig behand- ling. Som framgår ovan är det utredningens bedömning att det inte behövs någon särskild reglering för att de skollagsreglerade utbild- ningsverksamheternas huvudmän eller kommunen såsom hemkom- mun ska kunna tillämpa dessa rättsliga grunder. Enligt ovan är det även utredningens bedömning att nämnda rättsliga grunder i data- skyddsförordningen är tillräckliga för sådan behandling som är nöd- vändig för att huvudmännen respektive kommunen såsom hemkom- mun ska kunna uppfylla de uppgifter och åligganden som framgår av skollagen med tillhörande föreskrifter och beslut grundade i dessa. För nödvändig och absolut nödvändig behandling av känsliga per- sonuppgifter kan huvudmännen respektive kommunen såsom hem- kommun tillämpa de bestämmelser som utredningen föreslår ska införas i ett nytt 28 a kap. i skollagen. Dessa bestämmelser har sin grund i artikel i dataskyddsförordningen och är utformade med dataskyddslagens motsvarande bestämmelser som förebild. Som framgår ovan är det utredningens bedömning att dessa bestämmel- ser, i förening med möjligheten att i viss utsträckning använda sig av samtycke, är tillräckliga för sådan behandling av känsliga person- uppgifter som är nödvändig eller absolut nödvändig i huvudmännens verksamhet enligt bl.a. skollagen. Det kommer således att finnas rättslig grund som medför att de skollagsreglerade utbildningsverksamheterna även när dataskydds- förordningen ska börja tillämpas kan utföra nöd- vändiga behandlingar av personuppgifter. Ur den synvinkeln saknas det anledning att införa en särskild reglering av de skollagsreglerade utbildningsverksamheternas personuppgiftsbehandlingar. Frågan är då om skyddet mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen innebär att det enligt 2 kap. 20 § regeringsformen krävs en särskild lag för de skollagsreglerade utbildningsverksamheternas personuppgiftsbehand- ling. Bestämmelsen i 2 kap. 6 § andra stycket regeringsformen trädde i kraft . Genom en särskild övergångsbestämmelse har äldre regleringar, som inte har lagform, dock varit gällande t.o.m. utgången av 2015. Någon särskild lag om skolornas personuppgifts- behandling har inte införts med anledning av grundlagsändringen. Utredningen om offentlighet och sekretess i skolan har i betän- kandet Sekretess i elevernas intresse – Dokumentation, samverkan och integritet i skolan (SOU 2003:103) utrett bl.a. om det med anledning av personuppgiftslagen behövs särskilda regler för använd- ningen av datorer i skolan. Utredningen kom fram till att det inte behövdes en särskild författningsreglering om behandling av person- uppgifter i skolan. Någon utredning har inte tillsatts med uppgiften att analysera behovet av en särskild författningsreglering inom den skollagsregle- rade utbildningsverksamhetens område med anledning av grund- lagsändringen. Det förefaller därmed som att regeringen och lagstiftaren bedömt att den skollagsreglerade utbildningsverksamhetens behandling av personuppgifter inte är sådan att den kräver särskilt lagstöd enligt 2 kap. 20 § regeringsformen, utan att de möjligheter till behandling av personuppgifter som finns enligt personuppgiftslagen är både tillräckliga och inte för långtgående för integritetsskyddet. Vidare har det inte framkommit att de skollagsreglerade verksam- heternas personuppgiftsbehandlingar har ändrats eller avses ändras på ett sätt som medför att behovet av att införa en särskild lagreglering har förändrats. Det är inte några ofullkomligheter i lagstiftningen eller ifrågasatta integritetskränk- ningar som har föranlett utredningsuppdraget, utan enbart den kom- mande nya EU-regleringen av behandling av personuppgifter, vilken medför att personuppgiftslagen kommer att upphävas. De skollagsreglerade utbildningsverksamheternas behandling av personuppgifter består huvudsakligen av uppgifter i form av elevens namn, adress och personnummer samt vårdnadshavares namn och kontaktuppgifter. Vidare dokumenteras elevernas tider på försko- lorna och fritidshemmen samt deras närvaro på förskolorna respek- tive fritidshemmen och i skolorna. De personuppgifter som före- kommer i dessa sammanhang är normalt harmlösa. Inom undervisningsverksamheten förekommer det oundvikligen behandling av vissa av elevernas personuppgifter eftersom det ingår i läroplanerna för t.ex. att eleverna ska t.ex. lära sig skriva dokument med hjälp av ordbehandlare. Regeringen beslutade så som om förtydliganden och förstärkningar i styrdokument – bl.a. i läroplaner för och gymnasie- skolan – för att tydliggöra skolans uppdrag att stärka elevernas digi- tala kompetens. I skolans uppdrag kommer att ingå att bidra till att eleverna utvecklar förståelse för hur digitaliseringen påverkar indi- viden och samhällets utveckling.21 Alla elever ska ges möjlighet att utveckla sin förmåga att använda digital teknik. De ska också ges möjlighet att utveckla ett kritiskt och ansvarsfullt förhållningssätt till digital teknik, för att kunna se möjligheter och förstå risker och för att kunna värdera information. Ändringarna syftar bl.a. till att elever- na ska kunna använda och förstå digitala system och tjänster. Ändringarna ska tillämpas senast , men huvudmännen kommer att kunna välja om de ska börja tillämpa dem tidigare med början . Även i de fall skoluppgifter görs i skolans datorer till vilka eleven har egen inloggning eller redovisningar lämnas in till en lärare per e- post eller via en lärplattform behandlas elevens personuppgifter. I vart fall elevernas namn behandlas i utvecklingsplaner och elevernas namn och personnummer i betygsdokumenten. I utvecklingsplaner sker en bedömning av elevens kunskaper jämfört med uppsatta mål. Att en individs förmåga och prestation dokumenteras är integritets- känsligt, men att göra dessa bedömningar ingår som en del av sko- lornas uppdrag. För att kunna utföra det uppdraget måste dokumen- tation av elevens resultat och lärarens bedömning av elevens kunska- per ske. Dokumentationen kan föras manuellt på papper eller auto- matiserat. Om dokumentationen sker manuellt i pappersform an- kommer det på läraren att se till att dokumenten inte sprids till obehöriga eftersom en sådan spridning sannolikt skulle uppfattas av den drabbade som en integritetskränkning. har dock teknikutvecklingen gått så långt och kravet på effektivitet är sådant att dokumentationen av elevens kunskaper främst sker automatiserat. Om dokumentationen av elevernas ut- veckling mot uppsatta mål sker med ett dataskydd i enlighet med dataskyddsförordningens krav, med t.ex. behörighetsbegränsningar till dokumenten och ett dataskydd som säkerställer att uppgifterna skyddas mot att obehöriga får del av dem, blir inte den automa- tiserade behandlingen mer integritetskänslig än den . Utredningen anser vidare att sedvanlig och återkommande upp- följning och bedömning av elevers resultat inte heller typiskt sett kan anses särskilt integritetsskadlig. I den mån sådana åtgärder inbegriper 21 /pressmeddelanden/2017/03/starkt-digital-kompetens-i-laroplaner- och-kursplaner/ och ändringsföreskrifterna SKOLFS 2017:10–18. en bedömning av elevens hälsotillstånd eller liknande bör dock nor- malt integritetsintrånget bli större. För sådana fall har dock utred- ningen föreslagit bestämmelser i lag som tillsammans med data- skyddsförordningen uttömmande reglerar möjligheten att behandla sådana uppgifter. Enligt utredningens uppfattning är det alltså inte behandlingen av personuppgifter i nu aktuella fall, dvs. behandling som inte innefattar känsliga personuppgifter, som orsakar integritetsintrånget utan verk- samheten som sådan i form av bedömningar och omdömen som gör det. Den verksamheten är noggrant reglerad i skollagen och anslu- tande författningar och lagstiftaren har därigenom gjort en avväg- ning mellan intresset av elevernas integritetsskydd och behovet av att dokumentera elevernas kunskaper för att kunna bedriva adekvat utbildning. I den skollagsreglerade utbildningsverksamheten kan behandling av känsliga personuppgifter förekomma i t.ex. åtgärdsplaner. Såvitt framkommit förekommer behandlingarna av känsliga personuppgif- ter i löpande text och inte strukturerat i register. Dessa behandlingar har stöd i personuppgiftslagen och personuppgifts- förordningen och kommer, när dataskyddsförordningen ska börja tillämpas, att ha stöd i den reglering som utredningen föreslår. Den- na reglering omfattas av skyddsåtgärder som ska säkerställa den registrerades rättigheter. Regleringen, om förslaget införs, kommer i så fall dessutom att vara i lagform. Inom elevhälsans medicinska insatser förekommer behandlingar av känsliga personuppgifter men dessa behandlas och kommer att behandlas med stöd av bestämmelserna i patientdatalagen och anslu- tande föreskrifter. Det kan vidare konstateras att de skollagsreglerade utbildnings- verksamheternas personuppgiftsbehandling omfattar personuppgifts- samlingar som är begränsade till de barn och elever som mottagits eller placerats i den personuppgiftsansvariges verksamhet. Sannolikt omfattar de största uppgiftssamlingarna personuppgifter rörande barn eller elever i större kommuner då det är den kommunala nämn- den som har personuppgiftsansvaret för den personuppgiftsbehand- ling som sker vid dess skolor. Personuppgiftssamlingarna blir därför inte så omfattande som t.ex. vissa statliga förvaltningsmyndigheters nationella personuppgiftssamlingar är. Den personuppgiftsansvarige ska dessutom enligt artikel 5 i data- skyddsförordningen se till att personuppgifterna är adekvata, rele- vanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). Vidare får personuppgifterna inte förvaras i en form som möjliggör identifiering av den registre- rade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (lagringsminimering). Dessa be- stämmelser begränsar den personuppgiftsansvariges möjligheter att behandla fler personuppgifter än nödvändigt än nöd- vändigt.