prop · H503218 · 2018-04-10 00:00:00 — Vid sådan kommunikation kan det t.ex. finnas behov av att behandla känsliga personuppgifter om bar- nets hälsa. Ett annat exempel på när bestämmelsen kan vara tillämplig är vid behandling av uppgifter om behov av specialkost på grund av allergi eller religiös övertygelse. Även inom t.ex. elevhälsans psykosociala och specialpedagogiska insatser kan det förekomma situationer när bestäm- melsen är tillämplig. Bestämmelsen i dataskyddslagen är tillämplig på verk- samhet och verksamhet vars huvudman är staten, ett landsting eller en kommun. De enskilda huvudmännen och privata aktörerna som bedriver utbildningsverksamhet enligt skollagen har, som angetts i avsnitt 13.3.3, samma behov av att kunna behandla känsliga personuppgifter som de offentliga huvudmännen. har i sitt betänkande föreslagit att den kompletterande bestämmelsen i skollagen ska omfatta behandling av känsliga personuppgifter i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otill- börligt intrång i den registrerades personliga integritet. Den bestämmelse som föreslås i propositionen Ny dataskyddslag för myndigheter är mer långtgående (se avsnitt 13.2.1). Den innebär att en myndighet även i annat fall ska få behandla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen 2017/18:218 inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket 3). Regeringen anser att den kompletterande regleringen i skollagen bör utformas på ett sätt som motsvarar regle- ringen i dataskyddslagen. Detta är också i linje med vad Justitiekanslern förordat i fråga om likartade lagtekniska lösningar med anledning av EU:s dataskyddsreform. Eftersom det redan konstaterats i avsnitt 8 att anordnande och bedrivande av utbildning utgör ett viktigt allmänt intres- se anser regeringen att det är tillräckligt att i den kompletterande bestäm- melsen i skollagen ange att behandlingen av personuppgifter ska vara nödvändig i verksamheten. I övrigt bör bestämmelsens utformning följa den formulering som föreslås i dataskyddslagen. Regeringens uppfattning är att en sådan bestämmelse står i proportion till det eftersträvade syftet. Då en behandling bara får ske om den är nödvändig av hänsyn till ett viktigt intresse och inte innebär ett otill- börligt intrång i den registrerades personliga integritet tillgodoses enligt regeringen dataskyddsförordningens krav på proportionalitet och skydd- såtgärder. Regeringen föreslår i avsnitt 13.3.10 dessutom en särskild sökbegränsning. Av avsnitt 13.3.5, 13.3.6 och 13.3.8 framgår fler exem- pel på när bestämmelsen bedöms vara tillämplig. 13.3.5Ytterligare rättsligt stöd för behandling av känsliga personuppgifter om hälsa behövs inte Regeringens bedömning: Något ytterligare rättsligt stöd för behand- ling av känsliga personuppgifter om hälsa behövs inte på det skol- lagsreglerade området. Utredningens förslag: Utredningen föreslår att det ska införas en be- stämmelse i skollagen om att känsliga personuppgifter om hälsa ska få behandlas med stöd av artikel i dataskyddsförordningen om det är nödvändigt för ändamålet med behandlingen och behandlingen inte inne- bär ett otillbörligt intrång i den registrerades personliga integritet i sådana verksamheter där utredningen bedömer att all personuppgifts- behandling utgör behandling av känsliga personuppgifter. Förslaget om- fattar därmed grundsärskolan, specialskolan, gymnasiesärskolan, särskild utbildning för vuxna, gymnasieskolan med Rh-anpassad utbildning, ut- bildning i gymnasieskolan för elever som är döva, hörselskadade eller dövblinda eller har en språkstörning samt fristående förskoleklasser, fristående grundskolor och fristående gymnasieskolor som har begränsats till att avse elever som är i behov av särskilt stöd. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. kommun är särskilt positiv till att utöka möjligheten för anordnare av t.ex. grundsärskola att på ett mer systematiskt sätt kunna behandla känsliga personuppgifter. tillstyrker utredningen förslag. anser att den föreslagna bestämmelsen som avser fristående skolor som har begränsat sitt mottagande till att avse elever som är i behov av särskilt stöd behöver kompletteras med mot- svarande möjlighet för fristående förskolor. delar i stort utredningens förslag. 2017/18:218 påpekar dock att när det gäller skolor som begränsats till att avse elever som är i behov av särskilt stöd för sin utveckling (s.k. resursskolor) har i en dom i mål 3086-16 har slagit fast att även offentliga huvudmän kan inrätta s.k. resursskolor. Därför anser förvaltningen att förslaget bör utvidgas så att även skolor med offentliga huvudmän får rätt att behandla känsliga personuppgifter vad avser elever i s.k. resursskolor. , unga och vuxna med utvecklingsstörning (FUB) vill inte att behandling av personuppgifter om hälsa, förutom i elevhälsan, ska kunna behandlas utan samtycke i grundsärskolan, specialskolan, gymnasiesärskolan och särskild utbildning för vuxna. Kommuner och Landsting (SKL) saknar en mer fullständig in- ventering av vilka behandlingar av känsliga personuppgifter som är nöd- vändiga för att huvudmän och hemkommunen enligt skollagen ska anses fullgöra bestämmelserna i skollagen. Enligt SKL kan det därför vara så att ytterligare bestämmelser, utöver de som utredningen har föreslagit, behöver göras i författning. SKL saknar bl.a. resonemang kring hur huvudmän inom skolväsendet ska hantera känsliga personuppgifter som är nödvändiga att hantera i faktisk verksamhet och inte är kopplade till ett ärende eller elevhälsan. SKL anser också att det kan vara ett problem att specifikt räkna upp i vilka fall känsliga personuppgifter får behandlas En uppräkning av tillåtna behandlingar innebär att när nya befogenheter eller skyldigheter införs för huvudmän eller hemkommunen enligt skollagen måste lagstiftaren överväga om den nya befogenheten eller skyldigheten innebär att det är nödvändigt att behandla känsliga personuppgifter och om en sådan behandling ska vara tillåten eller inte. Datainspektionen avstyrker förslaget i dess nuvarande utformning och ifrågasätter hur bestämmelsen uppfyller kravet på ett viktigt allmänt intresse enligt artikel i dataskyddsförordningen. anser även att de av utredningen föreslagna bestämmelserna som rör känsliga personuppgifter inte är tillräckliga för skolornas behandling av uppgifter om specialkost. avstyrker förslaget och anser att dataskyddsförordningens bestämmelser utgör en tillräcklig reglering. Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning överensstämmer med regeringens bedömning i detta avsnitt. ker eller har inga synpunkter på bedömningen. Skälen för regeringens bedömning Ytterligare rättsligt stöd för behandling av personuppgifter om hälsa behövs inte i grundsärskolan, specialskolan, gymnasiesärskolan eller särskild utbildning för vuxna Som nämnts i avsnitt 13.3.1 är behandling av alla personuppgifter om en elev i grundsärskolan, specialskolan, gymnasiesärskolan och särskild utbildning för vuxna en behandling av känsliga personuppgifter. ningen till detta är att det endast är elever med funktionsnedsättning som tillhör målgruppen för dessa skolformer och enbart uppgiften om att eleven går i den skolan innebär därmed att man får reda på en uppgift om Det innebär att huvudmännen måste tillämpa de särskilda 2017/18:218 bestämmelserna som gäller för behandling av känsliga personuppgifter på all personuppgiftsbehandling, dvs. även för elevadministration som t.ex. kontaktuppgifter, elevregister, närvarorapportering, klasslistor och Det är uppgifter som, bortsett från att eleven går i en viss skol- form, vanligen är harmlösa uppgifter. Även behandling av personupp- gifter i samband med t.ex. dokumentation inför och vid skrivandet av utvecklingsplaner omfattas av de särskilda bestämmelser som rör be- handling av känsliga personuppgifter. Vidare är det med hänsyn till den digitalisering som skett inom offentlig verksamhet nödvändigt att kunna behandla elevernas personuppgifter automatiserat, t.ex. i ett elev- register, och inom den faktiska verksamheten såsom undervisningen. Behandlingen av de känsliga personuppgifterna är därmed nödvändig för det viktiga allmänna intresse som anordnande och bedrivande av utbild- När det gäller skälen för att anordnande och bedrivande av utbildning utgör ett viktigt allmänt intresse hänvisas till avsnitt 8. är det rättsliga stödet för att behandlingen av de känsliga personuppgifterna främst samtycke. Regeringen anser, till skillnad från , unga och vuxna med utvecklingsstörning (FUB), att samtycke inte är ett lämpligt rättsligt stöd för behandlingen av käns- liga personuppgifter i dessa skolformer, eftersom lagstiftaren ålägger huvudmännen skyldigheter gentemot eleven och då huvudmannen för att kunna uppfylla dessa åligganden måste kunna behandla relevanta person- uppgifter om eleven. Det framgår vidare av skäl 43 till dataskyddsförord- ningen att samtycke inte bör utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla för- hållanden som denna särskilda situation omfattar. De i dataskyddslagen föreslagna bestämmelserna som möjliggör dels behandling av känsliga personuppgifter som krävs enligt lag, dels be- handling av känsliga personuppgifter som är nödvändig för handlägg- ningen av ett ärende (3 kap. 3 § första stycket 1 och 2) kommer inte kun- na tillämpas på all den behandling av elevernas personuppgifter som sker i bl.a. den elevadministrativa verksamheten. ringen att behandlingen hos myndigheter kommer kunna ske med stöd av den i dataskyddslagen föreslagna bestämmelsen som möjliggör behand- ling av känsliga personuppgifter i annat fall om behandlingen är nöd- vändig av hänsyn till ett viktigt allmänt intresse och inte innebär ett otill- börligt intrång i den registrerades integritet (3 kap. 3 § första stycket 3). avsnitt 13.3.4 föreslås en motsvarande bestämmelse införas i skollagen för enskilda huvudmän och aktörer enligt 24 och 25 kap. skollagen. Behandling av de nu aktuella uppgifterna hos enskilda kommer därmed kunna ske med stöd av den bestämmelsen. att det inte finns något behov av ytterligare reglering för att möjliggöra behandling av hälsa. Elevernas personuppgifter behandlas automatiserat i särskolor, specialskolor och särskild utbildning för vuxna i t.ex. elev- De föreslagna bestämmelserna om behandling av känsliga personuppgifter för myndigheter och enskilda möjliggör den behandling av personuppgifter som sker . De föreslagna bestämmelserna inne- håller även åtgärder till skydd för den registrerade genom att behand- Prop. 2017/18:218 lingen endast får utföras om den är nödvändig och inte innebär ett otill- börligt intrång i den registrerades personliga integritet och bedöms därför stå i proportion till det eftersträvade syftet. Ytterligare rättsligt stöd för behandling av personuppgifter om hälsa i verksamhet som avser elever i behov av särskilt stöd behövs inte heller Huvudregeln är att fristående skolor ska vara öppna för alla elever. En huvudman för en fristående förskoleklass, grundskola, grundsärskola och gymnasieskola får dock begränsa sitt mottagande till att avse elever som är i behov av särskilt stöd (9 kap. 17 §, 10 kap. 35 § 2, 11 kap. 34 § 2 och 15 kap. 33 § 1 skollagen). Skolorna med begränsat mottagande riktar sig ofta till elever med neuropsykiatriska funktionsnedsättningar som Atten- tion Deficit Hyperactivity Disorder (ADHD) och autismspektrumtillstånd (AST). Många skolor anger att de även riktar sig till elever med annan problematik, bl.a. elever med social problematik eller elever med tidigare skolmisslyckanden (, Fristående skolor för elever i behov av särskilt stöd – en kartläggning, Rapport nr 409, 2014, s. 8). Regeringen anser att en uppgift om att en elev går i en fristående skola som begränsat sitt mottagande till elever som är i behov av särskilt stöd vanligen är en känslig personuppgift på motsvarande sätt som när det gäller en uppgift om att en elev går i t.ex. en grundsärskola, se under föregående rubrik. Anledningen är att skolorna endast mottar elever som är i behov av det slag av särskilt stöd som huvudmannen bestämt och en- bart uppgiften om att eleven går vid den skolan innebär därför att man får reda på en uppgift om elevens hälsa. Även övriga uppgifter om elever som behandlas inom en sådan verksamhet kan , beroende på i vilket sammanhang de förekommer, kopplas till en elevs hälsa och behöver därför i sådana fall betraktas som känsliga personuppgifter. anser att en bestämmelse som motsvarar utredningens förslag bör införas även för fristående förskolor. För fri- stående förskolor finns visserligen inte någon bestämmelse i skollagen som innebär att de kan begränsa sitt mottagande till att avse elever som är i behov av särskilt stöd. I 8 kap. 18 § skollagen anges dock att varje fristående förskola ska vara öppen för alla barn som ska erbjudas för- skola, om inte den kommun där förskoleenheten är belägen medger undantag med hänsyn till verksamhetens särskilda karaktär. Det kan där- för finnas fristående förskolor som har, eller förskolor som fram- gent kommer att kunna ha, ett beslut om godkännande att begränsa sitt mottagande till barn i behov av särskilt stöd. Regeringen delar därför förbundets uppfattning om att även dessa verksamheter behöver kunna behandla känsliga personuppgifter om hälsa. Som påpekar gäller detsamma resursskolor som inrättas av offentliga huvud- män. Utifrån hur de i 3 kap. 3 § första stycket 3 dataskyddslagen och i avsnitt 13.3.4 föreslagna bestämmelserna om behandling av känsliga personuppgifter har utformats kommer dock behandlingen omfattas av dessa bestämmelser. Någon ytterligare reglering behövs därför enligt regeringens bedömning inte heller för dessa verksamheter. Inte heller behövs ytterligare rättsligt stöd för behandling av personuppgifter om hälsa i vissa kommunala gymnasieskolor Speciellt anpassad utbildning (Rh-anpassad) gymnasieutbildning anord- nas för ungdomar med svårt rörelsehinder (15 kap. 9 § första stycket skollagen). Den Rh-anpassade utbildningen ska så långt det är möjligt integreras med motsvarande utbildning i gymnasieskolan (11 kap. 1 § gymnasieförordningen [2010:2039]). Vidare får kommun i sin gymnasieskola anordna utbildning för döva och hörselskadade från hela landet (10 kap. 1 § gymnasieförordningen). Utbildningen ska vända sig även till dem som på grund av språkstörning behöver insatser av samma slag som döva och hörselskadade. I de klasser i kommunala gymnasieskolor som anordnar Rh-anpassad gymnasieutbildning eller utbildning för personer med dövhet eller hörsel- nedsättning där det endast går elever som har funktionsnedsättningar, blir uppgiften om att eleven går en sådan utbildning även en uppgift om elevens hälsa. Detta eftersom det i dessa klasser endast går elever med funktionsnedsättning. Även övriga uppgifter om elever som behandlas inom en sådan verksamhet kan , beroende på i vilket sam- manhang de förekommer, kopplas till en elevs hälsa och behöver därför i sådana fall betraktas som känsliga personuppgifter. Av samma skäl som angetts under föregående rubriker i fråga om t.ex. gymnasiesärskolan och fristående gymnasieskola som begränsats till att avse elever som är i behov av särskilt stöd bedömer dock regeringen att någon ytterligare reglering inte behövs för att möjliggöra behandlingen och de bestäm- melser som möjliggör behandlingen är proportionerliga. Ytterligare rättsligt stöd för behandling av personuppgifter om hälsa behövs inte heller i övrigt på det skollagsreglerade området Som framgått ovan finns det vissa verksamheter inom det skolagsregle- rade området som har behov av att kunna behandla känsliga person- uppgifter om hälsa av det skälet att all personuppgiftsbehandling innebär behandling av uppgifter om hälsa. Regeringen delar dock Kommuner och Landstings uppfattning att det även i faktisk verksamhet i andra delar av det skollagsreglerade området kan finnas behov av att behandla uppgifter om känsliga personuppgifter i fall som varken krävs enligt lag eller som utgör ärendehandläggning. Det gäller t.ex. löpande behov av behandling av uppgifter om specialkost, som uppmärksammats av Datainspektionen, mer långvariga sjukdomar och funktionsned- sättningar där eleverna är i behov av återkommande stöd och andra in- satser samt omfattande eller återkommande psykosociala insatser av exempelvis kurator som inte ingår i elevhälsan. Behov att behandla uppgifter om hälsa kan även uppstå när rektorn eller förskolechefen fullgör sitt ansvara att fördela resurser inom enheten efter barnens och elevernas olika förutsättningar och behov (2 kap. 10 § första stycket skol- lagen). Det är dock på grund av den stora mängd verksamheter och varierande behov inte möjligt att förutse och i detalj ange de olika specifika fall då behandling av känsliga personuppgifter kan vara nöd- vändig inom den faktiska verksamheten inom det skollagsreglerade området. Regeringen anser därför att det även i andra verksamheter inom skolväsendet än de som utredningen har föreslagit bör finnas möjlighet för huvudmannen att behandla känsliga personuppgifter om hälsa om det Prop. 2017/18:218 är nödvändigt och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Utifrån hur de i 3 kap. 3 § första stycket 3 dataskyddslagen och i avsnitt 13.3.4 föreslagna bestämmelserna om behandling av känsliga personuppgifter har utformats kommer dock behandlingen omfattas av dessa bestämmelser. Någon ytterligare regle- ring behövs därför enligt regeringens bedömning inte heller för dessa verksamheter. Ytterligare rättsligt stöd för behandling av känsliga personuppgifter om etniskt ursprung i Regeringens bedömning: Något ytterligare rättsligt stöd för behand- ling av känsliga personuppgifter om etniskt ursprung hos huvud- mannen för sameskolan behövs inte. Utredningens förslag: Utredningen föreslår att det ska införas en bestämmelse i skollagen om att uppgifter om etniskt ursprung ska få behandlas i sameskolan med stöd av artikel i dataskyddsförord- ningen om det är nödvändigt för ändamålet med behandlingen och be- handlingen inte innebär ett otillbörligt intrång i den registrerades person- Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. Sameskolstyrelsen välkomnar förslaget. Datainspektionen avstyrker förslaget i dess nuvarande utformning och ifrågasätter om utformningen av bestämmelsen uttrycker det krav på ett viktigt allmänt intresse som framgår av artikel i dataskyddsförord- avstyrker förslaget och anser att dataskyddsför- ordningens bestämmelser utgör en tillräcklig reglering. Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning överensstämmer med regeringens bedömning i detta avsnitt. styrker eller har inga synpunkter på bedömningen. Skälen för regeringens bedömning: Som nämnts i avsnitt 13.3.1 får barn till samer fullgöra sin skolplikt i sameskolan i stället för i årskurs 1– Även andra barn får fullgöra den delen av sin skolplikt i sameskolan, om det finns särskilda skäl. Frågan om ett barn ska få full- göra sin skolplikt i sameskolan prövas av Sameskolstyrelsen (7 kap. 7 §). Som nämnts tidigare är enbart en uppgift om att en elev går i sameskolan inte en personuppgift som avslöjar etniskt ursprung då undantagsbestäm- melsen för särskilda skäl medför att även flickor och pojkar som inte är barn till samer kan gå i sameskolan. Däremot kan uppgiften tillsammans med andra uppgifter avslöja etniskt ursprung. Vidare är uppgiften att en flicka eller pojke är barn till en same en personuppgift som avslöjar etniskt ursprung och sådana uppgifter förekommer ofta när Sameskol- styrelsen prövar om ett barn ska tas emot i sameskolan. sen kan tillämpa 3 kap. 3 § dataskyddslagen vid handläggning av ett 2017/18:218 Sameskolstyrelsen är vidare huvudman för samtliga sameskolor. Same- skolorna måste behandla personuppgifter för elevadministration såsom kontaktuppgifter, elevregister, närvarorapportering, klasslistor och ämnesval. Det är uppgifter som vanligen är harmlösa uppgifter. Behand- lingen av sådana uppgifter är därmed nödvändig för det viktiga allmänna intresse som anordnande och bedrivande av utbildningen utgör. När det gäller skälen för att anordnande och bedrivande av utbildning utgör ett viktigt allmänt intresse hänvisas till avsnitt 8. är det rättsliga stödet för att behandla känsliga personuppgifter i detta sammanhang samtycke. Regeringen bedömer dock, mot bakgrund av vad som anges i avsnitt 6.1, att samtycke inte är ett lämpligt rättsligt stöd för behand- lingen av känsliga personuppgifter eftersom lagstiftaren ålägger huvud- männen skyldigheter gentemot eleven och då huvudmannen för att kunna uppfylla dessa åligganden har ett berättigat behov av att kunna behandla relevanta personuppgifter om eleven. De i dataskyddslagen föreslagna bestämmelserna som möjliggör dels behandling av känsliga personuppgifter som krävs enligt lag och dels be- handling av känsliga personuppgifter som är nödvändig för handlägg- ningen av ett ärende (3 kap. 3 § första stycket 1 och 2) kommer inte att kunna tillämpas på all den behandling av elevernas personuppgifter som sker i bl.a. den elevadministrativa verksamheten. Däremot bedömer rege- ringen att behandlingen hos myndigheter kommer kunna ske med stöd av den i dataskyddslagen föreslagna bestämmelsen som möjliggör behand- ling av känsliga personuppgifter i annat fall om behandlingen är nöd- vändig av hänsyn till ett viktigt allmänt intresse och inte innebär ett otill- börligt intrång i den registrerades integritet (3 kap. 3 § första stycket 3). I avsnitt 13.3.4 föreslås en motsvarande bestämmelse införas i skollagen för enskilda huvudmän och aktörer enligt 24 och 25 kap. skollagen. Behandling av de nu aktuella uppgifterna hos enskilda kommer därmed kunna ske med stöd av den bestämmelsen. Regeringen bedömer därför att det inte finns något behov av ytterligare reglering för att möjliggöra behandlingen. I sameskolan behandlas elevernas personuppgifter automatiserat i t.ex. elevregister. De föreslagna bestämmelserna om behandling av känsliga personuppgifter för myndigheter och enskilda möjliggör den behandling av personuppgifter som sker . De före- slagna bestämmelserna innehåller även åtgärder till skydd för den regi- strerade genom att behandlingen endast får utföras om den är nödvändig och inte innebär ett otillbörligt intrång i den registrerades personliga integritet och bedöms därför stå i proportion till det eftersträvade syftet. 13.3.7Ytterligare rättsligt stöd för hemkommuners behandling av känsliga personuppgifter i ärenden behövs inte Regeringens bedömning: Hemkommuners behandling av känsliga personuppgifter i ärenden omfattas av dataskyddslagens bestämmelse om myndigheters behandling av känsliga personuppgifter i ärenden och behöver därför inte regleras i skollagen. Utredningens förslag: Utredningen föreslår att det ska regleras i skol- Prop. 2017/18:218 lagen att uppgifter om hälsa med stöd av artikel i dataskydds- förordningen ska få behandlas av en hemkommun om det är nödvändigt för handläggningen och om behandlingen inte innebär ett otillbörligt in- trång i den registrerades personliga integritet i vissa ärenden.