prop · H503218 · 2018-04-10 00:00:00 — Regeringens förslag: I studiestödsdatalagen ska det anges att artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt studiestödsdatalagen eller enligt föreskrifter som har meddelats i anslutning till lagen. Utredningens bedömning: Överensstämmer med regeringens i fråga om att förutsättningarna för att göra undantag från den registrerades rätt att göra invändningar är uppfyllda. Utredningen anser dock att undan- taget i 5 § studiestödsdatalagen fortsatt kan vara formulerat så att be- handlingen får utföras även om den registrerade motsätter sig behand- lingen. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot förslaget. anser att bestämmelsen i 5 § studiestöds- datalagen bör ändras så att det tydligare framgår att behandling av personuppgifter får ske trots invändning från den registrerade. Bestäm- melsen blir då anpassad till terminologin i dataskyddsförordningens 2017/18:218 artikel 21 och det blir tydligare att 5 § studiestödsdatalagen innebär en begränsning med stöd i denna artikel. Skälen för regeringens förslag Förutsättningarna för att i studiestödsdatalagen göra undantag från rätten att göra invändningar är uppfyllda Enligt 5 § studiestödsdatalagen får behandling av personuppgifter som enligt studiestödsdatalagen är tillåten utan den registrerades samtycke utföras även om den registrerade motsätter sig behandlingen. Frågan är om bestämmelsen är förenlig med dataskyddsförordningen Som angetts i avsnitt 9.5.2 är det regeringens uppfattning att det är den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskydds- förordningen som är tillämplig på CSN:s behandling av personuppgifter inom studiestödsverksamheten. Den registrerade ska då ha rätt att göra invändningar mot behandlingar och den personuppgiftsansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk (artikel 21.1 i dataskyddsförordningen). Enligt artikel 23.1 ska det dock i unionsrätten eller i en medlemsstats nationella rätt vara möjligt att införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bl.a. artikel 21. En sådan begränsning ska ske med respekt för ande- meningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa något av de intressen som listas i artikel 23.1 i dataskyddsför- ordningen, bl.a. en medlemsstats viktiga mål av generellt allmänt intres- se. Vidare måste alla sådana lagstiftningsåtgärder enligt artikel 23.2 inne- hålla specifika bestämmelser, åtminstone när så är relevant, avseende följande: a)ändamålen med behandlingen eller kategorierna av behandling, b)kategorierna av personuppgifter, c)omfattningen av de införda begränsningarna, d)skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, e)specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, f)lagringstiden samt tillämpliga skyddsåtgärder med beaktande av be- handlingens art, omfattning och ändamål eller kategorierna av be- handling, g)riskerna för de registrerades rättigheter och friheter, och h)de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Dataskyddsförordningen ställer därmed högre krav på den nationella begränsande regleringen än dataskyddsdirektivet, eftersom det i data- skyddsdirektivet inte anges några särskilda villkor för en sådan reglering. När det gäller frågan om de krav som uppställs i artikel 23 i data- skyddsförordningen är uppfyllda kan konstateras att regeringen i avsnitt 9.5.2 har gjort bedömningen att CSN:s studiestödsverksamhet utgör en Prop. 2017/18:218 sådan uppgift av allmänt intresse och även ett sådant viktigt allmänt intresse som avses i artikel 6.1 e och artikel i dataskyddsförord- ningen. Regeringen anser därför att verksamheten även uppfyller kravet på att verksamheten ska syfta till att ett viktigt mål av generellt allmänt intresse enligt artikel 23.1 e. Vidare innehåller studiestödsdatalagen med tillhörande förordning även sådana relevanta begränsningar som räknas upp i artikel 23.2, dvs. ändamålen med behandlingen (4 § studiestödsdatalagen), kategorierna av personuppgifter (bl.a. 3–6 §§ studiestödsdataförordningen), omfattningen av de införda begränsningarna (5 § studiestödsdatalagen), skyddsåtgärder (bl.a. 8 och 9 §§ studiestödsdatalagen), specificering av den person- uppgiftsansvarige (3 § studiestödsdatalagen) och lagringstiden (16 § studiestödsdatalagen och 16 § studiestödsdataförordningen). Enligt reger- ingens bedömning har studiestödsdatalagen och studiestödsdataförord- ningen införts efter noggranna överväganden av vilka bestämmelser som är relevanta i sammanhanget. Det är av stor betydelse att personuppgifter får behandlas i studiestöds- verksamhet oberoende av den registrerades inställning. Den personupp- giftsansvarige får närmast undantagslöst anses kunna påvisa skäl för fort- satt behandling som väger tyngre än den registrerades intressen i det en- skilda fallet. Under sådana förhållanden och för att fullt ut säkerställa förutsättningarna för CSN att behandla relevanta personuppgifter bör den registrerade inte heller fortsättningsvis ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. En sådan begränsning måste anses utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Undantaget i studiestödsdatalagen bör anpassas till dataskyddsförord- ningen terminologi Liksom CSN anser regeringen att undantaget från rätten att göra invänd- ningar i studiestödsdatalagen bör anpassas till terminologin i artikel 21 i dataskyddsförordningen, så att det tydligt framgår att 5 § studiestödsdata- lagen innebär en begränsning med stöd i denna artikel. I 5 § studiestöds- datalagen bör därför anges att artikel 21.1 i dataskyddsförordningen om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt studiestödsdatalagen eller föreskrifter som har meddelats i anslutning till lagen. 15.3Studiestödsdatalagens bestämmelse om rättelse och skadestånd ska upphävas Regeringens förslag: Studiestödsdatalagens bestämmelse om rättelse och skadestånd ska upphävas, eftersom rättelse och skadestånd regle- ras i dataskyddsförordningen. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Remissinstanserna har inte några synpunkter på 2017/18:218 Skälen för regeringens förslag: I 15 § studiestödsdatalagen anges att bestämmelserna i 28 och 48 §§ PUL om rättelse och skadestånd gäller vid behandling av personuppgifter enligt studiestödsdatalagen eller före- skrifter som har meddelats i anslutning till den lagen. Bestämmelserna i 15 § studiestödsdatalagen har utformats på detta sätt eftersom de angivna bestämmelserna i , enligt lydelsen i PUL, bara gäller behandlingar i strid med PUL eller, enligt 28 § PUL, behandlingar i strid med bestäm- melser som har meddelats med stöd av den lagen. Eftersom PUL kom- mer att upphävas till följd av dataskyddsförordningen behöver 15 § studiestödsdatalagen ändras eller upphävas. När det gäller rättelse anges i dataskyddsförordningen att den registre- rade har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med be- aktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande (artikel 16). Dataskyddsförordningens be- stämmelser om rättelse kommer vara direkt tillämpliga även vid sådan personuppgiftsbehandling som sker i strid med studiestödsdatalagen. Någon hänvisning till dataskyddsförordningens bestämmelser om rättelse behövs därför inte införas i studiestödsdatalagen. När det gäller skadestånd anges i dataskyddsförordningen att varje per- son som har lidit materiell eller immateriell skada till följd av en över- trädelse av dataskyddsförordningen ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan (artikel 82.1). Även denna bestämmelse är direkt tillämplig. Regeringen föreslår dessutom i propositionen Ny dataskyddslag (prop. 2017/18:105) att rätten till ersättning enligt dataskyddsförordningen ska gälla vid överträdelser av bestämmelser i dataskyddslagen och andra för- fattningar som kompletterar dataskyddsförordningen (7 kap. 1 data- skyddslagen). Någon hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen behövs därför inte heller i studiestödsdatalagen. gallring ska omfatta samma personuppgifter Regeringens förslag: Studiestödsdatalagens bestämmelser om gall- ring av personuppgifter och bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om be- varande kan och bör behållas. Terminologin i bemyndigandet bör an- passas till dataskyddsförordningen. Utredningens förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. Skälen för regeringens förslag: I 16 § studiestödsdatalagen finns bestämmelser om när gallring av personuppgifter ska ske och ett bemyn- digande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter i vissa fall. Som framgår av avsnitt 9.5.2 Prop. 2017/18:218 bedömer regeringen att det för CSN finns en, i enlighet med artikel 6.1 e och artikel 6.3 första stycket i dataskyddsförordningen, i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet. Enligt artikel 6.2 och 6.3 andra stycket är det då tillåtet att i en register- författning behålla specifika bestämmelser i form av lagringstid. Gall- ringsbestämmelserna i 16 § studiestödsdatalagen kan följaktligen behål- las. I 16 § tredje stycket studiestödsdatalagen anges att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål eller för redovisningsändamål. Detta gäller även om föreskrif- terna kommer att avvika från de tidpunkter för gallring som anges i första stycket. I dataskyddsförordningen finns en motsvarande bestämmelse, av vilken bl.a. framgår att personuppgifter under vissa förutsättningar får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 (artikel 5.1 e). Den nuvarande formuleringen i dataskydds- direktivet om historiska, statistiska eller vetenskapliga ändamål har i dataskyddsförordningen således ändrats till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Enligt regeringens bedömning innebär omformule- ringen dock inte någon skillnad i sak. Regeringen anser dock att bestämmelsen i 16 § tredje stycket studiestödsdatalagen bör anpassas till den terminologi som används i dataskyddsförordningen. dataskyddsreglering ska framgå av Regeringens förslag: I det nya kapitlet i skollagen, lagen om tillstånd att utfärda vissa examina, lagen om och studiestödsdata- lagen ska det införas upplysningsbestämmelser som anger att bestäm- melserna kompletterar EU:s dataskyddsförordning. I de tre förstnämnda lagarna ska det även upplysas om att bestämmelser om behandling av personuppgifter också finns i dataskyddslagen. det anges att vid behandling av personuppgifter enligt den lagen gäller dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av lag eller föreskrifter som har meddelats i anslutning till studiestödsdatalagen. I det nya kapitlet i skollagen och i lagen om ska det upplysas om var i dataskyddslagen eller dataskyddsförordningen det finns bestämmelser om myndigheters behandling av känsliga personupp- gifter och lagöverträdelser. I lagen om tillstånd att utfärda vissa examina ska det upplysas om var i dataskyddslagen det finns bestämmelser om personuppgifter för vissa enskilda organ som jämställs med 2017/18:218 myndigheter och om lagöverträdelser för enskilda utbildningsanordnare som är skyldiga att följa föreskrifter om arkiv. Upplysningarna ska ges i anslutning till de nya bestämmelserna i sektorslagstiftningen om enskil- das behandling av känsliga personuppgifter och lagöverträdelser. I det nya kapitlet i skollagen ska det också anges att kapitlet inte ska tillämpas på behandling av personuppgifter i elevhälsan som utförs inom hälso- och sjukvården. Regeringens bedömning: Motsvarande bestämmelser som i lagen om tillstånd att utfärda vissa examina och lagen om bör in- föras i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Utredningens förslag och bedömning: Överensstämmer med reger- ingens förslag i den del som innebär att det ska framgå av sektorslagstift- ningen att den kompletterar annan dataskyddsreglering och har företräde framför dataskyddslagen. I fråga om myndigheter och organ som i dataskyddslagen jämställs med myndigheter, föreslår utredningen materiella bestämmelser i sektorslagstiftningen i stället för upplysningar om att bestämmelser som gäller för dessa aktörer finns i dataskyddslagen. Utredningen föreslår även att det ska anges i skollagen att det nya kapitlet inte gäller behandling av personuppgifter i Kriminalvårdens verksamhet enligt 24 kap. 10 § skollagen. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag och be- dömning. Kommuner och Landsting anser det särskilt väl- kommet att även kommunen i egenskap av hemkommun ska tillämpa det föreslagna kapitlet i skollagen trots att kommuners personuppgifts- behandling även faller in under dataskyddslagens tillämpningsområde och anser att detta förenklar tillämpningen avsevärt för kommunerna. Justitiekanslern () anser att det är mycket angeläget att likartade lag- tekniska lösningar väljs, t.ex. i fråga om i vilken mån det behövs upp- lysningsparagrafer som hänvisar till dataskyddsförordningens bestäm- melser och hur sådana ska utformas. JK anser också att det är viktigt att så långt det är möjligt eftersträva en likartad systematik i alla de lagar och förordningar som reglerar personuppgiftsbehandling. Specialpedagogiska skolmyndigheten undrar om förslaget till det nya kapitlet i skollagen som ska komplettera dataskyddslagen innebär att skolor som också är myndigheter parallellt ska använda regleringen i de båda lagarna. föreslår att det i skollagen även införs en upp- lysningsbestämmelse om att Datainspektionen är tillsynsmyndighet över den personuppgiftsbehandling som sker inom Skolinspektionens tillsyns- område. Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över vissa delar av ett utkast till lagrådsremiss, vars förslag och bedömning överensstämmer med regeringens förslag och bedömning i detta avsnitt. anser att det är otydligt vad som i det nya kapitlet i skollagen avses med uttrycket inom hälso- och sjukvården. Skälen för regeringens förslag och bedömning Det ska framgå av sektorslagstiftningen att den kompletterar annan dataskyddsreglering Regeringen delar Justitiekanslerns (JK) uppfattning om vikten av lik- artade lösningar i de författningar som reglerar personuppgiftsbehand- ling. I likhet med vad som föreslagits i dataskyddslagen anser regeringen att det nya kapitlet i skollagen och de nya bestämmelserna om behand- ling av personuppgifter i lagen om tillstånd att utfärda vissa examina, lagen om och studiestödsdatalagen av tydlighetsskäl inledningsvis bör upplysa om att bestämmelserna utgör en komplettering till dataskyddsförordningen. När det gäller förhållandet till dataskyddslagen föreslår regeringen att det i studiestödsdatalagen, som är en registerförfattning, bör införas en bestämmelse med samma lydelse som har föreslagits i registerförfatt- ningar på andra områden och som anger att vid behandling av person- uppgifter enligt studiestödsdatalagen gäller dataskyddslagen, och före- skrifter som har meddelats i anslutning till den lagen, om inte annat följer av studiestödsdatalagen eller föreskrifter som har meddelats i anslutning till den lagen. Bestämmelse bör ersätta bestämmelsen i 2 § om förhållandet till PUL. Regeringen har i propositionen Ny dataskyddslag redogjort för skälen till att såväl lagar som förordningar som avviker från dataskyddslagen bör ha företräde framför bestämmelserna i dataskydds- lagen (prop. 2017/18:105 s. 26 f.). Skollagen, lagen om tillstånd att utfärda vissa examina och lagen om är inte registerförfattningar. De bestämmelser om be- handling av personuppgifter som föreslås där avser också endast att komplettera dataskyddslagens bestämmelser för myndigheter med mot- svarande bestämmelser för enskilda utbildningsanordnare. Det är alltså inte fråga om några bestämmelser i sektorsförfattning som avviker från dataskyddslagens reglering. Regeringen ser därför inte behov att i dessa lagar införa en bestämmelse om att bestämmelserna i sektorslagarna ska ha företräde framför dataskyddslagen. Det bör i dessa fall räcka att upp- lysa om att bestämmelser om behandling av personuppgifter även finns i dataskyddslagen. Av samma skäl som ovan bedömer regeringen också att de nya bestäm- melserna om behandling av känsliga personuppgifter i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar inled- ningsvis bör innehålla motsvarande upplysningsbestämmelser som lagen om tillstånd att utfärda vissa examina och lagen om . Sektorslagstiftningen ska av tydlighetsskäl även innehålla vissa mer specifika hänvisningar till bestämmelser i andra författningar Skollagen och lagen om gäller både offentliga och en- skilda utbildningsanordnare. har föreslagit att vissa bestämmelser om personuppgiftsbehandling, som ska ge enskil- da utbildningsanordnare samma möjligheter till behandling som offent- liga utbildningsanordnare, i dessa lagar ska omfatta både enskilda och offentliga utbildningsanordnare. Som framgår av avsnitt 12, anser rege- ringen att bestämmelser som innebär en dubbelreglering för myndigheter inte ska införas i sektorslagstiftningen utan att kompletteringarna i den 2017/18:218 lagstiftningen ska begränsas till att avse enskilda utbildningsanordnare. Regeringen anser dock att det av tydlighetsskäl är lämpligt att i sektors- lagstiftningen upplysa om var i dataskyddslagen det finns motsvarande bestämmelser för myndigheter i fråga om känsliga personuppgifter och lagöverträdelser. Lagen om tillstånd att utfärda vissa examina gäller endast enskilda ut- bildningsanordnare. I den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen (TF) och offentlig- hets- och sekretesslagen (2009:400, OSL) gäller i en enskild utbildnings- anordnares verksamhet kommer dock denne att även omfattas av data- skyddslagens bestämmelse om behandling av känsliga personuppgifter som krävs enligt lag (3 kap. 3 § första stycket 1 och tredje stycket data- skyddslagen). Som angetts i avsnitt 13.4.2 finns det på högskoleområdet några enskilda utbildningsanordnare som ska tillämpa TF och OSL därför att de finns angivna i bilagan till OSL. Av tydlighetsskäl bör det därför i lagen om tillstånd att utfärda vissa examina, i anslutning till den nya bestämmelsen om behandling av känsliga personuppgifter, upplysas om var i dataskyddslagen det finns en motsvarande bestämmelse om behandling av känsliga personuppgifter för vissa enskilda utbildnings- anordnare som jämställs med myndigheter. I 3 kap. 8 andra stycket dataskyddslagen finns vidare en bestämmelse om att andra än myndig- heter får behandla personuppgifter om lagöverträdelser om behandlingen är nödvändig för att följa bestämmelser om arkiv. I lagen om tillstånd att utfärda vissa examina bör det därför i anslutning till den nya bestäm- melsen om behandling av fällande domar i brottmål, som är en form av uppgifter om lagöverträdelser som avses i artikel 10 i dataskyddsför- ordningen, upplysas om nämnda bestämmelse i dataskyddslagen. Som anges i avsnitt 13.3.2 har regeringen i lagrådsremissen Offentlighetsprincipen ska gälla i fristående skolor föreslagit att en ny bestämmelse ska införas i OSL med innebörden att vad som föreskrivs i TF om rätt att ta del av allmänna handlingar hos myndigheter i tillämpliga delar också ska gälla handlingar hos huvudmän för fristående skolor. Enligt förslaget ska huvudmännen vid tillämpningen av OSL jäm- ställas med myndigheter. Av tydlighetsskäl bör det därför upplysas även i skollagen om var i dataskyddslagen det finns motsvarande bestämmelser för andra än myndigheter. Upplysningen bör införas i anslutning till de nya bestämmelserna om behandling av känsliga personuppgifter och lagöverträdelser. Lagrådet anser att det är överflödigt att i lagen om tillstånd att utfärda vissa examina upplysa om att andra än myndigheter enligt 3 kap. 8 § dataskyddslagen får behandla personuppgifter om lagöverträdelser om behandlingen är nödvändig för att följa bestämmelser om arkiv. Lagrådet anser därför att en sådan bestämmelse kan undvaras. Regeringen anser dock att bestämmelsen, i likhet med motsvarande upplysning som föreslås i skollagen, bidrar till att tydliggöra vilka ytterligare möjligheter som finns för andra än myndigheter att behandla personuppgifter om lagöverträdelser. Regeringen anser därför att upplysningsbestämmelsen bör behållas. Regeringen anser dock att bestämmelsen kan förenklas redaktionellt, i likhet med vad Lagrådet föreslår i fråga om andra be- stämmelser som upplyser om innehållet i dataskyddslagen. Av tydlighetsskäl föreslår regeringen även att det i det nya kapitlet i Prop. 2017/18:218 skollagen anges att kapitlet inte ska tillämpas på behandling av person- uppgifter i elevhälsan som utförs inom hälso- och sjukvården. Skälet är att sådan personuppgiftsbehandling i stället omfattas av bl.a. patient- datalagens (2008:355) bestämmelser. Hälso- och sjukvården är ett väl- etablerat begrepp som också definieras i hälso- och sjukvårdslagen (2017:30) och används i skollagen (20 kap. 20 §). Till skillnad från anser regeringen därför att en sådan avgränsning av tillämpningsområdet är tillräckligt tydlig. Utredningen har även föreslagit att det ska anges i skollagen att det nya kapitlet inte gäller behandling av personuppgifter i Kriminalvårdens verksamhet en- ligt 24 kap. 10 § skollagen. Eftersom de bestämmelser om behandling av känsliga personuppgifter och lagöverträdelser som regeringen föreslår i skollagen endast gäller enskilda aktörer och det föreslagna bemyndi- gande endast gäller vissa angivna skolformer, omfattas inte Kriminal- vårdens verksamhet av bestämmelserna. Det saknas därför anledning att särskilt undanta viss verksamhet hos från kapitlets tillämpningsområde. När det gäller Statens skolinspektions förslag att i det nya kapitlet i skollagen även upplysa om att Datainspektionen är tillsynsmyndighet över den personuppgiftsbehandling som sker inom Skolinspektionens tillsynsområde, anser regeringen att detta är ett exempel på en fråga som, i enlighet med JK:s generella synpunkt om likartad hantering, bör hante- ras på samma sätt i sektorsförfattningarna. Datainspektionen pekas inte heller ut som tillsynsmyndighet i dataskyddslagen. Regeringen anser där- för att det saknas anledning att införa en sådan upplysning just i skol- lagen. Regeringens förslag: De hänvisningar till EU:s dataskyddsförordning