sou · H5B349 · 2017-06-02 00:00:00 — Tillgänglig statistik saknas avseende privata aktörer som anordnar utbildning för barn och elever som vårdas på sjukhus eller en insti- tution som är knuten till ett sjukhus, utbildning i hemmet eller på annan lämplig plats.5 Enligt statistik fanns det inom pedagogisk omsorg som regleras enligt 25 kap. skollagen 721 verksamheter i enskild regi . drevs 49 öppna förskolor i privat regi. Av de öppna fritidsverksamheterna för 10–12-åringar drevs 115 i privat regi. Av dessa privata verksamheter ingick 73 i samma orga- nisation som en skola medan resten inte gjorde det. Beträffande om- sorg fanns det 41 verksamheter i enskild regi.6 drivs 112 folkhögskolor av folkrörelser eller andra orga- nisationer.7 fördelar statsbidrag till tio studie- förbund.8 Dessutom finns . Det finns i 17 enskilda utbildningsanordnare med examenstillstånd inom högskolesektorn.9 När det gäller fanns det sammanlagt 128 enskilda utbildningsanordnare.10 4Ökad insyn i välfärden, SOU 2016:62, s. 124. 5Ökad insyn i välfärden, SOU 2016:62, s. 124. 7www.folkbildningsradet.se/Folkhogskolor/Vad-ar-en-folkhogskola/ 8www.folkbildningsradet.se/Studieforbund/ 9www.uka.se/fakta-om-hogskolan/universitet-och-hogskolor/vad-ar-en-enskild- utbildningsanordnare.html 10Myndigheten för statistiska årsrapport s. 12. fanns det 42 enskilda anordnare av utbildningar enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar.11 Utredningens avsikt med lämnade förslag är att möjliggöra att den personuppgiftsbehandling som redan sker med stöd av personuppgiftslagen ska kunna fortsätta när dataskyddsförord- ningen börjar tillämpas. Förslagen som möjliggör för enskilda huvud- män som driver grundsärskolor och gymnasiesärskolor att behandla känsliga personuppgifter utan att behöva inhämta samtycke bedöms kunna innebära att den administrativa bördan och därmed kostnader för administration minskar. När ny lagstiftning införs krävs det normalt utbildningsinsatser. Det är inte unikt för de förslag som utredningen presenterar utan uppkommer regelmässigt i olika lagstiftningsärenden. Att det krävs utbildning i detta fall beror inte heller enbart på den lagstiftning som utredningen föreslår utan främst på den samlade dataskyddsreformen. Ny lagstiftning kräver normalt också nya interna föreskrifter och styrande dokument. Även detta behov är dock så gott som uteslu- tande ett resultat av dataskyddsförordningens ikraftträdande och alltså inte av utredningens förslag. Sådan anpassning som krävs med anledning av utredningens förslag får anses ingå i de normala upp- gifterna för organisationerna. Eftersom de föreslagna bestämmelserna rör integritetsskydd för de registrerade har inte hänsyn tagits till vilken organisationsform eller företagsstorlek som den personuppgiftsansvarige har vid ut- formningen av bestämmelserna. Utredningen har föreslagit att regeringen ska ge lämplig myndig- het i uppdrag att vidta åtgärder för att initiera och stödja utarbe- tandet av en uppförhandekod för skolväsendet. Det är utredningens uppfattning att ett framgångsrikt arbete med att ta fram en sådan uppförandekod har goda förutsättningar för att väsentligt minska administrationen och osäkerheten som kan gälla hos utbildnings- anordnare i fråga om regelverket för personuppgiftsbehandling. Det- ta bör i förlängningen, utöver att förstärka integritetsskyddet, bidra till minskade kostnader hos skolhuvudmännen. Utredningens för- slag har dock inte den konkretionen, och det ingår inte heller i upp- draget, att närmare bedöma sådana eventuella konsekvenser. 11 Myndigheten för statistiska årsrapport s. 36. 13.5Konsekvenser för den personliga integriteten Bedömning: Förslagen är neutrala rörande integritetsskyddet. Dataskyddsförordningen anses stärka integritetsskyddet för enskilda och ge dem bättre möjligheter att kunna kontrollera hur deras per- sonuppgifter behandlas. De bestämmelser som utredningen föreslår kommer att ingå som en del i det dataskyddsregelverk som styrs av dataskyddsförordningen. Utredningen föreslår endast bestämmelser som möjliggör behand- ling av personuppgifter motsvarande vad som är möjlig med gällande dataskyddsbestämmelser. Utredningens bedömning är därför att för- slagen är neutrala beträffande det integritetsintrång som de innebär jämfört med det integritetsintrång som finns med gällande bestämmelser, se avsnitt 4.7.5, 4.8.4, 4.9, 5.4.5, 5.5, 6.4.5 och 6.5. Bedömning: Förslagen förväntas inte få några andra konsekvenser. Förslagen får inte några konsekvenser för kommuner och landsting generellt eller för den kommunala självstyrelsen. Förslagen får inte heller några konsekvenser för jämställdheten, integrationen eller andra sådana konsekvenser som avses i 15 § kommittéförordningen eller 7 § förordningen om konsekvensutredning vid regelgivning. Förslag: Den nya förordningen – förordningen om sökbegräns- ningar vid personuppgiftsbehandling i vissa utbildningsformer och i hemkommunen – och ändringsförfattningarna ska träda i kraft . Enligt artikel 99.1 i dataskyddsförordningen träder förordningen i kraft den tjugonde dagen efter det att den har offentliggjorts i Euro- peiska unionens officiella tidning, vilket skedde . Av artikel 99.2 följer att förordningen ska tillämpas . I artikel 94 anges vidare att dataskyddsdirektivet ska upphöra att gälla med verkan från och med och att hänvisningar till det upphävda direktivet ska anses som hänvisningar till förordningen. I skäl 171 till dataskyddsförordningen anges att behandling som redan pågår den dag då förordningen börjar tillämpas bör bringas i överensstämmelse med förordningen av från det att förordningen träder i kraft. Om behandlingen grundar sig på samtycke enligt dataskyddsdirektivet är det inte nödvändigt att den registrerade på nytt ger sitt samtycke för att den personuppgifts- ansvarige ska kunna fortsätta med behandlingen i fråga efter det att förordningen börjar tillämpas, om det sätt på vilket samtycket gavs överensstämmer med villkoren i förordningen. Beslut av kommissio- nen som antagits och tillstånd från tillsynsmyndigheterna som utfärdats på grundval av dataskyddsdirektivet ska fortsatt vara giltiga tills de ändras, ersätts eller upphävs. föreslår att lagen (2018:xx) med komplet- terande bestämmelser till EU:s dataskyddsförordning (dataskydds- lagen) ska träda i kraft och att personuppgiftslagen (1998:204, PUL) ska upphöra att gälla. Med hänsyn till att dataskyddsförordningen ska börja tillämpas bör även den nya förordningen och ändringsförfattningarna som utredningen föreslår träda i kraft . Utredningen föreslår därför att förordningen om sökbegränsningar vid personupp- giftsbehandling i vissa utbildningsformer och i hemkommunen samt ändringsförfattningarna ska träda i kraft . Förslag: Äldre föreskrifter ska fortfarande gälla för ärenden hos Datainspektionen eller aktuell myndighet som har inletts men inte avgjorts före ikraftträdandet och som avser behandlingar som utförts före ikraftträdandet. Äldre föreskrifter ska också gälla för överklagande av beslut som avser behandlingar som utförts före ikraftträdandet. Äldre föreskrifter om skadestånd ska vidare gälla för skada som har orsakats före ikraftträdandet. föreslår vissa övergångsbestämmelser till dataskyddslagen (SOU 2017:39, avsnitt 20.3). Bl.a. föreslås att äldre föreskrifter, dvs. personuppgiftslagen, personuppgiftsförordningen (1998:1191) och föreskrifter som har meddelats med stöd av dessa, fortfarande ska gälla för ärenden som har inletts hos Datainspek- tionen men inte avgjorts före ikraftträdandet. Äldre föreskrifter ska också gälla för överklagande av beslut som har meddelats med stöd av dessa föreskrifter. Skälen till varför dessa övergångsbestämmelser föreslås är att det sannolikt kommer att finnas ärenden som har inletts hos Datainspek- tionen – genom att de anhängiggjorts av myndigheter eller enskilda, eller på inspektionens eget initiativ − före ikraftträdandet men ännu inte har avgjorts . Dessa ärenden ska handläggas enligt personuppgiftslagen och föreskrifter som meddelats med stöd av den lagen. Detsamma ska gälla för överklagande av beslut som har meddelats med stöd av äldre föreskrifter. anser vidare att bestämmelserna i 48 § PUL – om skadeståndsskyldighet för personuppgiftsansvariga och möjlighet att jämka sådan ersättningsskyldighet i vissa fall – bör fortsätta att gälla för skada som har orsakats före upphävandet av per- sonuppgiftslagen. föreslår därför en över- gångsbestämmelse i linje med den uppfattningen. Utredningens bedömning är att det i ändringsförfattningarna till studiestödsdatalagen (2009:287), förordningen (2011:268) om lärar- och förskollärarregister, förordningen (2006:39) om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar samt förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor, av samma skäl som redo- visats ovan, finns behov av att införa motsvarande övergångsbestäm- melser. Utredningen föreslår därför att det införs övergångsbestäm- melser som anger att –äldre föreskrifter fortfarande gäller för ärenden hos Datainspek- tionen eller aktuell myndighet som har inletts men inte avgjorts före ikraftträdandet och som avser behandlingar som utförts före ikraftträdandet, –äldre föreskrifter fortfarande gäller för överklagande av beslut som avser behandlingar som utförts före ikraftträdandet, och –äldre föreskrifter om skadestånd fortfarande gäller för skada som har orsakats före ikraftträdandet. Att äldre bestämmelser om skadestånd gäller för skadefall som inträf- fat före ikraftträdandet följer i och för sig av allmänna rättsgrund- satser (prop. 1972:5 s. 593). Utredningen anser dock att detta tydligt ska framgå. 15.1Förslaget till lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina 10 § Bestämmelserna i 11–13 §§ kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskydds- förordningen. Lagen (2018:xx) med kompletterande bestämmelser till EU:s data- skyddsförordning gäller vid enskilda utbildningsanordnares behandling av personuppgifter, om inte annat följer av 11–13 §§ eller föreskrifter som har meddelats med stöd av lagen med kompletterande bestämmel- ser till EU:s dataskyddsförordning. Paragrafen, som är ny, reglerar förhållandet mellan lagens bestäm- melser om personuppgiftsbehandling och andra dataskyddsbestäm- melser. Övervägandena finns i avsnitt 5.4.5. Första stycket innehåller en upplysning om att bestämmelserna i 11–13 §§ kompletterar dataskyddsförordningens bestämmelser. För en enskild utbildningsanordnares personuppgiftsbehandling gäller således i huvudsak bestämmelserna i dataskyddsförordningen. I andra stycket upplyses om att dataskyddslagen är subsidiär i förhållande till annan lagstiftning. En enskild utbildningsanordnare ska således tillämpa den särreglering om känsliga personuppgifter och uppgifter som rör fällande domar i brottmål som finns i 11–13 §§ i stället för bestämmelserna i dataskyddslagen med tillhö- rande förordning. 11 § Känsliga personuppgifter får med stöd av artikel i data- skyddsförordningen behandlas av en enskild utbildningsanordnare 1.i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, 2.om uppgifterna har lämnats till den enskilde utbildningsanord- naren och behandlingen krävs enligt lag, eller 3.i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Paragrafen är ny och anger, tillsammans med 13 §, när enskilda utbildningsanordnare får behandla känsliga personuppgifter. Para- grafen har motsvarande utformning som 3 kap. 3 § dataskyddslagen. Övervägandena finns i avsnitt 5.4.5. Punkt 1, som delvis motsvarar 8 § personuppgiftsförordningen (1998:1191), möjliggör behandling av känsliga personuppgifter i en enskild utbildningsanordnares ärenden om t.ex. anpassning vid hög- skoleprovet, avsteg vid antagning, särskilt pedagogiskt stöd, stats- bidrag för särskilt utbildningsstöd, trakasserier, sexuella trakasserier, disciplinär åtgärd eller avskiljande, förutsatt att behandlingen sker i löpande text och inte som strukturerad information i register eller liknande. Begränsningen till löpande text utesluter inte att hand- lingar med ostrukturerade känsliga personuppgifter lagras elektro- niskt i ärendehanteringssystem eller liknande. Vidare måste uppgifterna ha lämnats in av någon utomstående eller vara nödvändiga för handläggningen av ärendet. Ordet nödvän- digt bör här ha motsvarande betydelse som i , dvs. det innebär inte ett krav på att det ska vara helt omöjligt att fullgöra förpliktelsen eller utföra uppgiften utan att behandlingsåtgärden vid- tas (dom i mål nr C-524/06, Huber mot ). Punkt 2 möjliggör sådan behandling av känsliga personuppgifter som är oundviklig för de enskilda utbildningsanordnare som omfat- tas av tryckfrihetsförordningens och offentlighets- och sekretess- lagens (2009:400) bestämmelser om allmänna handlingar. Bestäm- melsen tar över motsvarande reglering i 1 kap. 5 § och 3 kap. 3 § 2 dataskyddslagen. Punkt 3 möjliggör behandling av känsliga personuppgifter hos en enskild utbildningsanordnare i enstaka fall även i situationer då det saknas en koppling till ett visst ärende eller behandlingen inte direkt krävs enligt annan lag. Så kan exempelvis vara fallet i den faktiska verksamheten när beslutade stödåtgärder på olika sätt ska verkställas. Kravet på att behandlingen ska vara absolut nödvändig för syftet med behandlingen innebär att regleringen ska tillämpas restriktivt och inte möjliggöra upprepad, omfattande, strukturell eller storskalig behandling. Det innebär också ett krav på att behovet av att behandla den känsliga personuppgiften i det enskilda fallet ska prövas noga mot ändamålet med behandlingen. Vidare ställer bestämmelsen krav på att ytterligare en avvägning ska göras för att behandling av känsliga personuppgifter ska få ske i det enskilda fallet, nämligen om en i och för sig absolut nödvändig behandling av känsliga personuppgifter ändå innebär ett otillbörligt intrång i den registrerades integritet. Vid bedömningen av om be- handlingen utgör ett otillbörligt intrång ska vikt läggas vid sådana aspekter som uppgifternas känslighet, den inställning den registrerade kan antas ha till att uppgiften behandlas, den spridning uppgiften skulle komma att få och risken för vidarebehandling för andra ända- mål än insamlingsändamålet. 12 § Personuppgifter som rör fällande domar i brottmål får behandlas av en enskild utbildningsanordnare i löpande text i ett ärende om av- skiljande av student från utbildning, om det är absolut nödvändigt för ändamålet med behandlingen och om intresset av att skydda andra per- soner och värdefull egendom klart väger över den risk för otillbörligt intrång i den registrerades personliga integritet som behandlingen kan innebära. Paragrafen, som är ny, möjliggör för enskilda utbildningsanordnare att behandla personuppgifter som rör fällande domar i brottmål i ett ärende om avskiljande av student från utbildning. Övervägan- dena finns i avsnitt 5.4.5. Kravet på att behandlingen ska vara absolut nödvändig för syftet med behandlingen innebär att bestämmelsen ska tillämpas restriktivt och inte möjliggöra upprepad, omfattande, strukturell eller storskalig behandling. Det innebär också ett krav på att behovet av att behandla personuppgifter som rör fällande domar i brottmål i det enskilda fallet ska prövas noga mot ändamålet med behandlingen. Vidare ställer bestämmelsen krav på att den personuppgiftsansva- rige, innan den avsedda behandlingen, ska göra en avvägning mellan intresset av att skydda andra personer och värdefull egendom och den risk för ett otillbörligt intrång i den registrerades integritet som behandlingen kan innebära. 13 § Vid behandling enligt 11 och 12 §§ får en enskild utbildnings- anordnare inte använda sökbegrepp som avslöjar känsliga personupp- gifter eller uppgifter som rör fällande domar i brottmål. Paragrafen är ny och har, i den del som avser känsliga personupp- gifter, motsvarande utformning som 3 kap. 4 § dataskyddslagen. Paragrafen innebär att det gäller ett förbud mot sökning på känsliga personuppgifter och uppgifter som rör fällande domar i brottmål hos en enskild utbildningsanordnare som behandlar sådana uppgif- ter. För enskilda utbildningsanordnare som omfattas av offentlig- hetsprincipen tar bestämmelsen, i den del som avser känsliga per- sonuppgifter, över motsvarande reglering i 1 kap. 5 § och 3 kap. 4 § dataskyddslagen. Övervägandena finns i avsnitt 5.4.5. Sökförbuden införs för att tillgodose kraven på särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen i artikel och artikel 10 i dataskyddsförordningen. Sök- ningar som avslöjar och sammanställer känsliga personuppgifter och uppgifter som rör fällande domar i brottmål är åtgärder som i sig innebär en integritetskränkning. Förbudet omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information så att känsliga personuppgifter eller upp- gifter om fällande domar i brottmål avslöjas. Sökförbudet innebär att offentlighetsprincipen, i den mån den är tillämplig, inskränks enligt den så kallade begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. En begäran att få tillgång till en sammanställning av uppgifter som är resultatet av en sådan förbjuden sökning ska alltså avslås på den grunden att sammanställ- ningen inte anses förvarad hos den enskilda utbildningsanordnaren. Det bör dock understrykas att begränsningsregeln inte hindrar att sökningar görs i färdiga elektroniska handlingar vid en begäran om tillgång till allmänna handlingar, dvs. sökning får på begäran ske i upptagningar där utbildningsanordnaren eller den som lämnat in handlingen till utbildningsanordnaren har gett upptagningen ett be- stämt, fixerat, innehåll som går att återskapa gång på gång. 15.2Förslaget till lag om ändring i lagen om (2009:128) 19 a § Bestämmelserna i 19 b–§§ kompletterar Europaparlamen- tets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgif- ter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad data- skyddsförordningen. Lagen (2018:xx) med kompletterande bestämmelser till EU:s data- skyddsförordning gäller vid utbildningsanordnares behandling av per- sonuppgifter, om inte annat följer av 19 b–19 f §§ eller föreskrifter som har meddelats med stöd av denna lag eller lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Paragrafen, som är ny, reglerar förhållandet mellan lagens bestäm- melser om personuppgiftsbehandling och andra dataskyddsbestäm- melser. Övervägandena finns i avsnitt 6.4.5. Första stycket innehåller en upplysning om att bestämmelserna i 19 b–§§ kompletterar dataskyddsförordningens bestämmelser. För utbildningsanordnarnas personuppgiftsbehandling gäller såle- des i huvudsak bestämmelserna i dataskyddsförordningen. I andra stycket upplyses om att dataskyddslagen är subsidiär i förhållande till annan lagstiftning. En utbildningsanordnare ska såle- des tillämpa den särreglering som anges i 19 b–19 f §§ i stället för motsvarande bestämmelser i dataskyddslagen. I stället för bestäm- melserna om behandling av känsliga personuppgifter med stöd av artikel i dataskyddsförordningen enligt 3 kap. 3 och 4 §§ data- skyddslagen ska offentliga utbildningsanordnare således tillämpa bestämmelserna i lagen om . 19 b § Känsliga personuppgifter får med stöd av artikel i data- skyddsförordningen behandlas av en utbildningsanordnare i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för hand- läggningen av ett ärende. Paragrafen är ny och anger, tillsammans med 19 c, 19 d och 19 f §§, när utbildningsanordnare får behandla känsliga personuppgifter. Bestämmelsen har motsvarande utformning som 3 kap. 3 § 1 data- skyddslagen. För de offentliga utbildningsanordnarna tar bestäm- melsen över nämnda bestämmelse i dataskyddslagen. Bestämmelsen har sin grund i artikel i dataskyddsförordningen, dvs. behand- ling som är nödvändig av hänsyn till ett viktigt allmänt intresse. Övervägandena finns i avsnitt 6.4.5. Bestämmelsen, som delvis motsvarar 8 § personuppgiftsförord- ningen, möjliggör behandling av känsliga personuppgifter i en ut- bildningsanordnares ärenden om t.ex. särskilt pedagogiskt stöd, trakasserier, sexuella trakasserier eller avskiljande, förutsatt att be- handlingen sker i löpande text och inte som strukturerad informa- tion i register eller liknande. Begränsningen till löpande text uteslu- ter inte att handlingar med ostrukturerade känsliga personuppgifter lagras elektroniskt i ärendehanteringssystem eller liknande. Vidare måste uppgifterna ha lämnats in av någon utomstående eller vara nödvändiga för handläggningen av ärendet. Ordet nöd- vändigt bör här ha motsvarande betydelse som i , dvs. det innebär inte ett krav på att det ska vara helt omöjligt att utföra upp- giften utan att behandlingsåtgärden vidtas (dom i mål nr C-524/06, Huber mot ). 19 c § och högskolor samt andra statliga myn- digheter, kommuner och landsting som anordnar utbildning får med stöd av artikel i dataskyddsförordningen behandla känsliga per- sonuppgifter om uppgifterna har lämnats till , högskolan, myndigheten, kommunen eller och behandlingen krävs en- ligt lag. Paragrafen, som är ny, har motsvarande utformning som 3 kap. 3 § 2 dataskyddslagen. Bestämmelsen tar över nämnda bestämmelse i dataskyddslagen. Paragrafen möjliggör sådan behandling av känsliga personuppgifter som är oundviklig för de offentliga utbildnings- anordnarna på grund av tryckfrihetsförordningens, offentlighets- och sekretesslagens och förvaltningslagens (1986:223) bestämmelser om allmänna handlingar, diarieföring och skyldighet att ta emot e-post. Övervägandena finns i avsnitt 6.4.5. 19 d § Utöver vad som följer av 19 b och 19 c §§ får känsliga person- uppgifter med stöd av artikel i dataskyddsförordningen behandlas av en utbildningsanordnare i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otill- börligt intrång i den registrerades personliga integritet. Paragrafen, som är ny, har motsvarande utformning som 3 kap. 3 § 3 dataskyddslagen. För de offentliga utbildningsanordnarna tar bestämmelsen över nämnda bestämmelse i dataskyddslagen. Över- vägandena finns i avsnitt 6.4.5. Bestämmelsen möjliggör behandling av känsliga personuppgifter hos en utbildningsanordnare i enstaka fall även i situationer då det saknas en koppling till ett visst ärende eller behandlingen inte direkt krävs enligt annan lag. Så kan exempelvis vara fallet i den faktiska verksamheten när beslutade stödåtgärder på olika sätt ska verkställas. Kravet på att behandlingen ska vara absolut nödvändig för syftet med behandlingen innebär att regleringen ska tillämpas restriktivt och inte möjliggöra upprepad, omfattande, strukturell eller storskalig behandling. Det innebär också ett krav på att behovet av att behandla den känsliga personuppgiften i det enskilda fallet ska prövas noga mot ändamålet med behandlingen. Vidare ställer bestämmelsen krav på att ytterligare en avvägning ska göras för att behandling av känsliga personuppgifter ska få ske i det enskilda fallet, nämligen om en i och för sig absolut nödvändig behandling av känsliga personuppgifter ändå innebär ett otillbörligt intrång i den registrerades integritet.