prop · H503218 · 2018-04-10 00:00:00 — Datainspektionen delar inte utredningens uppfattning att folkhögskolor och studieförbund kan stödja sin behandling av känsliga personuppgifter på samtycke, eftersom det inte går att utgå från att en frivillig studieform innebär att även behandlingen av personuppgifter är frivillig. Även Studieförbunden i samverkan vänder sig emot utredningens bedömning att studieförbunden enbart ska använda samtycke som rättslig grund för sin personuppgiftsbehandling. Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över vissa delar av ett utkast till lagrådsremiss, vars bedömning överensstämmer med regeringens bedömning i detta avsnitt. , Studieförbunden i samverkan, och tillstyrker eller har inga synpunkter på bedömningen. Skälen för regeringens bedömning: Det förekommer att vissa folk- högskolor och studieförbund som anordnar kontakttolkutbildning anteck- nar tolkspråket i sitt register. Folkhögskolor och studieförbund som anordnar sådan utbildning kan under vissa förutsättningar erhålla stats- bidrag som beviljas av Myndigheten för enligt förord- ningen (2012:140) om statsbidrag för viss utbildning som rör tolkning och teckenspråk. Uppgifter om namn och språkkunskaper har i vissa ut- redningar ansetts utgöra indirekta upplysningar om en persons etniska ursprung (t.ex. SOU 2001:32 s. 124 och SOU 2003:40 s. 180). Data- inspektionen har i en rapport angett att en uppgift om en persons moders- mål i vissa fall kan vara en uppgift som indirekt avslöjar etniskt ursprung (Datainspektionens rapport 2002:2, s. 8). Regeringen har dock tidigare bedömt att en isolerad uppgift om medborgarskap eller uppgifter om nationalitet eller ursprungsland inte avslöjar vare sig ras eller etniskt ur- sprung (prop. 2001/02:144 s. 41 och prop. 2009/10:85 s. 325). I linje med dess tidigare bedömning anser regeringen att en uppgift om tolkspråk i sig inte utgör en känslig personuppgift, men att den tillsammans med andra uppgifter kan bli en uppgift om etniskt ursprung, alltså en känslig personuppgift. Det är svårt att uttala sig generellt om gränsdragningen för när sådana uppgifter utgör känsliga personuppgifter. Liknande gränsfrågor skulle kunna uppstå i den verksamhet som be- drivs av folkhögskolor och studieförbund och som avser särskilda insat- ser för personer som omfattas av lagen (1994:137) om mottagande av asylsökande m.fl., eller avses i förordningen (2010:1122) om statlig ersättning för insatser för vissa utlänningar och som bor i Migrations- verkets anläggningsboende, och för vilka statsbidrag kan lämnas enligt förordningen (2015:521) om statsbidrag till särskilda folkbildnings- insatser för asylsökande och vissa nyanlända invandrare, som också har uppmärksammats av . Utredningen om ökad insyn i välfärden (S 2015:04) har i betänkandet Ökad insyn i välfärden (SOU 2016:62 s. 168 ff.) föreslagit att folkhög- skolor som anordnar utbildning som motsvarar vuxenutbild- ning i svenska för invandrare enligt 24 kap. 11−15 §§ skollagen ska omfattas av offentlighetsprincipen. Offentlighetsprincipen föreslås dock begränsas till de handlingar som hör till den offentligt finansierade verk- 2017/18:218 samheten. Stöd för behandling av känsliga personuppgifter som eventu- ellt förekommer i dessa handlingar berörs i avsnitt 13.3.2. Vidare kan folkhögskolorna ansöka om statsbidrag för kostnader för särskilt utbildningsstöd som erbjuds studerande med funktionsnedsätt- ningar enligt förordningen (2011:1163) om statsbidrag för särskilt utbild- ningsstöd. Ansökan görs till Specialpedagogiska skolmyndigheten (SPSM). Såvitt erfarit lämnas inga direkta personuppgifter in i samband med ansökan. I ansökan framgår endast uppgift om kön och funktionsnedsättning per skola och kurs (SOU 2017:49 s. 358). Då själva ansökan till SPSM inte innehåller några personuppgifter behöver folkhögskolorna inte något rättsligt stöd för att behandla dessa uppgifter i ansökan. Även om en ansökan om statsbidrag för särskilt utbildningsstöd inte innehåller några känsliga personuppgifter kan folkhögskolorna i sin verksamhet behöva behandla sådana uppgifter inför upprättande av ansökan och beträffande studerande med funktions- nedsättning. hämtar folkhögskolorna in en form av samtycke från de studerande för behandlingen. Folkhögskolorna och studieförbunden som bedriver statsbidrags- finansierad folkbildning kan alltså i vissa sammanhang ha behov av att behandla känsliga personuppgifter. Av de skäl som angetts i avsnitt 9.4.2, delar regeringen och Studieförbunden i samver- kans uppfattning att personuppgiftbehandlingen inte bör grundas på sam- tycke. Då behandlingen inte omfattas av de generella bestämmelser för myndigheter som föreslås i 3 kap. 3 § dataskyddslagen om sådan be- handling av känsliga personuppgifter som krävs enligt lag, i ärenden eller i annat fall, behöver folkhögskolorna och studieförbundet därför ges ett rättsligt stöd för behandling av känsliga personuppgifter som är nöd- vändig med hänsyn till ett viktigt allmänt intresse enligt artikel i dataskyddsförordningen. Av avsnitt 12 framgår att regeringen bedömer att regleringen kan införas på förordningsnivå. känsliga personuppgifter ska hänvisa till Regeringens bedömning: CSN ska även i fortsättningen få behandla känsliga personuppgifter för de ändamål som anges i studiestöds- Regeringens förslag: Studiestödsdatalagens uppräkning av de käns- liga personuppgifter som bara får behandlas för vissa ändamål ska ersättas av en hänvisning till artikel 9.1 och i EU:s dataskydds- Studiestödsdatalagens uppräkning av känsliga personuppgifter som inte får användas som sökbegrepp ska ersättas av en hänvisning till artikel 9.1 i dataskyddsförordningen. Utredningens förslag och bedömning: Utredningens bedömning överensstämmer med regeringens. Utredningen föreslår dock att studie- stödsdatalagens bestämmelser om CSN:s behandling av känsliga person- uppgifter och sökförbud ska kompletteras med de nya kategorier av känsliga personuppgifter som anges i artikel 9.1 i dataskyddsförord- ningen. Remissinstanserna: Det stora flertalet remissinstanser, däribland , har inte några synpunkter på eller har inget att erinra mot utredningens förslag och bedömning. Justitiekanslern anser generellt att det är mycket angeläget att likartade lagtekniska lösningar väljs för de författningar som tillkommer eller ses över med anledning av EU:s dataskyddsreform. anser att det kan finnas anledning att överväga om underrättelser som lämnar med stöd av lagen (2008:206) om underrättelseskyldighet vid felaktiga utbetalningar från välfärdssystemet till berörda myndigheter om att en ekonomisk förmån har beslutats eller betalats ut felaktigt eller med ett för högt belopp kan innefatta integritetskänsliga personuppgifter. Datainspektionen delar uppfattningen att ett undantag kan grundas på artikel i dataskyddsförordningen, men under förutsättning att det är frågan om ett viktigt allmänt intresse och det ska gälla alla kategorier av känsliga personuppgifter och alla behandlingar som bestämmelsen om- fattar. En sådan bestämmelse kräver också enligt förordningen lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Datainspektionen saknar en analys och redo- visning av bestämmelsen i förhållande till artikel . Datainspektionen avstyrker förslaget att behålla bestämmelsen om känsliga personuppgifter i sin nuvarande utformning. Datainspektionen anser också att det bör hänvisas till artikel i dataskyddsförordningen eftersom det är den bestämmelsen som utgör det faktiska undantaget. Utan en sådan hänvis- ning är det inte tydligt vare sig för den personuppgiftsansvarige eller den registrerade med vilket stöd som behandlingen av känsliga personupp- gifter sker. avstyrker förslagen och anser att dataskydds- förordningens bestämmelser utgör en tillräcklig reglering. Skälen för regeringens bedömning och förslag CSN ska även fortsättningsvis kunna behandla känsliga personuppgifter för de i studiestödsdatalagen angivna ändamålen Regeringen har i samband med införandet av studiestödsdatalagen i pro- positionen Behandling av personuppgifter inom studiestödsområdet (prop. 2008/09:96) gjort en analys av s CSN behov av behandling av känsliga personuppgifter. I propositionen konstaterar regeringen bl.a. att vissa av de känsliga personuppgifterna som anges i 13 § PUL normalt inte torde förekomma i CSN:s studiestödsverksamhet, men att det dock inte kan uteslutas att uppgifter som avslöjar t.ex. ras eller filosofisk övertygelse kan förekomma i verksamheten. Även om CSN inte efter- frågar sådana uppgifter kan de ändå förekomma som information i t.ex. ansökningshandlingar eller intyg som lämnas in till myndigheten. Enligt regeringen ska därför samtliga känsliga personuppgifter som avses i 13 § PUL omfattas av studiestödsdatalagen (prop. 2008/09:96 s. 48–49). Till följd av den i propositionen gjorda analysen anges i studiestöds- datalagen att behandling av personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller med- 2017/18:218 lemskap i fackförening eller som rör hälsa eller sexualliv får behandlas bara för att –handlägga ärenden i studiestödsverksamheten, om uppgifterna har lämnats i ett ärende i studiestödsverksamheten eller behövs för hand- läggningen av ett sådant ärende, –anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheten, –lämnas ut till den registrerade själv, och regeringen samt i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra, och –ge tillgång till vägledande avgöranden, om uppgifterna inte direkt pekar ut den registrerade (6 § studiestödsdatalagen). När det gäller den av Datainspektionen efterfrågade analysen, anser rege- ringen således att CSN:s behov av behandling av känsliga personupp- gifter redan har analyserats och att det saknas anledning att nu göra en förnyad analys. I fråga om Datainspektionens påpekande att behandling av känsliga personuppgifter enligt artikel i dataskyddsförordningen förutsätter att det är fråga om ett viktigt allmänt intresse, kan konstateras att regeringen i avsnitt 9.5.2 har redogjort för varför CSN:s studiestöds- verksamhet bedöms utgöra en uppgift av allmänt intresse och att rege- ringen av samma skäl anser att verksamheten även utgör ett viktigt all- mänt intresse. De specifika avgränsningar som gäller för behandlingen uppfyller enligt regeringens mening också dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Mot denna bakgrund anser rege- ringen att CSN alltjämt ska ha möjlighet att behandla känsliga person- uppgifter för de i studiestödsdatalagen angivna ändamålen. När det gäller underrättelser som inkommer till CSN till följd av lagen (2008:206) om underrättelseskyldighet vid felaktiga utbetalningar från välfärdssystemet, som uppmärksammats av , anser regeringen att even- tuella känsliga personuppgifter i sådana underrättelser bör kunna behand- las med stöd av den bestämmelse som gäller för CSN:s handläggning av ärenden. Studiestödsdatalagens uppräkning av känsliga personuppgifter ska ersättas av en hänvisning till artikel 9.1 i dataskyddsförordningen Utredningen föreslår att uppräkningen i 6 § studiestödsdatalagen av vilka kategorier av känsliga personuppgifter som får behandlas ska komplette- ras med de nya kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen, dvs. genetiska uppgifter eller biometriska upp- gifter för att entydigt identifiera en person och uppgifter om sexuell lägg- ning. Regeringen har i propositionen Ny dataskyddslag (2017/18:105) föreslagit ett antal bestämmelser i dataskyddslagen om när känsliga personuppgifter ska få behandlas. Dataskyddslagen föreslås dock inte innehålla någon uppräkning av de kategorier av uppgifter som utgör känsliga personuppgifter. Däremot anges att med begreppet känsliga personuppgifter avses i lagen sådana känsliga personuppgifter som anges i artikel 9.1 i EU:s dataskyddslag (3 kap. 1 § dataskyddslagen). har varken utredningen eller regeringen sett skäl att i skollagen, lagen om Prop. 2017/18:218 tillstånd att utfärda vissa examina eller lagen om , i anslutning till de bestämmelser som anger när känsliga personuppgifter får behandlas med stöd av artikel i dataskyddsförordningen, göra en uppräkning av vilka kategorier av uppgifter som utgör känsliga person- uppgifter. Regeringen ser mot denna bakgrund, och mot bakgrund av att likartade lagtekniska lösningar efterfrågats av Justitiekanslern, inte skäl att i studiestödsdatalagen ha en uppräkning av de olika kategorierna av känsliga personuppgifter. Regeringen föreslår därför att det i 6 § studie- stödsdatalagen i stället ska anges att sådana personuppgifter som avses i artikel 9.1 i dataskyddsförordningen med stöd av artikel i EU:s dataskyddsförordning får behandlas av CSN för de i lagen angivna ända- målen. I paragrafen bör även kortformen känsliga personuppgifter införas som benämning på sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen. Studiestödsdatalagens förbud mot sökbegrepp ska hänvisa till dataskyddsförordningen Vilka sökbegrepp som, förutom i vissa undantagsfall, inte får användas i CSN:s studiestödsverksamhet regleras i 8 § studiestödsdatalagen. Förbu- det omfattar bland annat känsliga personuppgifter enligt motsvarande definition som PUL, dvs. uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Som framgått ovan anser regeringen, att studiestödsdatalagens bestäm- melse om behandling av känsliga personuppgifter, genom en hänvisning till dataskyddsförordningen, bör omfatta samtliga de kategorier av personuppgifter som anges i artikel 9.1 i förordningen. Följaktligen delar regeringen också utredningens bedömning att även studiestödsdatalagen förbud mot vissa sökbegrepp ska omfatta samtliga de kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen. Regeringen anser dock att förbudet i 8 §, i stället för att innehålla en uppräkning av alla kategorier av känsliga personuppgifter, bör hänvisa till sådana personuppgifter som avses i artikel 9.1 i dataskyddsförord- ningen och som benämns känsliga personuppgifter. 14Sektorslagstiftningen ska kompletteras med bestämmelser om behandling av personuppgifter som rör lagöverträdelser 14.1 Dataskyddsförordningen tillåter bara behandling av personuppgifter som rör lagöverträdelser i vissa fall Enligt dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed samman- 2017/18:218 hängande säkerhetsåtgärder endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättig- heter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet (artikel 10). Regeringens bedömning i propositionen Ny dataskyddslag (prop. 2017/18 s. 98) är att artikel 10 i förordningen, för svenskt vidkommande, tar sikte på personuppgifter som rör fällande domar i brottmål, lagöver- trädelser som innefattar brott eller straffprocessuella tvångsmedel. En motsvarande bestämmelse finns i artikel 8.5 i dataskydds- direktivet, där det framgår att uppgifter om lagöverträdelser, brottmåls- domar eller säkerhetsåtgärder får behandlas endast under kontroll av en myndighet eller med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Artikel 8.5 i dataskyddsdirektivet har genomförts i svensk rätt genom 21 § PUL, vars första stycke är avsett att uppfylla det som krävs enligt artikel 8.5 (prop. 1997/98:44, s. 129). Artikel 10 i dataskyddsförordningen skiljer sig dock något från regle- ringen i direktivet. Förordningens bestämmelse har begränsats till enbart fällande brottmålsdomar. En annan skillnad i förordningen jämfört med direktivet är att hänvisningen till personuppgifter om avgöranden i tviste- mål och administrativa sanktioner har tagits bort. Som regeringen konsta- terar i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 98) innebär detta att uppgifter om administrativa frihetsberövanden inte omfattas av någon särskild reglering enligt dataskyddsförordningen, om de inte utgör känsliga personuppgifter enligt artikel 9.1, exempelvis om de också avslöjar uppgifter om etniskt ursprung eller psykisk ohälsa. I det följande används begreppet lagöverträdelser som ett samlings- begrepp för de personuppgifter som avses i artikel 10 i dataskyddsförord- ningen. 14.2 Dataskyddslagen kompletterar dataskydds- förordningen I propositionen Ny dataskyddslag (2017/18:105) föreslår regeringen att bestämmelser om behandling av personuppgifter som rör lagöverträ- delser införs i dataskyddslagen. I lagen anges att personuppgifter som av- ses i artikel 10 i dataskyddsförordningen får behandlas av myndigheter och att även andra än myndigheter får behandla sådana personuppgifter om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 8 §). Regeringen eller den myndighet som regeringen bestämmer bemyn- digas att meddela föreskrifter om i vilka fall andra än myndigheter får behandla de aktuella personuppgifterna. Vidare bemyndigas den myn- dighet som regeringen bestämmer att i enskilda fall besluta att andra än myndigheter får behandla nämnda personuppgifter (3 kap. 9 §). skyddsutredningen har också i sitt betänkande (SOU 2017:39 s. 55 f.) föreslagit en ny förordning med kompletterande bestämmelser om be- handling av personuppgifter som rör lagöverträdelser med ett bemyndig- ande för Datainspektionen att meddela ytterligare föreskrifter härom. lagöverträdelser ska införas i skollagen 14.3.1Det finns behov av behandling av personuppgifter som rör lagöverträdelser i skollagsreglerad verksamhet I skollagen finns bestämmelser om disciplinära och andra särskilda åt- gärder. Med sådana åtgärder avses utvisning, kvarsittning, tillfällig om- placering, tillfällig placering vid annan skolenhet, avstängning och om- händertagande av föremål. Rektor eller en lärare får vidta de omedelbara och tillfälliga åtgärder som är befogade för att tillförsäkra eleverna trygghet och studiero eller för att komma till rätta med en elevs ordnings- störande uppträdande. Huvudmannen får under vissa förutsättningar be- sluta att helt eller delvis stänga av en elev från gymnasieskolan, gymna- siesärskolan, vuxenutbildning och särskild utbildning för vuxna (5 kap. skollagen). Om vissa särskilda åtgärder vidtagits enligt 5 kap. skollagen, såsom t.ex. utvisning ur undervisningslokalen, tillfällig omplacering till en annan undervisningsgrupp än den eleven annars hör till, tillfällig place- ring till en annan skolenhet, avstängning från vissa obligatoriska skolformer och avstängning från de frivilliga skolformerna, ska åtgärden dokumenteras skriftligt av den som genomfört den (5 kap. 24 § skol- lagen). I samband med att disciplinära eller andra särskilda åtgärder, t.ex. avstängning, behöver vidtas kan det i vissa fall vara nödvändigt att be- handla en uppgift om bl.a. lagöverträdelser. Ett exempel kan vara i ett ärende rörande avstängning av en narkotikapåverkad elev som dyker upp i skolan och är farlig för sig själv eller andra. I detta sammanhang skulle det, om eleven har dömts för t.ex. ringa narkotikabrott, kunna bli aktuellt att även anteckna den uppgiften. Även inom elevhälsan skulle det kunna uppstå situationer där det finns ett berättigat behov av att i löpande text behandla en uppgift om en lag- överträdelse. Datainspektionen har också genom föreskrifter möjliggjort för den elevvårdande verksamheten i fristående skolor att i anteckningar behandla uppgifter om bl.a. lagöverträdelser (1 § b Datainspektionens föreskrifter om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. [1998:3] som ändrats genom 2010:1). För dessa skolor har det således bedömts finnas ett behov av att i den elevvårdande verksamheten kunna behandla uppgifter om bl.a. lagöverträdelser i anteckningar, dvs. Be- greppet elevvårdande verksamhet används dock inte i skollagen, utan i stället används begreppet elevhälsa som ska omfatta medicinska, psykologiska, psykosociala och specialpedagogiska insatser (2 kap. 25 § skollagen). 14.3.2Behandling av personuppgifter som rör lagöverträdelser ska tillåtas i vissa fall Regeringens förslag: I skollagen ska det anges att personuppgifter om lagöverträdelser som avses i artikel 10 i EU:s dataskyddsförordning ska få behandlas i verksamhet hos en huvudman för en fristående skola dels i elevhälsan i löpande text, dels i skriftlig dokumentation som ska föras om disciplinära och andra särskilda åtgärder enligt skollagen. Behand- lingen ska vara tillåten om den är nödvändig och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Utredningens förslag: Överensstämmer delvis med regeringens förslag. Utredningen har föreslagit att fristående skolor får behandla personuppgifter om lagöverträdelser om det är absolut nödvändigt i löpande text inom elevhälsan och i skriftlig dokumentation om särskilda åtgärder enligt skollagen. Remissinstanserna: De flesta remissinstanserna har tillstyrkt eller inte kommenterat utredningens förslag. anser att för- slaget är väl avvägt. framhåller att det enligt skol- lagen råder en skyldighet för den som erbjuds en anställning inom förskolan, förskoleklassen, fritidshemmet, , grundsärskolan, specialskolan och annan pedagogisk verksamhet att lämna ett utdrag ur belastningsregister och att det därför behövs en reglering för samtliga skolformer som avser behandling av personuppgifter om lagöverträdelser m.m. Även uppmärksammar detta behov. avstyrker utredningens förslag med motiveringen att det redan regleras i dataskyddsförordningen när personuppgifter om lagöver- trädelser får behandlas och att ytterligare reglering skulle framstå som missvisande. Skälen för regeringens förslag: Av artikel 10 i dataskyddsförord- ningen följer att uppgifter om lagöverträdelser får behandlas om det sker under kontroll av myndighet, vilket enligt regeringens bedömning i pro- positionen Ny dataskyddslag (prop. 2017/18:105 s. 99) innebär att myn- digheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter som rör lagöverträdelser. Enligt förslaget i den propositionen har det i 3 kap. 8 § dataskyddslagen förtydligats att myndigheter får behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen. Inom utbildning med offentlig huvudman kommer alltså person- uppgifter som rör lagöverträdelser kunna behandlas. Någon motsvarande möjligt att behandla uppgifter om lagöverträdelser som omfattar enskilda skolhuvudmän föreslås dock inte i dataskydds- lagen. Behovet av att behandla uppgifter om lagöverträdelser är dock detsamma hos enskilda skolhuvudmän som hos offentliga, då det om- fattas av samma regelverk i skollagen. Exempelvis kan nämnas att bestämmelser om tillfällig omplacering och avstängning i 5 kap. skol- lagen tar sikte på bl.a. övriga elevers trygghet och studiero. Det måste därmed anses vara lika angeläget att det i fristående skolor är möjligt att behandla personuppgifter som rör lagöverträdelser i dessa sammanhang som i skolor med offentlig huvudman. Till skillnad från anser regeringen därför att en bestämmelse som möjliggör att hos huvudmän för fristående skolor behandla personuppgifter som rör lagöverträdelser dels i elevhälsan, dels i skriftlig dokumentation som ska föras om disciplinära och andra särskilda åtgärder enligt 5 kap. 24 § skollagen, bör införas i skollagen.