sou · H5B349 · 2017-06-02 00:00:00 — artikel 9.1 i dataskyddsförordningen även har genetiska och biomet- riska uppgifter samt uppgifter om sexuell läggning i uppräkningen av vilka kategorier av uppgifter som det ska vara förbjudet att behandla. Enligt CSN behandlar man uppgifter om hälsa. I studiestödsverk- samheten behöver CSN dock inte behandla uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse eller medlemskap i fackförening eller uppgifter som rör sexualliv. CSN behandlar dock uppgifter om namn och medborgar- skap, vilka tillsammans kan avslöja etniskt ursprung. Enligt CSN kan den registrerade därtill komma in med vilka uppgifter som helst i en skrivelse till myndigheten. Eftersom dessa skrivelser bevaras elektro- niskt behandlas i så fall även de personuppgifter som framgår av skri- velserna. I förarbetena till studiestödsdatalagen konstaterar regeringen att vissa av de angivna uppgifterna i 13 § PUL normalt inte torde före- komma i CSN:s studiestödsverksamhet. Regeringen uttalar vidare att det dock inte kan uteslutas att även uppgifter som avslöjar t.ex. ras eller filosofisk övertygelse kan förekomma i verksamheten. Även om CSN inte efterfrågar sådana uppgifter kan de ändå förekomma som information i t.ex. ansökningshandlingar eller intyg som lämnas in till myndigheten. Enligt regeringen skulle därför samtliga uppgif- ter som avses i 13 § PUL omfattas av bestämmelsen i studiestöds- datalagen (prop. 2008/09:96 s. 48 f.). konstaterar att viss behandling av käns- liga personuppgifter är oundviklig i myndigheternas verksamhet som en direkt följd av tryckfrihetsförordningens, offentlighets- och sek- retesslagens (2009:400) och förvaltningslagens (1986:223) bestäm- melser om allmänna handlingar, diarieföring och skyldighet att ta emot e-post. Enligt bör sådan behandling uttryckligen tillåtas så att det inte råder någon tveksamhet kring lag- ligheten av behandlingen. lämnar också ett förslag som är i linje med detta (SOU 2017:39, avsnitt 10.6.2). Även om CSN för sin studiestödsverksamhet inte har behov av att behandla samtliga kategorier av känsliga personuppgifter finns det sammanfattningsvis således starka skäl som talar för att det i 6 § studiestödsdatalagen ska finnas samma uppräkning av kategorier av känsliga personuppgifter som i artikel 9.1 i dataskyddsförordningen. Utredningen föreslår därför att en sådan ändring ska göras. Uppgifter om lagöverträdelser m.m. Enligt 6 § första stycket studiestödsdatalagen gäller särskilda begräns- ningar för behandling av personuppgifter som avser lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden, dvs. sådana uppgifter som det enligt 21 § första stycket PUL är förbjudet för andra än myndigheter att behandla. Motsvarande bestämmelse som den i 21 § första stycket PUL finns i artikel 10 i dataskyddsförordningen. I artikel 10 anges att behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättig- heter och friheter fastställs. Bestämmelserna om behandling av uppgifter om lagöverträdelser i 21 § PUL och i artikel 10 i dataskyddsförordningen är således inte enhetliga. Begränsningarna i artikel 10 gäller fällande domar, medan begränsningarna i 21 § första stycket PUL omfattar även uppgifter om friande domar. Bestämmelsen i 6 § första stycket studiestöds- datalagen är i denna del därmed mer restriktiv än vad artikel 10 i dataskyddsförordningen är. Dataskyddsförordningen medger att medlemsstaterna inför mer restriktiva bestämmelser än de som finns i förordningen. Utredningen anser därför att 6 § första stycket inte ska ändras i den del som avser uppgifter om lagöverträdelser m.m. Samtycke av den registrerade Enligt 7 § första stycket får personuppgifter, trots 4 § första stycket, behandlas i CSN:s studiestödsverksamhet med den registrerades samtycke. Uppgifter som avses i 6 § får behandlas för andra ändamål än som anges i paragrafen bara med den registrerades uttryckliga sam- tycke. Av 7 § andra stycket följer att uppgifter som behandlas med sam- tycke enligt första stycket också får behandlas enligt 4 § andra stycket, dvs. för utlämnande i vissa fall och för att ge tillgång till väg- ledande avgöranden. I 7 § tredje stycket anges att i de fall då behandling av personupp- gifter i CSN:s studiestödsverksamhet bara är tillåten när den regi- strerade har lämnat sitt samtycke, har den registrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. I fråga om bestämmelserna i första och andra stycket bedömer utredningen att dessa kan behållas, eftersom de har stöd i artikel 6.1 a och 9.2 a i dataskyddsförordningen. När det gäller 7 § tredje stycket framgår det av förarbetena att bestämmelsen motsvarar och avser att ha samma innebörd som 12 § första stycket PUL. Efter en återkallelse får behandling av dessför- innan inhämtade personuppgifter fortsätta i enlighet med det ur- sprungligen lämnade samtycket. Några ytterligare uppgifter får dock inte samlas in eller behandlas. Befintliga uppgifter får alltså inte uppdateras eller kompletteras för det aktuella ändamålet (prop. 2008/09:96 s. 82 f.). Enligt artikel 7.3 i dataskyddsförordningen ska de registrerade ha rätt att när som helst återkalla sitt samtycke. Återkallandet av sam- tycket ska inte påverka lagligheten av behandling som grundar sig på samtycke, innan detta återkallas. Artikel 7.3 motsvarar således innehållet i 7 § tredje stycket studie- stödsdatalagen. Eftersom förordningen och dess bestämmelser är direkt tillämpliga föreslår utredningen att bestämmelsen i studie- stödsdatalagen ska upphävas. Bestämmelserna i 8 § begränsar vilka sökbegrepp som får användas. Enligt första stycket får som sökbegrepp inte användas sådana käns- liga uppgifter som det enligt huvudregeln i 13 § PUL är förbjudet att behandla, dvs. uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening samt uppgifter som rör hälsa och sexualliv. Enligt 8 § första stycket studiestödsdatalagen får inte heller upp- gifter som avser lagöverträdelser som innefattar brott, domar i brott- mål, straffprocessuella tvångsmedel eller administrativa frihetsberö- vanden användas som sökbegrepp, dvs. sådana uppgifter som det enligt huvudregeln i 21 § första stycket PUL är förbjudet för andra än myndigheter att behandla. Därutöver får enligt 8 § första stycket studiestödsdatalagen som sökbegrepp inte användas uppgifter som rör inkomst, förmögenhet eller anledning till studieavbrott, inte heller uppgift om att det all- männa helt eller till en väsentlig del bekostat en persons uppehälle. Sådana uppgifter har av regeringen ansetts vara av ömtålig eller integ- ritetskänslig natur (prop. 2008/09:96 s. 52). I 8 § andra stycket finns undantag från förbudet mot att använda ovan angivna uppgifter som sökbegrepp. Dessa får användas vid sökning i ett visst ärende om studiestöd, i en viss handling eller i en sådan avskild samling av personuppgifter som avses i 4 § andra stycket andra meningen (vägledande avgöranden). För att ge behörig personal elektronisk tillgång till pågående ärenden där sjukdom har betydelse får också uppgifter som rör hälsa användas som sökbe- grepp. För att ge behörig personal elektronisk tillgång till ärenden i syfte att kunna genomföra kontroller av uppgifter som har legat till grund för ett beslut i ett ärende får slutligen som sökbegrepp även användas uppgifter som rör inkomst och förmögenhet. Bestämmelserna i 8 § aktualiserar samma frågeställningar som i 6 §, dvs. om den utvidgade definitionen av känsliga personuppgifter i artikel 9.1 i dataskyddsförordningen och om bestämmelserna om behandling av uppgifter om lagöverträdelser enligt artikel 10 påkallar en ändring av aktuell paragraf i studiestödsdatalagen. Mot bakgrund av den ändring i 6 § som utredningen föreslår avseende känsliga personuppgifter bör motsvarande ändring göras även i 8 §. I övriga delar anser utredningen att det faktum att data- skyddsförordningen ska börja tillämpas inte föranleder något behov av ändring av lagrummet. Intern elektronisk tillgång till personuppgifter I 9 § första stycket anges att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om villkoren för elektro- nisk tillgång till personuppgifterna för den som arbetar i CSN:s stu- diestödsverksamhet. Sådan tillgång ska begränsas till vad som behövs för att han eller hon ska kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten. Av 9 § andra stycket framgår att CSN ska se till att elektronisk tillgång till personuppgifter dokumenteras. CSN ska också systema- tiskt och återkommande kontrollera om någon obehörig åtkomst till uppgifterna har förekommit. Enligt tredje stycket meddelar reger- ingen eller den myndighet som regeringen bestämmer ytterligare föreskrifter även i dessa delar. I avsnitt 8.2 anges utredningens ställningstagande att det för CSN, i enlighet med första ledet i artikel 6.1 e samt artikel 6.3 första stycket i dataskyddsförordningen, finns en i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet. Enligt artikel 6.2 och 6.3 andra stycket är det då tillåtet att i en registerförfattning behålla specifika bestämmelser i form av bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandlingar. Utredningen anser följaktligen att 9 § studiestödsdatalagen är förenlig med data- skyddsförordningen och att lagrummet kan och bör behållas. Direktåtkomst och annat elektroniskt utlämnande av personuppgifter I studiestödsdatalagen finns fem paragrafer som reglerar utlämnan- de av uppgifter, 10–14 §§. Enligt 10 § är utan den registrerades samtycke direktåtkomst till och annat elektroniskt utlämnande av personuppgifter som behand- las i CSN:s studiestödsverksamhet tillåtet bara i den utsträckning som anges i lag eller förordning och under förutsättning att 4 och 6–8 §§ följs. Som framgått ovan reglerar 4 § för vilka ändamål per- sonuppgifter får behandlas och i 6–8 §§ regleras begränsningar i rät- ten att behandla personuppgifter, samtycke av den registrerade och sökbegrepp. Enligt 11 § får och arbetslöshetskassorna, i den utsträckning CSN har uppgiftsskyldighet enligt lag eller för- ordning, ha direktåtkomst till personuppgifter som behandlas i CSN:s studiestödsverksamhet. Regeringen meddelar föreskrifter om vilka personuppgifter som får omfattas av sådan direktåtkomst. Av 12 § framgår att även den registrerade får ha direktåtkomst till personuppgifter som behandlas i CSN:s studiestödsverksamhet, om uppgifterna avser honom eller henne själv eller om uppgifterna finns i ett ärende om studiestöd där den registrerade är part eller där den registrerade har rätt att få utbetalning av studiestöd för någon annan. Sådan direktåtkomst får även förekomma om uppgifterna avser dokumentation av den elektroniska tillgång som har förekommit till den registrerades personuppgifter, dock inte sådan information som avslöjar vilken enskild handläggare som haft tillgång till uppgifterna. I 13 § anges att när personuppgifter får lämnas ut till någon genom direktåtkomst, får personuppgifterna också på något annat sätt lämnas ut elektroniskt till mottagaren. Vidare anges att enstaka personuppgifter även i andra fall får lämnas ut på medium för auto- matiserad behandling eller via elektronisk kommunikation i enskilda fall. En sista bestämmelse om utlämnande finns i 14 § som anger att på begäran enligt 6 § lagen (2002:1022) om revision av statlig verk- samhet m.m. får personuppgifter lämnas ut till på medium för automatiserad behandling. I dataskyddsförordningen finns inga särskilda bestämmelser om direktåtkomst, utan det krävs – i likhet med vad som gäller för all be- handling av personuppgifter – att behandlingen uppfyller de krav som dataskyddsförordningen ställer, bl.a. de grundläggande krav som finns i artikel 5. Vidare anser utredningen, som redovisas i avsnitt 8.2, att det för CSN, i enlighet med första ledet i artikel 6.1 e samt artikel 6.3 första stycket i dataskyddsförordningen, finns en i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet. Enligt artikel 6.2 och 6.3 andra stycket är det då tillåtet att i en regis- terförfattning behålla specifika bestämmelser i form av bl.a. de enhe- ter till vilka personuppgifterna får lämnas ut och för vilka ändamål. Utredningen anser följaktligen att bestämmelserna i 10–14 §§ studie- stödsdatalagen är förenliga med dataskyddsförordningen och att de kan och bör behållas. I 15 § upplyses om att bestämmelserna i 28 och 48 §§ PUL om rät- telse och skadestånd gäller vid behandling av personuppgifter enligt studiestödsdatalagen eller föreskrifter som har meddelats i anslut- ning till denna lag. Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna så- dana personuppgifter som inte har behandlats i enlighet med person- uppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Eftersom 28 § PUL endast avser sådana personuppgifter som har behandlats i strid med personuppgiftslagen eller föreskrifter som utfärdats med stöd av lagen, har det i studiestödsdatalagen varit nöd- vändigt att hänvisa till personuppgiftslagens bestämmelser. Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Eftersom personuppgiftslagen kommer att upphävas behöver även den nu aktuella bestämmelsen i studiestödsdatalagen ändras. Mot bakgrund av att dataskyddsförordningen är direkt tillämplig så- vitt gäller rättelse, till skillnad mot vad som gäller enligt person- uppgiftslagen, ska någon materiell bestämmelse i nationell rätt inte införas. Enligt utredningens mening saknas vidare anledning att in- föra en upplysningsbestämmelse om att det i förordningen finns bestämmelser om rättelse. Med hänsyn till detta föreslår utredningen att 15 §, i den del som avser rättelse, ska upphävas. Som nämnts ovan anger 15 § att även bestämmelserna i person- uppgiftslagen om skadestånd gäller vid behandling av personupp- gifter enligt studiestödsdatalagen. Enligt 48 § PUL ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personupp- giftslagen har orsakat. Även avseende rätten till skadestånd har det därmed varit nödvändigt att i studiestödsdatalagen hänvisa till per- sonuppgiftslagens bestämmelser. I dataskyddsförordningen regleras rätten till skadestånd i arti- kel 82. Av artikel 82.1 följer att varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av dataskydds- förordningen ska ha rätt till ersättning från den personuppgifts- ansvarige eller personuppgiftsbiträdet för den uppkomna skadan. Av skäl 146 framgår att behandling som strider mot dataskyddsförord- ningen även omfattar behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med dataskydds- förordningen och medlemsstaternas nationella rätt med närmare specifikation av dataskyddsförordningens bestämmelser. föreslår att 8 kap. 1 § dataskyddslagen ska innehålla en bestämmelse som upplyser om att rätten till ersätt- ning som regleras i artikel 82 i dataskyddsförordningen även gäller vid överträdelser av bestämmelser i dataskyddslagen och andra för- fattningar som kompletterar dataskyddsförordningen. Studiestöds- datalagen är en författning som kompletterar dataskyddsförord- ningen. Eftersom artikel 82 i dataskyddsförordningen är direkt tillämplig bör 15 § studiestödsdatalagen även upphävas i den del som avser skadestånd. Utredningen gör samma bedömning som gjorts i det föregående i fråga om behovet av att i stället göra om bestämmelsen till en upplysningsparagraf. Nämnda paragraf bör följaktligen upp- hävas i sin helhet. I 16 § första stycket anges att om återbetalning eller återkrav av studie- stöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de kan ha sådan betydelse. Enligt 16 § andra stycket ska personuppgifter som behandlas enligt 4 § första stycket 3, dvs. i syfte att förbereda handläggningen, i den utsträckning de inte har tillförts ett ärende om studiestöd, gall- ras senast efter det att uppgifterna registrerades. I 16 § tredje stycket anges att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personupp- gifter får bevaras för historiska, statistiska eller vetenskapliga ända- mål eller för redovisningsändamål, även om föreskrifterna kommer att avvika från första stycket. Enligt tredje stycket får CSN också, trots första stycket, i enstaka fall besluta att personuppgifterna i ett ärende om studiestöd ska bevaras på papper eller annat medium som inte är elektroniskt. Utredningen bedömer att det för CSN, i enlighet med första ledet i artikel 6.1 e samt artikel 6.3 första stycket i dataskyddsför- ordningen, finns en i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet (se avsnitt 8.2). Enligt artikel 6.2 och 6.3 andra stycket är det då tillåtet att i en registerförfattning behålla specifika bestämmelser i form av lagringstid. Gallringsbestäm- melserna i 16 § kan och bör följaktligen behållas. I sammanhanget ska dock formuleringen ”historiska, statistiska eller vetenskapliga ändamål”, som finns i 16 § tredje stycket, lyftas fram. Med denna formulering avses samma sak som i 9 § tredje stycket PUL (prop. 2008/09:96 s. 88). Av bestämmelserna i 9 § första och tredje styckena PUL framgår bl.a. att den personupp- giftsansvarige ska se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter får dock bevaras för historiska, statis- tiska eller vetenskapliga ändamål men inte än vad som behövs för dessa ändamål. Regleringen i detta avseende har sin grund i artikel 6.1 e i dataskyddsdirektivet. I dataskyddsförordningen finns motsvarande bestämmelser i arti- kel 5.1 e. Av nämnda artikel framgår bl.a. att personuppgifter, under vissa förutsättningar, får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål i enlighet med artikel 89.1. Den nuvarande formuleringen i dataskyddsdirektivet och person- uppgiftslagen om historiska, statistiska eller vetenskapliga ändamål har i dataskyddsförordningen således ändrats till att avse arkivända- mål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål. Enligt utredningens bedömning innebär omformuleringen dock inte någon skillnad i sak. Utred- ningen föreslår emellertid att bestämmelsen i 16 § tredje stycket studiestödsdatalagen ändras så att den anpassas till den formulering som används i dataskyddsförordningen. Utredningen föreslår att hänvisningen till personuppgiftslagen i 2 § första stycket ska ersättas med en upplysningsbestämmelse om data- skyddsförordningen samt, i andra stycket, en reglering om förhål- landet till dataskyddslagen. Det nuvarande andra stycket, som regle- rar studiestödsdatalagens förhållande till lagen om den officiella statistiken, flyttas till ett nytt tredje stycke. Vidare föreslår utred- ningen att rubriken till 2 § ska ha lydelsen Förhållandet till annan dataskyddsreglering. Utredningen föreslår att bestämmelserna i 6 och 8 §§, vilka regle- rar begränsningar i rätten att behandla personuppgifter respektive användningen av sökbegrepp, ändras så att dessa omfattar samtliga kategorier av personuppgifter som räknas upp i artikel 9.1 i data- skyddsförordningen. Vidare anser utredningen att bestämmelsen i 7 § tredje stycket om återkallande av samtycke ska upphävas eftersom den motsvarar artikel 7.3 i dataskyddsförordningen som är direkt tillämplig. Utredningen har även kommit fram till att bestämmelserna om rättelse och skadestånd i 15 § ska upphävas. Även i fråga om rättelse och skadestånd finns det direkt tillämpliga bestämmelser i data- skyddsförordningen. Avslutningsvis anser utredningen att 16 § tredje stycket ska ändras på så sätt att formuleringen ”historiska, statistiska eller vetenskapliga ändamål” ändras till den formulering som används i dataskydds- förordningen, dvs. ”arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål”. Förslag: Bestämmelsen i 16 § studiestödsdataförordningen ska ändras på så sätt att formuleringen ”historiska, statistiska och vetenskapliga ändamål” byts ut mot ”arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål”. Studiestödsdataförordningen består också av 16 paragrafer som finns under rubrikerna Inledande bestämmelse, Förberedande handlägg- ning, Ärenden om studiehjälp, Ärenden om studiemedel, Informa- tion om studiestödsförmåner och studiesociala förmåner, Fram- tagande och distribution av bevis om studiestöd för studier, Intern elektronisk tillgång till personuppgifter, Direktåtkomst, Annat elektroniskt utlämnande och Gallring. Nedan redogörs för regle- ringen i respektive paragraf och vilka behov av ändringar som utred- ningen anser är påkallade med anledning av att dataskyddsförord- ningen ska börja tillämpas. I 1 § anges att i förordningen finns kompletterande bestämmelser om sådan behandling av personuppgifter som omfattas av studie- stödsdatalagen. Utredningen bedömer att denna upplysningsbestämmelse är för- enlig med dataskyddsförordningen. Bestämmelsen kan och bör där- för behållas. Bestämmelserna i 2 § kompletterar 4 § studiestödsdatalagen i den del som avser behandling av personuppgifter i syfte att förbereda hand- läggningen. Av 2 § 1 framgår att personuppgifter får behandlas i CSN:s studiestödsverksamhet för att förbereda handläggningen av ärenden om studiehjälp för personer som fyller och som skulle kunna få studiehjälp. Enligt 2 § 2 får personuppgifter även behandlas för att förbereda handläggningen av ärenden om studiemedel för personer som har antagits till en utbildning som berättigar till studiemedel. Utredningen bedömer att det för CSN, i enlighet med första ledet i artikel 6.1 e samt artikel 6.3 första stycket i dataskydds- förordningen, finns en i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet (se avsnitt 8.2). Enligt artikel 6.2 och 6.3 andra stycket är det då tillåtet att i en registerför- fattning behålla specifika bestämmelser i form av bl.a. ändamåls- Utredningen anser följaktligen att 2 § studiestöds- dataförordningen är förenlig med dataskyddsförordningen och att paragrafen kan och bör behållas.