sou · H5B349 · 2017-06-02 00:00:00 — Uppgifterna om vilka som studerar vid en yrkeshögskoleutbildning och deras studieresul- tat ska rapporteras till MYH genom en av MYH tillhandahållen digi- tal plattform eller tjänst (4 och 5 §§). och andra eftergymnasiala utbildningar Genom bestämmelserna i föreskrifter åvilar det således utbildningsanordnarna som får stöd enligt förordningen om yrkes- högskolan en i svensk rätt fastställd rättslig förpliktelse att rappor- tera vissa uppgifter till MYH:s register. Syftet med behandlingen, att fullgöra en uppgiftsskyldighet, är fastställd i den rättsliga grunden. Vidare har utredningen i avsnitt 6.3.2 kommit fram till att det för utbildningsanordnarna inom finns en i svensk rätt fastställd uppgift av allmänt intresse att anordna och bedriva efter- gymnasiala yrkesutbildningar. Nödvändig behandling för att fullgöra uppgiftsskyldigheten enligt MYH:s föreskrifter, vilka meddelats med stöd av bemyndigande i förordningen om , kan där- med även ske med stöd av första ledet i artikel 6.1 e i dataskydds- förordningen. Inte heller för utbildningsanordnarnas del aktualiseras följaktligen något regleringsbehov. 6.6.3MYH:s register över studerande i konst- och kultur- utbildningar och vissa andra utbildningar Bedömning och förslag: För nödvändig behandling vid förandet av det register som MYH ska svara för enligt 2 § 6 förordningen med instruktion för Myndigheten för kan MYH tillämpa de rättsliga grunderna i artikel 6.1 c och första ledet i artikel 6.1 e i dataskyddsförordningen, dvs. rättslig förpliktelse och uppgift av allmänt intresse. Skäl att ändå införa en särskild reglering för MYH:s behandlingar finns inte. För att säkerställa att utbildningsanordnarna har en rättslig grund att tillämpa när de lämnar uppgifter till MYH om de stu- derande och deras studieresultat m.m. ska det införas en bestäm- melse som bemyndigar MYH att meddela föreskrifter om upp- giftslämnandet. och andra eftergymnasiala utbildningar Behov av reglering av MYH:s behandlingar MYH ska som redan nämnts pröva frågor om stöd enligt förord- ningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar samt svara för ett register över uppgifter om de stu- derande i utbildningarna och de studerandes studieresultat, betyg, intyg och utbildningsbevis (2 § 6 förordningen med instruktion för Myndigheten för ). Enligt utredningens bedömning finns det därmed en för MYH i svensk rätt fastställd rättslig förpliktelse och uppgift av allmänt intresse att även föra ett register över de som studerar på konst- och kulturutbildningar och vissa andra utbildningar. Syftet med behand- lingen, att föra ett register över de studerande och deras resultat m.m., är fastställd i den rättsliga grunden. När dataskyddsförord- ningen ska börja tillämpas kan MYH följaktligen tillämpa arti- kel 6.1 c och första ledet i artikel 6.1 e för sådan behandling som är nödvändig vid förandet av registret. Frågan utredningen därefter har att ta ställning till är om det ändå finns skäl att särskilt reglera behandlingarna i MYH:s register. Utredningen konstaterar att det inte heller avseende detta register framkommit att det är några känsliga eller integritetskänsliga upp- gifter som utbildningsanordnarna rapporterar till MYH. Att det är fråga om frivilliga studier och att det ligger i de studerandes egna intresse att säkerställa att uppgifter om deras studieresultat finns bevarade någonstans är omständigheter som enligt utredningens upp- fattning ska beaktas också beträffande detta register. Sammanfattningsvis finns det stöd i dataskyddsförordningen som MYH kan tillämpa för sådan behandling av personuppgifter som är nödvändig för att föra registret. Skäl att ändå införa en särskild regle- ring för behandlingarna finns inte. Behov av reglering av utbildningsanordnarnas behandlingar I fråga om utbildningsanordnarnas grund för att lämna uppgifter till MYH konstateras att utbildningsanordnarna, enligt 39 § andra me- ningen förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar, ska lämna de uppgifter som MYH begär. Det åvilar därmed utbildningsanordnarna en rättslig förpliktelse att lämna uppgifter till MYH. Några myndighetsföreskrifter om vilka och andra eftergymnasiala utbildningar uppgifter som ska lämnas finns dock inte. Vidare är det oklart vilken typ av uppgifter som bestämmelsen i 39 § tar sikte på. Enligt utred- ningens bedömning är det därmed tveksamt om den rättsliga för- pliktelsen enligt nämnda bestämmelse är tillräckligt tydlig för att den rättsliga grunden i artikel 6.1 c i dataskyddsförordningen ska kunna tillämpas. Med hänsyn till den ur dataskyddsperspektiv oklara inne- börden av 39 § bedömer utredningen även att det är tveksamt om den rättsliga grunden i första ledet i artikel 6.1 e är tillämplig. För att säker- ställa att det finns en rättslig grund för utbildningsanordnarna att till- lämpa när de ska lämna uppgifter om de studerande och deras studie- resultat m.m. till MYH finns det därmed ett behov av en reglering. Utredningen anser att en sådan reglering bör utformas på motsva- rande sätt som för utbildningsanordnarna inom , dvs. genom ett bemyndigande till MYH att meddela föreskrifter om att utbildningsanordnarna ska lämna vissa uppgifter till MYH om de studerande och deras studieresultat m.m. I förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar finns det bestämmelser om bemyndigande i 40 §. En bestämmelse som den i 2 kap. 17 § förordningen om placeras därför lämpli- gast i 40 §. Om en sådan bestämmelse införs, och om MYH använder sig av bemyndigandet på motsvarande sätt som MYH gjort med 2 kap. 17 § förordningen om , kan de som anordnar utbildningar som avses i förordningen om stöd för konst- och kul- turutbildningar och vissa andra utbildningar också tillämpa de rättsliga grunderna i artikel 6.1 c och första ledet i artikel 6.1 e i data- skyddsförordningen när de lämnar uppgifter till MYH om de stude- rande. Folkbildningen har traditionellt ansetts innefatta fyra grenar: folk- bibliotek, folkhögskolor, föreläsningsföreningar och studieförbund. I utredningens uppdrag ingår att undersöka vilken reglering som behövs för att folkhögskolor och studieförbund ska kunna behandla personuppgifter om deltagare när dataskyddsförordningen ska börja tillämpas och den generella reglering som föreslår träder i kraft. I finns 154 folkhögskolor. Majoriteten (112 stycken) av dem drivs av folkrörelser eller andra organisationer. Övriga drivs av regio- ner/landsting (41 stycken) eller kommuner (1)1. Folkhögskolan är en studieform för vuxna. Utbildningsformen har av tradition beskri- vits med orden fri och frivillig, ett möjligt val för myndiga personer. Folkhögskolorna är inte bundna till centralt fastställda läroplaner utan arbetar efter egna verksamhetsplaner. Varje folkhögskola bestäm- mer självständigt vilka kurser som ska anordnas och vilken profil sko- lan ska ha. Vissa ramar för folkhögskolan anges dock i förordningen (2015:218) om statsbidrag till folkbildningen och i de villkor och rikt- linjer som har fastställt för verksamheten, t.ex. beträffande studieomdömen. För att en folkhögskola ska kunna erhålla statsbidrag för anord- nandet av vissa slags kurser krävs att kurserna har ett visst innehåll. Detta gäller t.ex. för teckenspråksutbildning för föräldrar till barn 1 /Folkhogskolor/Vad-ar-en-folkhogskola/ (senast uppdaterad ). som för kommunikation är beroende av teckenspråk. Bestämmelser om detta finns i förordningen (1997:1158) om statsbidrag för teckenspråksutbildning för vissa föräldrar. Folkhögskolor kan även välja att anordna utbildning som motsva- rar vuxenutbildning i svenska för invandrare. För denna utbildning gäller bestämmelserna i 24 kap. 11–15 §§ skollagen (2010:800). Förutom dessa bestämmelser i skollagen lyder folkhög- skolorna inte under skollagen. Det finns inte heller någon annan offentligrättslig reglering än den som ovan angetts som reglerar folk- högskolan. Folkhögskolorna har olika typer av kurser med en mängd olika inriktningar och ämnesområden, t.ex. allmän kurs som är ett alterna- tiv till gymnasieskolan eller vuxenutbildning på olika nivåer, särskilda kurser, yrkesutbildningar och kortkurser. De all- männa kurserna har en nedre åldersgräns . Sökande med en kort tidigare skolutbildning har normalt företräde till de allmänna kurserna. Allmän kurs kan ge behörighet till högskolestudier och yrkeshögskolestudier. Till högskola och universitet ansöker stude- rande från folkhögskola i en egen urvalsgrupp. Myndigheten för () har utfärdat föreskrifter om vilka slags ut- bildningar vid folkhögskola som ger behörighet till utbildning inom . Folkhögskolorna finansieras genom statsbidrag och landstings- bidrag. Det är som fördelar statsbidrag till folk- högskolor. Statsbidrag för bedrivande av tolkutbildning fördelas av MYH enligt förordningen (2012:140) om statsbidrag för viss utbild- ning som rör tolkning och teckenspråk. Statsbidrag enligt förord- ningen om statsbidrag för teckenspråksutbildning för vissa föräldrar fördelas av Specialpedagogiska skolmyndigheten. Av studiestödsförordningen (2000:655) framgår att studerande på folkhögskola kan få studiestöd genom . 7.1.2Behandling av personuppgifter inom folkhögskolorna Det finns ingen särskild reglering för folkhögskolornas personupp- giftsbehandling. är det således bestämmelserna i person- uppgiftslagen (1998:204) som folkhögskolorna har att tillämpa vid behandling av personuppgifter. Folkhögskolorna inhämtar normalt ett samtycke till behand- lingen från den enskilde. Det är därmed den rättsliga grunden sam- tycke som folkhögskolorna tillämpar som stöd för sin behandling av personuppgifter. Nästan samtliga 154 folkhögskolor använder administrationspro- grammet SchoolSoft anpassat för folkhögskolan för sin behandling av deltagarnas personuppgifter. Respektive folkhögskola väljer vilka personuppgifter den vill registrera men för- och efternamn är obliga- toriska uppgifter. I de fall myndighetsrapporter kräver det registreras även personnummer. Folkhögskolorna behandlar personuppgifter för att kunna t.ex. handlägga ansökningar, utfärda intyg och i vissa utbildningar utöver folkbildningsverksamhet betyg samt för att ta fram underlag till rapporter och statistik. Folkhögskolorna använder olika lärplattformar, t.ex. Ping Pong och itslearning, men även Google drive och SharePoint. Som rättslig grund för behandlingen av personuppgifter inom lärplattformarna används samtycke. De personuppgifter som behandlas är bl.a. per- sonnummer, adress och telefonnummer. De folkhögskolor som bedriver internat registrerar på gruppnivå uppgifter om allergi. Det förekommer att vissa folkhögskolor som anordnar kontakt- tolkutbildning antecknar tolkspråk i sitt register. 7.1.3Utredningens uppdrag i denna del För att personuppgifter ska få ingå i eller komma att ingå i ett register eller behandlas helt eller delvis automatiskt krävs att åtmin- stone en rättslig grund i artikel 6.1 i dataskyddsförordningen är tillämplig. Enligt artikel 6.3 ska grunden för den behandling av per- sonuppgifter som avses i artikel 6.1 c (rättslig förpliktelse) och e (uppgift av allmänt intresse eller myndighetsutövning) fastställas i enlighet med unionsrätten eller den nationella rätten som den per- sonuppgiftsansvarige omfattas av. Enligt kommittédirektiven behö- ver det analyseras vad dataskyddsförordningens krav i denna del innebär i fråga om nationell författningsreglering. Dataskyddsutred- ningen ska analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs behandling och lämna behövliga och lämpliga författningsförslag. När det gäller behandling av personuppgifter som utförs av myn- digheter, kommuner, landsting och enskilda inom utbildningsområ- det, förutom forskningsverksamhet, uppdras det åt utredningen att analysera om en eller flera regleringar på nationell nivå är möjlig och kan behövas, utöver den generella reglering som Dataskyddsutred- ningen kommer att föreslå, för att säkerställa att nödvändig behand- ling av personuppgifter inom utbildningsområdet kan ske på ett ända- målsenligt sätt som enskildas fri- och rättigheter skyddas. Utredningen ska därför undersöka vilken reglering på nationell nivå av personuppgiftsbehandling inom folkbildningsområdet, där- ibland folkhögskolorna, som är möjlig och kan behövas utöver data- skyddsförordningen och den generella reglering som Dataskydds- utredningen kommer att föreslå samt lämna de författningsförslag som behövs. Av kommittédirektiven framgår att det inom utbildningsområdet i vissa fall är nödvändigt att behandla känsliga personuppgifter. Utred- ningen ska i denna del därför analysera om det, utöver dataskydds- förordningen och den generella reglering som Dataskyddsutredning- en kommer att föreslå, finns behov av kompletterande bestämmelser som reglerar behandling av känsliga personuppgifter inom folkhög- skolorna. 7.1.4Rättslig grund för personuppgiftsbehandling Bedömning: Folkhögskolorna tillämpar den rättsliga grunden samtycke som stöd för sin personuppgiftsbehandling. De kan när dataskyddsförordningen ska börja tillämpas fortsätta att använda samtycke, dvs. artikel 6.1 a, som rättslig grund för sin personuppgiftsbehandling. I praktiken är utrymmet för att inom ramen för de icke offent- ligt drivna folkhögskolornas fria och frivilliga verksamhet tilläm- pa den rättsliga grunden intresseavvägning (artikel 6.1 f) synner- ligen begränsat. Folkhögskolor som anordnar utbildning motsvarande kom- munal vuxenutbildning i svenska för invandrare, vilken regleras av skollagen med anslutande föreskrifter, kan behandla personupp- gifter om studerande i den verksamheten även med stöd av den rättsliga grunden uppgift av allmänt intresse (artikel 6.1 e). För att personuppgifter ska kunna behandlas helt eller delvis auto- matiskt eller annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register ska få ske när data- skyddsförordningen ska börja tillämpas krävs att åtminstone en av de rättsliga grunderna i artikel 6.1 i dataskyddsför- ordningen är tillämplig. En rättslig grund är att den enskilde har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ända- mål (6.1 a). En annan grund som enligt utredningens bedömning aktualiseras för folkhögskolornas del är uppgift av allmänt intresse (6.1 e). Sistnämnda rättsliga grund kan tillämpas av både offentliga och privata aktörer. Det krävs dock att uppgiften av allmänt intresse är fastställd i svensk rätt. I sammanhanget ska skäl 41 till dataskydds- förordningen beaktas. Där anges att en rättslig grund eller lagstift- ningsåtgärd, som dataskyddsförordningen hänvisar till, bör vara tyd- lig och precis och dess tillämpning förutsägbar för personer som om- fattas av den. Behandling av personuppgifter får vidare även ske om behand- lingen är nödvändig för ändamål som rör den personuppgiftsansva- riges eller en tredje parts berättigade intressen, om inte den registre- rades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter (artikel 6.1 f). Denna senare rättsliga grund, intresseavvägningen, gäller inte för behand- ling som utförs av offentliga myndigheter när de fullgör sina upp- gifter (artikel 6.1 andra stycket). Folkhögskolorna tillämpar samtycke från den registrerade som rättslig grund för sin personuppgiftsbehandling. Av skäl 43 till dataskyddsförordningen framgår att samtycke inte bör utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna sär- skilda situation omfattar. Detta skäl är nytt jämfört med dataskyddsdirektivet. Någon mot- svarande skrivning finns inte i skälen till dataskyddsdirektivet. Mot bakgrund av att definitionen av samtycke i princip är densamma i dataskyddsförordningen och dataskyddsdirektivet samt de uttalanden som gjorts av bl.a. Artikel 29-gruppen2 får det som skäl 43 uttrycker trots det även anses gälla enligt befintligt regelverk. En bedömning bör dock göras om folkhögskolorna kan fortsätta använda samtycke som rättslig grund för sin personuppgiftsbehandling. Studier vid folkhögskola är frivilliga. Folkhögskolan har ett eget bedömningssystem. Betyg förekommer inte i ordinarie folkbild- ningsverksamhet. Den som studerar på allmän kurs kan uppnå behö- righet till högskole- eller yrkeshögskolestudier och få ett studie- omdöme som är en sammanfattande bedömning av den studerandes studieförmåga. De studerande som söker till högskolan söker i en egen urvalsgrupp bara för folkhögskolestuderande. Folkhögskolor- nas verksamhet är i stort sett oreglerad. Själva grundtanken med studieformen folkhögskola är att den ska vara fri och frivillig. Enligt utredningens bedömning råder det inte en sådan betydande ojämlikhet mellan den studerande och folkhögskolan att ett sam- tycke till personuppgiftsbehandling inte kan anses ha lämnats frivil- ligt. Detta oavsett om folkhögskolans huvudman är en offentlig eller privat aktör. Utredningens bedömning är därför att folkhögskolorna även när dataskyddsförordningen ska börja tillämpas kan använda samtycke som rättslig grund för sin personuppgiftsbehandling. 2 Yttrande 15/2011 om definitionen av begreppet samtycke artikel 29-gruppen s. 13–14 och 16–17. Som konstaterats ovan är folkhögskolornas verksamhet i stort sett oreglerad. Av 2 § förordningen om statsbidrag till folkbildning- en framgår dock att folkhögskolorna bedriver utbildnings-, bild- nings- och kulturverksamhet. Vidare framgår av förordningen att statsbidrag lämnas till folkhögskolor under vissa förutsättningar, bl.a. att verksamheten har en viss inriktning, att det finns en stude- randerättslig organisation som tar till vara de studerandes intressen och att undervisningen är avgiftsfri (7, 8, 10 och 11 §§). Syftet med statens stöd till folkbildningen är enligt 1 § att stödja verksamhet som bidrar till att stärka och utveckla demokratin samt att bidra till att göra det möjligt för en ökad mångfald människor att påverka sin livssituation och skapa engagemang att delta i samhälls- utvecklingen. Syftet med statsbidraget är även att bidra till att utjäm- na utbildningsklyftor och höja bildnings- och utbildningsnivån i sam- hället samt att bidra till att bredda intresset för och öka delaktigheten i kulturlivet. ger genom dokument anvisningar för folkhögskolornas studieomdömen och intyg om behörighet för gymnasiestudier och högskole- eller yrkeshögskolestudier (4 §). Enligt utredningens uppfattning skulle den reglering av folkhög- skolorna som finns i nämnda föreskrifter och andra styrande doku- ment, beslutade med stöd av dessa föreskrifter, vid en närmare pröv- ning i och för sig anses kunna utgöra en i nationell rätt fastställd upp- gift av allmänt intresse. Om så skulle anses vara fallet skulle person- uppgifter kunna behandlas av folkhögskolorna med stöd av den rätts- liga grunden i första ledet i artikel 6.1 e i dataskyddsförordningen. Utredningen konstaterar att är personuppgifts- behandling tillåten om den är nödvändig för att kunna utföra en arbetsuppgift av allmänt intresse (jfr 10 § d PUL). Det rättsliga stödet tillämpas dock enligt de uppgifter utredningen hämtat in inte av folkhögskolorna. Det framstår vidare som tveksamt hur behandling av personuppgifter inom folkhögskolorna utan samtycke skulle kunna förenas med ledorden ”fri och frivillig”. Mot denna bakgrund avstår utredningen från att närmare utreda om behandling av per- sonuppgifter skulle kunna ske med stöd av första ledet i artikel 6.1 e i den hos folkhögskolorna oreglerade verksamheten. Behandling av personuppgifter inom den verksamheten ska således baseras på den enskildes samtycke i enlighet med de krav på samtycke som gäller enligt dataskyddsförordningen (se bl.a. artiklarna 4.11 och 7). Av samma skäl som gör att utredningen avstår från att närmare utreda möjligheterna för folkhögskolorna att tillämpa den rättsliga grunden uppgift av allmänt intresse, anser utredningen att det så gott som aldrig bör vara aktuellt för de folkhögskolor som inte drivs av myndigheter, landsting eller kommuner att tillämpa den rättsliga grunden intresseavvägning även om de teoretiskt har möjlighet att tillämpa den grunden (artikel 6.1 f). Denna begränsning följer dock inte av dataskyddsförordningen utan av syftet med den verksamhet som folkhögskolorna ska bedriva, nämligen att erbjuda fri och fri- villig utbildning. Det kan noteras att offentligt drivna folkhögskolor enligt dataskyddsförordningen inte får tillämpa bestämmelsen om intresseavvägning för behandling av personuppgifter som utförs när de fullgör sina uppgifter (artikel 6.1 andra stycket). Som redogörs för i avsnitt 4.6.2 är utredningens bedömning att en folkhögskola som anordnar motsvarande utbildning till vuxenutbildning i svenska för invandrare enligt 24 kap. 11 § skol- lagen utför en uppgift av allmänt intresse, dvs. tillhandahåller utbild- ning (artikel 6.1 e i dataskyddsförordningen). Genom bestämmel- serna i skollagen är den rättsliga grunden fastställd. Folkhögskolan kan tillämpa den rättsliga grunden uppgift av allmänt intresse för den personuppgiftsbehandling som är nödvändig för att den ska kunna bedriva utbildningen i svenska för invandrare. Det är alltså endast personuppgifter beträffande studerande i svenska för invandrare som kan behandlas med stöd av den grunden. Även om det finns en rättslig grund enligt artikel 6.1 i data- skyddsförordningen åligger det den personuppgiftsansvarige att be- stämma för vilka särskilda, uttryckligt angivna och berättigade ända- mål som personuppgifterna ska behandlas (artikel 5.1 b i dataskydds- förordningen). Den personuppgiftsansvarige får bara behandla ade- kvata, relevanta och inte för omfattande personuppgifter i förhål- lande till de ändamål för vilka de behandlas (artikel 5.1 c). Av arti- kel 5.2 framgår att den personuppgiftsansvarige ska ansvara för och kunna visa att nämnda och övriga punkter i 5.1 efterlevs. Bedömning: Folkhögskolorna har endast undantagsvis behov av att behandla känsliga personuppgifter. Sådan behandling kan då ske med stöd av samtycke enligt artikel 9.2 a i dataskyddsförord- ningen. Enligt artikel 9.1 i dataskyddsförordningen ska behandling av per- sonuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgif- ter om en fysisk persons sexualliv eller sexuella läggning vara för- bjuden. Känsliga personuppgifter får dock behandlas enligt artikel 9.2 om vissa förutsättningar är uppfyllda, t.ex. att den registrerade ut- tryckligen har lämnat sitt samtycke till behandlingen av hans eller hennes känsliga personuppgifter för ett eller flera specifika ändamål (a). Förutom artikel 9 finns det bestämmelser om behandling av känsliga personuppgifter i 3 kap. i förslag till lag (2018:xx) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen). Det förekommer att vissa folkhögskolor som anordnar kontakt- tolkutbildning antecknar tolkspråket i sitt register. Uppgifter om namn och språkkunskaper har i vissa utredningar ansetts utgöra indirekta upplysningar om en persons etniska ursprung (t.ex. SOU 2001:32 s. 124 och SOU 2003:40 s. 180). I Datainspektionens rapport 2002:2 anges att en uppgift om en persons modersmål i vissa fall kan vara en uppgift som indirekt avslöjar etniskt ursprung (s. 8). Regeringen har dock bedömt att en isolerad uppgift om medbor- garskap eller uppgifter om nationalitet eller ursprungsland inte av- slöjar vare sig ras eller etniskt ursprung (prop.