prop · H503218 · 2018-04-10 00:00:00 — som förslås i skollagen, i lagen om tillstånd att utfärda vissa examina, lagen om och studiestödsdatalagen ska vara dyna- miska, dvs. avse förordningen i den gällande lydel- Utredningens förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Remissinstanserna har inte haft några synpunkter Skälen för regeringens förslag: Flera av de föreslagna bestämmel- serna i skollagen, i lagen om tillstånd att utfärda vissa examina, lagen om och studiestödsdatalagen innehåller hänvisningar till bestämmelser i dataskyddsförordningen. kan göras antingen statiska eller dynamiska. En statisk hänvisning inne- bär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. 2017/18:218 dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den gällande lydelsen. Hänvisningar till dataskyddsförordningen föreslås i skollagen, i lagen om tillstånd att utfärda vissa examina, lagen om och studiestödsdatalagen i de bestämmelser som anger att de nya bestämmel- serna i respektive lag kompletterar dataskyddsförordningen, i bestämmel- ser som anger att termer och uttrycks ska ha samma betydelse om i data- skyddsförordningen och i bestämmelser som kompletterar dataskydds- lagens bestämmelser om känsliga personuppgifter och lagöverträdelser. Motsvarande bestämmelser i dataskyddslagen har i propositionen Ny dataskyddslag (prop. 2017/18:105) föreslagits få en dynamisk utform- ning. Regeringen anser därför att även hänvisningarna i skollagen, lagen om tillstånd att utfärda vissa examina och lagen om bör ges en dynamisk utformning. 18 Ikraftträdande och övergångsbestämmelser 18.1 Lagändringarna ska träda i kraft Regeringens förslag: Ändringarna i lagen om tillstånd att utfärda vissa examina, lagen om , studiestödsdatalagen och skollagen ska träda i kraft . Utredningens förslag: Utredningen föreslår att lagändringarna träder i Remissinstanserna: Remissinstanserna har inte några synpunkter på Som nämnts i avsnitt 3 har Datainspektionen beretts tillfälle att yttra sig över ett utkast till lagrådsremiss. Datainspektionen anser att förslaget i utkastet, som överensstämmer med bedömningen i rutan, kan påverka enskilda utbildningsanordnare möjlighet att behandla känsliga person- Även , som beretts tillfälle att yttra sig över lagförslaget i utkastet, anser att den föreslagna tidpunkten för ikraftträdande bör övervägas noga. Skälen för regeringens förslag: Enligt artikel 99.1 i dataskydds- förordningen träder förordningen i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket Av artikel 99.2 följer att förordningen ska I artikel 94 anges vidare att dataskyddsdirektivet ska upphöra att gälla med verkan från och med och att hänvisningar till det upphävda direktivet ska anses som hänvisningar till förordningen. I propositionen Ny dataskyddslag 2017/18:105) föreslås att dataskyddslagen ska träda i kraft den och att personuppgiftslagen (1998:204) ska upp- höra att gälla. Med hänsyn till ovanstående delar regeringen inspektionens och Statens skolverks uppfattning att även ändringarna i Prop. 2017/18:218 lagen (1993:792) om tillstånd att utfärda vissa examina, lagen (2009:128) om , studiestödsdatalagen (2009:287) och skollagen (2010:800) bör träda i kraft i anslutning till detta datum. Ett ikraftträdande föreslås därför , dvs. så snart som det bedöms möjligt med hänsyn till lagstiftningsprocessen. Regeringens bedömning: Övergångsbestämmelser behövs inte. Utredningens bedömning och förslag: Överensstämmer med rege- ringens bedömning i fråga om att övergångsbestämmelser inte behövs när det gäller ändringarna i lagen om tillstånd att utfärda vissa examina, lagen om och skollagen. När det gäller ändringarna i studiestödsdatalagen föreslår utredningen övergångsbestämmelser i fråga om ärenden, överklagande av beslut och skadestånd för skada som har orsakats före ikraftträdandet. Remissinstanserna: Remissinstanserna har inte några synpunkter på utredningens förslag. Skälen för regeringens bedömning Det behövs inte övergångsbestämmelser i fråga om ärenden Utredningen föreslår att äldre föreskrifter fortfarande ska gälla i fråga om ärenden hos Datainspektionen eller CSN som har inletts men inte avgjorts före ikraftträdandet av ändringarna i studiestödsdatalagen och som avser behandlingar som utförts före ikraftträdandet. I propositionen Ny dataskyddslag anges att en utgångspunkt i data- skyddsförordningen är att behandling som pågår den dag då förordningen börjar tillämpas ska ha bringats i överensstämmelse med förordningen. Personuppgiftsansvariga och personuppgiftsbiträden får därför förutsättas ha ordnat sin behandling så att exempelvis en begäran om information från en registrerad som inkommit men inte hunnit besvaras före ikraft- trädandet kan tillmötesgås i enlighet med förordningens bestämmelser. Även tillsynsmyndighetens verksamhet bör i möjligaste mån ha anpas- sats till förordningens regelverk . Tillsynsärenden kan dock pågå och det är inte självklart att tillsyns- myndigheten helt kan styra över när underlaget är så fullständigt att beslut i ärendet kan fattas. har mot denna bak- grund föreslagit en övergångsbestämmelse om att ärenden som har inletts hos Datainspektionen före ikraftträdandet av dataskyddslagen men som ännu inte har avgjorts, ska handläggas enligt person- uppgiftslagen. Datainspektionen har dock invänt mot det förslaget och anfört att behandling av personuppgifter i de allra flesta fall är en pågå- ende aktivitet samt att pågående behandling ska bedömas enligt regle- ringen i dataskyddsförordningen från och med dess ikraftträdande. Regeringen har mot den bakgrunden bedömt att det inte finns skäl att införa någon sådan övergångsbestämmelse som 2017/18:218 har föreslagit (prop. 2017/18:105 s. 175 f.). På grund härav ser reger- ingen inte heller anledning att införa en övergångsbestämmelse i studie- stödsdatalagen. Det behövs inte övergångsbestämmelser i fråga om överklagande Utredningen föreslår att äldre föreskrifter fortfarande ska gälla i fråga om överklagande av beslut som avser behandlingar som utförts före ikraft- trädandet av ändringarna i studiestödsdatalagen. I propositionen Ny data- skyddslag (prop. 2017/18:105) föreslås också en övergångsbestämmelse till dataskyddslagen som innebär att PUL ska fortsätta gälla för över- klagande av beslut som har meddelats med stöd av den lagen. En skillnad mellan PUL och studiestödsdatalagen är dock att studie- stödsdatalagen inte innehåller någon bestämmelse om överklagande av beslut. Regeringen ser därför ingen anledning att införa en övergångs- bestämmelse om att äldre föreskrifter i lagen fortfarande ska gälla i detta avseende. Det behövs inte övergångsbestämmelser i fråga om skadestånd Utredningen föreslår även att äldre föreskrifter fortfarande ska gälla i fråga om skadestånd för skada som har orsakats före ikraftträdandet av ändringarna i studiestödsdatalagen. En motsvarande bestämmelse har föreslagits av i dataskyddslagen. Som regeringen konstaterar i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 176) följer dock av allmänna grundsatser att ny lagstiftning ska gälla i fråga om skadestånd med anledning av skadefall som inträffar efter ikraftträd- andet, medan äldre lag ska tillämpas på skadefall som har inträffat dess- förinnan. Regeringen konstaterar därför i den propositionen att det inte behöver införas någon övergångsbestämmelse om skadestånd i data- skyddslagen. På grund härav, och ser regeringen inte heller anledning att införa en övergångsbestämmelse om skadestånd i studiestödsdatalagen. Nedan redovisas konsekvensbedömningar med anledning av förslagen i denna proposition. I konsekvensbedömningen ingår inte de konsekvenser som följer av direkt tillämpliga bestämmelser i dataskyddsförordningen eller den i propositionen Ny dataskyddslag föreslagna dataskyddslagen vars konsekvenser bedöms i den propositionen (prop. 2017/18:105). Föreslagna lagändringar möjliggör fortsatt nödvändig behandling av personuppgifter på utbildningsområdet Lagförslagen i denna proposition innebär anpassningar till dataskydds- förordningen genom att det i skollagen, lagen om tillstånd att utfärda vissa examina och lagen om införs bestämmelser som möjliggör nödvändig behandling av känsliga personuppgifter och uppgif- ter om lagöverträdelser i de fall sådan behandling inte kan ske med stöd Ett alternativ, som berörs i avsnitt 11, skulle kunna vara att föreslå mer detaljerade registerförfattningar för bl.a. skollagsreglerad utbildnings- verksamhet, högskolor och yrkeshögskolor. Regeringen anser dock att det är lämpligare att endast föreslå bestämmelser som möjliggör nöd- vändig behandling av känsliga personuppgifter och uppgifter om lag- överträdelser i befintliga författningar. Om bestämmelser som kompletterar dataskyddslagen och som möjlig- gör nödvändig behandling av känsliga personuppgifter och uppgifter om lagöverträdelser inte införs, skulle det innebära att enskilda huvudmän och enskilda utbildningsanordnare inte fullt ut skulle kunna fullgöra sina åligganden, t.ex. enligt skollagen. Bestämmelserna syftar därmed till att möjliggöra en fortsatt ändamålsenlig behandling av personuppgifter på utbildningsområdet. De ändringar som föreslås i studiestödsdatalagen utgör anpassningar till dataskyddsförordningen och den föreslagna dataskyddslagen. Om inga ändringar görs, kommer studiestödsdatalagen att innehålla bestäm- melser som hänvisar till personuppgiftslagen, som kommer att upphävas till följd av förslagen i propositionen Ny dataskyddslag, och bestäm- melser som inte överensstämmer med det nya regelverket på dataskydds- området. Förslagen kommer inte att innebära någon kostnadsökning för staten, kommuner och landsting Avsikten med de förslag som lämnas i denna proposition är att de, när dataskyddsförordningen ska börja tillämpas, ska möjliggöra den person- uppgiftsbehandling som redan sker med stöd av PUL. När ny lagstiftning införs krävs det normalt utbildningsinsatser. Det är dock inte unikt för de förslag som presenterar i denna proposition, utan uppkommer regelmässigt i olika lagstiftningsärenden. Att det krävs ut- bildning i detta fall beror inte heller enbart på den lagstiftning som före- slås, utan främst på den samlade dataskyddsreformen. Kostnader för ut- bildning täcks normalt av myndigheternas anslag. Regeringen anser därför, trots de synpunkter som kommun, För- valtningsrätten i och framfört om ökade kostnader för utbildning, att dessa kostnader bör rymmas inom befintliga ramar och att de förslag som lämnas i denna proposition även i övrigt är kostnadsneutrala. Förslagen kommer inte att innebära någon kostnadsökning för enskilda huvudmän och utbildningsanordnare Förslagen rör ett stort antal enskilda huvudmän och enskilda utbildnings- anordnare som anordnar utbildningsverksamhet och som och som där- med berörs av förslagen. I utredningens betänkande redogörs mer detal- jerat för hur många enskilda huvudmän och utbildningsanordnare som finns inom olika utbildningsformer (SOU 2017:49 s. 476–478). Antalet enskilda som anordnar utbildningsverksamhet varierar dock . Som angetts ovan är avsikten med de förslag som lämnas i denna proposition att de, när dataskyddsförordningen ska börja tillämpas, ska möjliggöra den personuppgiftsbehandling som redan sker 2017/18:218 med stöd av PUL. Detta gäller inte minst de enskilda huvudmännen och enskilda utbildningsanordnarna, eftersom de inte omfattas av dataskydds- lagens bestämmelser om behandling av känsliga personuppgifter som gäller ett viktigt allmänt intresse och behandling av uppgifter om lag- överträdelser och liknande. Förslagen som möjliggör för enskilda huvudmän som driver grund- särskolor och gymnasiesärskolor att behandla känsliga personuppgifter utan att behöva inhämta samtycke bedöms kunna innebära att den admi- nistrativa bördan och därmed kostnader för administration minskar. När ny lagstiftning införs krävs det normalt utbildningsinsatser. Det är dock inte unikt för förslagen i denna proposition, utan uppkommer regelmässigt i olika lagstiftningsärenden. Att det krävs utbildning i detta fall beror inte heller enbart på den lagstiftning som föreslås i denna proposition, utan främst på den samlade dataskyddsreformen. Ny lagstiftning kräver normalt också nya interna föreskrifter och sty- rande dokument. Även detta behov är dock så gott som uteslutande ett resultat av dataskyddsförordningens ikraftträdande och alltså inte ett resultat av förslagen i denna proposition. Sådan anpassning som krävs med anledning av förslagen får anses ingå i de normala uppgifterna för organisationerna. Eftersom de föreslagna bestämmelserna rör integritetsskydd för de registrerade har det vid utformningen av bestämmelserna inte varit möj- ligt att beakta den personuppgiftsansvariges organisationsform eller före- tagsstorlek. Förslagen är neutrala rörande integritetsskyddet Dataskyddsförordningen stärker integritetsskyddet för enskilda och ger dem bättre möjligheter att kunna kontrollera hur deras personuppgifter behandlas. De bestämmelser som regeringen föreslår i denna proposition möjliggör behandling av personuppgifter motsvarande vad som är möj- ligt med gällande dataskyddsbestämmelser. Förslagen bedöms därför vara neutrala beträffande det integritetsintrång som de innebär jämfört med det integritetsintrång som finns med gällande bestäm- melser. Förslagen förväntas inte få några andra konsekvenser Förslagen får inte några konsekvenser för kommuner och landsting generellt eller för den kommunala självstyrelsen. Förslagen får inte heller några konsekvenser för jämställdheten, miljön, integrationen eller några konsekvenser i övrigt. 20.1Förslag till lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina 10 § Bestämmelserna i 13 och 14 §§ tillämpas vid behandling av person- uppgifter i verksamhet hos en enskild utbildningsanordnare som har fått tillstånd att utfärda examina och som bedrivs med stöd av denna lag, bestämmelser för utbildningen som finns i annan författning eller beslut som meddelats med stöd av någon av dessa författningar. Paragrafen är ny och har utformats med förslaget till 26 a kap. 1 § skollagen (2010:800) som förebild. Bestämmelser som gäller för enskilda utbildningsanordnare som har fått tillstånd att utfärda examina finns i denna lag men kan även finnas i annan författning eller beslut som meddelats med stöd av författning. Med föreskrifter i annan författning avses t.ex. föreskrifter som finns i annan lag, exempelvis diskrimi- neringslagen (2008:567), föreskrifter som har meddelats med stöd av annan lag och föreskrifter som har meddelats med stöd av regeringens restkompetens. Paragrafen har utformats enligt Lagrådets förslag. Övervägandena finns i avsnitt 12, 13.4 och 14.4. 11 § Bestämmelserna i 13 och 14 §§ kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Termer och uttryck i 13 och 14 §§ har samma betydelse som i EU:s data- skyddsförordning. Paragrafen är ny. I första stycket anges att 13 och 14 §§ innehåller kompletterande be- stämmelser till dataskyddsförordningen. Detta innebär att bestämmel- serna inte kan tillämpas fristående, utan endast tillsammans med data- skyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat i EU. I vissa avseenden förutsätter eller tillåter dataskydds- förordningen emellertid att medlemsstaterna inför bestämmelser om behandling av personuppgifter som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Bestämmelserna i 13 och 14 §§ innehåller kompletterande bestämmelser som gäller för enskilda utbildningsanordnare som har fått tillstånd att utfärda examina i enlighet med denna lag. Av andra stycket framgår att de termer och uttryck som används i 13 och 14 §§ ska förstås på samma sätt som i dataskyddsförordningen. Det innebär bl.a. att definitionerna i artikel 4 i dataskyddsförordningen även gäller vid tillämpningen av dessa bestämmelser. Hänvisningarna till dataskyddsförordningen i denna lag är dynamiska, avser förordningen i dess gällande lydelse . 2017/18:218 Övervägandena finns i avsnitt 16 och 17. 12 § Bestämmelser om behandling av personuppgifter finns även i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och i föreskrifter som har meddelats i anslutning till den lagen. Paragrafen är ny och upplyser om att bestämmelser om behandling av personuppgifter även finns i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, benämnd dataskyddslagen, och i föreskrifter som har meddelats i anslutning till den lagen. I data- skyddslagen finns det generella bestämmelser om behandling av per- sonuppgifter som kompletterar och preciserar dataskyddsförordningen och som i tillämpliga delar även gäller vid behandling av personuppgifter som utförs av de utbildningsanordnare som omfattas av lagen om till- stånd att utfärda vissa examina. Paragrafen har utformats enligt Lagrådets förslag. Övervägandena finns i avsnitt 16 och 17. 13 § Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får med stöd av artikel i samma förordning behandlas av en enskild utbildningsanordnare 1.om behandlingen är nödvändig för en hantering som motsvarar hand- läggning av ett ärende hos en myndighet, eller 2.i annat fall, om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vid behandling som sker med stöd av första stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga person- För vissa enskilda utbildningsanordnare som jämställs med myndigheter finns det bestämmelser om behandling av känsliga personuppgifter och om sök- begränsningar i 3 kap. 3 § dataskyddslagen. Paragrafen är ny. I första stycket anges när en enskild utbildningsanordnare får behandla personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning, som här benämns känsliga personuppgifter. De personuppgifter som avses är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Stycket kompletterar bestämmelserna i 3 kap. 3 § första stycket 2 och 3 dataskyddslagen om möjlighet för myndigheter att behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende och i annat fall, genom att det införs motsvarande möjlighet till behandling för enskilda utbildningsanordnare. Av punkt 1 framgår att känsliga personuppgifter får behandlas om behandlingen är nödvändig för en hantering som motsvarar handläggning av ett ärende hos en myndighet. Även om förvaltningslagen (2017:900) som träder i kraft inte gäller i de enskilda utbildnings- anordnarnas verksamhet, bör begreppen handläggning och ärende tolkas på samma sätt som enligt 1 § förvaltningslagen. Begreppet handläggning innefattar alla åtgärder som vidtas från det att ett ärende inleds till dess att det avslutas. Kännetecknande för ett ärende är att det regelmässigt avslutas genom ett uttalande som är avsett att få faktiska verkningar för en mottagare i det enskilda fallet. Ett ärende avslutas således genom ett beslut av något slag. Vid bedömningen av om ett uttalande är att anse som ett beslut i denna mening är det uttalandets syfte och innehåll som är avgörande, inte dess yttre form. Att behandlingen måste vara nödvändig för en hantering som mot- svarar handläggning av ett ärende hos en myndighet innebär bl.a. att bara sådana uppgifter som behövs för hanteringen får behandlas. Begreppet nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig. Behandlingen kan anses nödvändig och därmed tillåten om den leder till effektivitetsvinster (se avsnitt 6.2). Punkt 1 möjliggör behandling av känsliga personuppgifter i enskilda utbildningsanordnares motsvarighet till ärenden om t.ex. avsteg vid antagningsförfarandet, statsbidrag för särskilt utbildningsstöd, särskilt pedagogiskt stöd, trakasserier, sexuella trakasserier, disciplinära åtgärder eller avskiljande. Punkt 2 möjliggör behandling av känsliga personuppgifter i annat fall, om behandlingen är nödvändig i verksamheten och inte innebär ett otill- börligt intrång i den registrerades personliga integritet. Bestämmelsen är således tillämplig i situationer som på en myndighet hänförs till s.k. faktisk verksamhet. Bestämmelsen är inte avsedd att tillämpas slentrian- mässigt i den löpande verksamheten. Det krävs att den personuppgifts- ansvarige, i det enskilda fallet, gör en bedömning av om behandlingen innebär ett otillbörligt intrång i den registrerades personliga integritet. Om behandlingen skulle innebära ett sådant intrång, får den inte ske enligt denna bestämmelse. För att avgöra om intrånget är otillbörligt måste den personuppgiftsansvarige göra en proportionalitetsbedömning där behovet av att utföra behandlingen viktas mot de registrerades intres- se av att behandlingen inte sker. Bedömningen av de registrerades intres- se av att behandlingen inte sker bör utgå från det intresse av integritets- skydd som de registrerade typiskt sett har. Den personuppgiftsansvarige måste således inte göra en bedömning i förhållande till varje berörd indi- vid. Vid bedömningen av intrånget i den enskildes personliga integritet ska vikt läggas vid bl.a. uppgifternas känslighet, behandlingens karaktär, den inställning de registrerade kan antas ha till behandlingen, den spridning uppgifterna kan komma att få och risken för vidarebehandling för andra ändamål än insamlingsändamålet. Detta innebär t.ex. att be- stämmelsen inte kan läggas till grund för att skapa integritetskänsliga sammanställningar av känsliga personuppgifter. Andra stycket innebär att enskilda utbildningsanordnare förbjuds att utföra sökningar i syfte att få fram ett urval av personer grundat på käns- liga personuppgifter. Det motsvarar det förbud som gäller för myn- digheter enligt 3 kap. 3 § andra stycket dataskyddslagen. Sökbegräns- ningen omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Därmed förbjuds sökningar som görs för att få fram ett urval av personer som t.ex. har en 2017/18:218 viss funktionsnedsättning. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer. För att underlätta tillämpningen innehåller tredje stycket en upplysning om att det för vissa enskilda utbildningsanordnare som jämställs med myndigheter finns bestämmelser om behandling av känsliga person- uppgifter och om sökbegränsningar i 3 kap. 3 § dataskyddslagen. Stycket har utformats enligt Lagrådets förslag. Övervägandena finns i avsnitt 13.4.2, 13.4.3, 13.4.5 och 16. 14 § Personuppgifter som rör fällande domar i brottmål får behandlas av en enskild utbildningsanordnare om behandlingen är nödvändig för en hantering som motsvarar handläggning av ett ärende hos en myndighet om att avskilja en student från utbildning. För enskilda utbildningsanordnare som är skyldiga att följa föreskrifter om arkiv finns det även bestämmelser om behandling av personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning i 3 kap. 8 § dataskyddslagen. Paragrafen är ny. I första stycket anges när enskilda utbildningsanordnare får behandla personuppgifter som rör fällande domar i brottmål.