sou · H5B349 · 2017-06-02 00:00:00 — För att säkerställa den registrerades grundläggande rättigheter och intressen begränsas de känsliga personuppgifter som får behand- las till elevens namn, personnummer, samordningsnummer, adress och vårdnadshavare om det är nödvändigt för att fullgöra skyldig- heter enligt 7 kap. 21 § skollagen. Övervägandena finns i av- snitt 4.7.5. 8 § Utöver vad som följer av 3–7 §§ får ett organ som avses i 1 § behandla känsliga personuppgifter med stöd av artikel i data- skyddsförordningen i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otill- börligt intrång i den registrerades personliga integritet. Paragrafen är ny. Paragrafen har motsvarande utformning som 3 kap. 3 § 3 dataskyddslagen. För de offentliga huvudmännen och hemkommunerna tar bestämmelsen över nämnda bestämmelse i dataskyddslagen. Övervägandena finns i avsnitt 4.7.5. Paragrafen möjliggör behandling av känsliga personuppgifter hos ett organ i enstaka fall även i situationer då det saknas en kopp- ling till ett visst ärende eller behandlingen inte direkt krävs enligt annan lag. Så kan exempelvis vara fallet i faktisk verksamhet i skol- väsendet såsom i kommunikation mellan skola och föräldrar. Kravet på att behandlingen ska vara absolut nödvändig för syftet med behandlingen innebär att regleringen ska tillämpas restriktivt och inte möjliggöra upprepad, omfattande, strukturell eller stor- skalig behandling. Det innebär också ett krav på att behovet av att behandla den känsliga personuppgiften i det enskilda fallet ska prövas noga mot ändamålet med behandlingen. Vidare ställer bestämmelsen krav på att ytterligare en avvägning ska göras för att behandling av känsliga personuppgifter ska få ske i det enskilda fallet, nämligen om en i och för sig absolut nödvändig behandling av känsliga personuppgifter ändå innebär ett otillbörligt intrång i den registrerades integritet. Vid bedömningen av om behandling utgör ett otillbörligt intrång ska vikt läggas vid sådana aspekter som uppgifternas känslighet, den inställning den registre- rade kan antas ha till att uppgiften behandlas, den spridning uppgif- ten skulle komma att få och risken för vidarebehandling för andra ändamål än insamlingsändamålet. 9 § Vid behandling enligt 3–8 §§ får sökbegrepp som avslöjar käns- liga personuppgifter inte användas. Förbudet i första stycket gäller inte användning av sökbegrepp som avslöjar 1.hälsa i de utbildningsformer som anges i 4 §, 2.etniskt ursprung i sameskolan som anges i 5 §, 3.hälsa i hemkommunen i ärenden som anges i 6 §, och 4.hälsa eller etniskt ursprung i form av namn, personnummer, sam- ordningsnummer och adress i hemkommunen som anges i 7 §. Regeringen får meddela föreskrifter om begränsningar av möjligheten att använda de sökbegrepp som anges i andra stycket. Paragrafen är ny. Paragrafens första stycke har motsvarande ut- formning som 3 kap. 4 § dataskyddslagen. För de offentliga huvud- männen och hemkommunerna tar bestämmelsen över motsvarande bestämmelse i dataskyddslagen. Även för enskilda huvudmän som – om förslagen i SOU 2015:82 och SOU 2016:62 genomförs – kom- mer att omfattas av offentlighetsprincipen tar bestämmelsen, i den del som avser känsliga personuppgifter, över motsvarande reglering i 1 kap. 5 § och 3 kap. 4 § dataskyddslagen. Paragrafens första stycke innebär att det gäller ett förbud mot sökning på känsliga personuppgifter hos ett organ som behandlar sådana uppgifter. Paragrafens andra stycke innehåller undantag för vissa utbildningsformer och för hemkommunen för vissa särskilt angivna ärenden och uppgifter. Övervägandena finns i avsnitt 4.7.5. Sökförbudet i första stycket införs för att tillgodose kraven på särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen i artikel i dataskyddsförordningen. Förbudet omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information så att känsliga personuppgifter avslöjas. Sökförbudet innebär att offentlighetsprincipen, i den mån den är tillämplig, inskränks enligt den så kallade begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. En begäran att få tillgång till en sammanställning av uppgifter som är resultatet av en sådan förbjuden sökning ska alltså avslås på den grunden att sammanställ- ningen inte anses förvarad hos organet som avses i 1 §. Det bör dock understrykas att begränsningsregeln inte hindrar att sökningar görs i färdiga elektroniska handlingar vid en begäran om tillgång till all- männa handlingar, dvs. sökning får på begäran ske i upptagningar där organet eller den som lämnat in handlingen till organet har gett upp- tagningen ett bestämt, fixerat, innehåll som går att återskapa gång på gång. Paragrafens andra stycke innehåller bestämmelser om undantag från sökförbudet. Alla personuppgifter om en elev i t.ex. grundsär- skolan är en uppgift om hälsa eftersom endast elever som har en funktionsnedsättning går i denna skolform. Alla uppgifter om en elev i sameskolan är en uppgift om etniskt ursprung eftersom det är främst barn till samer som får fullgöra sin skolplikt i sameskolan. Paragrafens första stycke medför att personalen i dessa skolformer är förhindrade att söka på elevernas personuppgifter. Paragrafens andra stycke möjliggör dock för personalen i grundsärskolan, specialsko- lan, gymnasiesärskolan, särskild utbildning för vuxna, fristående skola som begränsats till att avse elever som är i behov av särskilt stöd, gymnasieskolan med Rh-anpassad utbildning och utbildning i gymnasieskolan för elever som är döva, hörselskadade eller döv- blinda eller har en språkstörning att söka på uppgift om hälsa, dvs. använda uppgifter som normalt betraktas som harmlösa t.ex. namn, personnummer och hemkommun som sökbegrepp. Bestämmelsen ger på motsvarande sätt personalen i sameskolan möjlighet att söka på etniskt ursprung, dvs. använda t.ex. namn, personnummer och hemkommun som sökbegrepp. Vidare möjliggör andra stycket sökning i hemkommunens ärendehanteringssystem med hjälp av sökbegrepp som rör uppgift om hälsa i ärenden om mottagande i grundsärskolan, i ärenden om en sökande tillhör målgruppen för gymnasiesärskolan och i ärenden om tilläggsbelopp för en elev i behov av särskilt stöd. Bestämmelsen möjliggör även sökning på de uppgifter som hemkommunen får behandla med stöd av 6 §. I tredje stycket finns en bestämmelse om att regeringen kan med- dela föreskrifter om begränsningar av möjligheten att använda de sökbegrepp som anges i andra stycket. 10 § Regeringen får meddela föreskrifter om ytterligare undantag från förbudet i artikel 9.1 i dataskyddsförordningen om det behövs med hän- syn till det viktiga allmänna intresset att anordna utbildning enligt den- na lag eller föreskrifter som har meddelats med stöd av denna lag. Paragrafen är ny. Paragrafen innebär ett bemyndigande för reger- ingen att meddela föreskrifter om ytterligare undantag från för- budet att behandla känsliga personuppgifter för organen som avses i 1 §. Paragrafen motsvarar delvis 3 kap. 8 § dataskyddslagen, som delvis motsvarar 20 § PUL. Övervägandena finns i avsnitt 4.7.5. 11 § Fristående skolor får behandla personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffpro- cessuella tvångsmedel 1.i elevhälsan i löpande text om det är absolut nödvändigt för ändamålet med behandlingen, och 2.i skriftlig dokumentation som ska föras enligt 5 kap. 24 § om det är absolut nödvändigt för ändamålet med behandlingen. Paragrafen är ny. Paragrafen möjliggör för viss verksamhet i fristå- ende skolor att behandla uppgifter om fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångs- medel. Övervägandena finns i avsnitt 4.8.4. Möjligheten att behandla dessa uppgifter är begränsade till elev- hälsan samt lärare, rektorer och huvudmän som har en skyldighet att dokumentera vissa uppgifter skriftligt enligt 5 kap. 24 § skollagen. Förutom att uppgifterna endast får behandlas i löpande text krävs att det är absolut nödvändigt för ändamålet med behandlingen för att en uppgift om t.ex. fällande domar i brottmål ska få behandlas. Kravet på att behandlingen ska vara absolut nödvändig för ända- målet med behandlingen innebär att bestämmelsen ska tillämpas restriktivt och inte möjliggöra upprepad, omfattande, strukturell eller storskalig behandling. Det innebär också ett krav på att behovet av att behandla personuppgifter som rör t.ex. fällande domar i brott- mål i det enskilda fallet ska prövas noga mot ändamålet med behand- lingen. I vilka skolformer som det förekommer fristående skolor framgår av definitionen i 1 kap. 3 § skollagen. Enligt kommittédirektivet (dir. 2016:63) är syftet med utredningen att den kompletterande lagstiftningen ska möjliggöra en ändamåls- enlig behandling av personuppgifter inom utbildningsområdet sam- tidigt som den skyddar den enskildes fri- och rättigheter. Med anled- ning av vad som presenteras i betänkandet anser jag att det finns skäl att befara att den rättsliga reglering av personuppgiftsbehandlingen som kommer att tillämpas på området i vissa fall riskerar att inte uppnå dessa syften. Jag bedömer för det första att det finns en risk för att behandling av personuppgifter inom delar av skolan, behand- ling som det kan finnas ett väsentligt behov av och som det ur ett dataskyddsperspektiv inte finns anledning att förhindra, inte kom- mer att ha det rättsliga stöd som krävs enligt dataskyddsförordningen och därigenom bli olaglig. För det andra anser jag att den behandling av personuppgifter som utförs inom skolans område i många fall måste anses utgöra ett sådant betydande intrång i en enskilds person- liga integritet som avses i 2 kap. 6 § 2 st. regeringsformen. Begräns- ningar får då göras endast i lag och efter att ha vägt behovet av be- handlingen av personuppgifter mot det intrång den innebär för den enskilde eleven. Utredningen föreslår dock inte någon reglering i lag som uppfyller regeringsformens krav. För att vara laglig måste en behandling av uppgifter uppfylla åtmin- stone ett av villkoren i dataskyddsförordningens artikel 6.1. Finner den personuppgiftsansvarige inget stöd i någon av dessa punkter kan behandlingen inte utföras. I betänkandet anges att den som vill be- handla personuppgifter inom utbildningsområdet i allmänhet kom- mer att kunna använda sig av ena villkoret i artikel 6.1 e – behand- lingen är nödvändig för att utföra en uppgift av allmänt intresse. Att anordnande och bedrivande av utbildning är att anse som en uppgift av allmänt intresse finns ingen anledning att ifrågasätta. Redan i nu- varande praxis anses personuppgiftsbehandling inom området kunna utföras med stöd av personuppgiftslagens 10 § d) – behandlingen är nödvändig för att en arbetsuppgift av allmänt intresse ska kunna ut- föras. Den rättsliga grund som i huvudsak kommer att bli aktuell vid behandling av personuppgifter inom utbildningsområdet är således likalydande såväl i nuvarande som i kommande dataskyddsreglering. En avgörande nyhet i dataskyddsförordningen är emellertid att det till skillnad från i dataskyddsdirektivet ställs krav på de rättsliga grun- derna (artikel 6.3). För att en behandling av personuppgifter ska vara laglig krävs inte enbart att den är nödvändig för att utföra en uppgift av allmänt intresse, denna uppgift måste dessutom vara fastställd i nationell rätt. Den nationella rätten ska vidare uppfylla ett mål av all- mänt intresse och vara proportionerlig mot det legitima mål som eftersträvas. I skäl 41 anges även att en rättslig grund bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den. Genom denna förändring ställs således nya och betydande krav på hur den rättsliga grunden ska vara utformad för att den ska kunna läggas till grund för behandling av personuppgifter. Utredningen gör bedömningen att för den skollagsreglerade ut- bildningsverksamheten finns det inget behov av en särskild reglering för att verksamheternas huvudmän ska kunna tillämpa den rättsliga grunden i artikel 6.1 e. Verksamhetens uppdrag och åligganden fram- går av skollagen och tillhörande föreskrifter. De åtgärder som huvud- männen vidtar i syfte att utföra dessa uppdrag och åligganden har i sig en legal grund som offentliggjorts genom tydliga, precisa och förut- sägbara regler. Uppgiften av allmänt intresse, det vill säga utbildning och annan pedagogisk verksamhet, är således enligt utredningens mening fastställd i nationell rätt genom skollagen med anslutande föreskrifter. Uppgiften av allmänt intresse, som framgår av skollagen och an- slutande föreskrifter, måste för att uppfylla kraven i dataskyddsför- ordningen således vara tydlig, precis och dess tillämpning förutsäg- bar för den enskilde. Denna bedömning kan enligt min mening inte göras generellt för uppgiften utbildning och pedagogisk verksamhet, utan måste analyseras utifrån den konkreta verksamhet som skolorna bedriver. Varje personuppgiftsansvarig måste vid varje enskild be- handling av personuppgifter finna en rättslig grund, i detta fall att behandlingen ska vara nödvändig för att utföra en uppgift av allmänt intresse. Denna uppgift måste dessutom vara fastställd i den natio- nella lagstiftningen på ett tillräckligt tydligt, precist och förutsägbart sätt. I betänkandet saknas en tillräckligt ingående analys av detta slag, vilket innebär att det är oklart i vilken mån den reglering som finns är sådan att den kan utgöra grund för behandling av person- uppgifter i skolan när dataskyddsförordningen träder ikraft. Det finns därför en risk att behandling av personuppgifter inom delar av den skollagsreglerade utbildningsverksamheten, behandling som det kan finnas ett väsentligt behov av och som det ur ett data- skyddsperspektiv inte finns anledning att förhindra, kan komma att bli olaglig endast av den anledningen att det inte finns någon i natio- nell rätt tillräckligt tydlig, precis och förutsägbar fastställd uppgift av allmänt intresse. Bedömningen utredningen gör, att den lagstiftning som ligger till grund för verksamheten, skollagen och anslutande föreskrifter, i sig är tillräckligt tydlig, precis och förutsägbar för att kunna ligga till grund för behandling av personuppgifter är enligt min mening något förenklad. Utredningen anger vidare att behandling av personuppgifter som på detta sätt inte kan få stöd i den lagstiftning som reglerar verksamheten, och som inte heller kan finna stöd i någon annan rättslig grund, inte ska anses laglig enligt dataskydds- förordningen. Denna slutsats kan inte anses uppfylla utredningens uppdrag att möjliggöra en ändamålsenlig behandling av personupp- gifter inom denna del av utbildningsområdet. Behov av särskild lagstiftning inom den skollagsreglerade verksamheten Enligt 2 kap. 6 § 2 st. regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integri- teten, om det sker utan samtycke och innebär övervakning eller kart- läggning av den enskildes personliga förhållanden. Denna rättighet är dock inte absolut utan kan enligt 2 kap. 20–21 §§ regeringsformen begränsas genom lag efter en proportionalitetsbedömning. Detta i grundlag fastställda integritetsskydd säkerställer således att det vid personuppgiftsbehandling som innebär ett betydande intrång i den enskildes personliga integritet görs en avvägning mellan det behov som finns av att behandlingen sker och det integritetsintrång denna behandling innebär för den enskilde. har det skett en betydande ökning av den digitala behandlingen av personuppgifter på skolans område. Skolan har fått ökade krav på sig att dokumentera uppgifter om elever, t.ex. omdömen i individuella utvecklingsplaner, och använder dessutom alltmer digitala system i sin verksamhet, både administrativa it-system och s.k. lärplattformar. har i sitt betänkande Hur står det till med den personliga integriteten? (SOU 2016:41) angett att en stor andel av undervisningen för landets elever hanteras i digitala lärplattformar och i digitala läromedel. Det rör sig om allt fler och detaljerade uppgifter om varje enskild elev. Sammantaget anser kommittén att användningen av sådana digitala verktyg innebär en allvarlig risk för den personliga integriteten (a.a. s. 200). Personuppgiftsbehandlingen inom den skollagsreglerade verksam- heten sker till allra största del utan den enskildes samtycke. De ökade kraven på skolor att dokumentera integritetskänsliga uppgifter om elever och skolornas omfattande användning av digitala verktyg för att uppfylla dessa krav innebär en risk för allvarliga intrång i den per- sonliga integriteten. Är då detta intrång så pass allvarligt att det faller in under grundlagsskyddet i 2 kap. 6 § 2 st. regeringsformen? Enligt förarbetena ska denna bestämmelse förstås så att den omfattar före- teelser som kan bedömas utifrån såväl kvantitativa som kvalitativa kriterier (prop. 2009/10:80 s. 183).Barn anses allmänt som särskilt viktiga att skydda mot otillbörliga intrång i den personliga integri- teten. De har dels sämre möjligheter att själva freda sig mot integri- tetsintrång, dels riskerar det som registreras om elever att följa dem under hela livet. De uppgifter som behandlas inom skolan är till en betydande del inte uppgifter av administrativ karak- tär, som t.ex. uppgifter om namn, adress etc., utan uppgifter om kun- skapsmässig och social utveckling. Sådana uppgifter är till sin karaktär särskilt integritetskänsliga. Att uppgifterna rör barn och i många fall kommer att följa barnet under en stor del av dess uppväxt gör upp- gifterna extra känsliga ur ett integritetsperspektiv. Enligt min mening medför den nu rådande digitaliseringen inom skollagsreglerad verksamhet att skolans behandling av personuppgif- ter i många fall måste anses som ett sådant betydande intrång i en en- skilds personliga integritet som avses i 2 kap. 6 § 2 st. regeringsfor- men. Begränsningar får då göras endast i lag och efter att ha vägt behovet av behandlingen av personuppgifter mot det intrång den innebär för den enskilde eleven. Utredningen gör bedömningen att lagstiftaren, genom regleringen av verksamheten i skollag och anslu- tande författningar, gjort en sådan avvägning. En sådan bedömning kan dock inte anses uppfylla kraven i regeringsformen eftersom dessa författningar inte reglerar behandlingen av personuppgifter. På detta område kan utredningen således inte anses uppfylla sitt uppdrag att skydda den enskildes fri- och rättigheter. Beslut vid regeringssammanträde . beslutades inom EU en förordning som är en ny generell reglering för personuppgiftsbehandling inom unionen. Data- skyddsutredningen (Ju 2016:04) har i uppdrag att föreslå anpassning- ar och kompletterande författningsbestämmelser på generell svensk nivå. En särskild utredare får nu i uppdrag att föreslå kompletterande regleringar för behandling av personuppgifter inom utbildningsom- rådet, med undantag för forskningsverksamhet. Syftet är att regler- ingen ska möjliggöra en ändamålsenlig behandling av personuppgif- ter inom utbildningsområdet som den skyddar den enskil- des fri- och rättigheter. undersöka vilken reglering av personuppgiftsbehandling inom ut- bildningsområdet som är möjlig och kan behövas utöver data- skyddsförordningen och den generella reglering som Dataskydds- utredningen kommer att föreslå, analysera om det utöver dessa regleringar finns ett behov av kom- pletterande regleringar för behandling av känsliga personuppgif- ter inom utbildningsområdet, analysera behovet av reglering för vissa register inom utbildnings- området, och lämna de författningsförslag som behövs. Uppdraget ska redovisas . Nuvarande regleringar av betydelse för behandling av personuppgifter inom utbildningsområdet EU:s dataskyddsdirektiv och personuppgiftslagen Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgifts- lagen (1998:204), förkortad PUL. Bestämmelserna i har till syf- te att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. PUL följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bl.a. personuppgiftsansvar, grund- läggande krav för behandling av personuppgifter, i vilka fall behand- ling av personuppgifter är tillåten, behandling av känsliga personupp- gifter, information till den registrerade, skyldighet för den person- uppgiftsansvarige att rätta, blockera eller utplåna personuppgifter samt om skadestånd och straff. PUL är tillämplig även utanför område och gäller för både myndigheter och enskilda som behandlar personuppgifter. PUL är subsidiär vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Sådana avvikande bestämmelser kan bl.a. finnas i s.k. registerförfattningar som avser begränsade områden, t.ex. studie- stödsdatalagen (2009:287). Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling Enligt regeringsformen (RF) är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 §). Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § första stycket under vissa förutsättningar göras genom lag. och rådet har antagit en ny för- ordning, och rådets förordning (EU) 2016/679 av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). Förordningen, nedan kallad dataskyddsförord- ningen, ska tillämpas . Det huvudsak- liga syftet med förordningen är att ytterligare harmonisera och effek- tivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina person- uppgifter. Dataskyddsförordningen är direkt tillämplig i medlems- staterna. Den både förutsätter och möjliggör kompletterande natio- nella bestämmelser av olika slag. Det finns ett förhållandevis stort utrymme att behålla eller införa särregleringar för sådan personupp- giftsbehandling som är nödvändig för att den personuppgiftsansva- rige ska kunna uppfylla en rättslig skyldighet, utföra en arbetsuppgift av allmänt intresse eller behandla uppgifter i samband med myndig- hetsutövning. Dataskyddsförordningen kommer att utgöra grunden för generell personuppgiftsbehandling inom EU. Genom förordningen upphävs det nu gällande dataskyddsdirektivet. Direktivet ska upphöra att gälla med verkan från . Detta innebär bl.a. att personupp- giftslagen måste upphävas. En särskild utredare fick regeringens uppdrag att bl.a. föreslå de anpassningar och kompletterande författnings- bestämmelser på generell nivå som dataskyddsförordningen ger anled- ning till. I uppdraget ingår att lämna förslag till upphävande av den nuvarande generella personuppgiftsregleringen (dir. 2016:15). Utred- ningen har tagit sig namnet (Ju 2016:04). I utredningens uppdrag ingår bl.a. att analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myn- digheters och andra organs behandling av personuppgifter och över- väga vilka kompletterande bestämmelser om undantag från förbudet att behandla känsliga personuppgifter som bör finnas i den generella regleringen.