prop · H503218 · 2018-04-10 00:00:00 — Den personuppgiftsbehandling som sker inom elevhälsans psyko- sociala och specialpedagogiska verksamheter omfattas däremot inte av patientdatalagens bestämmelser. Den psykosociala insatsen består av kurator som kan föra stöd-, motivations- och krissamtal liksom utredande och rådgivande samtal med enskilda elever och deras familjer relaterade till skolsituationen. Inom den specialpedagogiska insatsen finns special- pedagoger och speciallärare som t.ex. kan delta i kartläggning av elevers behov av särskilt stöd, genomföra pedagogiska utredningar samt utforma och genomföra åtgärdsprogram. Enstaka specialpedagogiska insatser , t.ex. , kan även vidtas som en s.k. extra anpassning inom ramen för den ordinarie undervisningen. I sådana fall finns det ingen föregående utredningsskyldighet motsvarande den som finns när det gäller särskilt stöd (3 kap. 5 a § och prop. 2013/14:160 s. 15 f. och 36). Även om en specialpedagog eller motsvarande och, i vissa fall, en skolkurator inte har någon skyldighet att föra patientjournal så har de en dokumentationsskyldighet vid handläggning av enskilda elev- ärenden som avser myndighetsutövning (29 kap. 10 § skollagen). Det kan alltså även inom denna del av elevhälsan finnas ett behov av att kunna behandla uppgifter om hälsa. Det finns behov av behandling av känsliga personuppgifter i andra fall Det förekommer även utanför elevhälsan att uppgifter om hälsa behöver behandlas. Ett exempel är skolmatsalspersonalen som behöver kunna be- handla uppgifter om specialkost p.g.a. allergier eller religiös övertygelse. För att kunna möjliggöra en ändamålsenlig undervisningssituation kan även uppgifter om funktionsnedsättning behöva behandlas utanför elev- hälsan. Vidare kan åtgärdsprogram innehålla uppgifter om ett barns eller en elevs hälsa. Ett åtgärdsprogram är en samlad dokumentation av elevens behov av särskilt stöd och en skriftlig bekräftelse av de särskilda stödåtgärder som ska sättas in. Även uppgifter om vilka barn och elever som begärt modersmålsunder- visning måste kunna behandlas. Datainspektionen har ansett att en upp- gift om en persons modersmål i vissa fall kan vara en uppgift som in- direkt avslöjar etniskt ursprung (Datainspektionens rapport 2002:2, Behandling av elevers personuppgifter i , s. 8). Vidare har regeringen tidigare bedömt att en isolerad uppgift om medborgarskap eller uppgifter om nationalitet eller ursprungsland inte avslöjar vare sig ras eller etniskt ursprung (prop. 2001/02:144 s. 41 och prop. 2009/10:85 s. 325). En uppgift om modersmål torde alltså i sig inte vara en känslig personuppgift men uppgiften kan, beroende på i vilket sammanhang den förekommer, bedömas vara en uppgift om etniskt ursprung vilket är en känslig personuppgift. En bedömning måste således göras i det enskilda fallet. Vidare skulle den uppgiften, tillsammans med andra uppgifter om den fysiska personen, kunna avslöja dennes religiösa eller filosofiska övertygelse och därmed utgöra känsliga personuppgifter. Elever i t.ex. har under vissa förutsättningar rätt till kost- nadsfri skolskjuts (10 kap. 32 § skollagen). En anledning till att en elev har behov av skolskjuts kan vara att eleven har en funktionsnedsättning. Det är elevens hemkommun som ska ombesörja att skolskjuts anordnas. 2017/18:218 För prövningen av en elevs rätt till skolskjuts kan kommunen komma att få in handlingar som innehåller uppgifter om elevens hälsa. Kommunen kan även i sitt beslut behöva skriva in uppgifter som rör elevens hälsa. Det är inte ovanligt att kommuner upphandlar själva skolskjutsen. I dessa fall kan det finnas behov av att överföra vissa uppgifter om elever, t.ex. att en elev har rullstol, till taxibolaget som utför skolskjutsen för att möj- liggöra en ändamålsenlig skolskjuts. En sådan uppgift är en indirekt upp- gift om elevens hälsa. Känsliga personuppgifter om hälsa kan även behöva behandlas i sam- band med att skolbibliotek förfogar över upphovsrättsligt skyddade verk som elever med funktionsnedsättning behöver för att kunna ta del av ver- ken, t.ex. genom att överföra dem till den funktionsnedsatte enligt lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk. För att kommunerna ska kunna uppfylla sina åligganden i egenskap av hemkommun enligt skollagen har de även ett behov av att kunna behand- la känsliga personuppgifter i samband med att de för en förteckning över var skolpliktiga barn fullgör sin skolplikt (7 kap. 21 § skollagen) samt i ärenden rörande mottagande av ett barn i grundsärskolan (7 kap. 5 § skollagen) och om en sökande tillhör målgruppen för gymnasiesärskolan (18 kap. 5 § skollagen). Även i ärenden om tilläggsbelopp till t.ex. en fristående skola för en elev som har ett omfattande behov av särskilt stöd har hemkommunen ett behov av att kunna behandla känsliga personupp- gifter i form av uppgifter om den enskilde elevens hälsa (10 kap. 39 § skollagen). Sådana uppgifter kan även förekomma om en ansökan om tilläggsbelopp överklagas med stöd av 28 kap. 5 § skollagen. Som har nämnts tidigare finns det behov av att införa kompletterande bestämmelser för enskilda huvudmän och andra enskilda aktörer på det skollagsreglerade området. I vilken utsträckning dataskyddslagen behö- ver kompletteras behandlas i avsnitt 13.3.2–13.3.10. 13.3.2Ytterligare reglering av behandling av känsliga personuppgifter som krävs enligt lag behövs inte Regeringens bedömning: För behandling av känsliga personuppgifter som krävs enligt lag behövs det på det skollagsreglerade området inte någon ytterligare reglering som motsvarar den som föreslås i dataskyddslagen. Utredningens förslag: Utredningen föreslår att det i skollagen ska införas en bestämmelse om att huvudmän, hemkommuner och aktörer som bedriver verksamhet som avser en särskild utbildningsform eller annan pedagogisk verksamhet ska få behandla känsliga personuppgifter om uppgifterna har lämnats till organet och behandlingen krävs enligt lag. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot förslaget. Friskolornas riks- förbund tillstyrker utredningens förslag om särskild reglering. Datainspektionen avstyrker utredningens förslag i dess nuvarande ut- formning och ifrågasätter om utformningen av undantaget kan anses ut- 2017/18:218 trycka det krav på ett viktigt allmänt intresse som framgår av artikel i dataskyddsförordningen. avstyrker förslaget och anser att dataskyddsförordningens bestämmelser utgör en tillräcklig reglering. Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning överensstämmer med regeringens bedömning i detta avsnitt. tillstyrker eller har inga synpunkter på bedömningen. Skälen för regeringens bedömning: I propositionen Ny dataskydds- lag (prop. 2017/18:105) föreslås en bestämmelse om att myndigheter får behandla känsliga personuppgifter om uppgifterna har lämnats till myn- digheten och behandlingen krävs enligt lag (3 kap. 3 § första stycket 1 I propositionen föreslås även att vid tillämpningen av bestämmelsen ska andra organ än myndigheter jämställas med myndig- heter, i den mån bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) gäller i organets verksamhet (3 kap. 3 § tredje stycket data- Förslagen innebär att förskolor, skolor och vuxenutbildningsenheter som drivs av kommuner, landsting eller staten även fortsättningsvis kom- mer att kunna uppfylla de åligganden enligt framför allt offentlighets- och sekretesslagens och förvaltningslagens bestämmelser om hur all- männa handlingar ska hanteras, exempelvis genom krav på diarieföring och skyldighet att ta emot e-post. Detsamma gäller kommunerna när de utför sina övriga åligganden enligt skollagen. Offentlighetsprincipen är inte tillämplig på skolor, förskolor eller fritidshem med enskild huvudman. Regeringen har dock i lagrådsremis- sen Offentlighetsprincipen ska gälla i fristående skolor föreslagit att en ny bestämmelse ska införas i offentlighets- och sekretesslagen med inne- börden att vad som föreskrivs i tryckfrihetsförordningen om rätt att ta del av allmänna handlingar hos myndigheter i tillämpliga delar ska gälla också handlingar hos huvudmän för fristående skolor. enligt förslaget vid tillämpningen av offentlighets- och sekretesslagen jämställas med myndigheter. Förslaget innebär bl.a. att de fristående skolorna blir skyldiga att registrera sina allmänna handlingar enligt samma principer som gäller för myndigheter. träda i kraft . Vidare har Utredningen om ökad insyn i välfärden i betänkandet Ökad insyn i välfärden (SOU 2016:62) på motsvarande sätt föreslagit att offentlighetsprincipen bör gälla för juridiska personer som i egenskap av enskilda huvudmän driver förskola eller fritidshem, för privata aktörer som enligt avtal med kommun, enskild huvudman eller landsting utför uppgifter enligt 23 kap. skollagen (entreprenad) med undantag av verk- samhet som regleras i 25 kap. skollagen, samt för privat folkhögskola som anordnar utbildning som motsvarar vuxenutbildning i svenska för invandrare (enligt 24 kap. 11–15 §§ skollagen). De föreslagna bestämmelserna i dataskyddslagen innebär att en skol- huvudman för vilken offentlighetsprincipen och sekretesslagstiftningen gäller får behandla känsliga personuppgifter om behandlingen krävs en- Detta gäller oavsett om huvudmannen är offentlig eller enskild. Om enskilda skolhuvudmän framöver kommer att omfattas av offentlig- hetsprincipen kommer de alltså att kunna utföra behandling av känsliga Prop. 2017/18:218 personuppgifter som krävs enligt lag med stöd av den i dataskyddslagen Någon ytterligare bestämmelse kommer då inte krävas för att möjliggöra enskilda skolhuvudmäns behandling. Utredningen har dock föreslagit att även enskildas möjlighet att be- handla känsliga personuppgifter, om uppgifterna har lämnats till organet och behandlingen krävs enligt lag, bör regleras i skollagen. Som framgår av avsnitt 12, anser dock regeringen att det saknas behov av att i skol- lagen införa en bestämmelse som innebär en dubbelreglering av vad som följer av dataskyddslagen. I ärenden som avser myndighetsutövning mot någon enskild ska även enskilda huvudmän tillämpa vissa bestämmelser i förvaltningslagen, bl.a. om partsinsyn (29 kap. 10 § skollagen). Dessa bestämmelser är dock en- dast tillämpliga i ärenden. I nästa avsnitt föreslås att det i skollagen ska införas en bestämmelse som möjliggör enskildas behandling av känsliga personuppgifter i ärenden. Någon ytterligare reglering för enskilda huvudmän och andra enskilda aktörer inom det skollagsreglerade om- rådet behövs därför inte i detta avseende. 13.3.3Behandling av känsliga personuppgifter som är nödvändig för en hantering som motsvarar handläggningen av ett ärende ska tillåtas Regeringens förslag: En enskild huvudman inom skolväsendet eller en enskild aktör som bedriver verksamhet inom en särskild utbildningsform eller annan pedagogisk verksamhet ska med stöd av artikel i EU:s dataskyddsförordning få behandla känsliga personuppgifter, om behand- lingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet. Utredningens förslag: Överensstämmer delvis med regeringens för- slag. Utredningens förslag omfattar behandling av känsliga person- uppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I fråga om utredningens förslag att i sektorslagstiftningen dubbelreglera vad som gäller för myndigheter enligt dataskyddslagen, se avsnitt 12. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot förslaget. Friskolornas riks- förbund och tillstyrker utredningens förslag. Justitiekanslern () anser generellt att det är mycket angeläget att likartade lagtekniska lösningar väljs för de författningar som tillkommer eller ses över med anledning av EU:s dataskyddsreform. Kommuner och Landsting (SKL) anser att det kan vara så att ytterligare bestämmelser, utöver de som utredningen har föreslagit, be- höver införas i författning. SKL saknar resonemang kring hur huvudmän inom skolväsendet ska hantera känsliga personuppgifter som är nöd- vändiga att hantera i faktisk verksamhet och inte är kopplade till ett ärende eller elevhälsan. Datainspektionen avstyrker förslaget i dess nuvarande utformning och ifrågasätter om utformningen av bestämmelsen kan anses uttrycka det 2017/18:218 krav på ett viktigt allmänt intresse som framgår av artikel i dataskyddsförordningen. avstyrker förslaget och anser att dataskyddsförordningens bestämmelser utgör en tillräcklig reglering. Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över vissa delar av ett utkast till lagrådsremiss, vars förslag överensstämmer med regeringens förslag i detta avsnitt. skolinspektion, Specialpedagogiska skolmyndigheten, Sameskolstyrelsen, SKL och tillstyrker eller har inget att erinra anser att formuleringen är otydlig och oprecis och att det därför är svårt att utläsa när bestämmelsen ska Om bestämmelsen avser att motsvara det tillämpningsområde som anges i 1 § förvaltningslagen (2017:900) anser att det bör Skälen för regeringens förslag: Enligt propositionen Ny dataskydds- lag är myndighetsutövning och övriga uppgifter av allmänt intresse som myndigheter har befogenhet att utföra alltid fastställda i enlighet med Behandling av personuppgifter kan därmed ske på denna Enligt regeringens bedömning i den propositionen står det också klart att det är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt (prop. 2017/18:105 s. 87). I dataskyddslagen föreslås också en bestämmelse om att myndigheter får behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § första stycket 2 dataskyddslagen). Bestämmelsen i dataskyddslagen innebär att förskolor, skolor och vuxenutbildningsenheter som drivs av kommuner, landsting eller staten även fortsättningsvis kommer att kunna behandla känsliga personupp- gifter om behandlingen är nödvändig för handläggningen av ett ärende. För dessa huvudmän krävs således ingen ytterligare reglering för att kunna behandla känsliga personuppgifter i detta avseende. gäller för en hemkommuns möjlighet att behandla känsliga personuppgif- ter om behandlingen är nödvändig för handläggningen av ett ärende. Enskilda huvudmän för förskolor och skolor omfattas beträffande ut- förandet av den aktuella utbildningen av samma bestämmelser i skol- lagen som de offentliga huvudmännen. Vidare anges i skollagen att vissa beslut som fattas av en enskild huvudman eller rektor i en fristående skola får överklagas hos allmän förvaltningsdomstol (28 kap. 6 och 9 §§ Andra typer av beslut som fattas av en enskild huvudman eller rektor i en fristående skola får överklagas hos Skolväsendets över- klagandenämnd (28 kap. 13 och 16 §§ skollagen). I ärenden som avser myndighetsutövning mot någon enskild enligt skollagen hos en kommun, ett landsting, eller en enskild huvudman ska vidare vissa uppräknade bestämmelser i förvaltningslagen (1986:223) tillämpas (29 kap. 10 och 11 §§ skollagen). Så föreslås även bli fallet när den nya förvaltningslagen (2017:900) träder i kraft (Ds 2017:42 Följdändringar till ny förvaltningslag). De enskilda huvudmännen har således, i de fall det är relevant och nöd- vändigt, samma behov av att kunna behandla känsliga personuppgifter i sina ärenden som de offentliga huvudmännen. Det kan t.ex. gälla utred- ningar om särskilt stöd och åtgärdsprogram (7 kap. 8 och 9 §§ skollagen) och anmälningar och utredningar om kränkande behandlingar (6 kap. 10 § skollagen). Vidare kan en fristående förskola eller fristående skola i en ansökan om tilläggsbelopp för elever som har ett omfattande behov av särskilt stöd, eller vid överklagande av ett beslut om ett sådant tilläggsbelopp, behöva behandla uppgifter om elevens hälsa för att kunna styrka behovet av särskilt stöd (t.ex. 9 kap. 21 §, 10 kap. 39 § och 28 kap. 5 § skollagen). kan sådan behandling av känsliga person- uppgifter ske med stöd av 5 a § PUL, men den saknar motsvarighet i dataskyddsförordningen. Enligt regeringens bedömning är även de enskilda huvudmännen i förhållande till eleverna bundna av legalitetsprincipen. Det krävs således även för dessa att det finns någon form av förankring i skollagen med tillhörande föreskrifter för deras verksamhet. Regeringen anser därför, till skillnad mot , att det finns behov av att i skollagen införa en bestämmelse för enskilda huvudmän som så långt som möjligt motsvarar dataskyddslagen bestämmelse om behandling av känsliga personuppgifter vid handläggningen av ett ärende hos en myndighet, och att det även i detta fall är fråga om behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse. I författ- ningskommentaren till bestämmelsen i dataskyddslagen anges att be- greppen handläggning och ärende tolkas på samma sätt som enligt förvaltningslagen. Eftersom förvaltningslagen inte är generellt tillämplig för enskilda utbildningsanordnare bör bestämmelsen i skollagen for- muleras på ett något annorlunda sätt. Justitiekanslern () har förordat att så likartade lagtekniska lösningar som möjligt väljs med anledning av EU:s dataskyddsreform. Bestämmelsen i dataskyddslagen hänvisar inte till förvaltningslagen. Regeringen anser därför att bestämmelsen, trots synpunkt, inte heller bör hänvisa till den lagen, utan bör ut- formas så att den gäller vid hantering som motsvarar handläggningen av ett ärende hos en myndighet. har i sitt betänkande föreslagit att bestäm- melsen ska omfatta behandling av känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för hand- läggningen av det (SOU 2017:49). Den i propositionen Ny dataskyddslag (prop. 2017/18:108) föreslagna bestämmelsen för myndigheter är dock mer långtgående (se avsnitt 13.2.1). Den möjliggör för myndigheter att behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende. Regeringen anser att den kompletterande regleringen i skollagen bör utformas på ett sätt som motsvarar regle- ringen i dataskyddslagen. När det gäller Kommuner och Landstings (SKL) synpunkt om att ytterligare bestämmelser för be- handling av känsliga personuppgifter kan behövas, kan konstateras att regeringens förslag innebär ett bredare tillämpningsområde än utred- ningens förslag. Regeringen återkommer dock till SKL:s synpunkt i avsnitt 13.3.8. När det gäller Datainspektionen ifrågasättande av om utformningen av bestämmelsen kan anses uttrycka det krav på ett viktigt allmänt intresse som framgår av artikel i dataskyddsförordningen kan konstateras att Datainspektionen framfört motsvarande synpunkt i fråga om den i data- skyddslagen föreslagna bestämmelsen. Regeringen har dock i propo- sitionen Ny dataskyddslag gjort bedömningen att myndighetsutövning och övriga uppgifter av allmänt intresse som myndigheter har befogenhet 2017/18:218 att utföra alltid är fastställda i enlighet med svensk rätt. Behandling av personuppgifter kan därmed ske på denna rättsliga grund. Enligt regeringens bedömning står det klart att det också är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt (prop. 2017/18:105 s. 87 f.). Regeringen saknar anledning att nu i fråga om bestämmelsen i skollagen göra någon annan bedömning. Dessutom anser regeringen att det står klart att utbildning utgör ett viktigt allmänt intresse, även då den bedrivs av enskilda huvudmän (se avsnitt 8). Även bestämmelsen i skollagen bör därför avse behandling av känsliga personuppgifter i motsvarigheten till ärenden. Detta är också i linje med vad JK förordat i fråga om likartade lag- tekniska lösningar med anledning av EU:s dataskyddsreform. Eftersom de aktuella huvudmännen har möjlighet att utföra dessa behandlingar med stöd av 5 a § PUL bedömer rege- ringen att integritetsintrånget för den enskilde varken blir större eller mindre genom att en sådan bestämmelse införs. Syftet med bestämmel- sen är att huvudmännen ska kunna behandla känsliga personuppgifter när så behövs för att de ska kunna uppfylla sina skyldigheter enligt skollagen och anslutande föreskrifter. Då bestämmelsen bara tillåter huvudmännen att behandla sådana uppgifter då behandlingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet anser regeringen att bestämmelsen står i proportion till det eftersträvande syftet. 13.3.4Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång Regeringens förslag: En enskild huvudman inom skolväsendet eller en enskild aktör som bedriver verksamhet inom en särskild utbildningsform eller annan pedagogisk verksamhet, ska med stöd av artikel i EU:s dataskyddsförordning även få behandla känsliga personuppgifter i annat fall, om behandlingen är nödvändig i verksamheten och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integ- ritet. Utredningens förslag: Överensstämmer delvis med regeringens för- slag. Utredningens förslag omfattar behandling i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga inte- gritet. I fråga om utredningens förslag att i sektorslagstiftningen dubbel- reglera vad som gäller för myndigheter enligt dataskyddslagen, se avsnitt 12. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot förslaget. Friskolornas riks- förbund och tillstyrker utredningens förslag. Justitiekanslern anser generellt att det är mycket angeläget att likartade lagtekniska lösningar väljs för de författningar som tillkommer eller ses över med anledning av EU:s dataskyddsreform. anser att begreppet otillbörligt intrång är vagt och kan få en vidsträckt tolkning. Datainspektionen avstyrker förslaget i dess nuvarande utformning. Datainspektionen anser att begreppet absolut nödvändigt är ett begrepp som skapar otydlighet. Datainspektionen ifrågasätter även om en bestäm- melse som gäller i enstaka fall är tillräckligt för skolornas behandling av uppgifter om specialkost och pekar på vikten av en genomlysning av skolornas behov av behandling av personuppgifter som utgångspunkt för en mer specifik reglering. Kommuner och Landsting anser att det kan vara så att ytterligare bestämmelser, utöver de som utredningen har föreslagit, behöver göras i författning. avstyrker förslaget och anser att dataskyddsförordningens bestämmelser utgör en tillräcklig reglering. Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över utkast till lagrådsremiss, vars förslag överensstämmer med regeringens förslag i detta avsnitt. De tillstyrker eller har inga synpunkter på förslaget. Skälen för regeringens förslag: I propositionen Ny dataskyddslag (2017/18:105) föreslås att en myndighet, utöver behandling av känsliga personuppgifter som krävs enligt lag eller som är nödvändig för hand- läggningen av ett ärende, även i annat fall ska få behandla känsliga per- sonuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket 3). Som angetts i avsnitt 8 anser regeringen att anordnande och bedrivande av utbildning utgör ett sådant viktigt allmänt intresse som avses i artikel i dataskyddsförordningen. Som exempel på när bestämmelsen i dataskyddslagen kan vara tillämplig anges också faktisk verksamhet såsom i kommunikation mellan skola och föräldrar (propositionen Ny dataskyddslag, prop. 2017/18:108 s. 88).