prop · H503218 · 2018-04-10 00:00:00 — Liksom direktivet innehåller PUL bl.a. grundläggande krav på behand- ling av personuppgifter, när behandling av personuppgifter är tillåten, förbud mot behandling av känsliga personuppgifter och undantag från detta förbud, begränsningar i fråga om behandling av personuppgifter om lagöverträdelser m.m. och skyldighet att lämna information till den regi- strerade. De som i direktivet benämns som registeransvarig och register- förare motsvaras i PUL av personuppgiftsansvarig och personuppgifts- biträde (3 §). 4.6Likheter och skillnader mellan dataskydds- direktivet och dataskyddsförordningen Som nämnts baseras dataskyddsförordningen till stor del på dataskydds- direktivets struktur och innehåll. Precis som dataskyddsdirektivet, ska dataskyddsförordningen tillämpas på sådan behandling av person- uppgifter som helt eller delvis företas på automatisk väg och på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). 2017/18:218 Definitionerna av begreppen personuppgifter och behandling i data- skyddsförordningen har, jämfört med dataskyddsdirektivets definitioner, endast justerats något redaktionellt och kompletterats med något ytter- ligare exempel på vad som utgör personuppgifter respektive behandling (artikel 4 punkt 1 och 2 i dataskyddsförordningen). Definitionerna av personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen motsvarar definitionerna av registeransvarig och registerförare i dataskyddsdirektivet (artikel 4 punkt 7 och 8). I likhet med dataskyddsdirektivet innehåller dataskyddsförordningen grundläggande principer för behandling av personuppgifter som i stort sett är oförändrade, en reglering av när behandling av personuppgifter är tillåten, förbud mot behandling av känsliga personuppgifter och undantag från detta förbud i vissa fall, begränsningar i fråga om behandling av personuppgifter om lagöverträdelser m.m. och bestämmelser om infor- mation till den registrerade (t.ex. artikel 5, 6, 9 10 och 12–15.) Jämfört med dataskyddsdirektivet medför dock dataskyddsförord- ningen bl.a. följande förändringar. Det territoriella tillämpningsområdet utvidgas Dataskyddsförordningen ska i likhet med dataskyddsdirektivet tillämpas på behandling av personuppgifter som sker inom ramen för den verk- samhet som bedrivs av en personuppgiftsansvarig eller ett personupp- giftsbiträde som är etablerad i unionen. Vidare ska dataskyddsförord- ningen, i likhet med dataskyddsdirektivet, också tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerade i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten (artikel 3.1 och 3.3 i dataskyddsförordningen). En skillnad jämfört med dataskyddsdirektivets ordalydelse är dock att förordningen under vissa omständigheter även ska tillämpas på behand- ling av personuppgifter som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen. Detta gäller om behandlingen avser registrerade som befinner sig i unionen, under förut- sättning att behandlingen har anknytning till antingen utbjudande av varor eller tjänster till sådana registrerade i unionen eller övervakning av deras beteende, så länge beteendet sker inom unionen (artikel 3.2 i data- skyddsförordningen). De registrerades rättigheter förstärks Den registrerades rättigheter har förstärkts i dataskyddsförordningen i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har preciserats och utvidgats och det anges bl.a. uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form (artikel 12–23). Förordningen innebär även en förstärkning av rätten att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet (artikel 20). Vidare har en tydligare rätt till radering (”rätt att bli bortglömd”) införts (artikel 17). Ett krav på samtycke införs för situationer när informationssamhällets tjänster erbjuds barn När det gäller barn införs ett krav på att samtycke ges eller behandlingen godkänns av barnets vårdnadshavare när informationssamhällets tjänster erbjuds direkt till ett barn . Medlemsstaterna får dock före- skriva en lägre ålder, men inte under (artikel 8). I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås en åldersgräns (2 kap. 4 § dataskyddslagen). Barns särställning och särskilda utsatthet poängteras också på flera ställen i förordningen. En skyldighet att anmäla personuppgiftsincidenter införs Genom dataskyddsförordningen införs en skyldighet för den person- uppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en så kallad personuppgiftsincident, dvs. en säkerhetsincident som oavsikt- ligt påverkar behandlingen av personuppgifter. Även den registrerade ska informeras om incidenten om den sannolikt leder till en hög risk för enskildas rättigheter och friheter (artikel 33). Ett krav på konsekvensanalyser ersätter en allmän anmälningsskyldighet Genom dataskyddsförordningen införs även ett krav på konsekvens- analyser om en viss behandling sannolikt kommer att leda till hög risk för enskildas rättigheter eller skyldigheter (artikel 35). Den allmänna anmälningsskyldigheten till tillsynsmyndigheten tas däremot bort. Det finns ingen missbruksregel och vissa förändringar görs när det gäller de rättsliga grunderna för personuppgiftsbehandling När dataskyddsförordningen börjar tillämpas kommer den så kallade missbruksregeln i 5 a § PUL inte längre att finnas kvar. Såväl data- skyddsdirektivet som PUL innebär att behandling av personuppgifter förutsätter tillämpning av ett antal s.k. hanteringsregler. Missbruksregeln innebär att vissa av dessa hanteringsregler inte behöver tillämpas på be- handling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt under- lätta sökning efter eller sammanställning av personuppgifter. Detta gäller dock endast under förutsättning att behandlingen inte innebär en kränk- ning av den registrerades personliga integritet. Bestämmelsen har till- kommit för att förenkla regleringen om personuppgiftsbehandling och bestämmelsen har ett relativt vitt tillämpningsområde (jfr HFD 2015 ref 3). Någon motsvarighet till missbruksregeln finns dock inte i data- skyddsförordningen. Enligt dataskyddsförordningen är det vidare inte tillåtet för myndig- heter att, när de fullgör sina uppgifter, behandla personuppgifter med stöd av den rättsliga grund som utgår från en avvägning mellan de berättigade intressen som finns för behandlingen och den registrerades rättigheter och intressen (intresseavvägning, artikel 6.1 i data- skyddsförordningen). I skäl 43 till dataskyddsförordningen förtydligas också att utrymmet för att myndigheter ska kunna basera en behandling av personuppgifter på den rättsliga grunden samtycke är begränsat. Ett nytt krav är vidare att den rättsliga grund som personuppgifts- behandlingen stödjer sig på i vissa fall ska vara fastställd i enlighet med 2017/18:218 unionsrätten eller i nationell rätt. Detta gäller om behandlingen är nöd- vändig för att fullgöra en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Hur rättsliga för- pliktelser, uppgifter av allmänt intresse och myndighetsutövning fast- ställs i enlighet med svensk rätt förtydligas i 2 kap. 1–3 §§ i den före- slagna dataskyddslagen. Frågan om rättsliga grunder för behandling av personuppgifter på utbildningsområdet behandlas i avsnitt 9. Förändringar när det gäller känsliga personuppgifter och lagöverträdelser Det har också skett vissa ändringar i fråga om vilka uppgifter som om- fattas av förbudet mot behandling av känsliga personuppgifter och i fråga om vilka uppgifter om lagöverträdelser m.m. som får behandlas. Det redogörs närmare för dessa förändringar i avsnitt 13.1 och 14.1. Kompletterande nationella bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser samt personnummer och samordningsnummer föreslås i 3 kap. dataskyddslagen. Frågan om behandling av känsliga personuppgifter och uppgifter om lagöver- trädelser på utbildningsområdet behandlas i avsnitt 13 och 14. Förhållandet till offentlighetsprincipen blir tydligare Utrymmet för att ge offentlighetsprincipen företräde framför dataskydds- regleringen blir tydligare, genom en uttrycklig och direkt tillämplig be- stämmelse i artikel 86 i dataskyddsförordningen. Av bestämmelsen följer att personuppgifter i allmänna handlingar får lämnas ut i enlighet med nationell rätt, för att jämka samman allmänhetens rätt att få tillgång till handlingar med rätten till skydd för personuppgifter i enlighet med för- ordningen. Härigenom möjliggörs alltså en tillämpning av tryckfrihets- förordningens reglering om allmänhetens tillgång till handlingar när det gäller allmänna handlingar som innehåller personuppgifter. Ett tydlig- görande av bl.a. detta föreslås i 1 kap. 7 § dataskyddslagen. Administrativa sanktionsavgifter och andra åtgärder som syftar till en enhetlig tillämpning införs Genom förordningen införs ett nytt gemensamt system med admini- strativa sanktionsavgifter som ska tas ut vid vissa typer av överträdelser av förordningen. Kompletterande nationella bestämmelser om sanktions- avgifter föreslås i 6 kap. 2–7 §§ dataskyddslagen. Även på andra sätt innebär förordningen ett ökat fokus på en enhetlig tillämpning av data- skyddsreglerna inom EU, till exempel genom åtgärder som godkännande av uppförandekoder och certifiering. Det införs även en skyldighet för de nationella tillsynsmyndigheterna att samarbeta med varandra. Det införs också en ny princip om en enda kontaktpunkt, som ska underlätta för personuppgiftsansvariga som är verksamma i flera medlemsstater genom att de endast ska behöva vara i kontakt med en av de behöriga tillsyns- myndigheterna. Det införs även ett nytt unionsorgan, Europeiska data- skyddsstyrelsen, som får långtgående befogenheter att uttala sig om tolk- ningen av förordningen även i enskilda fall (t.ex. artikel 40, 43, 57, 68– 76 och 83). 4.7 Regeringsformen avgör om kompletterande Prop. 2017/18:218 svensk reglering ska införas på lag- eller När det gäller införande av svensk reglering som kompletterar data- skyddsförordningen behöver regeringsformens (RF) grundläggande be- stämmelser till skydd för den personliga integriteten beaktas. gällde att varje medborgare, i den utsträckning som närmare anges i lag, skulle skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling (tidigare 2 kap. 3 § andra stycket RF). Bestämmelsen gav dock inte något individuellt rättighetsskydd för enskilda, utan innebar enbart att lagstiftaren var skyldig att i lag upprätthålla någon form av skydd för den personliga integriteten i fråga om automatiserad behand- ling av personuppgifter. Till följd av en grundlagsändring som trädde i kraft gäller numer att var och en är gentemot det allmänna skyddad mot bety- dande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Detta skydd kan dock begränsas genom lag (2 kap. 6 § andra stycket och 20 § första stycket 2 RF). Vid införandet av nya bestämmelser som avser behandling av person- uppgifter behöver därmed bedömas om regleringen utgör ett sådant be- tydande intrång som kräver lagform, eller om regleringen kan införas på förordningsnivå. Förarbetena till grundlagsbestämmelsen ger ledning vid en sådan bedömning (propositionen En reformerad grundlag [prop. 2009/10:80 s. 171 f.]). 5 Vad avses med utbildningsområdet? Utbildningsområdet omfattar bl.a. skolväsendet och annan verksamhet som regleras i skollagen, den verksamhet som bedrivs av universitet och högskolor, , folkbildningen och studiestödet. Området omfattar utbildning hos offentliga och enskilda utbildningsanordnare som är erkända av det allmänna, t.ex. genom tillstånd, offentlig finansiering eller genom att utbildningen berättigar till studiestöd. Däremot omfattas inte rent privaträttslig utbildning. I propositionen behandlas inte behandling av personuppgifter på utbildningsområdet som sker med stöd av lagen om den officiella statistiken (2001:99) och förordningen om den officiella statistiken (2001:100). Nedan redogörs närmare för olika delar av utbildningsområdet. Skolväsendet regleras i skollagen (2010:800) och anslutande förord- ningar och omfattar skolformerna förskola, förskoleklass, grundskola, 2017/18:218 grundsärskola, specialskola, sameskola, gymnasieskola, gymnasiesär- skola, vuxenutbildning och särskild utbildning för vuxna. I skolväsendet ingår också fritidshem som kompletterar utbildningen i förskoleklassen, , grundsärskolan, specialskolan, sameskolan och vissa särskilda utbildningsformer (1 kap. 1 § skollagen). I skollagen finns även bestämmelser om vissa särskilda utbildningsformer och annan pedagogisk verksamhet som bedrivs i stället för utbildning inom skol- väsendet (1 kap. 2 §, 24 kap. och 25 kap. skollagen). Som exempel kan nämnas internationella skolor, utbildning vid särskilda ungdomshem, utbildning för barn och elever som vårdas på sjukhus, öppen förskola och omsorg under tid då förskola eller fritidshem inte erbjuds. Utbildning inom skolväsendet anordnas av både offentliga och en- skilda aktörer. Kommuner är huvudmän för förskola, förskoleklass, grundskola, grundsärskola, gymnasieskola, gymnasiesärskola, vuxenutbildning, särskild utbildning för vuxna och fritidshem. Staten är huvudman för specialskola och sameskola och för förskoleklass och fritidshem vid en skolenhet inom dessa skolformer. I viss utsträckning får ett landsting vara huvudman för gymnasieskola, gymnasiesärskola, kom- munal vuxenutbildning och särskild utbildning för vuxna. Efter ansökan som prövas av , eller i vissa fall av kommunen där utbildningen ska bedrivas, får en enskild godkännas som huvudman för förskola, förskoleklass, grundskola, grundsärskola, gymnasieskola, gym- nasiesärskola och fritidshem (2 kap. skollagen). Det finns också vissa möjligheter för huvudmän inom skolväsendet att sluta avtal om att någon annan enskild fysisk eller juridisk person utför vissa uppgifter enligt skollagen, s.k. entreprenad (23 kap. skollagen). I det följande används begreppet skollagsreglerad verksamhet som samlingsbegrepp för de verksamheter som regleras i skollagen. Inom den skollagsreglerade verksamheten kan vissa utbildningar både på grundläggande och gymnasial nivå berättiga till studiestöd (se vidare avsnitt 5.5). och högskolor ges eftergymnasial utbildning på grund- nivå, avancerad nivå och forskarnivå. Examina utfärdas på grundnivå, avancerad nivå och forskarnivå. I vissa fall krävs tillstånd för att utfärda examina. De flesta universitet och högskolor har staten som huvudman och om- fattas av högskolelagen (1992:1494) och högskoleförordningen (1993:100). prövar frågor om examenstill- stånd. Tillstånd att utfärda examina kan också ges av regeringen till enskilda utbildningsanordnare enligt lagen (1993:792) om tillstånd att utfärda vissa examina. I det följande används högskolor som samlingsbegrepp för universitet och högskolor, oavsett om det är fråga om statliga eller enskilda utbild- ningsanordnare. Statliga högskoleutbildningar och ett stort antal utbildningar vid enskilda utbildningsanordnare som har tillstånd att utfärda examina enligt lagen om tillstånd att utfärda vissa examina berättigar till studie- Prop. 2017/18:218 stöd (se vidare avsnitt 5.5). 5.3Yrkeshögskolan och andra eftergymnasiala utbildningar inrättades 2009 som en fristående utbildningsform med ett gemensamt regelverk för eftergymnasiala yrkesutbildningar vid sidan av högskolan. regleras i lagen (2009:128) om yrkes- högskolan. Myndigheten för () är förvaltnings- myndighet för och beslutar vilka utbildningar som får ingå där. Utbildning inom får anordnas av statliga uni- versitet och högskolor, andra statliga myndigheter, kommuner, landsting och enskilda fysiska eller juridiska personer. Ett beslut om att en ut- bildning får ingå i kan innebära att anordnaren kan få statsbidrag eller särskilda medel för utbildningen. En yrkeshögskole- utbildning berättigar också de studerande till studiestöd. Det finns också utbildningar där anordnarna i stället för att få statsbidrag eller särskilda medel kan ta ut studerandeavgifter. Även dessa utbildningar berättigar de studerande till studiestöd. En utbildning inom ska svara mot behov av kvalificerad arbetskraft i arbetslivet som inte tillgodoses genom en utbildning enligt högskolelagen (1992:1434) eller en utbild- ning som kan leda fram till en examen enligt lagen (1993:792) om tillstånd att utfärda vissa examina. En anordnare av utbildning inom får efter anmälan bedriva sådan utbildning även som uppdragsutbildning. Även konst- och kulturutbildningar är en eftergymnasial utbildnings- form. Utbildningarna finns inom exempelvis dans, musik, teater, film, konst och mode. De bedrivs av enskilda fysiska eller juridiska personer men står under statlig tillsyn. MYH prövar frågor om stöd enligt förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Både utbildning inom enligt lagen om som inte är uppdragsutbildning och utbildning som har förklarats berät- tiga till studiestöd genom beslut av Myndigheten för enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar berättigar till studiestöd (se avsnitt 5.5). Folkbildningen har traditionellt sett innefattat fyra grenar: folkbibliotek, folkhögskolor, föreläsningsföreningar och studieförbund. tekets verksamhet regleras i bibliotekslagen (2013:801). slaget för stöd till folkbildningen tilldelas enbart folkhögskolor och studieförbund och deras verksamhet. De flesta folkhögskolor drivs av folkrörelser eller andra organisationer. Övriga folkhögskolor ägs och drivs av regioner eller landsting. skolan är huvudsakligen en utbildningsform för vuxna. 2017/18:218 förbunden är ideella organisationer. Studieförbunden driver bl.a. studie- cirkelverksamhet och kulturverksamhet. Folkbildningen finansieras huvudsakligen. genom statsbidrag enligt förordningen (2015:218) om statsbidrag till folkbildningen. Folkbild- ningsrådet (FBR), som är en ideell organisation där organisationer som företräder folkhögskolor och studieförbund är medlemmar, beslutar vilka folkhögskolor, studieförbund och studerandeorganisationer inom folk- högskolan som ska få del av statsbidraget och fördelar tillgängliga medel mellan dem. Folkhögskolor och studieförbund som FBR fördelar stats- bidrag till enligt den nämnda förordningen kan även få statsbidrag enligt förordningen (2012:140) om statsbidrag för viss utbildning som rör tolkning och teckenspråk och förordningen (2015:521) om statsbidrag till särskilda folkbildningsinsatser för asylsökande och vissa nyanlända in- vandrare. Vidare kan folkhögskolorna ansöka hos Specialpedagogiska skolmyndigheten om statsbidrag för kostnader för särskilt utbildnings- stöd som erbjuds deltagare med funktionsnedsättningar enligt förord- ningen (2011:1163) om statsbidrag för särskilt utbildningsstöd. Special- pedagogiska skolmyndigheten beviljar det statsbidraget enbart till de folkhögskolor som av FBR har tilldelats statsbidrag till folkbildningen. Det finns även andra statsbidrag som folkhögskolor och studieförbund kan ansöka om för att genomföra olika typer av verksamhet. Det är t.ex. fallet med statsbidrag enligt förordningen (2016:1364) om statsbidrag till verksamheter för asylsökande m.fl. som beviljas av . Den del av folkbildningsverksamhet som finansieras genom olika former av statsbidrag benämns i denna proposition statsbidragsfinansierad folkbild- ning. Folkbildningen kan dessutom finansieras på annat sätt. Det kan t.ex. handla om bidrag för uppdragsutbildningar, bidrag från kommun och landsting eller region samt bidrag från privata aktörer. Den delen av folk- bildningsverksamheten benämns i propositionen folkbildning som finan- sieras på annat sätt än genom statsbidrag. Statsbidrag enligt förordningen om statsbidrag till folkbildningen och förordningen om statsbidrag till särskilda folkbildningsinsatser för asyl- sökande och vissa nyanlända invandrare får också direkt lämnas till () för idrottens studie-, bildnings- och utbildningsverksamhet. beslutar vilka som bedriver sådan verksamhet som ska få statsbidrag och fördelar tillgängliga medel mellan dem. Även mottar andra former av finansiering för sin verksamhet. Att fördela statsbidrag är en förvaltningsuppgift som innefattar myn- dighetsutövning. En sådan uppgift får bara överlämnas till enskilda med stöd av lag (12 kap. 4 § RF). FBR och fördelar statsbidrag med stöd av lagen (1976:1046) om överlämnande av förvaltningsuppgifter inom verksamhetsområde. Av 2 kap. 4 § offentlighets- och sekretesslagen (2009:400, OSL) och bilagan till den lagen framgår att FBR och i deras verksamhet att fördela stats- bidrag ska tillämpa vad som föreskrivs i tryckfrihetsförordningen om rätt att ta del av allmänna handlingar hos myndigheter samt att de i den verk- samheten också ska jämställas med myndigheter vid tillämpning av OSL. Kvalifikationer från folkbildningen kan vara behörighetsgivande vid Prop. 2017/18:218 ansökan till t.ex. högskolan eller . anordnas av folkhögskolor berättigar till studiestöd (se avsnitt 5.5). Till utbildningsområdet hör även studiestödet. Studiestödet består fram- för allt av ekonomiskt stöd till enskilda i form av bl.a. studiehjälp och studiemedel. finns också ett nytt studiestöd, studiestartsstöd, som ett komplement till studiemedelssystemet. Studie- stödet administreras av (). Bestämmelser som avser studiestödet finns framförallt i studiestöds- lagen (1999:1395), studiestödsförordningen (2000:655), lagen (2017:527) om studiestartsstöd, förordningen (2017:532) om studiestarts- stöd, studiestödsdatalagen (2009:287) och studiestödsdataförordningen (2009:321). En förteckning över de läroanstalter och utbildningar vid vilka studie- stöd kan lämnas finns i en bilaga till studiestödsförordningen. 5.6 Den nationella referensramen för livslångt lärande beslutade och rådet en rekommen- dation om en europeisk referensram för kvalifikationer för livslångt lärande (rekommendationen om EQF, EUT C 111, . rekommendationen är att bidra till att modernisera utbildningssystemen inom samt stärka kopplingarna mellan utbildning och arbetsliv (ingresspunkt 13). Syftet med den europeiska referensramen, som finns intagen som bilaga II till rekommendationen, är att främja livslångt lärande och förbättra anställbarhet, rörlighet och social integrering för arbetstagare och studerande inom EU (ingresspunkt 12). består av åtta nivåer som beskriver det resultat av lärande i form av kunskaper, färdigheter och kompetenser som är av betydelse för respek- Resultat av lärande är ett centralt begrepp i rekommendationen och kan utryckas som det en individ vet, förstår och kan göra när en lärandeprocess är avslutad. Enligt rekommendationen definieras en kvali- fikation som ett formellt resultat av en bedömnings- och validerings- process som ges när ett behörigt organ fastställer att en person har uppnått resultat av lärande som motsvarar fastställda kriterier (bilaga I till rekommendationen). Med kvalifikation avses således ett dokumen- terat resultat av lärande i form av kunskaper, färdigheter och kompe- tenser, t.ex. utbildningsbevis, examina, certifikat och diplom. ramen omfattar alla typer av kvalifikationer från såväl utbildningssyste- met som arbetslivet. Referensramen beskriver inte enskilda personers meriter utan ska fungera som ett översättningsverktyg som på systemnivå kan beskriva olika kvalifikationer i form av resultat av lärande.