prop · H503218 · 2018-04-10 00:00:00 — Behandling av personuppgifter på utbildningsområdet Regeringens proposition 2017/18:218 Behandling av personuppgifter på Regeringen överlämnar denna proposition till . Propositionen innehåller förslag till lagändringar på utbildningsområdet som innebär kompletteringar och anpassningar till –och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning), –den i propositionen Ny dataskyddslag (prop. 2017/18:105) föreslagna lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, och –föreskrifter som meddelas med stöd av den lagen. De kompletterande bestämmelser inom utbildningsområdet som här föreslås syftar till att möjliggöra en fortsatt ändamålsenlig behandling av personuppgifter på detta område som den enskildes fri- och rättigheter skyddas, oavsett om behandlingen utförs av offentliga eller enskilda aktörer. –lagen (1993:792) om tillstånd att utfärda vissa examina, –lagen (2009:128) om , –studiestödsdatalagen (2009:287), och –skollagen (2010:800). Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina .................................... 2.2Förslag till lag om ändring i lagen (2009:128) om 2.3Förslag till lag om ändring i studiestödsdatalagen (2009:287) ........................................................................ Förslag till lag om ändring i skollagen (2010:800) .......... Ärendet och dess beredning ............................................................ Ändringar i medför behov av ändringar i den svenska regleringen av behandling av personuppgifter .................. 4.1Dataskyddsdirektivet ska ersättas av en 4.2Dataskyddsförordningen är direkt tillämplig men kan kompletteras i nationell rätt ....................................... 4.3Dataskyddsförordningen ska kompletteras av en ny svensk övergripande lag och förordning om 4.4Dataskyddsförordningen behöver även kompletteras genom svenska bestämmelser på utbildningsområdet...... Närmare om gällande rätt ................................................. 4.6Likheter och skillnader mellan dataskyddsdirektivet 4.7Regeringsformen avgör om kompletterande svensk reglering ska införas på lag- eller förordningsnivå........... 5 Vad avses med utbildningsområdet?............................................... Universitet och högskolor ................................................ 5.3Yrkeshögskolan och andra eftergymnasiala Den nationella referensramen för livslångt lärande.......... 5.7Behandling av personuppgifter hos myndigheter som inte själva bedriver utbildning behandlas med ett undantag inte i denna proposition..................................... 6 För att personuppgiftsbehandling ska vara laglig krävs en Samtycke som rättslig grund ............................................ Uppgift av allmänt intresse som rättslig grund................. Myndighetsutövning som rättslig grund........................... Rättslig förpliktelse som rättslig grund ............................ Intresseavvägning som rättslig grund............................... 7 Principer som måste följas vid behandling av personuppgifter....... Allmänna principer för personuppgiftsbehandling .......... 7.2Det finns en särskild reglering för s.k. känsliga 7.3Den finns även en särskild reglering om personuppgifter om lagöverträdelser ............................... Anordnande av utbildning är både en uppgift av allmänt intresse och ett viktigt allmänt intresse .......................................... Rättsliga grunder för personuppgiftsbehandling inom Vilka personuppgifter behandlas inom Den rättsliga grunden uppgift av allmänt intresse kan användas inom myndighetsutövning kan användas i vissa Den rättsliga grunden rättslig förpliktelse kan användas i vissa fall Intresseavvägning kan användas men blir Den rättsliga grunden samtycke kan användas i begränsad utsträckning Universitets ...................................- och högskolesektorn Vilka personuppgifter behandlas inom Den rättsliga grunden uppgift av allmänt intresse kan användas av högskolorna myndighetsutövning kan användas i vissa Den rättsliga grunden rättslig förpliktelse kan användas i vissa fall av högskolorna Intresseavvägning kan användas men blir sällan aktuell för högskolorna Den rättsliga grunden samtycke kan användas i begränsad utsträckning av De rättsliga grunderna uppgift av allmänt intresse, samtycke och intresseavvägning kan användas av studentkårerna 9.3Yrkeshögskolan och andra eftergymnasiala 9.3.1Vilka personuppgifter behandlas inom och andra 9.3.2Den rättsliga grunden uppgift av allmänt intresse kan användas ..................................... myndighetsutövning kan användas i vissa Den rättsliga grunden rättslig förpliktelse kan användas i vissa fall .................................. Intresseavvägning kan användas men blir Den rättsliga grunden samtycke kan användas i begränsad utsträckning .................. Behandling av personuppgifter inom Den rättsliga grunden uppgift av allmänt intresse kan användas vid bedrivandet av De rättsliga grunderna uppgift av allmänt intresse eller intresseavvägning kan användas vid behandling av personuppgifter inom folkbildning som finansieras på annat sätt än genom Vilka personuppgifter behandlas inom Den rättsliga grunden uppgift av allmänt intresse kan användas .................................... myndighetsutövning kan användas för en Samtycke ska inte användas som rättslig 10 Som huvudregel krävs inte lagform för personuppgiftsbehandling på utbildningsområdet ........................ 11 Det krävs inte fler särskilda registerförfattningar på 12 Var ska kompletterande bestämmelser om 13 Sektorslagstiftningen ska kompletteras med bestämmelser om behandling av känsliga personuppgifter........................................ Dataskyddsförordningen tillåter bara behandling av känsliga personuppgifter i vissa fall ............................... 13.2Det finns kompletterande bestämmelser om känsliga personuppgifter i dataskyddslagen ................................. 13.2.1Behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse möjliggörs i 13.2.2Övriga bestämmelser om behandling av Kompletterande bestämmelser om känsliga personuppgifter ska införas i skollagen ......................... Det finns behov av behandling av känsliga personuppgifter på det Ytterligare reglering av behandling av känsliga personuppgifter som krävs enligt lag behövs inte.............................................. Behandling av känsliga personuppgifter som är nödvändig för en hantering som motsvarar handläggningen av ett ärende Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång.................................... Ytterligare rättsligt stöd för behandling av känsliga personuppgifter om hälsa behövs Ytterligare rättsligt stöd för behandling av känsliga personuppgifter om etniskt ursprung i sameskolan behövs inte ............... Ytterligare rättsligt stöd för hemkommuners behandling av känsliga personuppgifter i ärenden behövs inte .......... Ytterligare rättsligt stöd för kommuners behandling av känsliga personuppgifter i annat fall behövs inte.................................... Det behövs inte något bemyndigande att meddela föreskrifter om ytterligare bestämmelser om behandling av känsliga Det ska vara förbjudet att utföra vissa sökningar i syfte att få fram ett personurval grundat på känsliga 13.4Kompletterande bestämmelser om känsliga personuppgifter ska införas i lagen om tillstånd att utfärda vissa examina .................................................... 13.4.1Det finns behov av att behandla känsliga personuppgifter på högskoleområdet............ 13.4.2Ytterligare reglering av behandling av känsliga personuppgifter som krävs enligt lag behövs inte.............................................. Behandling av känsliga personuppgifter som är nödvändiga för en hantering som motsvarar handläggning av ett ärende ska 13.4.4Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång.................................... Det ska vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter ........................... Kompletterande bestämmelser om känsliga personuppgifter ska införas i lagen om Det finns behov av att behandla känsliga annan eftergymnasial utbildning ................... Ytterligare reglering av behandling av känsliga personuppgifter som krävs enligt lag behövs inte ............................................... Behandling av känsliga personuppgifter som är nödvändiga för en hantering som motsvarar handläggning av ett ärende ska Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång ..................................... Det ska vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter ........................... Folkbildningen bör ges rättsligt stöd för att behandla Studiestödsdatalagens bestämmelser om känsliga personuppgifter ska hänvisa till 14 Sektorslagstiftningen ska kompletteras med bestämmelser om behandling av personuppgifter som rör lagöverträdelser .............. Dataskyddsförordningen tillåter bara behandling av personuppgifter som rör lagöverträdelser i vissa fall ..... Kompletterande bestämmelser om lagöverträdelser ska införas i skollagen .................................................... Det finns behov av behandling av personuppgifter som rör lagöverträdelser i Behandling av personuppgifter som rör lagöverträdelser ska tillåtas i vissa fall .......... Kompletterande bestämmelser om lagöverträdelser ska införas i lagen om tillstånd att utfärda vissa Det finns behov av behandling av personuppgifter som rör lagöverträdelser Behandling av personuppgifter som rör fällande domar i brottmål ska tillåtas i ärenden om avskiljande från utbildning 14.5Kompletterande bestämmelser om lagöverträdelser ska införas i lagen om .......................... 14.5.1Det finns behov av behandling av personuppgifter som rör lagöverträdelser i och annan eftergymnasial 14.5.2Behandling av personuppgifter som rör lagöverträdelser m.m. ska tillåtas i ärenden om avskiljande från utbildning........ 14.6Någon särskild reglering om lagöverträdelser behövs inte för folkhögskolorna eller studieförbunden ............. lagöverträdelser ska hänvisa till 15 Vissa ytterligare anpassningar till dataskyddsförordningen ska göras i studiestödsdatalagen......................................................... 15.1Bestämmelser i studiestödsdatalagen som bedöms vara förenliga med dataskyddsförordningen ................. Rätten att göra invändningar ska inte gälla behandling av personuppgifter som är tillåten enligt 15.3Studiestödsdatalagens bestämmelse om rättelse och skadestånd ska upphävas ............................................... 15.4Studiestödsdatalagens bemyndigande om gallring ska omfatta samma personuppgifter som Förhållandet till annan dataskyddsreglering ska framgå av Hänvisningar till dataskyddsförordningen ska vara dynamiska ... Ikraftträdande och övergångsbestämmelser ................................. Lagändringarna ska träda i kraft ..... Övergångsbestämmelser behövs inte............................. 20.1Förslag till lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina ................................. 20.2Förslag till lag om ändring i lagen (2009:128) om 20.3Förslag till lag om ändring i studiestödsdatalagen (2009:287) ..................................................................... Förslag till lag om ändring i skollagen (2010:800)........ Sammanfattning av betänkandet EU:s dataskyddsförordning och utbildningsområdet (SOU 2017/18:218 Bilaga 4 Förteckning över remissinstanser ................................... Utdrag ur protokoll vid regeringssammanträde ......... Regeringen föreslår att antar regeringens förslag till 1.lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina, 2.lag om ändring i lagen (2009:128) om , 3.lag om ändring i studiestödsdatalagen (2009:287), 4.lag om ändring i skollagen (2010:800). 2017/18:218 2 Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina Härigenom föreskrivs i fråga om lagen (1993:792) om tillstånd att utfärda vissa examina1 dels att nuvarande 5 och 6 §§ ska betecknas 6 och 5 §§, dels att det ska införas fem nya paragrafer, 10–14 §§, och närmast före 10 § en ny rubrik av följande lydelse, dels att det ska införas en ny rubrik närmast före 1 § som ska lyda ”Tillstånd att utfärda examina”, en ny rubrik närmast före den nya 6 § som ska lyda ”Uppföljning och utvärdering”, en ny rubrik närmast före 7 § som ska lyda ”Återkallelse av tillstånd” och en ny rubrik närmast före 8 § som ska lyda ”Utfärdande av examina utan tillstånd”. Bestämmelserna i 13 och 14 §§ som har fått tillstånd att utfärda examina och som bedrivs med stöd av denna lag, bestämmelser för utbildningen som finns i annan meddelats med stöd av någon av Bestämmelserna i 13 och 14 §§ kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 1 Senaste lydelse av 6 § 2000:1371. upphävande av direktiv /46/EG Prop. (allmän dataskyddsförordning), här benämnd EU:s dataskydds- förordning. Termer och uttryck i 13 och 14 §§ har samma betydelse som i EU:s dataskyddsförordning. Bestämmelser om behandling av personuppgifter finns även i lagen (2018:000) med kompletterande bestämmelser till EU:s data- skyddsförordning, här benämnd dataskyddslagen, och i föreskrifter som har meddelats i anslutning till den lagen. Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsför- ordning (känsliga personuppgifter) får med stöd av artikel i samma förordning behandlas av en enskild utbildningsanordnare 1.om behandlingen är nöd- vändig för en hantering som mot- svarar handläggning av ett ärende hos en myndighet, eller 2.i annat fall, om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång iden registrerades personliga integritet. Vid behandling som sker med stöd av första stycket är det för- bjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personupp- gifter. För vissa enskilda utbildnings- anordnare som jämställs med myn- digheter finns det bestämmelser om behandling av känsliga person- uppgifter och om sökbegräns- ningar i 3 kap. 3 § dataskydds- lagen. Personuppgifter som rör fäl- lande domar i brottmål får be- handlas av en enskild utbildnings- nödvändig för en hantering som ärende hos en myndighet om att avskilja en student från utbildning. nare som är skyldiga att följa föreskrifter om arkiv finns det även personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning i 3 kap. 8 § dataskyddslagen. Denna lag träder i kraft . 2.2Förslag till lag om ändring i lagen (2009:128) om Härigenom föreskrivs att det i lagen (2009:128) om ska införas fem nya paragrafer, 19 a–19 e §§, och närmast före 19 a § en ny rubrik av följande lydelse. 19 e §§ tillämpas vid inom som bedrivs med stöd av denna lag, föreskrifter som meddelats med stöd av lagen, bestämmelser för utbildningen som finns i annan författning eller beslut som meddelats med stöd av någon av dessa författningar. Bestämmelserna i 19 d och 19 e §§ kompletterar Europaparla- mentets och rådets förordning (EU) 2016/679 av om skydd för fysiska per- soner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskydds- förordning. Termer och uttryck i 19 d och 19 e §§ har samma betydelse som i EU:s dataskyddsförordning. Bestämmelser om behandling av personuppgifter finns även i lagen (2018:000) med kompletterande bestämmelser till EU:s data- skyddsförordning, här benämnd dataskyddslagen, och i föreskrifter som har meddelats i anslutning till Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsföror- dning (känsliga personuppgifter) får med stöd av artikel i samma förordning behandlas av en enskild utbildningsanordnare 1. om behandlingen är nöd- vändig för en hantering som mot- svarar handläggning av ett ärende hos en myndighet, eller 2. i annat fall, om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång i den registrerades personliga in- tegritet. Vid behandling som sker med stöd av första stycket är det för- bjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personupp- gifter. För myndigheter finns det be- stämmelser om behandling av känsliga personuppgifter och om sökbegränsningar i 3 kap. 3 § dataskyddslagen. Personuppgifter som rör fäl- lande domar i brottmål får be- handlas av en enskild utbildnings- anordnare om behandlingen är nödvändig för en hantering som motsvarar handläggning av ett ärende hos en myndighet om att avskilja en studerande från utbild- ning. För myndigheter finns det be- stämmelser om behandling av personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning i 3 kap. 8 § första stycket data- skyddslagen. Denna lag träder i kraft . Förslag till lag om ändring i studiestödsdatalagen (2009:287) Härigenom föreskrivs i fråga om studiestödsdatalagen (2009:287) dels att 7 och 15 §§ ska upphöra att gälla, dels att rubrikerna närmast före 7 och 15 §§ ska utgå, dels att 2, 5, 6, 8, 10 och 16 §§ och rubriken närmast före 2 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 2 a §, av följande lydelse. giftslagen och lagen om den Denna lag kompletterar Europa- parlamentets och rådets förord- melser om behandling av person- ning (EU) 2016/679 av den 27 uppgifter som saknar motsvarighet om skydd för fysiska i denna lag, ska personuppgifts- personer med avseende på be- lagen tillämpas vid behandling av handling av personuppgifter och personuppgifter i Centrala studie- om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- Termer och uttryck i denna lag ens behandling av personuppgifter har samma betydelse som i EU:s för att framställa statistik ska lagen (2001:99) om den officiella statistiken och anslutande författ- ningar tillämpas i stället för denna Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med komplette- rande bestämmelser till EU:s dataskyddsförordning, och före- skrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till denna lag. Vid Centrala studiestödsnämn- dens behandling av personupp- gifter för att framställa statistik ska lagen (2001:99) om den officiella statistiken och anslutan- de författningar tillämpas i stället för denna lag. Artikel 21.1 i EU:s dataskydds- som enligt denna lag är tillåten förordning om rätten att göra utan den registrerades samtycke invändningar gäller inte vid sådan får utföras även om den regi- behandling som är tillåten enligt strerade motsätter sig behand- denna lag eller föreskrifter som har meddelats i anslutning till Särskilda begränsningar gäller för behandling av personuppgifter som 1.avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller med- lemskap i fackförening, 2.avser lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberöv- anden, eller 3.rör hälsa eller sexualliv. Uppgifter enligt första stycket får behandlas bara för ändamål som avses i 4 § första stycket 1, om uppgifterna har lämnats i ett ärende i studiestödsverksamheten eller behövs för handläggningen av ett sådant ärende, eller för ändamål som avses i 4 § första stycket 6 och andra stycket. Personuppgifter som avses i artikel 9.1 i EU:s data- skyddsförordning (känsliga personuppgifter) och personupp- gifter som avses i artikel 10 i samma förordning får behandlas av för ändamål som avses i 4 § första stycket 1 och 6 och andra stycket. Som sökbegrepp får inte an- Det är förbjudet att använda som avslöjar ras, 1. känsliga personuppgifter, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, 2. uppgifter som avser lagöver- artikel 10 i EU:s dataskydds- domar i brottmål, straffprocess- uella tvångsmedel eller admi- 3. uppgifter som rör hälsa, sex- 3. uppgifter som inkomst, förmögenhet eller anledning till Prop. anledning till studieavbrott, eller 4. uppgift om att det allmänna helt eller till en väsentlig del bekostat en Vid sökning i ett visst ärende om Sökbegrepp som avslöjar upp- studiestöd, i en viss handling eller gifter som anges i första stycket får i en sådan avskild samling av dock användas vid sökning i ett personuppgifter som avses i 4 § visst ärende om studiestöd, i en andra stycket andra meningen får viss handling eller i en sådan av- dock sökbegrepp som anges i första stycket användas. begrepp får också användas upp- 1. hälsa för att ge behörig perso- nal elektronisk tillgång till på- gående ärenden där sjukdom har 2. inkomst och förmögenhet för att ge behörig personal elektronisk tillgång till ärenden i syfte att uppgifter som har legat till grund för ett beslut i ett ärende. Sökbegrepp får också användas om de avslöjar uppgifter som rör 1.hälsa, om det är nödvändigt för att ge behörig personal elek- tronisk tillgång till pågående ären- den där sjukdom har betydelse, och 2.inkomst och förmögenhet, om det är nödvändigt för att ge behö- rig personal elektronisk tillgång till ärenden i syfte att kunna genomföra kontroller av uppgifter som har legat till grund för ett beslut i ett ärende. Direktåtkomst till och annat el- ektroniskt utlämnande utan den registrerades samtycke av person- uppgifter som behandlas i Centrala studiestöds- verksamhet, är tillåtet bara i den utsträckning som anges i lag eller förordning och under förutsättning att 4 och 6–8 §§ följs. Direktåtkomst till och annat el- ektroniskt utlämnande av person- uppgifter som behandlas i Centrala studiestöds- verksamhet, är tillåtet bara i den utsträckning som anges i lag eller förordning och under förutsättning att 4, 6 och 8 §§ följs. eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska person- uppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de kan ha sådan betydelse. Personuppgifter som behandlas enligt 4 § första stycket 3 ska, i den utsträckning de inte har tillförts ett ärende om studiestöd, gallras senast efter det att uppgifterna registrerades. Regeringen eller den myndighet Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att per- meddela föreskrifter om att per- sonuppgifter får bevaras för his- sonuppgifter får bevaras för arkiv- toriska, statistiska eller veten- skapliga ändamål eller för redo- visningsändamål, även om före- skrifterna kommer att avvika från ändamål eller för redovisnings- stödsnämnden får också, kommer att avvika från första första stycket, i enstaka fall besluta att personuppgifterna i ett ärende den får också, trots första stycket, i om studiestöd ska bevaras på