bet · H501UbU28 · 2018-06-14 00:00:00 — Behandling av personuppgifter på utbildningsområdet Utskottet ställer sig bakom regeringens förslag till lag om ändring i lagen om tillstånd att utfärda vissa examina, lag om ändring i lagen om , lag om ändring i studiestödsdatalagen och lag om ändring i skollagen. De lagändringar som utskottet tillstyrker innebär kompletteringar och anpassningar till – och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) – den lag som föreslås i propositionen Ny dataskyddslag (prop. 2017/18:105) med kompletterande bestämmelser till EU:s dataskyddsförordning – föreskrifter som meddelas med stöd av den lagen. De kompletterande bestämmelser som föreslås syftar till att möjliggöra en fortsatt ändamålsenlig behandling av personuppgifter på utbildningsområdet som den enskildes fri- och rättigheter skyddas, oavsett om behandlingen utförs av offentliga eller enskilda aktörer. Lagändringarna föreslås träda i kraft . Utskottet anser att bör avslå motionsyrkandena. I betänkandet finns två reservationer (V). Proposition 2017/18:218 Behandling av personuppgifter på utbildningsområdet. Två yrkanden i en följdmotion. Utskottets förslag till riksdagsbeslut Ärendet och dess beredning Behandling av personuppgifter på utbildningsområdet Kvalitetsmärkning av säkra appar och molntjänster för elever 1.Kvalitetsmärkning av säkra appar och molntjänster för elever, punkt 2 (V) 2.Konsekvenser för studentkårerna, punkt 3 (V) Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut Behandling av personuppgifter på utbildningsområdet antar regeringens förslag till 1. lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina, 2. lag om ändring i lagen (2009:128) om , 3. lag om ändring i studiestödsdatalagen (2009:287), 4. lag om ändring i skollagen (2010:800). Därmed bifaller proposition 2017/18:218 punkterna 1–4. Kvalitetsmärkning av säkra appar och molntjänster för elever 2017/18:4130 av m.fl. (V) yrkande 1. Reservation 1 (V) 2017/18:4130 av m.fl. (V) yrkande 2. Reservation 2 (V) Följande ledamöter har deltagit i beslutet: (S), (L), (M), (S), (M), (S), (SD), (M), (S), i (C), (MP), (M), (S), (SD), (V), (KD) och (S). Ärendet och dess beredning I betänkandet behandlar utskottet regeringens proposition 2017/18:218 Behandling av personuppgifter på utbildningsområdet. De behandlade förslagen finns i bilaga 1 och regeringens lagförslag i bilaga 2. Dataskyddsdirektivet ska ersättas av en dataskyddsförordning När myndigheter och enskilda behandlar personuppgifter inom utbildningsområdet sker det i huvudsak med stöd av personuppgiftslagen (1998:204), förkortad PUL. Med utbildningsområdet avses bl.a. skolväsendet och annan verksamhet som regleras i skollagen (2010:800), den verksamhet som bedrivs av universitet och högskolor, , folkbildningen och studiestödet. PUL är en lag som har tillkommit i syfte att genomföra och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Sedan dataskyddsdirektivet beslutades har den ekonomiska och sociala integrationen på EU:s inre marknad lett till en betydande ökning av gränsöverskridande flöden av personuppgifter. Vidare har den snabba tekniska utvecklingen och globaliseringen skapat nya utmaningar i fråga om skyddet av personuppgifter. Dessa förändringar har av EU:s medlemsstater ansetts kräva en stark och mer sammanhängande ram för dataskyddet inom EU. Dataskyddsdirektivet har inte heller förhindrat bristande enhetlighet i genomförandet och tillämpningen av dataskyddet i olika delar av unionen. Skillnader i nivån på skyddet av personuppgifter har ansetts förhindra det fria flödet av personuppgifter och anses därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, snedvrida konkurrensen och hindra myndigheterna från att fullgöra sina skyldigheter enligt unionsrätten. Av bl.a. ovan nämnda skäl antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Förordningen började tillämpas och syftar till att säkerställa en enhetlig skyddsnivå över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Den syftar närmare till att skapa rättslig säkerhet och öppenhet för ekonomiska aktörer, ge fysiska personer i alla medlemsstater samma rättigheter och skyldigheter och ålägga dem som ansvarar för personuppgifterna samma ansvar. På så sätt avses övervakningen av behandling av personuppgifter bli enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt (skäl 10 och 13 till dataskyddsförordningen). Dataskyddsförordningen har ett begränsat tillämpningsområde. Vid sidan av dataskyddsförordningen gäller och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Dataskyddsförordningen tillämpas fr.o.m. då dataskyddsdirektivet upphör att gälla (artikel 99.2 och 94.1 i dataskyddsförordningen). Dataskyddsförordningen ersätter alltså dataskyddsdirektivet. Denna förändring innebär att PUL upphävs och att det även i övrigt kommer att behöva göras ändringar i svensk rätt. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna men kan kompletteras i nationell rätt Dataskyddsförordningen är till alla delar bindande och direkt tillämplig i medlemsstaterna (artikel 99.2 i dataskyddsförordningen). Till skillnad från EU-direktiv ska alltså EU-förordningar inte genomföras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser. Även om dataskyddsförordningen är direkt tillämplig i medlemsstaterna, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Sådana bestämmelser måste dock vara förenliga med dataskyddsförordningen och avse en fråga som får regleras genom nationell rätt. Dataskyddsförordningen ska kompletteras av en ny svensk övergripande lag och förordning om dataskydd Till följd av att dataskyddsdirektivet upphävs och ersätts av dataskyddsförordningen beslutade regeringen propositionen Ny dataskyddslag (prop. 2017/18:105). I propositionen, som baseras på (SOU 2017:39), föreslogs att PUL skulle upphävas. I stället samlas bestämmelser som kompletterar dataskyddsförordningen och är av generell karaktär i en ny övergripande lag om dataskydd. För att betona att lagen inte är heltäckande, utan endast utgör komplement till dataskyddsförordningen, föreslogs den i propositionen benämnas lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Den nya lagen förkortas i det följande dataskyddslagen. Lagen trädde i kraft (prop. 2017/18:105, bet. 2017/18:KU23, rskr. 2017/18:224). Dataskyddslagen innehåller bl.a. bestämmelser som upplyser om innehållet i dataskyddsförordningen, förtydligar innehållet i dataskyddsförordningens bestämmelser och kompletterar dataskyddsförordningen i vissa delar. Det anges också att bestämmelser i annan lag eller förordning som rör behandling av personuppgifter och som avviker från dataskyddslagen ska ha företräde framför dataskyddslagen (1 kap. 6 § dataskyddslagen), dvs. dataskyddslagen är subsidiär till andra författningar. Enligt 2 kap. 2 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Dataskyddsförordningen behöver även kompletteras genom svenska bestämmelser på utbildningsområdet Regeringen beslutade att tillkalla en särskild utredare som bl.a. fick i uppdrag att undersöka vilken reglering av personuppgiftsbehandling inom utbildningsområdet som är möjlig och kan behövas utöver dels regleringen i dataskyddsförordningen, dels den generella reglering som (Ju 2016:04) hade i uppdrag att föreslå med anledning av dataskyddsförordningen. Den nya utredningen, som tog sig namnet (U 2016:03), överlämnade betänkandet EU:s dataskyddsförordning och utbildningsområdet (SOU 2017:49). I betänkandet föreslog utredningen kompletterande bestämmelser om personuppgiftsbehandling i lagen (1993:792) om tillstånd att utfärda vissa examina, lagen (2009:128) om , studiestödsdatalagen (2009:287) och skollagen (2010:800). Betänkandet har remissbehandlats (U2017/02586/RS). Regeringen beslutade att inhämta Lagrådets yttrande över lagförslagen. I förhållande till lagrådsremissens lagförslag har vissa språkliga och redaktionella ändringar gjorts. Förslaget till följdändring i 1 kap. 12 § skollagen (2010:800) är författningstekniskt och även i övrigt av sådan beskaffenhet att Lagrådets hörande skulle sakna betydelse. Regeringen har därför inte inhämtat Lagrådets yttrande över det förslaget. Propositionen innehåller förslag till lagändringar på utbildningsområdet som innebär kompletteringar och anpassningar till – och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) – den lag som förslås i propositionen Ny dataskyddslag (prop. 2017/18:105) med kompletterande bestämmelser till EU:s dataskyddsförordning – föreskrifter som meddelas med stöd av den lagen. De kompletterande bestämmelser inom utbildningsområdet som föreslås i propositionen syftar till att möjliggöra en fortsatt ändamålsenlig behandling av personuppgifter på detta område som den enskildes fri- och rättigheter skyddas, oavsett om behandlingen utförs av offentliga eller enskilda aktörer. – lagen (1993:792) om tillstånd att utfärda vissa examina – lagen (2009:128) om – studiestödsdatalagen (2009:287) – skollagen (2010:800). Lagändringarna föreslås träda i kraft . Denna del av betänkandet är disponerad så att utskottet inleder med att behandla regeringens lagförslag. Slutligen behandlas motionsyrkanden som samtliga innehåller förslag på tillkännagivanden till regeringen i frågor som anknyter till lagförslagen. Behandling av personuppgifter på utbildningsområdet Utskottets förslag i korthet antar regeringens förslag om att det ska införas bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser på utbildningsområdet i skollagen, lagen om tillstånd att utfärda vissa examina och lagen om . antar även regeringens övriga förslag bl.a. om att vissa ytterligare anpassningar till dataskyddsförordningen ska göras i studiestödsdatalagen, att förhållandet till annan dataskyddsreglering ska framgå av sektorslagstiftningen och att hänvisningar till dataskyddsförordningen ska vara dynamiska. Lagändringarna föreslås träda i kraft . I propositionen beskrivs vilken kompletterande reglering som behövs i svensk rätt för att känsliga personuppgifter och uppgifter om lagöverträdelser ska kunna behandlas på utbildningsområdet i den utsträckning som är nödvändigt. Placering av kompletterande bestämmelser om personuppgiftsbehandling Regeringen föreslår att kompletterande bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser på utbildningsområdet ska införas i ett nytt kapitel i skollagen, i lagen om tillstånd att utfärda vissa examina och i lagen om . I skälen för regeringens förslag framgår att regeringen anser att det är lämpligt att kompletterande bestämmelser som ger stöd för att behandla känsliga personuppgifter eller personuppgifter om lagöverträdelser inom det skollagsreglerade området, inom högskolan och inom förs in på samma normhierarkiska nivå och i den författning som i huvudsak reglerar den aktuella verksamheten och varigenom den rättsliga grunden i huvudsak fastställs. Regeringen gör bedömningen att detta bör underlätta för tillämparna. Kompletterande bestämmelser om känsliga personuppgifter ska föras in i skollagen I propositionen framgår att det finns behov av behandling av känsliga personuppgifter på det skollagsreglerade området. Det kan t.ex. gälla utredningar om särskilt stöd och åtgärdsprogram (7 kap. 8 och 9 §§ skollagen) och anmälningar och utredningar om kränkande behandlingar (6 kap. 10 § skollagen). En fristående förskola eller fristående skola kan i en ansökan om tilläggsbelopp för elever som har ett omfattande behov av särskilt stöd, eller vid överklagande av ett beslut om ett sådant tilläggsbelopp, behöva behandla uppgifter om elevens hälsa för att kunna styrka behovet av särskilt stöd (t.ex. 9 kap. 21 §, 10 kap. 39 § och 28 kap. 5 § skollagen). Behandling av känsliga personuppgifter som är nödvändig för en hantering som motsvarar handläggningen av ett ärende ska tillåtas Regeringen föreslår att en enskild huvudman inom skolväsendet eller en enskild aktör som bedriver verksamhet inom en särskild utbildningsform eller annan pedagogisk verksamhet med stöd av artikel i EU:s dataskyddsförordning ska få behandla känsliga personuppgifter, om behandlingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet. I skälen för regeringens förslag framgår att det föreslås en bestämmelse i dataskyddslagen om att myndigheter får behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § första stycket 2 dataskyddslagen). Bestämmelsen i dataskyddslagen innebär att förskolor, skolor och vuxenutbildningsenheter som drivs av kommuner, landsting eller staten även fortsättningsvis kommer att kunna behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende. För dessa huvudmän krävs således ingen ytterligare reglering för att kunna behandla känsliga personuppgifter i detta avseende. Detsamma gäller för en hemkommuns möjlighet att behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende. De enskilda huvudmännen har, i de fall det är relevant och nödvändigt, samma behov av att kunna behandla känsliga personuppgifter i sina ärenden som de offentliga huvudmännen. Syftet med den föreslagna bestämmelsen är att enskilda huvudmän ska kunna behandla känsliga personuppgifter när så behövs för att de ska kunna uppfylla sina skyldigheter enligt skollagen och anslutande föreskrifter. Då bestämmelsen bara tillåter huvudmännen att behandla sådana uppgifter då behandlingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet anser regeringen att bestämmelsen står i proportion till det eftersträvade syftet. Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång Regeringen föreslår att en enskild huvudman inom skolväsendet eller en enskild aktör som bedriver verksamhet inom en särskild utbildningsform eller annan pedagogisk verksamhet, med stöd av artikel i EU:s dataskyddsförordning även ska få behandla känsliga personuppgifter i annat fall, om behandlingen är nödvändig i verksamheten och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. I skälen för regeringens förslag hänvisar regeringen till att det i 3 kap. 3 § första stycket 3 förslaget till en ny dataskyddslag föreslås att en myndighet, utöver behandling av känsliga personuppgifter som krävs enligt lag eller som är nödvändig för handläggningen av ett ärende, även i annat fall ska få behandla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet (Prop. Ny dataskyddslag [2017/18:105]). Regeringen anser att anordnande och bedrivande av utbildning utgör ett sådant viktigt allmänt intresse som avses i artikel i dataskyddsförordningen. Som exempel på när bestämmelsen i dataskyddslagen kan vara tillämplig anges också faktisk verksamhet, såsom i kommunikation mellan skola och föräldrar (propositionen Ny dataskyddslag, prop. 2017/18:108 s. 88). Vid sådan kommunikation kan det enligt regeringen t.ex. finnas behov av att behandla känsliga personuppgifter om barnets hälsa. Ett annat exempel på när bestämmelsen kan vara tillämplig är vid behandling av uppgifter om behov av specialkost på grund av allergi eller religiös övertygelse. Även inom t.ex. elevhälsans psykosociala och specialpedagogiska insatser kan det förekomma situationer när bestämmelsen är tillämplig. Bestämmelsen i dataskyddslagen är tillämplig på verksamhet och verksamhet vars huvudman är staten, ett landsting eller en kommun. De enskilda huvudmännen och privata aktörerna som bedriver utbildningsverksamhet enligt skollagen har enligt regeringen samma behov av att kunna behandla känsliga personuppgifter som de offentliga huvudmännen. Det ska vara förbjudet att utföra vissa sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter Regeringen föreslår att det ska vara förbjudet för en enskild huvudman inom skolväsendet eller en enskild aktör som bedriver verksamhet inom en särskild utbildningsform eller annan pedagogisk verksamhet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Enligt förslaget ska regeringen få meddela föreskrifter om undantag från sökbegränsningen i skollagen och i dataskyddslagen i fråga om personuppgifter om hälsa i verksamhet hos en huvudman för grundsärskolan, specialskolan, gymnasiesärskolan, särskild utbildning för vuxna, gymnasieskola med Rh-anpassad utbildning, utbildning i gymnasieskolan för elever som är döva, hörselskadade eller dövblinda eller har en språkstörning, och förskolan, förskoleklassen eller en skola som har begränsats till att avse elever som är i behov av särskilt stöd. Regeringen ska också få meddela föreskrifter om undantag från sökbegränsningen i dataskyddslagen i fråga om personuppgifter om etniskt ursprung i verksamhet hos en huvudman för sameskolan och hälsa och etniskt ursprung i verksamhet hos en kommun. I skälen för regeringens förslag framgår att det i 3 kap. 3 § andra stycket dataskyddslagen föreslås en skyddsåtgärd som innebär ett förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Sökbegränsningen gäller för myndigheter vid tillämpningen av 3 kap. 3 § första stycket dataskyddslagen, dvs. det är ett förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter vid behandling som krävs enligt lag, vid behandling som är nödvändig för handläggningen av ett ärende och vid behandling i annat fall om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. I propositionen framgår att regeringen anser att även enskilda huvudmän och aktörer enligt 24 och 25 kap. skollagen ska kunna behandla vissa känsliga personuppgifter. De skäl som finns för att sökbegränsningar ska gälla för myndigheter gör sig enligt regeringen även gällande för enskilda huvudmän och nämnda enskilda aktörer. En sökbegränsning bör därför införas i skollagen. Kompletterande bestämmelser om känsliga personuppgifter ska föras in i lagen om tillstånd att utfärda vissa examina I propositionen framgår att det finns behov av att behandla känsliga personuppgifter på högskoleområdet. Både statliga högskolor och enskilda utbildningsanordnare kan behöva behandla känsliga personuppgifter i olika sammanhang. Bland annat finns det behov av behandling av känsliga personuppgifter i ärenden om anpassning av högskoleprovet, vid antagningsförfarandet och i ärenden om särskilt pedagogiskt stöd, trakasserier, disciplinära åtgärder och avskiljande. Behandling av känsliga personuppgifter som är nödvändiga för en hantering som motsvarar handläggning av ett ärende ska tillåtas Regeringen föreslår att enskilda utbildningsanordnare ska få behandla känsliga personuppgifter om behandlingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet. I skälen för regeringens förslag framgår att enligt propositionen Ny dataskyddslag är myndighetsutövning och övriga uppgifter av allmänt intresse som myndigheter har befogenhet att utföra alltid fastställda i enlighet med svensk rätt. Behandling av personuppgifter kan därmed ske på denna rättsliga grund. Enligt regeringens bedömning i den propositionen står det också klart att det är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt (prop. 2017/18:105 s. 87). I dataskyddslagen finns en bestämmelse om att myndigheter får behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § första stycket 2 dataskyddslagen). Bestämmelsen i dataskyddslagen möjliggör för statliga högskolor att, i den mån det är nödvändigt, även fortsättningsvis kunna behandla känsliga personuppgifter, såsom ärenden om anpassning av högskoleprov, antagning, särskilt pedagogiskt stöd, trakasserier, disciplinära åtgärder och avskiljande. Någon ytterligare reglering krävs därmed inte för att statliga högskolor ska få behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende. I propositionen framhåller regeringen att motsvarande behov av hantering kan finnas hos enskilda utbildningsanordnare. I dessa fall har enskilda utbildningsanordnare, förutsatt att det är relevant och nödvändigt, således samma behov av att kunna behandla känsliga personuppgifter som de statliga högskolorna. Regeringen anser att det är fråga om behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse. Förslaget i dataskyddslagen omfattar dock inte enskilda utbildningsanordnare. Regeringen föreslår därför att det i lagen om tillstånd att utfärda vissa examina ska införas en bestämmelse för enskilda utbildningsanordnare som så långt som möjligt motsvarar dataskyddslagens bestämmelse om ärendehandläggning. Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång Regeringen föreslår att en enskild utbildningsanordnare med stöd av artikel i EU:s dataskyddsförordning även ska få behandla känsliga personuppgifter i annat fall, om behandlingen är nödvändig i verksamheten och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. I skälen för regeringens förslag framgår det av 3 kap. 3 § första stycket 3 dataskyddslagen att en myndighet utöver behandling av känsliga personuppgifter som krävs enligt lag eller som är nödvändig för handläggningen av ett ärende, även i annat fall ska få behandla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Regeringen anser att anordnande och bedrivande av utbildning utgör ett sådant viktigt allmänt intresse som avses i artikel i dataskyddsförordningen. Bestämmelsen i dataskyddslagen kan därmed tillämpas av statliga högskolor. Även för enskilda utbildningsanordnare kan behandling av känsliga personuppgifter vara nödvändig i vissa fall när det saknas koppling till ett visst ärende.