bet · H501UbU28 · 2018-06-14 00:00:00 — Regeringen anser därför att det ska införas en bestämmelse i lagen om tillstånd att utfärda vissa examina som ger enskilda utbildningsanordnare som omfattas av lagen möjlighet att med stöd av artikel i dataskyddsförordningen behandla känsliga personuppgifter i motsvarande fall. Regeringens uppfattning är att en bestämmelse som möjliggör för enskilda utbildningsanordnare att behandla känsliga personuppgifter i annat fall om det är nödvändigt av hänsyn till ett viktigt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet, i t.ex. faktisk verksamhet som undervisning, står i proportion till det eftersträvade syftet. En bestämmelse med sådana starkt begränsande rekvisit tillgodoser enligt regeringen dataskyddsförordningens krav på proportionalitet och skyddsåtgärder. Det ska vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter Regeringen föreslår att det ska vara förbjudet för enskilda utbildningsanordnare att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. I 3 kap. 3 § andra stycket dataskyddslagen finns en skyddsåtgärd som innebär ett förbud mot att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Sökbegränsningen gäller för myndigheter vid tillämpningen av samtliga bestämmelser om behandling av känsliga personuppgifter i 3 kap. 3 § första stycket dataskyddslagen, dvs. vid behandling som krävs enligt lag, vid behandling som är nödvändig för handläggningen av ett ärende och vid behandling i annat fall om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. Sökbegränsningen omfattar därmed statliga högskolor som är myndigheter, men inte merparten av de enskilda utbildningsanordnarna eftersom dessa inte omfattas av bestämmelserna om allmänna handlingar och sekretess. De skäl som finns för att sökbegränsningar ska gälla för myndigheter, såsom statliga högskolor, gör sig dock gällande även för enskilda utbildningsanordnare. Regeringen föreslår därför att en motsvarande bestämmelse som innebär förbud mot att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter ska införas även för samtliga enskilda utbildningsanordnare. Kompletterande bestämmelser om känsliga personuppgifter ska införas i lagen om I propositionen framgår att det finns behov av att behandla känsliga personuppgifter inom och annan eftergymnasial utbildning i samband med stödåtgärder och trakasserier, i ärenden om anstånd med att påbörja studier, studieuppehåll och avskiljande från utbildningen och vid uppfyllandet av offentlighetsprincipen. Behandling av känsliga personuppgifter som är nödvändiga för en hantering som motsvarar handläggning av ett ärende ska tillåtas Regeringen föreslår att en enskild utbildningsanordnare inom ska få behandla känsliga personuppgifter om behandlingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet. I skälen för regeringens förslag framgår att det föreslås en bestämmelse i dataskyddslagen om att myndigheter får behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § första stycket 2 dataskyddslagen). Bestämmelsen i dataskyddslagen möjliggör för offentliga utbildningsanordnare inom att, i den mån det är nödvändigt, även fortsättningsvis kunna behandla känsliga personuppgifter i ärenden om t.ex. särskilt pedagogiskt stöd, i ärenden om statsbidrag eller särskilda medel för kostnader för särskilt pedagogiskt stöd samt i ärenden om trakasserier, sexuella trakasserier och avskiljande från utbildningen. Någon ytterligare reglering krävs därmed inte för att offentliga utbildningsanordnare inom ska få behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende. Regeringen framhåller att motsvarande behov av behandling även kan finnas hos de enskilda utbildningsanordnarna inom och enskilda anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Dessa utbildningsanordnare har därmed, förutsatt att det är relevant och nödvändigt, samma behov av att kunna behandla känsliga personuppgifter som de offentliga utbildningsanordnarna inom . Regeringen anser att det även i detta fall är fråga om behandling som är nödvändig med hänsyn till ett viktigt allmänt intresse. Dataskyddslagen omfattar dock inte enskilda utbildningsanordnare. Regeringen föreslår därför att det i lagen om införs en bestämmelse för enskilda utbildningsanordnare inom som motsvarar dataskyddslagens bestämmelse för ärendehandläggning för myndigheter. Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång Regeringen föreslår att en enskild utbildningsanordnare inom med stöd av artikel i EU:s dataskyddsförordning även ska få behandla känsliga personuppgifter i annat fall, om behandlingen är nödvändig i verksamheten och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. I skälen för regeringens förslag framgår att det föreslås en bestämmelse i dataskyddslagen om att en myndighet, utöver behandling av känsliga personuppgifter som krävs enligt lag eller som är nödvändig för handläggningen av ett ärende, även i annat fall ska få behandla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket 3). Regeringen anser att anordnande och bedrivande av utbildning utgör ett sådant viktigt allmänt intresse som avses i artikel i dataskyddsförordningen. Bestämmelsen i dataskyddslagen kan därmed tillämpas av offentliga utbildningsanordnare inom . När det gäller deras behandling av känsliga personuppgifter kan bestämmelsen vara tillämplig t.ex. när beslut att bevilja särskilt pedagogiskt stöd ska verkställas. Även för enskilda utbildningsanordnare inom och anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan behandling av känsliga personuppgifter vara nödvändig i vissa fall när det inte är fråga om handläggningen av ett ärende. Exempelvis tillhandahåller även dessa utbildningsanordnare särskilt pedagogiskt stöd. De har därmed samma behov som offentliga utbildningsanordnare inom att behandla känsliga personuppgifter även när det inte är fråga om ärendehandläggning. Regeringen anser därför att det ska införas en bestämmelse i lagen om som möjliggör även för enskilda utbildningsanordnare inom att med stöd av artikel i dataskyddsförordningen behandla känsliga personuppgifter i motsvarande fall som myndigheter. Det ska vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter Regeringen föreslår att det ska vara förbjudet för enskilda utbildningsanordnare inom att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. I skälen för regeringens förslag framgår att det föreslås en bestämmelse i dataskyddslagen om att det ska införas en skyddsåtgärd som innebär ett förbud mot att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter (3 kap. 3 § andra stycket dataskyddslagen). Sökförbudet gäller för myndigheter vid tillämpningen av samtliga de bestämmelser om behandling av känsliga personuppgifter som finns i 3 kap. 3 § första stycket dataskyddslagen, dvs. vid behandling som krävs enligt lag, vid behandling som är nödvändig för handläggningen av ett ärende och vid behandling i enstaka fall om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. Eftersom sökförbudet gäller myndigheter omfattar det offentliga utbildningsanordnare inom , men inte enskilda utbildningsanordnare inom och anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. De skäl som finns för att sökförbudet ska gälla för myndigheter, såsom offentliga utbildningsanordnare inom , gör sig dock gällande även för enskilda utbildningsanordnare inom . Regeringen föreslår därför att en motsvarande bestämmelse som innebär att enskilda utbildningsanordnare inom inte får utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter ska införas i lagen om . Dataskyddsförordningen tillåter bara behandling av personuppgifter som rör lagöverträdelser i vissa fall Enligt dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet (artikel 10). Kompletterande bestämmelser om lagöverträdelser ska införas i skollagen I propositionen anges att det i samband med att disciplinära eller andra särskilda åtgärder, t.ex. avstängning, behöver vidtas enligt 5 kap. skollagen i vissa fall kan vara nödvändigt att behandla en uppgift om bl.a. lagöverträdelser. Ett exempel kan vara i ett ärende om avstängning av en narkotikapåverkad elev som dyker upp i skolan och är farlig för sig själv eller andra. I detta sammanhang skulle det, om eleven har dömts för t.ex. ringa narkotikabrott, kunna bli aktuellt att även anteckna den uppgiften. Även inom elevhälsan skulle det kunna uppstå situationer där det finns ett berättigat behov av att i löpande text behandla en uppgift om en lagöverträdelse. Datainspektionen har också genom föreskrifter möjliggjort för den elevvårdande verksamheten i fristående skolor att i anteckningar behandla uppgifter om bl.a. lagöverträdelser (1 § b Datainspektionens föreskrifter om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. [1998:3] som ändrats genom 2010:1). Behandling av personuppgifter som rör lagöverträdelser ska tillåtas i vissa fall Regeringen föreslår att det ska anges i skollagen att personuppgifter om lagöverträdelser som avses i artikel 10 i EU:s dataskyddsförordning ska få behandlas i verksamhet hos en huvudman för en fristående skola dels i elevhälsan i löpande text, dels i skriftlig dokumentation som ska föras om disciplinära och andra särskilda åtgärder enligt skollagen. Behandlingen ska vara tillåten om den är nödvändig och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. I skälen för regeringens förslag framgår bl.a. följande. Av artikel 10 i dataskyddsförordningen följer att uppgifter om lagöverträdelser får behandlas om det sker under kontroll av en myndighet, vilket enligt regeringens bedömning i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 99) innebär att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter som rör lagöverträdelser. Enligt förslaget i den propositionen har det i 3 kap. 8 § dataskyddslagen förtydligats att myndigheter får behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen. Inom utbildning med offentlig huvudman kommer alltså personuppgifter som rör lagöverträdelser att kunna behandlas. Någon motsvarande möjlighet att behandla uppgifter om lagöverträdelser som omfattar enskilda skolhuvudmän föreslås dock inte i dataskyddslagen. Regeringen framhåller att behovet av att behandla uppgifter om lagöverträdelser dock är detsamma hos enskilda skolhuvudmän som hos offentliga, då det omfattas av samma regelverk i skollagen. Exempelvis kan nämnas att bestämmelser om tillfällig omplacering och avstängning i 5 kap. skollagen tar sikte på bl.a. övriga elevers trygghet och studiero. Det måste därmed anses vara lika angeläget att det i fristående skolor är möjligt att behandla personuppgifter som rör lagöverträdelser i dessa sammanhang som i skolor med offentlig huvudman. Regeringen anser därför att det bör införas en bestämmelse i skollagen som möjliggör att hos huvudmän för fristående skolor behandla personuppgifter som rör lagöverträdelser dels i elevhälsan, dels i skriftlig dokumentation som ska föras om disciplinära och andra särskilda åtgärder enligt 5 kap. 24 § skollagen. En bestämmelse som gör det möjligt att i fristående skolor behandla personuppgifter som rör lagöverträdelser måste, enligt artikel 10 i dataskyddsförordningen, omfattas av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. En sådan bestämmelse bör därför bestå av rekvisit som betonar att det är fråga om en restriktiv tillämpning där en noggrann avvägning behöver göras mellan behovet av behandling och intrånget i den enskildes integritet. Behandling av personuppgifter som rör lagöverträdelser bör enligt regeringens uppfattning därför tillåtas om det är nödvändigt för dokumentation i löpande text inom elevhälsan och dokumentation av vidtagna disciplinära och andra särskilda åtgärder, under förutsättning att behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. På detta sätt skapas en möjlighet för dels elevhälsan, dels huvudman, rektor och lärare att, när de har en skyldighet enligt 5 kap. 24 § skollagen att dokumentera åtgärder, behandla nödvändiga uppgifter om t.ex. fällande domar som den enskilda elevens integritet skyddas genom att bestämmelsen ska tillämpas restriktivt. En bestämmelse med sådana begränsande rekvisit får anses uppfylla kraven i artikel 10 i dataskyddsförordningen och bör därför införas. Kompletterande bestämmelser om lagöverträdelser ska införas i lagen om tillstånd att utfärda vissa examina I propositionen framgår att det finns behov av behandling av personuppgifter som rör lagöverträdelser på högskoleområdet. En student vid en statlig högskola får under vissa förutsättningar avskiljas från utbildningen. En sådan grund för avskiljande är att studenten har gjort sig skyldig till allvarlig brottslighet (4 kap. 6 § högskolelagen och förordningen [2007:989] om avskiljande av studenter från högskoleutbildning). Detta medför att statliga högskolor kan behöva behandla personuppgifter som rör fällande domar i brottmål i utredningar och ärenden om avskiljande. Vidare finns det samma behov hos enskilda utbildningsanordnare att ha motsvarande regler om disciplinära åtgärder och avskiljande som statliga högskolor. Behandling av personuppgifter som rör fällande domar i brottmål ska tillåtas i ärenden om avskiljande från utbildning Regeringen föreslår att det ska anges i lagen om tillstånd att utfärda vissa examina att enskilda utbildningsanordnare får behandla personuppgifter som rör fällande domar i brottmål om behandlingen är nödvändig för en hantering som motsvarar handläggning av ett ärende hos en myndighet om att avskilja en student från utbildning. I skälen för regeringens förslag framgår att det enligt 3 kap. 8 § dataskyddslagen har förtydligats att myndigheter får behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen, dvs. personuppgifter som rör fällande domar i brottmål samt lagöverträdelser. Statliga högskolor kommer alltså att kunna behandla personuppgifter om fällande domar i ärenden om avskiljande av studenter från utbildningen. Enligt regeringen betyder inte frånvaron av offentligrättslig reglering om avskiljande av studenter för enskilda utbildningsanordnare att frågan är av underordnad betydelse för deras del. Regeringen framhåller att flera enskilda utbildningsanordnare har en egen disciplinstadga eller liknande. Vidare tar bestämmelser om avskiljande sikte på bl.a. övriga studenters och utbildningsanordnarnas arbetstagares och studenters säkerhet. Det måste därmed enligt regeringen anses vara lika angeläget att enskilda utbildningsanordnare har möjlighet att behandla personuppgifter som rör fällande domar i brottmål i deras motsvarighet till ärenden om avskiljande. Regeringen föreslår därför att en bestämmelse som möjliggör detta införs i lagen om tillstånd att utfärda vissa examina. Eftersom det inte har identifierats något behov för de enskilda utbildningsanordnarna att behandla andra slags personuppgifter som avses i artikel 10 i dataskyddsförordningen, anser regeringen att bestämmelsen bör begränsas till att avse fällande domar i brottmål. En bestämmelse som möjliggör för enskilda utbildningsanordnare att behandla personuppgifter som rör fällande domar i brottmål måste dock omfattas av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter (artikel 10 i dataskyddsförordningen). Regeringens uppfattning är att den snäva avgränsning som endast ger möjlighet för enskilda utbildningsanordnare att behandla personuppgifter om fällande domar i brottmål i ett specifikt ärendeslag, dvs. avskiljande från utbildningen, utgör en sådan skyddsåtgärd som avses i artikel 10 dataskyddsförordningen. Kompletterande bestämmelser om lagöverträdelser ska införas i lagen om I propositionen framgår att det finns behov av behandling av personuppgifter som rör lagöverträdelser i och annan eftergymnasial utbildning. Studerande inom som bedrivs av offentliga utbildningsanordnare får under vissa förutsättningar avskiljas från utbildningen. En sådan grund för avskiljande är att studenten har gjort sig skyldig till allvarlig brottslighet (19 § lagen om ). Detta medför att offentliga anordnare av utbildning inom kan behöva behandla personuppgifter som rör fällande domar i brottmål i ärenden om avskiljande. Behandling av personuppgifter som rör lagöverträdelser m.m. ska tillåtas i ärenden om avskiljande från utbildning Regeringen föreslår att det ska anges i lagen om att enskilda utbildningsanordnare får behandla personuppgifter som rör fällande domar i brottmål om behandlingen är nödvändig för hantering som motsvarar handläggning av ett ärende om att avskilja en student från utbildning. I 3 kap. 8 § dataskyddslagen finns ett förtydligande om att myndigheter får behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen, dvs. personuppgifter som rör fällande domar i brottmål samt överträdelser. Offentliga anordnare av utbildning inom kommer alltså att kunna behandla personuppgifter om fällande domar i ärenden om avskiljande av studerande från utbildningen. Någon motsvarande möjlighet att behandla uppgifter om fällande domar för enskilda utbildningsanordnare inom eller utbildningsanordnare som omfattas av förordningen om stöd för konst- och kulturutbildningar eller vissa andra utbildningar finns dock inte i dataskyddslagen. Regeringen anser att en sådan bestämmelse behöver införas även för enskilda utbildningsanordnare inom . Vissa ytterligare anpassningar till dataskyddsförordningen ska göras i studiestödsdatalagen Regeringen föreslår att det ska anges i studiestödsdatalagen att artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt studiestödsdatalagen eller enligt föreskrifter som har meddelats i anslutning till lagen. I skälen för regeringens förslag framgår att enligt 5 § studiestödsdatalagen (2009:287) får behandling av personuppgifter, som enligt studiestödsdatalagen är tillåten utan den registrerades samtycke, utföras även om den registrerade motsätter sig behandlingen. Frågan är om bestämmelsen är förenlig med dataskyddsförordningen. Enligt regeringens uppfattning är den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen tillämplig på CSN:s behandling av personuppgifter inom studiestödsverksamheten. Den registrerade ska då ha rätt att göra invändningar mot behandlingar, och den personuppgiftsansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk (artikel 21.1 i dataskyddsförordningen). Det är enligt regeringen av stor betydelse att personuppgifter får behandlas i studiestödsverksamhet oberoende av den registrerades inställning. Den personuppgiftsansvarige får närmast undantagslöst anses kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet. Under sådana förhållanden och för att fullt ut säkerställa förutsättningarna för CSN att behandla relevanta personuppgifter bör den registrerade inte heller fortsättningsvis ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. En sådan begränsning måste anses utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Övriga förslag och bedömningar I propositionen finns även bl.a. förslag och bedömningar om att det ska göras vissa ytterligare anpassningar till dataskyddsförordningen i studiestödsdatalagen samt förslag om att förhållandet till annan dataskyddsreglering ska framgå av sektorslagstiftningen och att hänvisningar till dataskyddsförordningen ska vara dynamiska. Vidare finns förslag som är av lagteknisk karaktär. Regeringen föreslår att ändringarna i lagen om tillstånd att utfärda vissa examina, lagen om , studiestödsdatalagen och skollagen ska träda i kraft . I skälen för regeringens förslag framgår att enligt artikel 99.1 i dataskyddsförordningen träder förordningen i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde . Av artikel 99.2 följer att förordningen ska tillämpas fr.o.m. . I artikel 94 anges vidare att dataskyddsdirektivet ska upphöra att gälla med verkan fr.o.m. och att hänvisningar till det upphävda direktivet ska anses som hänvisningar till förordningen. I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås att dataskyddslagen ska träda i kraft och att personuppgiftslagen (1998:204) ska upphöra att gälla. Med hänsyn till ovanstående delar regeringen och uppfattning att även ändringarna i lagen (1993:792) om tillstånd att utfärda vissa examina, lagen (2009:128) om , studiestödsdatalagen (2009:287) och skollagen (2010:800) bör träda i kraft i anslutning till detta datum. Ett ikraftträdande föreslås därför , dvs. så snart som det bedöms möjligt med hänsyn till lagstiftningsprocessen. Utskottet kan konstatera att det behövs kompletterande reglering i svensk rätt för att känsliga personuppgifter och uppgifter om lagöverträdelser ska kunna behandlas på utbildningsområdet i den utsträckning som är nödvändigt. Utskottet instämmer i regeringens förslag om att det bör införas kompletterande bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser på utbildningsområdet i ett nytt kapitel i skollagen, i lagen om tillstånd att utfärda vissa examina och i lagen om . Utskottet instämmer även i att det behöver göras vissa ytterligare anpassningar till dataskyddsförordningen i studiestödsdatalagen och i regeringens övriga förslag och bedömningar. Med det anförda tillstyrker utskottet regeringens proposition. Utskottet övergår nu till att i de nästföljande avsnitten behandla motioner som innehåller begäranden om tillkännagivanden. Kvalitetsmärkning av säkra appar och molntjänster för elever Utskottets förslag i korthet avslår ett motionsyrkande om att man bör utreda inrättandet av en kvalitetsmärkning av säkra applikationer och molntjänster. Jämför reservation 1 (V). I kommittémotion 2017/18:4130 av m.fl. (V) yrkande 1 välkomnar motionären regeringens bedömning om att man ska ta fram en uppförandekod för användandet av personuppgifter inom utbildningsområdet.