prop · H503218 · 2018-04-10 00:00:00 — När det gäller FBR:s centrala register över deltagare i studieförbundens studiecirklar och annan folkbildningsverksamhet samt UHR:s betygsdatabas anser Datainspektionen mot bakgrund av att det handlar om omfattande nationella register att behandling av person- uppgifter i dessa två register bör regleras i lag. Vid bedömningen av om grundlagsskyddet i 2 kap. 6 § RF föranleder ett behov av reglering i lag bör beaktas att de personuppgifter som be- handlas i de stora uppgiftssamlingarna inom universitet och högskola, yrkeshögskola och folkbildning huvudsakligen består av namn, person- nummer, kontaktuppgifter och studieresultat. Regeringen delar Datainspektionens uppfattning om att det inom ut- bildningsområdet förekommer omfattande samlingar av personuppgifter. Det gäller framför allt för FBR:s centrala register över deltagare i studie- förbundens studiecirklar och annan folkbildningsverksamhet, Myndigheten för register över uppgifter om de stude- rande inom och register över uppgifter om de studerande i konst- och kulturutbildningarna, UHR:s betygsdatabas samt systemen för studieadministration (Ladok) och antagningsärenden (NyA) inom högre utbildning. Ytterligare en omfattande samling av personuppgifter finns inom studiestödsområdet. På det området behöver CSN behandla en stor mängd uppgifter om enskildas personliga förhållanden. Som framgår av avsnitt 9.5.1 kan det, förutom uppgifter om utbetalt studiemedel till en sökande, t.ex. röra sig om kontaktuppgifter om närmast anhöriga, uppgifter om barn och föräldrar, information om sjukdomsperioder, med- borgarskap, studietakt, examenstidpunkt, antal grundskoleår som stude- rats utomlands och antal terminer som studerats på gymnasienivå. I många fall måste CSN även registrera uppgifter om enskildas ekono- miska förhållanden, t.ex. uppgifter om utbetalt studiebidrag, årsinkomst och uppgift om eventuell skuldsanering. Även uppgifter om personliga och ekonomiska förhållanden för stödtagarens föräldrar, barn och andra närstående kan förekomma. Behandling av personuppgifter på det området är därför reglerad på lagnivån genom studie- stödsdatalagen. har i flera lagstiftningsärenden som rör myndig- heters personuppgiftsbehandling framhållit att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt käns- ligt innehåll ska regleras särskilt i lag. Av förarbetena framgår också att regeringen har instämt i denna bedömning (prop. 2017/18:218 2009/10:80 s. 183). Som framgått ovan är det av de register som finns på utbildningsområdet endast den personuppgiftsbehandling som utförs på studiestödsområdet som uppfyller de kriterier som har lyfts fram av kon- stitutionsutskottet. De uppgifter som finns i övriga register har inte ett särskilt känsligt innehåll. Den befintliga regleringen är således förenlig med grundlagen. Det behov som kan finnas av att se över och anpassa registerförfattningar inom utbildningsområdet som finns på förord- ningsnivå till dataskyddsförordningen bedöms därmed kunna ske i form av förordningsändringar. Även när det gäller större uppgiftssamlingar inom andra delar av utbildningsområdet än skollagsreglerad verksamhet delar således rege- ringen Justitiekanslerns uppfattning att den personuppgiftsbehandling som kan bli aktuell på utbildningsområdet, och som inte omfattas av någon lagreglering, inte är av den karaktär som avses i grundlags- bestämmelsen om skyddet mot integritetsintrång (2 kap. 6 § RF). Däremot kan det även inom andra delar av utbildningsområdet än den skollagsreglerade verksamheten, på motsvarande sätt som inom den verksamheten, behöva införas kompletterande bestämmelser i vissa avse- enden för behandling av känsliga personuppgifter och uppgifter om lag- överträdelser med anledning av artikel 9 och 10 i dataskyddsförordning- en. Det har ovan konstaterats att det krävs ett viss kompletterande regle- ring på nationell nivå. I nästa avsnitt behandlas frågan var och på vilket sätt dessa kompletteringar bör införas. Det krävs inte fler särskilda Regeringens bedömning: Det saknas skäl att införa ytterligare registerförfattningar om behandling av personuppgifter inom utbild- Den kompletterande reglering om behandling av personuppgifter inom utbildningsområdet som behövs med anledning av dataskyddsförordningen kan ske inom ramen för de författningar som reglerar verksamheten på området och de befintliga registerför- En lämplig myndighet bör få i uppdrag att vidta åtgärder för att initiera och stödja utarbetandet av en uppförandekod för skolväsendet. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig har inte haft några synpunkter på bedömningen. utredningens bedömning att det inte är påkallat att införa några nya registerlagar på utbildningsområdet. är inte övertygade om att det invecklade systemet i med särskilda registerförfattningar bäst tillgodoser privatpersoners och samhällets behov av ett starkt inte- Tvärtom riskerar det att göra det svårt för privatpersoner att 2017/18:218 förutse vilket skydd de har, och myndigheterna distraheras från de pro- portionalitetsbedömningar och säkerhetsavvägningar de ska göra inför varje insamling och behandling av privatpersoner. utredningens bedömning att det finns ett tillräckligt stöd för att fullfölja dess uppgifter utifrån de nuvarande bestämmelserna i nationell rätt. kommun framhåller vikten av att kunna utnyttja digitaliseringens möjligheter inom skolan och att det måste finnas en balans mellan inte- gritetsskyddslagstiftningen och den kreativa process som finns inom anser att behovet av en särskild lag på högskole- området kanske kunde ha analyserats ytterligare. anser att det finns behov av tydligare regleringar för att kunna genomföra de behandlingar av personuppgifter som behövs inom utbildningsnämndens ansvarsområde. Datainspektionen anser att utredningen har underskattat den komplexi- tet som det medför att inte reglera utbildningsverksamheten på nationell nivå i registerförfattning. En rad remissinstanser, såsom Kommuner och Landsting (SKL), , , , , och kom- muner, och , är positiva till införandet av en uppförandekod för skolväsendet. SKL anser att fram- tagandet av en uppförandekod är ett viktigt arbete eftersom lagstiftningen är komplex och innebär att gränsdragningsproblematik kommer uppstå som tekniken utvecklas i ett mycket snabbt tempo. väsendet belastas av mycket administration ser att en uppförandekod genom tydlighet och genomarbetat övervägande i enskilda frågor kan medföra en viss administrativ lättnad för skol- understryker behovet av en uppförandekod, då det finns stor risk att små huvudmän inte kommer ha kompetens eller resurser för att följa regelverket. det är företrädare för de personuppgiftsansvariga, dvs. som tillsammans har möjlighet att utarbeta uppförandekoden. universitet påpekar att en uppförandekod varken kan eller får ersätta den lagstiftning den vilar på. En möjlig invändning mot en uppförandekod är enligt att ytterligare rättsliga dokument tillförs skolans befattningshavare som redan har att förhålla sig till dataskydds- förordningen, dataskyddslagen och övrig reglering av skolhuvudmännens behandling av känsliga personuppgifter. det är i det närmaste ouppnåeligt att en eller flera olika uppförandekoder skulle kunna omfatta personuppgiftshanteringen hos samtliga huvudmän för skola och förskola. Skälen för regeringens bedömning: finns det några få renodlade registerförfattningar på utbildningsområdet. fattningar regleras närmare behandling av personuppgifter för specifika Det är till exempel fallet med studiestödsdatalagen och studiestödsdataförordningen som reglerar behandling av personuppgifter hos CSN och förordningen om redovisning av studier m.m. som reglerar behandling av personuppgifter för studieadministration och för antagning till högre utbildning. När dataskyddsförordningen börjar tillämpas kommer huvudmän inom utbildningsområdet enligt regeringens bedömning i avsnitt 9 huvud- sakligen att tillämpa allmänt intresse som rättslig grund för sin nödvän- diga behandling av personuppgifter (artikel 6.1 e i dataskyddsförord- ningen). Även rättslig förpliktelse och myndighetsutövning kommer i vissa fall att vara tillämpliga som rättsliga grunder för behandling av personuppgifter inom utbildningsområdet (artikel 6.1 c och artikel 6.1 e i dataskyddsförordningen). För dessa tre rättsliga grunder gäller att de ska vara fastställda i unionsrätten eller i en medlemsstats nationella rätt. Som framgår av analysen i avsnitt 9 för respektive verksamhet är dessa rättliga grunder fastställda i författningar som närmare reglerar verksamheten på utbildningsområdet eller beslut som har fattats med stöd av författning. Datainspektionen understryker att laglig personuppgiftsbehandling även innefattar en bedömning av om författningen uppfyller dels kraven på tydlighet, precisering och förutsägbarhet i skäl 41 och dels kravet på proportionalitet i artikel 6.3 andra stycket sista meningen i dataskydds- förordningen. Datainspektionen anser att det inte är möjligt att presumera att de åtgärder som myndigheterna vidtar i syfte att utföra sina uppdrag och åligganden och som antagits i enlighet med grundlagens bestämmel- ser om normgivningskompetens och kommunalt självstyre i sig har en legal grund som offentliggjorts genom tydliga, precisa och förutsägbara regler och uppfyller kraven i skäl 41. Datainspektionen anser också att många författningar av naturliga skäl är antagna utan att deras tydlighet, precisering och förutsägbara tillämpning avseende behandling av personuppgifter har bedömts. Utredningen har enligt Datainspektionen endast beskrivit vilket stöd verksamheten har generellt inom utbild- ningsområdet när utbildningsanordnare utför sina uppdrag enligt gällande författningar. Det saknas enligt Datainspektionen en analys som visar att det i skollagen, högskolelagen, lagen om och därtill hörande bestämmelser finns rättsligt stöd för den personuppgiftsbehand- ling som behöver utföras inom utbildningsområdet och att det rättsliga stödet uppfyller kraven i skäl 41. När det saknas särskild lagreglering kring behandlingen blir det den personuppgiftsansvariges ansvar att pröva sin behandling mot kraven i Dataskyddsförordningen vid varje enskild behandling. Det saknas vägledning av på vilket sätt den personuppgiftsansvarige ska kunna bedöma vilka personuppgiftsbehand- lingar som ska anses nödvändiga för att fullgöra uppdragen. Datainspek- tionen anser därmed att utredningen har underskattat den komplexitet som det medför att inte reglera utbildningsverksamheten på nationell nivå i en registerförfattning. Att lägga ansvaret på respektive huvudman att besluta om varje enskild behandling är nödvändig för att utföra den fastställda uppgiften är en svår och betungande uppgift. Detta arbete hade enligt Datainspektionen kunnat förenklas om utredningen hade tagit ett samlat grepp och gjort nödvändiga bedömningar och reglerat personupp- giftsbehandlingar inom utbildningsväsendet i en särskild registerför- fattning. Med tanke på hur många aktörer det finns inom utbildnings- området ifrågasätter Datainspektionen det rimliga i att överlåta bedöm- ningen på de personuppgiftsansvariga, istället för att via lagstiftning i nationell rätt genom kompletterande författning till dataskyddsförord- ningen klargöra vad som inom utbildningsområdet är nödvändig behand- ling. I propositionen Ny dataskyddslag konstaterar regeringen att den rätts- liga grunden inte måste fastställas i en av beslutad lag men 2017/18:218 däremot att grunden måste vara fastställd i laga ordning, dvs. på ett konstitutionellt korrekt sätt (prop. 2017/18:105 s. 51). innebär i svensk rätt när det gäller uppgift av allmänt intresse har förtyd- ligats i 2 kap. 2 § 1 förslaget till dataskyddslag. får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsför- ordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektiv- avtal eller av beslut som har meddelats med stöd av lag eller annan för- Av skäl 41 framgår också att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol och Europe- iska domstolen för de mänskliga rättigheterna. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens En behandling av personuppgifter som inte utgör någon egent- lig kränkning av den personliga integriteten kan ske med stöd av en rättslig grund som är allmänt hållen medan ett mer kännbart intrång kräver att den rättsliga grunden är mer preciserad och därmed gör in- Vad som avses med nödvändighetsrekvisitet har behandlats i avsnitt Till skillnad från Datainspektionen anser regeringen att syftet med be- handling av personuppgifter inom utbildningsområdet tydligt framgår av bestämmelserna i skollagen, högskolelagen, lagen om och de andra författningar som reglerar verksamheten på området och att det är förutsägbart för personer som omfattas av dessa regler vilken be- handling av personuppgifter som är nödvändig för att personuppgifts- ansvariga ska kunna utföra sina uppdrag och åligganden. förordningen möjliggör genom artikel 6.2 och 6.3 andra stycket för med- lemsstaterna att införa särskilda registerförfattningar, men varken dessa bestämmelser eller förordningen i övrigt innebär något krav på att det in- förs sådana författningar. Som framgår av avsnitt 13 och 14 anser regeringen att det i fråga om behandling av känsliga personuppgifter och personuppgifter om lag- överträdelser finns behov av viss kompletterande reglering på utbild- Enligt Justitiekanslern framstår det, med hänsyn till hur många lagar som redan finns rörande personuppgiftsbehandling, också som angeläget att inte ytterligare lagar tillkommer, om det inte är föran- lett av ett viktigt behov. Som framgår av avsnitt 4.6 och 7.1 innehåller dataskyddsförordningen ett omfattande regelverk som syftar till att skydda den enskildes integritet Dataskyddsförordningen kompletteras av dataskydds- Därutöver tillkommer en omfattande reglering på utbildningsom- Som ett exempel nämnas att skollagen är ca 150 sidor lång och att den kompletteras av föreskrifter i förordningar och föreskrifter som med- delats av myndigheter. Därtill kommer att t.ex. har med- delat allmänna råd och tagit fram omfattande stödmaterial. myndigheter också i uppgift enligt författning att fatta olika typer av beslut om t.ex. tillstånd eller statsbidrag. reglerar utbildningsverksamheternas personuppgiftsbehandling skulle Prop. 2017/18:218 enligt regeringens bedömning inte innebära att skyddet för enskildas integritet och rättigheter blev starkare. En sådan reglering skulle dess- utom kunna vara kontraproduktiv på så sätt att den t.ex. på skolområdet skulle kunna komma att begränsa huvudmännens möjligheter att behand- la personuppgifter på ett sätt som bidrar till ett effektivt och tidsenligt sätt att bedriva utbildning med utnyttjande av tillgängliga tekniska hjälp- medel med ett gott resultat (se t.ex. 9 kap. 8 §, 10 kap. 10 § och 15 kap. 17 § skollagen). Sådan indirekt styrning av undervisningen och hur den ska bedrivas bör enligt regeringens uppfattning inte ske genom reglering av personuppgiftshanteringen inom utbildningsverksamheten. Rege- ringens uppfattning är därför att den kompletterande reglering som be- hövs kan ske inom ramen för befintliga författningar på utbildnings- området. Regeringen bedömer att en sådan lagstiftningsteknik underlättar för tillämparna. Regeringen delar dock Datainspektionens uppfattning att personupp- giftsansvariga kan vara betjänta av ytterligare vägledning i fråga om be- handling av personuppgifter. Regeringen uppfattar att Datainspektionen anser behovet av ytterligare vägledning vara störst i fråga om skol- väsendet. En rad andra remissinstanser, såsom Kommuner och Landsting, ett flertal kommuner och , har också ställt sig positiva till införandet av en uppförandekod för skolväsendet. Regeringen avser därför, trots de utmaningar det kan innebära, att ge en lämplig myndighet i uppdrag att initiera och stödja utarbetandet av en uppförandekod för skolväsendet. 12Var ska kompletterande bestämmelser om personuppgiftsbehandling placeras? Regeringens förslag: Kompletterande bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser på utbildningsområdet ska införas i ett nytt kapitel i skollagen, i lagen om tillstånd att utfärda vissa examina och i lagen om . Regeringens bedömning: Kompletterande bestämmelser för konst- och kulturutbildningar, vissa andra utbildningar och folkbildningen bör införas på förordningsnivå. Det bör inte införas någon dubbelreglering i nämnda lagar för offentliga utbildningsanordnare och sådana enskilda utbildningsanord- nare som har stöd för sin personuppgiftsbehandling i dataskyddslagen. Utredningens förslag och bedömning: Överensstämmer med rege- ringens förslag och bedömning i fråga om i vilka lagar och på vilken normnivå kompletterande bestämmelser bör införas. Utredningen har dock föreslagit att bestämmelser i dataskyddslagen som gäller för myn- digheter och organ som jämställs med myndigheter också ska återges i sektorslagstiftningen. Remissinstanserna: Flertalet remissinstanser delar utredningens för- slag och bedömning eller har inte några synpunkter. , Specialpedagogiska skolmyndigheten, , och kommuner, och Kommuner och Landsting är exempel på remissinstanser som är positiva till att behandling av känsliga personuppgifter regleras i ett nytt kapitel i skollagen. ser det som positivt att regleringen införs direkt i skollagen då det ligger väl i linje med intentionen i den unifiering som skedde av skollagstiftningen i och med tillkomsten av skollagen (2010:800). anser att förslaget att samla regleringen kring känsliga personuppgifter i ett kapitel bidrar till att skapa en tydlighet kring förutsättningarna för att behandla känsliga personuppgifter inom skolområdet som i sin tur underlättar tillämpningen av regelverket. Kommuner och Landsting anser det särskilt välkommet att även kommunen i egenskap av hemkommun ska tillämpa det föreslagna kapitlet i skollagen trots att kommuners personuppgiftsbehandling även faller in under dataskyddslagens tillämpningsområde och anser att detta förenklar tillämpningen avsevärt för kommunerna. Specialpedagogiska skolmyndigheten undrar om förslaget till det nya kapitlet i. skollagen som ska komplettera dataskyddslagen innebär att skolor som också är myndigheter parallellt ska använda regleringen i de båda lagarna. Datainspektionen anser att utredningen inte har presenterat någon kon- kret redogörelse för vilka personuppgiftsbehandlingar som ska behandlas inom det skollagsreglerade området samt vilka risker de aktuella behand- lingarna kan medföra. Utan en sådan redogörelse kan en proportiona- litetsbedömning av bestämmelserna enligt artikel 6.3 i dataskyddsför- ordningen inte göras. Datainspektionen saknar en analys som visar att det kommer att finnas erforderligt stöd för den behandling av känsliga personuppgifter som behöver utföras inom skolan när dataskyddsför- ordningen börjar tillämpas. tillstyrker utredningens förslag angående be- hov av särskild reglering för enskilda utbildningsanordnare. tillstyrker utredningens förslag i de delar som rör deras verksamhet som enskilda utbildningsanordnare. Skälen för regeringens förslag och bedömning Den kompletterande reglering som behövs bör införas i befintliga sektorsförfattningar Som framgår av avsnitt 8 gör regeringen bedömningen att utbildning är såväl en uppgift av allmänt intresse som ett viktigt allmänt intresse. I avsnitt 9 har regeringen bedömt att merparten av personuppgiftsbehand- lingen som sker inom utbildningsområdet kan ske med stöd av den rätts- liga grunden att utföra en uppgift av allmänt intresse. För viss personupp- giftsbehandling som inte är nödvändig för detta ändamål, t.ex. skolfoto- grafering, kan i stället samtycke användas som rättslig grund. Som framgått av avsnitt 7 ställer dock dataskyddsförordningen i artikel 9 och 10 särskilda krav när det gäller behandling av känsliga personupp- gifter och uppgifter om lagöverträdelser. I avsnitt 10 gör regeringen be- dömningen att det finns behov av att inom utbildningsområdet införa bestämmelser som rör behandlingen av känsliga personuppgifter och lag- överträdelser som kompletterar såväl dataskyddsförordningen som data- skyddslagen. Även regeringsformen ställer särskilda krav när det är fråga om ett betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § RF). Sådana intrång får bara göras med stöd av lag. Som framgår av avsnitt 10 gör regeringen bedömningen att i den mån detta lagkrav gäller på det skollagsreglerade området är det uppfyllt genom regleringen i skollagen. Regeringen gör vidare i avsnitt 11 be- dömningen att det inte bör införas fler registerförfattningar inom utbild- ningsområdet utan att de kompletteringar som behövs med anledning av artikel 9 och 10 i dataskyddsförordningen bör göras i befintliga sektors- författningar. Som närmare kommer att utvecklas i avsnitt 13.2 och 14.2 föreslås i propositionen Ny dataskyddslag att det i 3 kap. dataskyddslagen ska införas bestämmelser om behandling av känsliga personuppgifter och lagöverträdelser (3 kap. 1–9 §§). Dessa bestämmelser gäller emellertid med vissa undantag bara för myndigheter. I 3 kap. 4 § dataskyddslagen anges dock att regeringen får meddela ytterligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med hänsyn till ett viktigt allmänt intresse. Vidare anges i 3 kap. 9 § att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning. Den myndighet som regeringen bestämmer får även i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter. Ett beslut får förenas med villkor. Regeringen anser dock att det, även i den utsträckning det inte krävs enligt regeringsformen, är lämpligt att kompletterande bestämmelser som ger stöd för att behandla känsliga personuppgifter eller personuppgifter om lagöverträdelser inom det skollagsreglerade området, inom högskolan och inom förs in på samma normhierarkiska nivå och i den författning som i huvudsak reglerar den aktuella verksamheten och varigenom den rättsliga grunden i huvudsak fastställs. Regeringen gör bedömningen att detta bör underlätta för tillämparna. Som närmare kommer att utvecklas i avsnitt 13.4 och 14.4 gör regeringen bedöm- ningen att det i fråga om högskolan endast finns behov av komplette- rande reglering när det gäller enskilda utbildningsanordnare som om- fattas av lagen om tillstånd att utfärda vissa examina. Regeringen föreslår därför att kompletterande bestämmelser om känsliga personuppgifter och personuppgifter om lagöverträdelser införs i skollagen, lagen om tillstånd att utfärda vissa examina och i lagen om . På grund av skollagens omfattning införs bestämmelserna i skollagen lämpligen i form av ett nytt kapitel om personuppgiftsbehandling. När det gäller CSN:s behandling av känsliga personuppgifter i studiestödsverksamheten finns det redan en registerförfattning där frågor om myndighetens per- sonuppgiftsbehandling regleras och nödvändiga justeringar och komplet- teringar på studiestödsområdet bör därför göras i den lagen. Skollagen och lagen om gäller både offentliga och en- skilda utbildningsanordnare.