prop · H503218 · 2018-04-10 00:00:00 — enstaka fall besluta att person- papper eller annat medium som uppgifterna i ett ärende om studie- inte är elektroniskt. stöd ska bevaras på papper eller annat medium som inte är elektro- Denna lag träder i kraft . 2.4Förslag till lag om ändring i skollagen (2010:800) Härigenom föreskrivs i fråga om skollagen (2010:800) dels att 1 kap. 12 § ska ha följande lydelse, dels att det ska införas ett nytt kapitel, 26 a kap., av följande lydelse. Lagen är uppdelad i 29 kapitel. Lagen är uppdelad i 30 kapitel. –inledande bestämmelser (1 kap.), –huvudmän och ansvarsfördelning (2 kap.), –barns och elevers utveckling mot målen (3 kap.), –kvalitet och inflytande (4 kap.), –trygghet och studiero (5 kap.), –åtgärder mot kränkande behandling (6 kap.), –skolplikt och rätt till utbildning (7 kap.), –förskolan (8 kap.), –förskoleklassen (9 kap.), –(10 kap.), –grundsärskolan (11 kap.), –specialskolan (12 kap.), –sameskolan (13 kap.), –fritidshemmet (14 kap.), –gymnasieskolan (15–17 a kap.), –gymnasiesärskolan (18 och 19 kap.), –vuxenutbildning (20 kap.), –särskild utbildning för vuxna (21 kap.), –entreprenad och samverkan (23 kap.), –särskilda utbildningsformer (24 kap.), –annan pedagogisk verksamhet (25 kap.), –tillsyn, statlig kvalitetsgranskning och nationell uppföljning och utvärdering (26 kap.), –behandling av personuppgif- ter (26 a kap.), (27 kap.), –överklagande (28 kap.), och –övriga bestämmelser (29 kap.). 2 Senaste lydelse 2015:482. 26 a kap. Behandling av per- sonuppgifter Detta kapitel tillämpas vid behandling av personuppgifter i verksamhet som bedrivs med stöd av denna lag, föreskrifter som meddelats med stöd av lagen, bestämmelser för utbildningen som finns i annan författning eller beslut som meddelats med stöd av någon av dessa författningar. Detta kapitel ska inte tillämpas på behandling av personuppgifter i elevhälsan som utförs inom hälso- och sjukvården. Förhållande till annan data- skyddsreglering Bestämmelserna i detta kapitel kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskydds- förordning. Termer och uttryck i detta kapitel har samma betydelse som i EU:s dataskyddsförordning. Bestämmelser om behandling av personuppgifter finns även i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och i föreskrifter som har meddelats i anslutning till den lagen. Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsföro- rdning (känsliga personuppgifter) får med stöd av artikel i samma förordning behandlas hos en enskild huvudman enligt 2 kap. eller hos en enskild aktör enligt 24 eller 25 kap. 1.om behandlingen är nödvän- dig för en hantering som mot- svarar handläggning av ett ärende hos en myndighet, eller 2.i annat fall, om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång iden registrerades personliga integritet. Vid behandling som sker med stöd av första stycket är det för- bjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga person- uppgifter. För myndigheter och vissa andra organ finns det bestäm- melser om behandling av känsliga personuppgifter och om sök- begränsningar i 3 kap. 3 § data- skyddslagen. Regeringen får meddela före- skrifter om undantag från de sökbegränsningar som avses i 4 § andra stycket denna lag och i 3 kap. 3 § andra stycket data- skyddslagen i fråga om person- uppgifter om hälsa i verksamhet hos en huvudman för 4.särskild utbildning för vuxna, 5.gymnasieskola med Rh-anpa- ssad utbildning, 6.utbildning i gymnasieskolan för elever som är döva, hörsel- skadade eller dövblinda eller har en språkstörning, och 7. förskola, skola som har begränsats till att avse elever som är i behov av sökbegränsningen i 3 kap. 3 § fråga om personuppgifter om 1. etniskt ursprung i verksamhet hos en huvudman för sameskolan, 2. hälsa och etniskt ursprung i verksamhet hos en kommun. Personuppgifter som rör lagöver- artikel 10 i EU:s dataskyddsför- ordning får behandlas i verk- samhet hos en huvudman för en fristående skola om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång i den registrerades personliga integritet 1. i löpande text inom elev- hälsan, och 2. i skriftlig dokumentation som ska föras enligt 5 kap. 24 §. För myndigheter finns det bestämmelser om behandling av personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning i 3 kap. 8 § dataskyddslagen. Där finns det även bestämmelser för andra än myndigheter som är skyldiga att följa föreskrifter om arkiv. Denna lag träder i kraft . Ärendet och dess beredning antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Dataskyddsförordningen, som börjar tillämpas , finns i svensk lydelse i bilaga 1. Regeringen beslutade att tillkalla en särskild utredare som bl.a. fick i uppdrag att undersöka vilken reglering av personupp- giftsbehandling inom utbildningsområdet som är möjlig och kan behövas utöver dels regleringen i dataskyddsförordningen, dels den generella reglering som den redan tillsatta (Ju 2016:04) hade i uppdrag att föreslå med anledning av dataskyddsförordningen. Den nya utredningen, som tog sig namnet (U 2016:03), överlämnade betänkandet EU:s dataskydds- förordning och utbildningsområdet (SOU 2017:49). En sammanfattning av betänkandet finns i bilaga 2. Utredningens lagförslag finns i bilaga 3. Betänkandet har remissbehandlats. En förteckning över remissinstans- erna finns i bilaga 4. Remissyttrandena och en sammanställning av dessa finns tillgängliga i (U2017/02586/RS). Datainspektionen har beretts tillfälle yttra sig över ett utkast till lagrådsremiss. Utkastet överensstämmer i allt väsentligt med lagråds- remissen. Vissa myndigheter och enskilda har beretts tillfälle att yttra sig över delar av utkastet till lagrådsremiss. Dessa är , , Specialpedagogiska skolmyndigheten, Sameskol- styrelsen, Kommuner och Landsting, , , , (avsnitt 2.4, 9.1, 13.3) Myndigheten för (avsnitt 2.2, 20.2), (avsnitt 2.1, 20.1), (avsnitt 9.2.7) , , Studieförbunden i samverkan, (avsnitt 5, 5.4, 9.4, 13.6) och (avsnitt 9.5, 13.7, 15, 18.2). Yttranden har inkommit från samtliga utom , , skol- ledarförbund, och Myndigheten för . har avstått från att yttra sig. Synpunkterna behandlas i respektive avsnitt. Inkomna yttranden finns tillgängliga i (U2017/02586/RS). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 5. Lagrådets yttrande finns i bilaga 6. Lagrådets synpunkter behandlas i avsnitt 16 och i författ- I förhållande till lagrådsremissens har vissa språkliga och redaktionella ändringar gjorts. Förslaget till följdändring i 1 kap. 12 § skollagen (2010:800) är författningstekniskt och även i övrigt av sådan beskaffenhet att Lagrådets hörande skulle sakna betydelse. Regeringen har därför inte inhämtat Lagrådets yttrande över det förslaget. Ändringar i medför behov av ändringar i den svenska regleringen av Dataskyddsdirektivet ska ersättas av en När myndigheter och enskilda behandlar personuppgifter inom utbild- ningsområdet sker det i huvudsak med stöd av personuppgiftslagen (1998:204), förkortad PUL. Med utbildningsområdet avses bl.a. skol- väsendet och annan verksamhet som regleras i skollagen (2010:800), den verksamhet som bedrivs av universitet och högskolor, , folkbildningen och studiestödet. PUL är en lag som har tillkommit i syfte att genomföra Europaparla- mentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). med direktivet är åstadkomma en likvärdig skyddsnivå i alla med- lemsstater i fråga om fysiska personers grundläggande fri- och rättig- heter, särskilt rätten till privatliv, i samband med behandling av person- uppgifter och därigenom eliminera hindren mot det fria flödet av person- uppgifter mellan medlemsstaterna (artikel 1 och skäl 7–9). utgör i sin tur en precisering av konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (CETS 108), den s.k. dataskyddskonventionen, och dess tilläggsprotokoll. tionen kompletteras av ett antal rekommendationer som har antagits av ministerkommittén om hur personuppgifter bör behandlas inom olika har, i likhet med övriga medlemsstater i EU, anslutit sig till dataskyddskonventionen. översyn av dataskyddskonventionen. Hur det kommer att ta innan översynen är klar är svårt att förutse. Dataskyddsdirektivet har ett begränsat tillämpningsområde. tillämpligt på t.ex. behandling som gäller allmän säkerhet, statens säker- het eller statens verksamhet på straffrättens område. PUL har dock, till skillnad från direktivet, gjorts generellt tillämplig och är därför tillämplig även utanför område. Skälet för detta är att den svenska data- skyddsreglering som gällde före införandet av PUL i princip var generellt tillämplig på all automatisk behandling av personregister, med vissa När den dåvarande datalagen (1973:289) skulle ersättas av PUL, ansågs det lämpligt att även den nya lagen skulle omfatta sådan verksamhet som faller utanför (prop. 1997/98:44 s. 40 f.). ska dock inte tillämpas om avvikande bestämmelser finns i annan lag eller förordning, dvs. PUL är subsidiär i förhållande till annan författ- Sedan dataskyddsdirektivet beslutades har den ekonomiska och sociala integrationen på EU:s inre marknaden lett till en betydande ökning av gränsöverskridande flöden av personuppgifter. Vidare har den snabba tekniska utvecklingen och globaliseringen skapat nya utmaningar i fråga om skyddet av personuppgifter. Dessa förändringar har av EU:s med- lemsstater ansetts kräva en stark och mer sammanhängande ram för Prop. 2017/18:218 dataskyddet inom EU. Dataskyddsdirektivet har inte heller förhindrat bristande enhetlighet i genomförandet och tillämpningen av dataskyddet i olika delar av unionen. Skillnader i nivån på skyddet av personuppgifter har ansetts förhindra det fria flödet av personuppgifter och anses därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, snedvrida konkurrensen och hindra myndigheterna från att fullgöra sina skyldigheter enligt unionsrätten. Av bl.a. ovan nämnda skäl antogs Europaparlamen- tets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). Den nya rättsakten, som i det följande benämns data- skyddsförordningen, syftar till att säkerställa en enhetlig skyddsnivå över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen syftar även till att skapa rättslig säkerhet och öppenhet för ekonomiska aktörer, ge fysiska personer i alla medlemsstater samma rättigheter och skyldigheter och ålägga dem som ansvarar för personuppgifterna samma ansvar. På så sätt avses övervakningen av behandling av personuppgifter bli enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt (skäl 10 och 13 till dataskyddsförordningen). Dataskyddsförordningen har i likhet med dataskyddsdirektivet ett be- gränsat tillämpningsområde. Vid sidan av dataskyddsförordningen gäller och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndig- heters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Dataskyddsförordningen ska tillämpas då dataskyddsdirektivet upphör att gälla (artikel 99.2 och 94.1 i data- skyddsförordningen). Dataskyddsförordningen kommer alltså att ersätta dataskyddsdirektivet. Denna förändring innebär att PUL kommer att upp- hävas och att det även i övrigt kommer att behöva göras ändringar i svensk rätt. 4.2Dataskyddsförordningen är direkt tillämplig men kan kompletteras i nationell rätt Dataskyddsförordningen är till alla delar bindande och direkt tillämplig i medlemsstaterna (artikel 99.2 i dataskyddsförordningen). Att en EU- förordning ska ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat framgår också av Fördraget om Europeiska unionens funktionssätt (artikel 288 andra stycket). Till skillnad från EU-direktiv ska alltså EU-förordningar inte implementeras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av en- 2017/18:218 skilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser. Även om dataskyddsförordningen, till skillnad från dataskyddsdirek- tivet, är direkt tillämplig i medlemsstaterna, innehåller den många be- stämmelser som förutsätter eller ger utrymme för kompletterande natio- nella bestämmelser av olika slag. Sådana bestämmelser måste dock vara förenliga med dataskyddsförordningen och avse en fråga som får regleras genom nationell rätt. Möjligheten till kompletterande nationella bestäm- melser gäller framför allt för bestämmelser som reglerar förhållandena inom den offentliga sektorn i respektive medlemsstat. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bl.a. när det handlar om behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2 i dataskyddsförordningen). Förordningen har därmed i vissa delar en direktivliknande karaktär. Om förordningen föreskriver att förtyd- liganden eller begränsningar av dess bestämmelser kan eller ska göras i medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (skäl 8 till dataskyddsförordningen). 4.3 Dataskyddsförordningen ska kompletteras av en ny svensk övergripande lag och förordning om dataskydd Till följd av att dataskyddsdirektivet upphävs och ersätts av dataskydds- förordningen beslutade regeringen propositionen Ny dataskyddslag (prop. 2017/18:105). I propositionen, som baseras på ett betänkande från den i avsnitt 3 nämnda (SOU 2017:39), föreslås att PUL ska upphävas. I stället ska bestämmelser som kompletterar dataskyddsförordningen och är av generell karaktär samlas i en ny övergripande lag om dataskydd. För att betona att lagen inte är hel- täckande, utan endast utgör komplement till dataskyddsförordningen, föreslås den benämnas lagen med kompletterande bestämmelser till EU:s Den föreslagna nya lagen förkortas i det följande På motsvarande sätt som PUL har ett vidare tillämpningsområde än dataskyddsdirektivet, föreslås en bestämmelse i dataskyddslagen som utsträcker dataskyddsförordningens tillämpningsområde (1 kap. 2 §). Dataskyddslagen innehåller bl.a. bestämmelser som upplyser om inne- hållet i dataskyddsförordningen, förtydligar innehållet i dataskyddsför- ordningens bestämmelser och kompletterar dataskyddsförordningen i Det anges också att bestämmelser i annan lag eller förordning som rör behandling av personuppgifter och som avviker från dataskydds- lagen ska ha företräde framför dataskyddslagen (1 kap. 6 § dataskydds- lagen), dvs. dataskyddslagen är subsidiär till andra författningar. innebär att dataskyddslagen, på motsvarande sätt som PUL, kommer att kunna kompletteras av s.k. registerförfattningar, dvs. reglerar behandling av personuppgifter på ett avgränsat område. 2017/18:218 närvarande kompletteras PUL av ca 200 registerförfattningar. ningsområdet gäller t.ex. studiestödsdatalagen (2009:287), studiestöds- dataförordningen (2009:321) och förordningen (1993:1153) om redo- visning av studier m.m. vid universitet och högskolor. 4.4Dataskyddsförordningen behöver även kompletteras genom svenska bestämmelser på utbildningsområdet För att den behandling av personuppgifter som sker på utbildnings- området ska kunna fortsätta när dataskyddsförordningen och dataskydds- lagen börjar gälla finns det även behov av kompletterande bestämmelser om personuppgiftsbehandling på utbildningsområdet. De frågor som aktualiseras på utbildningsområdet och där regeringen ser behov att lämna förslag till eller informera om sin bedömning gäller förekomsten av rättslig grund för att behandla personuppgifter (avsnitt 9), behandling av känsliga personuppgifter (avsnitt 13), behandling av personuppgifter som rör lagöverträdelser (avsnitt 14) och att studie- stödsdatalagen ska anpassas till dataskyddsförordningen (avsnitt 15). Nedan ges först en kortfattad redogörelse för gällande rätt då den nya dataskyddsförordningen till stor del baseras på dataskyddsdirektivets struktur och innehåll (avsnitt 4.5). Därefter ges en kort beskrivning av vilka nyheter dataskyddsförordningens reglering innebär (avsnitt 4.6). Närmare om gällande rätt Dataskyddsdirektivet syftar till att garantera en hög och i alla medlems- stater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter. även till att främja ett fritt flöde av personuppgifter mellan medlems- staterna i EU. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får Huvuddragen i direktivet är följande. Direktivet gäller för sådan be- handling av personuppgifter som helt eller delvis sker på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas beträffande person- uppgifter, vare sig det sker på automatisk väg eller inte, till exempel in- samling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring (artikel 2 b och 3.1 i dataskyddsdirektivet). Direktivet är inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskapsrätten, t.ex. behandling som gäller allmän 2017/18:218 säkerhet, statens säkerhet eller statens verksamhet på straffrättens områ- Direktivet är inte heller tillämpligt på behandling av personuppgifter som utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. av personuppgifter för journalistiska, konstnärliga och litterära ändamål undantas från direktivets materiella bestämmelser (artikel 3.2 och 9). Medlemsstaterna ska enligt direktivet föreskriva vissa principer för Dessa innebär bl.a. följande. behandlas på ett korrekt och lagligt sätt. Uppgifterna får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och de får inte senare användas på ett sätt som är oförenligt med ursprungsändamålet. behandling av uppgifter för historiska, statistiska eller veten- skapliga ändamål ska dock inte anses oförenligt med det ursprungliga ändamålet, förutsatt att medlemsstaterna beslutar om lämpliga skydds- Medlemsstaterna ska vidare föreskriva att personuppgifter endast får behandlas i bl.a. följande fall: när samtycke lämnats, när det är nöd- vändigt för att fullgöra ett avtal i vilket den registrerade är part, när det finns en i författning reglerad förpliktelse att behandling av uppgifterna skall ske, när det är nödvändigt för att skydda den enskildes grund- läggande intressen, när det är nödvändigt att utföra en arbetsuppgift i det allmännas intresse eller som ett led i myndighetsutövning eller efter en intresseavvägning mellan de berättigade intressen som finns för behand- lingen och den registrerades rättigheter (artikel 6 och 7). Så kallade känsliga uppgifter, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, samt uppgifter som rör hälsa och sexualliv. får som huvudregel inte behandlas. Det finns dock vissa undantag, bl.a. om den enskilde uttryckligen samtycker, för ideella föreningars med- lemsregister, för hälso- och sjukvårdens administration och vid för- Medlemsstaterna får i sin nationella lag- stiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag från förbudet än dem som anges i direktivet, dock endast under förutsättning att det sker av hänsyn till ett viktigt allmänt intresse och att lämpliga skyddsåtgärder vidtas. Medlemsstaterna ska vidare bestämma på vilka villkor nationella identifikationsnummer får behandlas. får uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder bara behandlas i vissa angivna fall (artikel 8). Med registeransvarig avses den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för be- handlingen av personuppgifter. Med registerförare avses den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som behandlar personuppgifter för den registeransvariges räkning (artikel 2 d och 2 e). När personuppgifter samlas in ska de registrerade informeras bl.a. om vem som är registeransvarig och vad uppgifterna ska användas till. behandling av personuppgifter ska enligt huvudregeln anmälas till en Behandling av personuppgifter som innebär särskilda integritetsrisker får inte förekomma utan att tillsynsmyndigheten först gett tillstånd till detta. Den registrerade ska ha rätt att få sina rättigheter Prop. 2017/18:218 enligt den nationella lagen prövad av tillsynsmyndigheten och domstol. Överföring av personuppgifter till ett tredje land får i princip endast ske om det mottagande landet har en acceptabel skyddsnivå (se bl.a. artikel 10, 18–20, 22 och 25). Dataskyddsdirektivet har, som angetts ovan, genomförts i svensk rätt huvudsakligen genom PUL. Bestämmelserna i har till syfte att skydda människor mot att deras personliga integritet kränks genom be- handling av personuppgifter. PUL följer i princip dataskyddsdirektivets struktur. Liksom direktivet innehåller PUL bestämmelser om behandling av personuppgifter som helt eller delvis är automatiserad, men även annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. PUL gäller både myndigheter och enskilda som behandlar personupp- gifter på detta sätt. Lagen gäller dock inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (5 och 6 §§ PUL). Vidare anges att PUL inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihets- grundlagen samt att vissa angivna bestämmelser inte ska tillämpas på sådan behandling av personuppgifter som sker uteslutande för jour- nalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). Det anges även att PUL inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter samt att bestämmelserna inte heller hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkiv- material tas om hand av en arkivmyndighet (8 §).