sou · H5B349 · 2017-06-02 00:00:00 — Någon ytterligare reglering av myndigheternas obligatoriska uppgifter krävs därmed inte på generell nivå för att myndigheter ska kunna vidta nödvändiga behandlingsåtgär- der för att fullgöra sina uppgifter. Vid införandet av studiestödslagen uttalade regeringen följande i propositionen Ett reformerat studiestödssystem (prop. 1999/2000:10 s. 65). Det övergripande utbildningspolitiska målet är att varje medborgare ska ha möjlighet till god utbildning oavsett kön, social eller ekonomisk bakgrund, bostadsort m.m. Ekonomisk tillväxt ger möjligheter att trygga välfärden. Det är därför ett samhälleligt intresse att kunskapsbasen hos befolkningen upp- rätthålls och stärks på alla nivåer och att inga grupper lämnas utanför. Situationen med arbetslöshet har ytterligare accentuerat detta faktum. Men ekonomisk tillväxt och landets konkurrenskraft är också beroen- de av medborgarnas beredskap att möta förändringar. Kostnaderna för utbildning och studiestöd kan ses som en samhällelig investering som ger avkastning i ett senare skede i form av ökad ekonomisk tillväxt och social och kulturell utveckling. Regeringen synes ha varit av uppfattningen att studiestödsverksam- heten är en uppgift av allmänt intresse. Uppgiften att administrera studiestödet ligger dessutom på en statlig myndighet och regleras i lag. Det rättsliga stödet för behandlingen av personuppgifter i CSN:s studiestödsverksamhet förefaller ha varit artikel 7 e i dataskydds- direktivet, på den grunden att den anses nödvändig för att utföra en arbetsuppgift av allmänt intresse. I förarbetena till studiestödsdata- lagen konstateras nämligen att den registrerade enligt artikel 14 a, om inte den nationella lagstiftningen föreskriver något annat, har rätt att motsätta sig behandling som sker med stöd av bl.a. artikel 7 e, dvs. för att utföra en arbetsuppgift av allmänt intresse. Regeringen ansåg därför att det skulle införas en bestämmelse om att behandling av personuppgifter som får ske oberoende av den registrerades sam- tycke, ska få ske även om den registrerade motsätter sig behandlingen (prop. 2008/09:96 s. 36). En sådan bestämmelse, som finns i 5 § studiestödsdatalagen, hade inte varit nödvändigt att införa om reger- ingen inte ansett att artikel 7 e i dataskyddsdirektivet hade varit till- lämplig på behandlingarna. Enligt utredningens uppfattning finns det inget som tyder på att begreppet allmänt intresse ska uppfattas snävare enligt dataskydds- förordningen än enligt dataskyddsdirektivet. Med hänsyn härtill får en behandling av personuppgifter som tillåtits i en registerförfatt- ning med stöd av den rättsliga grunden i artikel 7 e i dataskydds- direktivet, dvs. utföra en arbetsuppgift av allmänt intresse, också anses nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Utredningen bedömer såle- des att CSN:s studiestödsverksamhet är en i svensk rätt fastställd uppgift av allmänt intresse. Det framgår av artikel 6.2 att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen med hänsyn till behand- ling för att efterleva punkt 1 e. Enligt artikel 6.3 andra stycket andra meningen kan den rättsliga grunden för behandling, som fastställs i den nationella rätten, innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen i form av bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registre- rade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Dataskyddsförordningen medger således att det i nationell rätt finns sådana regleringar (registerförfattningar) som införts genom t.ex. studiestödsdatalagen och studiestödsdataförordningen. Avslutningsvis ska, enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen, den rättsliga regleringen uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Utredningen konstaterar att studiestödsdatalagen och studie- stödsdataförordningen tillkommit i den ordning som regeringsfor- men utpekar för föreskrifter av nu aktuellt slag. Bestämmelserna har bedömts relevanta och proportionerliga av regeringen och, såvitt avser studiestödsdatalagen, även av Lagrådet och . Antagan- det av bestämmelserna har dessutom föregåtts av arbete inom ramen för utredningsväsendet och därpå följande remissbehandling. Såvitt framkommit har någon tillsynsmyndighet inte heller uttalat någon kritik eller tveksamhet i dessa avseenden. Det är därför rimligt att utgå från att de ändamål m.m. som fastställts i samband med författ- ningsarbetet är relevanta och proportionerliga i förhållande till det integritetsintrång behandlingarna kan innebära. Denna bedömning är giltig även i de avseenden som avses i dataskyddsförordningen. Utred- ningen har vid genomgången av aktuella författningar inte funnit några bestämmelser som kan sägas vara irrelevanta eller oproportio- nerliga. Utredningen anser således att föreskrifterna uppfyller kraven i artikel 6.3 andra stycket i dataskyddsförordningen. Med anledning av att dataskyddsförordningen och en ny gene- rell lagstiftning som i vissa delar kompletterar förordningen ska börja tillämpas, påkallas dock ställningstaganden till och ändringar i vissa av bestämmelserna i studiestödsdatalagen och studiestöds- dataförordningen. Det är därför nödvändigt med en genomgång av befintliga bestämmelser, vilket görs i följande avsnitt. 8.3Behov av ändringar i studiestödsdatalagen Förslag: Hänvisningen till personuppgiftslagen i 2 § första stycket ska ersättas med en upplysningsbestämmelse om dataskydds- förordningen samt, i andra stycket, en reglering om förhållandet till dataskyddslagen. Det nuvarande andra stycket, som reglerar studiestödsdatalagens förhållande till lagen om den officiella sta- tistiken, ska flyttas till ett nytt tredje stycke. Vidare ska rubriken till 2 § ha lydelsen Förhållandet till annan dataskyddsreglering. Bestämmelserna i 6 och 8 §§, vilka reglerar begränsningar i rätten att behandla personuppgifter respektive användningen av sökbegrepp, ska ändras på så sätt att de ska omfatta samtliga kate- gorier av personuppgifter som anges i artikel 9.1 i dataskydds- förordningen. Bestämmelsen i 7 § tredje stycket om återkallande av sam- tycke ska upphävas. Även 15 § som reglerar rättelse och skadestånd ska upphävas. Rubriken närmast före 15 § ska följaktligen utgå. Bestämmelsen i 16 § tredje stycket ska ändras på så sätt att formuleringen ”historiska, statistiska eller vetenskapliga ändamål” ändras till ”arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål”. Studiestödsdatalagen består av 16 paragrafer som finns under rubri- kerna Lagens tillämpningsområde, Förhållandet till personuppgifts- lagen och lagen om den officiella statistiken, Personuppgiftsansvar, Ändamål, Begränsningar i rätten att behandla personuppgifter, Sam- tycke av den registrerade, Sökbegrepp, Intern elektronisk tillgång till personuppgifter, Direktåtkomst och annat elektroniskt utlämnande av personuppgifter, Rättelse och skadestånd samt Gallring. Nedan redogörs för regleringen i respektive paragraf och vilka behov av ändringar som utredningen anser är påkallade med anledning av att dataskyddsförordningen ska börja tillämpas. I 1 § första stycket anges att studiestödsdatalagen tillämpas vid be- handling av personuppgifter i CSN:s studiestödsverksamhet. Enligt andra stycket gäller lagen bara om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier. Det saknas skäl att ändra upplysningsbestämmelserna i 1 § om studiestödsdatalagens tillämpningsområde, eftersom de enligt utred- ningens bedömning är förenliga med dataskyddsförordningen. Förhållandet till personuppgiftslagen och lagen om den officiella statistiken I 2 § första stycket anges att i den mån personuppgiftslagen innehål- ler bestämmelser om behandling av personuppgifter som saknar motsvarighet i studiestödsdatalagen, ska personuppgiftslagen tillläm- pas vid behandling av personuppgifter i CSN:s studiestödsverksam- het. Av andra stycket framgår att lagen (2001:99) om den officiella statistiken och anslutande författningar ska tillämpas vid CSN:s be- handling av personuppgifter för att framställa statistik i stället för studiestödsdatalagen. När dataskyddsförordningen ska börja tillämpas kommer person- uppgiftslagen att upphävas och dataskyddslagen träda i kraft. Med anledning av detta behöver den nu aktuella hänvisningen i första stycket ändras. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat och har företräde framför nationell lagstiftning. Studiestödsdatalagen innehåller endast sådana tillåtna bestämmelser som kompletterar eller tar över bestämmelserna i dataskyddsförordningen. För att tilläm- paren ska få en fullständig bild av vilken reglering som gäller bör en bestämmelse med en upplysning om att dataskyddsförordningen gäller tas in i förordningen. Den föreslagna dataskyddslagen kommer, på samma sätt som personuppgiftslagen, att vara subsidiär i förhållande till annan lag- stiftning om behandling av personuppgifter. Av tydlighetsskäl bör en hänvisning till dataskyddslagen införas, såsom görs till personuppgiftslagen. Utredningen föreslår därför att det i 2 § första stycket ska anges att lagen kompletterar dataskyddsförordningen. I andra stycket ska förhållandet till dataskyddslagen regleras. Bestämmelsen i nuvarande andra stycket, om studiestödsdatalagens förhållande till lagen om den officiella statistiken, ska därmed flyttas till ett nytt tredje stycke. Avslutningsvis föreslår utredningen att rubriken ska ha lydelsen För- hållandet till annan dataskyddsreglering. I 3 § finns en upplysning om att CSN är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Av definitionen i artikel 4.7 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsam- mans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Enligt utredningens bedömning är därmed bestämmelsen i 3 § studiestödsdatalagen förenlig med dataskyddsförordningen. Bestäm- melsen kan och bör därför behållas. Enligt 4 § första stycket får personuppgifter behandlas i CSN:s studiestödsverksamhet bara om det behövs för att 1.handlägga ärenden i den verksamheten, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och distribuera bevis om studiestöd för studier till stude- rande, eller 6.anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheterna. Enligt 4 § andra stycket får personuppgifter som behandlas enligt första stycket även behandlas genom att lämnas ut till den registre- rade själv, och regeringen samt, i den utsträckning skyl- dighet för CSN att lämna uppgifter följer av lag eller förordning, till andra. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas för att ge tillgång till vägledande avgöranden. I 4 § tredje stycket anges att regeringen får meddela föreskrifter om begränsningar av ändamålen i första stycket och om i vilka fall behandling får göras för att förbereda handläggningen. I 2–4 §§ studiestödsdataförordningen finns de bestämmelser som regeringen meddelat i detta avseende. Av tredje stycket i 4 § studiestödsdatalagen framgår att reger- ingen också meddelar föreskrifter om begränsningar av vilka person- uppgifter som får behandlas för ett visst ändamål. I 5–6 §§ studie- stödsdataförordningen har regeringen meddelat bestämmelser som begränsar vilka uppgifter som får behandlas för ändamålen i 4 § första stycket 4 och 5. Utredningen har i avsnitt 8.2 kommit fram till att det för CSN, i enlighet med första ledet i artikel 6.1 e samt artikel 6.3 första stycket i dataskyddsförordningen, finns en i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet. Enligt artikel 6.2 och 6.3 andra stycket är det då tillåtet att i en registerförfattning behålla specifika bestämmelser i form av bl.a. ändamålsbegräns- ningar. Utredningen anser följaktligen att 4 § studiestödsdatalagen är förenlig med dataskyddsförordningen och att lagrummet kan och bör behållas. Enligt 5 § får behandling av personuppgifter som enligt studie- stödsdatalagen är tillåten utan den registrerades samtycke utföras även om den registrerade motsätter sig behandlingen. I förarbetena till bestämmelsen uttalas bl.a. följande (prop. 2008/09:96 s. 36). Det finns behov av att i viss utsträckning kunna behandla personupp- gifter inom CSN:s studiestödsverksamhet oberoende av den registre- rades inställning. Därför ska sådan behandling av personuppgifter som enligt den föreslagna lagen får ske oberoende av den registrerades sam- tycke få ske även om den registrerade motsätter sig behandlingen. Med hänsyn till utformningen av bestämmelsen i artikel 14 dataskyddsdirek- tivet bör det i studiestödsdatalagen tas in en uttrycklig bestämmelse som föreskriver detta. I artikel 14 i dataskyddsdirektivet regleras den registrerades rätt att göra invändningar. Enligt 14 a ska den registrerade, om den nationella lagstiftningen inte föreskriver något annat, ha rätt att av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandlingen, åtminstone i de fall då uppgifterna behandlas med stöd av en intresseavvägning av det slag som framgår av 10 § f PUL eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. I 12 § andra stycket PUL finns en bestämmelse som anger att en registrerad med ett par undantag inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. I dataskyddsförordningen regleras rätten att göra invändningar i artikel 21. Enligt 21.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e (uppgift av allmänt intresse eller myndighetsutövning) eller f (intresseavvägning). Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behand- lingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Enligt artikel 23.1 e ska det dock vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt, som den personuppgifts- ansvarige eller personuppgiftsbiträdet omfattas av, införa en lagstift- ningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bl.a. artikel 21. En sådan begränsning ska ske med respekt för andemeningen i de grundläggande rättig- heterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett av unio- nens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skatte- frågor, folkhälsa och social trygghet. Enligt artikel 23.2 ska alla lagstiftningsåtgärder som avses i punkt 1 innehålla specifika bestämmelser åtminstone, när så är relevant, avseende a)ändamålen med behandlingen eller kategorierna av behandling, b)kategorierna av personuppgifter, c)omfattningen av de införda begränsningarna, d)skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, e)specificeringen av den personuppgiftsansvarige eller kategorier- na av personuppgiftsansvariga, f)lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, g)riskerna för de registrerades rättigheter och friheter, och h)de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Dataskyddsförordningen ställer därmed högre krav på den nationella begränsande regleringen än dataskyddsdirektivet, eftersom det i dataskyddsdirektivet inte anges några särskilda villkor för en sådan reglering. Som angetts ovan är det utredningens uppfattning att det är den rättsliga grunden enligt första ledet i artikel 6.1 e, dvs. uppgift av allmänt intresse, som är tillämplig på CSN:s behandling av person- uppgifter inom studiestödsverksamheten. Enligt artikel 21.1 ska den registrerade då ha rätt att göra invändningar mot behandlingar. En prövning bör därför göras om förutsättningarna enligt artikel 23 för att begränsa den registrerades rätt att göra invändningar är uppfyllda. I förarbetena till studiestödslagen anges, utöver vad som redo- gjorts för ovan, följande (prop. 1999/2000:10 s. 76). Studiestödet i form av bidrag och lån är en del av utbildningspolitiken och ska bidra till att förverkliga målen för detta område. Studiestödet ska verka rekryterande och därmed bidra till ett högt deltagande i utbildningen. Det ska vidare ha en utjämnande verkan mellan individer och grupper i befolkningen och därmed bidra till ökad social rättvisa. Studiestödet ska ha en god effekt på samhällets ekonomiska hushållning över tiden. Utredningens uppfattning är därför att studiestödsdatalagen reglerar behandling av personuppgifter som rör sådana viktiga mål av gene- rellt allmänt intresse som avses i artikel 23.1 e. Lagen med tillhö- rande förordning innehåller även sådana relevanta begränsningar som räknas upp i artikel 23.2, dvs. ändamålen med behandlingen (4 § studiestödsdatalagen), kategorierna av personuppgifter (bl.a. 3–6 §§ studiestödsdataförordningen), omfattningen av de införda begräns- ningarna (5 § studiestödsdatalagen), skyddsåtgärder (bl.a. 8 och 9 §§ studiestödsdatalagen), specificering av den personuppgiftsansvarige (3 § studiestödsdatalagen) och lagringstiden (16 § studiestödsdata- lagen och 16 § studiestödsdataförordningen). Enligt utredningens bedömning har studiestödsdatalagen och studiestödsdataförordningen införts efter noggranna överväganden av vilka bestämmelser, utöver de som finns i personuppgiftslagen, som är relevanta i sammanhanget. Förutsättningarna för att behålla begränsningen av den registrerades rätt att göra invändningar i 5 § studiestödsdatalagen är enligt utredningens bedömning därmed upp- fyllda. Bestämmelsen kan och bör därför behållas. Begränsningar i rätten att behandla personuppgifter I 6 § första stycket anges att särskilda begränsningar gäller för be- handling av personuppgifter som avslöjar ras, etniskt ursprung, poli- tiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Särskilda begränsningar gäller även för behandling av uppgifter som avser lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden. Slutligen anges att särskilda begränsningar också gäller för behandling av uppgifter som rör hälsa eller sexualliv. Av 6 § andra stycket framgår att uppgifter enligt första stycket bara får behandlas för ändamål som avses i 4 § första stycket 1, om uppgifterna har lämnats i ett ärende i studiestödsverksamheten eller behövs för handläggningen av ett sådant ärende, eller för ändamål som avses i 4 § första stycket 6 och andra stycket. I fråga om bestämmelserna i 6 § behöver ändras med anledning av att dataskyddsförordningen ska börja tillämpas gör utredningen föl- jande överväganden. Enligt artikel 8.1 i dataskyddsdirektivet ska medlemsstaterna förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Bestämmel- sen har införlivats i svensk rätt genom 13 § PUL där nämnda upp- gifter betecknas som känsliga personuppgifter. Enligt artikel 8.4 i dataskyddsdirektivet får medlemsstaterna, under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse, i sin nationella lagstiftning besluta om undantag från förbudet i artikel 8.1. Enligt 6 § studiestödsdatalagen gäller, som framgår ovan, särskil- da begränsningar för behandling av bl.a. sådana personuppgifter som enligt 13 § PUL betecknas som känsliga och som det enligt huvud- regeln är förbjudet att behandla. Genom bestämmelsen i 6 § studie- stödsdatalagen finns det därmed ett undantag från förbudet att be- handla känsliga personuppgifter. Sådana undantag är möjliga att införa genom bestämmelsen i artikel 8.4 i dataskyddsdirektivet. Motsvarande bestämmelse som den i 13 § PUL finns i artikel 9.1 i dataskyddsförordningen. Enligt artikel 9.1 ska dock även behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person och uppgifter om sexuell läggning vara för- bjuden. Med genetiska uppgifter avses enligt artikel 4.13 alla personupp- gifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska per- sons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. Avseende genetisk information uttalar regeringen i förarbetena till lagen (2006:351) om genetisk integritet att sådan information kan avslöja såväl hälsotillstånd som etnisk tillhörighet och är därför att betrakta som känsliga personuppgifter (prop. 2005/06:64 s. 63). Även genetiska uppgifter omfattas därmed av förbudet i 13 § PUL, trots att denna kategori till skillnad från artikel 9.1 i dataskydds- förordningen inte uttryckligen anges. Med biometriska uppgifter avses enligt artikel 4.14 i dataskydds- förordningen personuppgifter som erhållits genom en särskild tek- nisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter. Förbudet i artikel 9.1 mot att behandla där angivna kategorier av uppgifter ska enligt artikel dock inte tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsent- liga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Genom artikel i dataskyddsförordningen finns det således en motsvarande möjlighet som i artikel 8.4 i dataskyddsdirektivet att av hänsyn till ett viktigt allmänt intresse införa undantag från förbudet att behandla känsliga personuppgifter. Undantaget i 6 § studiestöds- datalagen är därmed förenligt med bestämmelserna i dataskydds- förordningen. Vad utredningen har att ta ställning till är således om det i 6 § studiestödsdatalagen ska göras någon ändring med anledning av att