sou · H5B349 · 2017-06-02 00:00:00 — Frågan utredningen har att ta ställ- ning till är hur en sådan reglering lämpligen bör utformas. Enligt det ursprungliga uppdraget skulle VHS, i syfte att under- lätta samordnad och lokal antagning, utveckla ett centralt system för antagning av studenter till högskoleutbildning. Inom ramen för detta uppdrag skulle VHS vara huvudman för en nationell databas för gymnasiebetyg. I det ursprungliga uppdraget fanns således en kopp- ling mellan antagningssystemet och förandet av registret. Enligt utred- ningens uppfattning bör en bestämmelse som möjliggör registrering av uppgifter i därmed också ha en sådan koppling. Genom samordningen av betygsinsamlingen som VHS, Skol- verket och SCB tog initiativ till används även för statistiska ändamål. Det statistiska ändamålet har i praxis t.o.m. bedömts vara så betydande att uppgifterna i omfattas av statistiksekretes- sen, vilken regleras i 24 kap. 8 § OSL. En bestämmelse som ska möj- liggöra fortsatt registrering av betygsuppgifter i när data- skyddsförordningen ska börja tillämpas bör, enligt utredningens uppfattning, därmed även ge uttryck för nämnda statistiska ändamål. Frågan utredningen därefter har att ta ställning till är var en bestämmelse med ovan angivna innehåll lämpligen bör placeras. Enligt 2 § 1 förordningen (2012:811) med instruktion för Univer- sitets- och högskolerådet har UHR till uppgift att på uppdrag av uni- versitet och högskolor som omfattas av högskolelagen (1992:1434) eller av enskilda utbildningsanordnare som har tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina biträda vid antagning av studenter och ansvara för ett samordnat antagningsförfarande. I bestämmelsen uttrycks därmed en skyldighet för UHR att biträda vid antagningsförfarandet. Kopplingen mellan antagningsförfarandet och förandet av , som utredningen anser ska finnas, kan därmed åstadkommas genom att föra in en ny bestämmelse i UHR:s instruktion som anger att för de ändamål som anges i 2 § första stycket 1 ska myndigheten med hjälp av automati- serad behandling föra ett register över uppgifter om elevers slut- betyg, examensbevis eller motsvarande från gymnasieskolan och den kommunala vuxenutbildningen på gymnasial nivå. För att även tillgodose behovet av att det statistiska ändamålet kommer till uttryck kan det i den nya bestämmelsen även anges att uppgifterna i registret ska lämnas till statistikansvarig myndighet för skolväsendet eller till den myndighet eller det organ som den sta- tistikansvariga myndigheten bestämmer. Genom införandet av sådana bestämmelser skapas i svensk rätt fastställda rättsliga förpliktelser för UHR att föra ett register som och att lämna ut uppgifterna i registret till statistikansvarig myndighet för skolväsendet, , eller till den som statistikansvarig myndighet bestämmer, SCB. Med före- slagen utformning av bestämmelserna fastställs behandlingarnas syf- ten, dvs. att föra registret och att fullgöra en uppgiftsskyldighet. När dataskyddsförordningen ska börja tillämpas kan, enligt utredningens bedömning, registrering av betygsuppgifter i , utlämnande av uppgifter till SCB och lagring av uppgifter för användning när en person anmäler sig till en utbildning vid ett universitet eller en hög- skola därmed ske med stöd av artikel 6.1 c, dvs. så som nödvändigt för att fullgöra en rättslig förpliktelse. Även den rättsliga grunden i första ledet i artikel 6.1 e, dvs. för att utföra en uppgift av allmänt intresse, skulle bli tillämplig. Eftersom används för statistiska ändamål bör avslut- ningsvis, liksom i föregående avsnitt, nämnas att artikel 89.1 innehål- ler särskilda bestämmelser om behandling för statistiska ändamål. 9.3.4Överföring av uppgifter till antagningssystemet NyA Bedömning: När dataskyddsförordningen ska börja tillämpas kan överföring av betygsuppgifter från till NyA ske med stöd av första ledet i artikel 6.1 e i dataskyddsförordningen. Något ytterligare regleringsbehov aktualiseras därmed inte. I avsnitt 5.3.2 bedömer utredningen att anordnande och bedrivande av högskoleutbildning är en i svensk rätt fastställd uppgift av all- mänt intresse i enlighet med första ledet i artikel 6.1 e och 6.3 förs- ta stycket i dataskyddsförordningen. För att bli antagen till utbildning på grundnivå eller avancerad nivå vid ett universitet eller en högskola krävs det att sökanden har grund- läggande behörighet och dessutom den särskilda behörighet som kan vara föreskriven för utbildningen. Grundläggande behörighet har den som bl.a. avlagt en högskoleförberedande examen i gymnasieskolan eller inom vuxenutbildning på gymnasial nivå (se 7 kap. 1, 2, 5 och 24 §§ högskoleförordningen [1993:100]). Enligt 2 § 1 förordningen med instruktion för Universitets- och högskolerådet ska myndigheten på uppdrag av universitet och hög- skolor som omfattas av högskolelagen eller av enskilda utbildnings- anordnare som har tillstånd att utfärda examina enligt lagen om till- stånd att utfärda vissa examina biträda vid antagning av studenter och ansvara för ett samordnat antagningsförfarande. Som framgår ovan är ett av syftena med att underlätta antagningsförfarandet och enligt 4 kap. 1 § förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor får UHR föra ett antagningsregister, vars ändamål är att vara till hjälp för högskolor vid antagning av studenter. Som framgår av avsnitt 5.6.2 anser utredningen att det för UHR:s del därmed finns en i svensk rätt fastställd uppgift av allmänt intresse att föra ett antagningsregister. I detta ingår att föra över uppgifter för ändamålet att vara till hjälp vid antagning. Antagningssystemet som UHR använder sig av heter NyA. En- ligt 4 kap. 5 § får den registrerade ha direktåtkomst till sådana per- sonuppgifter om sig själv i antagningsregistret som får lämnas ut till henne eller honom. När en person anmäler sig till en högskoleutbild- ning kan denne välja att skapa ett konto som gör det möjligt att logga in i NyA. I NyA behöver sökanden lämna sitt samtycke till att bryta sekretessen i för att möjliggöra en hämtning av betygs- uppgifterna till NyA. Eftersom det finns en för UHR fastställd upp- gift att föra ett antagningsregister, kan registreringen i NyA därmed ske med stöd av första ledet i artikel 6.1 e i dataskyddsförordningen. Något regleringsbehov med anledning av att dataskyddsförordningen ska börja tillämpas för att föra över uppgifter från till NyA finns enligt utredningens mening följaktligen inte. 9.3.5Utlämnande av uppgifter till kommuner Bedömning: När dataskyddsförordningen ska börja tillämpas kan nödvändig personuppgiftsbehandling för att UHR ska kunna full- göra sin uppgiftsskyldighet enligt 10 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitets- ansvar för ungdomar ske med stöd av artikel 6.1 c. Någon ytter- ligare reglering behövs därmed inte. En hemkommun ska löpande hålla sig informerad om hur de ungdomar i kommunen är sysselsatta som har fullgjort sin skol- plikt men inte har fyllt och inte genomför eller har fullföljt ut- bildning på nationella program i gymnasieskola eller gymnasiesär- skola eller motsvarande utbildning. Detta framgår av 29 kap. 9 § första stycket skollagen. Enligt andra stycket har hemkommunen inom ramen för detta s.k. aktivitetsansvar uppgiften att erbjuda de ungdomar som berörs lämpliga individuella åtgärder. Åtgärderna ska i första hand syfta till att motivera den enskilde att påbörja eller återuppta en utbild- ning. Kommunen ska dokumentera sina insatser på lämpligt sätt. Av tredje stycket framgår att kommunen ska föra ett register över de ungdomar som omfattas av ansvaret. Genom 10 § förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar under- lättas kommunernas arbete. På begäran från en kommun ska UHR nämligen lämna ut uppgift om en person, som kan omfattas av den kommunens aktivitetsansvar, har examens- eller studiebevis eller motsvarande från gymnasieskolan. På UHR åvilar därmed en i svensk rätt fastställd rättslig förplik- telse att från lämna ut vissa uppgifter till de kommuner som begär det. Syftet med behandlingen, att fullgöra en uppgiftsskyldig- het, är fastställd i den rättsliga grunden. När dataskyddsförord- ningen ska börja tillämpas kan den aktuella behandlingen följaktligen ske med stöd av artikel 6.1 c i dataskyddsförordningen. Något ytter- ligare regleringsbehov aktualiseras enligt utredningens bedömning därmed inte. 9.4Behov av ytterligare reglering Bedömning: När dataskyddsförordningen ska börja tillämpas kan ändamålsenlig behandling av personuppgifter i , som sam- tidigt skyddar den enskildes fri- och rättigheter, ske med stöd av förordningens bestämmelser och utredningens förslag till regler- ing i förordningen med instruktion för Universitets- och hög- skolerådet. Personuppgiftsbehandlingen i är inte sådan att det krävs en särskild lagreglering enligt 2 kap. 6 och 20 §§ regerings- formen och det saknas även i övrigt skäl till ytterligare reglering. Ovan redovisas att utredningen anser att behöver kom- plettera sina föreskrifter (SKOLFS 2011:142) på så sätt att det ska framgå att de huvudmän som bedriver vuxenutbildning på gymnasial nivå kan fullgöra sin uppgiftsskyldighet enligt 26 kap. 25 § skollagen, i här aktuella delar, genom godkänd rapportering till UHR. Detta regleringsbehov är dock inte påkallat med anledning av att dataskyddsförordningen ska börja tillämpas. För att betygsuppgifter från gymnasieskolor och vuxenutbildning på gymnasial nivå ska kunna registreras och lagras i krävs det en bestämmelse som fastställer att UHR ska föra ett register över sådana uppgifter för antagningsändamål. För att upp- gifterna ska kunna lämnas till SCB föreslår utredningen även en bestämmelse som anger att uppgifterna i registret ska lämnas till statistikansvarig myndighet för skolväsendet eller till den myndighet eller det organ som den statistikansvariga myndigheten bestämmer. Något ytterligare regleringsbehov med anledning av att dataskydds- förordningen ska börja tillämpas anser utredningen dock inte finnas. Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den person- liga integriteten, om det sker utan samtycke och innebär övervak- ning eller kartläggning av den enskildes personliga förhållanden. Nämnda rättighet får enligt 2 kap. 20 § dock begränsas genom lag. Frågan är då om skyddet mot betydande intrång i den personliga integriteten innebär att det krävs en särskild lag för behandlingen av personuppgifter i . I förarbetena till 2 kap. 6 § andra stycket regeringsformen utta- las bl.a. följande (prop. 2009/10:80 s. 250). Vid bedömning av vilka åtgärder som kan anses utgöra ett "betydande intrång" ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas. Även åtgärdens ändamål och andra omstän- digheter kan ha betydelse vid bedömningen. Bestämmelsen omfattar endast sådana intrång som på grund av åtgärdens intensitet eller om- fattning eller av hänsyn till uppgifternas integritetskänsliga natur eller andra omständigheter innebär ett betydande ingrepp i den enskildes privata sfär. Som redan nämnts är ett omfattande register som består av betygsuppgifter för cirka 1,8 miljoner individer. Uppgifter- na gallras inte. Det är således ett ständigt växande register. Dessa omständigheter talar för en reglering av . Det kan emellertid konstateras att det endast är ett fåtal uppgifter som finns om varje registrerad. Uppgifterna omfattas av absolut sekretess i de fall utlämnande eller överföring inte görs med stöd av samtycke eller författning. Vidare behandlas det inte några känsliga personuppgifter eller uppgifter av integritetskänslig natur i och det finns inte heller något behov av att behandla sådana uppgif- ter. Sammantaget, med särskilt beaktande av att det inte behandlas några känsliga personuppgifter, bedömer utredningen att behand- lingen av personuppgifter i inte är sådan att den utgör ett betydande intrång i den personliga integriteten i regeringsformens mening. Något ytterligare regleringsbehov med anledning av reger- ingsformens bestämmelser finns därmed inte. I bedömningen av behovet att av andra skäl än kraven i regerings- formen ytterligare reglera behandlingen av personuppgifter i ska artikel 89.2 i dataskyddsförordningen beaktas. I 89.2 anges att om personuppgifter behandlas för bl.a. statistiska ändamål får det i unionsrätten eller i medlemsstaternas nationella rätt föreskrivas undantag från de rättigheter som avses i artiklarna 15, 16, 18 och 21 med förbehåll för de villkor och skyddsåtgärder som avses i arti- kel 89.1 i den utsträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och sådana undantag krävs för att uppnå dessa ändamål. Artiklarna 15, 16, 18 och 21 reglerar den registrerades rätt till information om personuppgifter som behandlas, rätt att få felaktiga personuppgifter rättade, rätt att kräva begränsning av behandling och rätt att göra invändningar mot behandling. Något skäl att föreskriva undantag från dessa bestämmelser finns det enligt utredningens bedömning dock inte. Sammanfattningsvis bedömer utredningen att nödvändiga och ändamålsenliga behandlingar i , som skyddar den enskildes fri- och rättigheter, kan göras även när dataskyddsförord- ningen ska börja tillämpas, om utredningens förslag till reglering i UHR:s instruktion genomförs. Något skäl till ytterligare reglering av personuppgiftsbehandlingen i finns inte. 10 Lärar- och förskollärarregistret Kravet på legitimation för lärare och förskollärare infördes i skol- lagen (2010:800) 2011. Målet med legitimationen är att höja kvali- teten i svenska skolan, höja statusen på lärar- och förskolläraryrkena och tydliggöra vad en lärare och förskollärare är behörig att under- visa i (jfr prop. 2010/11:20 s. 25 f.). Huvudregeln är att lärare respek- tive förskollärare ska ha en legitimation och vara behöriga för viss undervisning för att få bedriva undervisningen (2 kap. 13 § skol- lagen). Det krävs legitimation som lärare respektive förskollärare för att kunna bli tillsvidareanställd och för att självständigt få sätta betyg (2 kap. 20 § och 3 kap. 16 § skollagen). () meddelar legitimationer och för ett register med uppgifter om legi- timerade eller tidigare legitimerade lärare och förskollärare (2 kap. 16 § skollagen och förordningen [2011:268] om lärar- och förskol- lärarregister). hade enligt sin webbsida per legitimerat över 200 000 lärare och förskollärare sedan legitimationskravet infördes. Antalet legitimerade personer var då 232 584, av vilka vissa har rätt till både en lärar- och förskollärarlegitimation. Det totala antalet utfärdade legitimationer var 263 182, och av dessa avsåg 172 127 lärarlegitimationer och 91 055 förskollärarlegitimationer.1 1 /kompetens-och-fortbildning/lararlegitimation/legitimation-1.237043 10.2Utredningens uppdrag i denna del Enligt förordningen om lärar- och förskollärarregister ska föra ett register över legitimerade och tidigare legitimerade lärare och förskollärare. Personuppgiftslagen (1998:204, PUL) gäller vid be- handling av personuppgifter i registret om inte annat följer av för- ordningen. När dataskyddsförordningen ska börja tillämpas kommer personuppgiftslagen att upphävas. Utredningen har därför fått i uppdrag att analysera vilka ändring- ar i förordningen om lärar- och förskollärarregister som behöver göras med anledning av dataskyddsförordningen, den generella reglering som kommer att föreslå och de övriga förslag utredningen kan komma att lämna. Utredningen ska även lämna de författningsförslag som behövs. 10.3Rättslig grund för personuppgiftsbehandling Bedömning: Bestämmelserna i förordningen om lärar- och för- skollärarregister utgör i enlighet med artikel 6.1 c i dataskydds- förordningen en fastställd rättslig förpliktelse för att föra ett register över legitimerade och tidigare legitimerade lärare och förskollärare. Förandet av registret är dessutom en för Skol- verket fastställd uppgift av allmänt intresse i enlighet med första ledet i artikel 6.1 e. Enligt artikel 6.2 och 6.3 andra stycket är det tillåtet att behålla eller införa mer specifika bestämmelser för att anpassa tillämp- ningen av bestämmelserna i dataskyddsförordningen med hänsyn till behandling för att efterleva 6.1 c och e. Förordningen om lärar- och förskollärarregister är därmed i sig förenlig med data- skyddsförordningen. Enligt artikel 6.1 i dataskyddsförordningen krävs att åtminstone ett av de i artikeln uppräknade villkoren är uppfyllt för att behandling av personuppgifter ska vara laglig. Ett sådant villkor är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (6.1 c). Ett annat villkor är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (6.1 e). Enligt artikel 6.3 första stycket krävs att den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med unionsrät- ten eller en medlemsstats nationella rätt som den personuppgifts- ansarige omfattas av. I fråga om rättslig förpliktelse föreslår en förtydligande bestämmelse i 2 kap. 3 § lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen), enligt vilken personuppgifter får behandlas med stöd av artikel 6.1 c om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som bl.a. gäller enligt lag eller annan författning eller följer av beslut som har meddelats med stöd av lag eller annan författning. Av artikel 6.3 andra stycket första meningen i dataskyddsförord- ningen framgår att, i fråga om den rättsliga grunden rättslig för- pliktelse, syftet med behandlingen ska fastställas i den rättsliga grun- den. Enligt torde kravet innebära att en för- pliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår av den författning som förpliktelsen grundas på. gör bedömningen att en myndighets uppdrag enligt myndighetsinstruktionen eller regleringsbrevet i vissa fall kan utgöra en i enlighet med nationell rätt (regeringsformen) fastställd rättslig förpliktelse i dataskyddsförord- ningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst personuppgiftsregister (SOU 2017:39, avsnitt 8.3.2). I 1 § förordningen om lärar- och förskollärarregister anges att med hjälp av automatiserad behandling för vissa ändamål ska föra ett register över legitimerade och tidigare legitimerade lärare och förskollärare. Enligt utredningens bedömning utgör denna para- graf ett utryck för en rättslig förpliktelse för att föra nämnda register. Enligt 5 och 6 §§ får personuppgifterna i registret behandlas för vissa ändamål. Syftet med behandlingen framgår såle- des av 5 och 6 §§ förordningen. Den rättsliga förpliktelsen för Skol- verket att föra lärar- och förskollärarregistret är, enligt utredningens bedömning, därigenom fastställd i svensk rätt. Beträffande den rättsliga grunden i första ledet i artikel 6.1 e i dataskyddsförordningen, uppgift av allmänt intresse, föreslår Data- skyddsutredningen att det i 2 kap. 4 § dataskyddslagen ska finnas en förtydligande bestämmelse på motsvarande sätt som i fråga om rätts- lig förpliktelse, dvs. att personuppgifter får behandlas med stöd av artikel 6.1 e om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av bl.a. lag eller annan författning eller av beslut som har meddelats med stöd av lag eller annan författning (SOU 2017:39, avsnitt 8.3.4). Vidare konstaterar att statliga och kommunala myndigheters verksamhet i allt väsentligt är av allmänt intresse och att det är den rättsliga grunden i artikel 6.1 e som vanligen bör tillämpas av myndigheter. Dataskydds- utredningen anför vidare. Myndigheternas uppdrag och åligganden framgår av författningar, reger- ingsbeslut och kommunala reglementen, antagna i enlighet med grund- lagens bestämmelser om normgivningskompetens och kommunalt själv- styre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler. Nödvändig behandling av personuppgifter kan därmed ske med stöd av artikel 6.1 e i dataskyddsförordningen. Någon ytterligare reglering av myndigheternas obligatoriska uppgifter krävs därmed inte på generell nivå för att myndigheter ska kunna vidta nödvändiga behandlingsåtgär- der för att fullgöra sina uppgifter. Vid införandet av lärar- och förskollärarlegitimationer uttalade reger- ingen att det med hänsyn till vikten av att huvudmännen får reella möjligheter att få tillgång till säker och aktuell information om legiti- merade lärare och förskollärare finns ett starkt behov av ett register för att uppnå syftet med den nu aktuella reformen (prop. 2010/11:20 s. 66 f.). Regeringen synes ha varit av uppfattningen att förandet av lärar- och förskollärarregistret är en uppgift av allmänt intresse. Uppgiften att föra registret ligger dessutom på en statlig myndighet och regleras i förordning. Enligt utredningens bedömning finns det således två rättsliga grunder i artikel 6.1 i dataskyddsförordningen till stöd för behand- lingen av personuppgifter i lärar- och förskollärarregistret, rättslig förpliktelse (6.1 c) och uppgift av allmänt intresse (6.1 e). De rätts- liga grunderna är fastställda i svensk rätt genom förordningen om lärar- och förskollärarregister. Av artikel 6.2 framgår att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestäm- melserna i dataskyddsförordningen med hänsyn till behandling för att efterleva punkt 1 c och e. Enligt artikel 6.3 andra stycket andra meningen kan dessutom den rättsliga grunden för behandling, som fastställs i den nationella rätten, innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen i form av bl.a. de allmänna villkor som ska gälla för den personuppgifts- ansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagrings- tid samt typer av behandling och förfaranden för behandling, inbe- gripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Dataskyddsförordningen medger således att det i nationell rätt finns sådana regleringar (registerförfattningar) som införts genom t.ex. förordningen om lärar- och förskollärarregister. Vidare ska, enligt artikel 6.3 andra stycket sista meningen i data- skyddsförordningen, den rättsliga regleringen dessutom uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Utredningen konstaterar att förordningen om lärar- och förskol- lärarregister tillkommit i den ordning som regeringsformen utpekar för föreskrifter av nu aktuellt slag. Bestämmelserna har bedömts relevanta och proportionerliga av regeringen. Regeringen uttalade i samband med förslaget om legitimationssystem för lärare och för- skollärare att den avsåg att meddela föreskrifter om lärar- och för- skollärarregistret i en förordning, eftersom den bedömde att be- handlingen av uppgifterna – såväl insamlingen och lagringen som utlämnandet – inte innefattar ett så stort ingrepp i enskildas privatliv att det kan anses utgöra ett betydande intrång i den personliga integ- riteten i den mening som avses i numera 2 kap. 6 § regeringsformen (prop. 2010/11:20 s. 67). Regeringen uttalade även vilka uppgifter registret avsågs innehålla. har i sin beredning av nämnda proposition inte ifrågasatt regeringens bedömning i den delen (jfr betänkande 2010/11:UbU5). Inte heller har såvitt framkommit någon tillsynsmyndighet uttalat någon kritik eller tveksamhet i dessa avseenden.