prop · H503218 · 2018-04-10 00:00:00 — bär att den ska underlätta jämförelser mellan de kvalifikationer som ut- färdas i olika medlemsstater. För att bidra till att skapa förtroende för de 2017/18:218 kvalifikationer som utfärdas rekommenderas medlemsstaterna att tilläm- pa de principer för kvalitetssäkring inom högre och yrkesinriktad utbild- ning som är framtagna till stöd för genomförandet av den europeiska referensramen för kvalifikationer (bilaga III till rekommendationen). att underlätta jämförelse mellan ländernas kvalifikationer bör medlems- staterna införa nationella referensramar som kan kopplas till den euro- Detta ska ske genom att medlemsstaterna på ett tydligt sätt hänvisar nivåerna i de nationella referensramarna till de nivåer som anges i den europeiska referensramen i bilaga II till rekom- mendationen om EQF. Medlemsstaterna rekommenderas också att se till att alla nya bevis på kvalifikationer och Europassdokument som utfärdas av behöriga myndigheter innehåller en tydlig hänvisning till den relevanta nivån i den europeiska referensramen för kvalifikationer. sätt kan man öka användarvänligheten och underlätta för arbetsgivare att förstå nivån på ett kvalifikationsbevis som en arbetssökande uppvisar. Rekommendationen har ersatts av rådets rekommendation av 2017 om den europeiska referensramen för kvalifikationer för livslångt lärande och om upphävande av och rådets rekom- mendation av om en europeisk referensram för kvalifikationer för livslångt lärande (EUT C 189, . mendationen syftar till att stärka den europeiska referensramen som gemensam referensram med åtta uttryckta nivåer i form av lärande- resultat, som fungerar som ett verktyg för översättning mellan olika referensramar eller system för kvalifikationer och deras olika nivåer (ingresspunkt 28). I har den nationella referensramen reglerats i förordningen (2015:545) om referensram för kvalifikationer för livslångt lärande. Syftet med referensramen är enligt 1 § att underlätta jämförelser natio- nellt och internationellt av vilka nivåer sådana kvalifikationer motsvarar i fråga om kunskaper, färdigheter och kompetenser för att därigenom främja livslångt lärande och förbättra anställningsbarhet, rörlighet och social integration för arbetstagare och studerande inom EU. ramen består av åtta nivåer som finns i bilaga 1 till förordningen. kvalifikation ska anses motsvara den nivå i referensramen som bäst överensstämmer med de kunskaper, färdigheter och kompetenser som Kvalifikationer vars resultat av lärande är författningsreglerade motsvarar de nivåer som anges i bilaga 2 (3 §). som utfärdar en kvalifikation som inte anges i bilaga 2 får ansöka om att få ett beslut om vilken nivå kvalifikationen motsvarar i referensramen. En förutsättning för att en kvalifikation ska kunna motsvara en nivå i referensramen är att den som utfärdar kvalifikationen bedriver ett systematiskt kvalitetsarbete där kvalitetssäkring av kvalifikationen ingår. Ansökan prövas av Myndigheten för . Ett beslut gäller i (4 §). I bilaga 2 till förordningen har kvalifikationer, vars resultat av lärande är författningsreglerade, från samtliga i detta avsnitt behandlade delar av Som exempel kan nämnas att slutbetyg från grundsärskolan och slutbetyg från särskild utbildning för vuxna på grundläggande nivå har placerats på nivå 1. På nivå 2 återfinns bl.a. slut- betyg från , specialskolan, vuxenutbildning på grundläggande nivå, gymnasiesärskolebevis från gymnasiesärskolan, gymnasiesärskolebevis från särskild utbildning för vuxna på gymnasial Prop. 2017/18:218 nivå, betyg från utbildning i svenska för invandrare kurs D, eller motsva- rande utbildning som bedrivs vid folkhögskola, betyg från vuxenutbildning i svenska för invandrare kurs D, eller motsvarande ut- bildning som bedrivs vid folkhögskola samt i intyg om godkänt resultat från allmän kurs på grundskolenivå från folkhögskola. Det finns inga kvalifikationer inplacerade på nivå 3. På nivå 4 finns bl.a. gymnasie- examen från gymnasieskolan, gymnasieexamen från vuxen- utbildning och intyg om godkänt resultat från allmän kurs på gymnasial nivå från folkhögskola. Nivå 5 innehåller gymnasieingenjörsexamen från gymnasieskolan och yrkeshögskoleexamen från . På nivå 6 har bl.a. examina på grundnivå enligt bilaga 2 till högskoleförord- ningen och kvalificerad yrkeshögskoleexamen från placerats. Examina på avancerad nivå enligt bilaga 2 till högskoleför- ordningen, bilagan till förordningen (1993:221) för lantbruks- universitet och bilagan till förordningen (2007:1164) för finns på nivå 7 och slutligen finns på nivå 8 examina på forskarnivå enligt bilaga 2 till högskoleförordningen och bilagan till för- ordningen för . Behandling av personuppgifter hos myndig- heter som inte själva bedriver utbildning behandlas med ett undantag inte i denna Behov av behandling av personuppgifter finns hos myndigheter vars verksamhet anknyter till det skollagsreglerade området men som inte själva anordnar eller bedriver utbildning, såsom , På motsvarande sätt har myndigheter, vars verksamhet anknyter till högskoleområdet men som inte anordnar eller bedriver utbildning, behov av att behandla personuppgifter. Det gäller t.ex. Universitets- och högskolerådet (UHR), , Överklagandenämn- den för högskolan och . När det gäller har Myndigheten för (MYH), som är förvaltningsmyndighet för och som är den myndighet som beslutar om stöd enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar, behov av att behandla personuppgifter, även om MYH inte själv anordnar eller be- I propositionen Ny dataskyddslag görs bedömningen att den rättsliga grunden uppgift av allmänt intresse i artikel 6.1. e i dataskyddsförord- ningen är tillämplig på den verksamhet som myndigheterna bedriver inom ramen för sin befogenhet. 2017/18:105 s. 57). slås i den propositionen generella bestämmelser för behandling av per- sonuppgifter som bl.a. gäller myndigheters behandling av känsliga per- sonuppgifter och lagöverträdelser (3 kap. 3–4 §§ och 8 § dataskydds- 2017/18:218 lagen). Regeringen bedömer mot denna bakgrund att det i fråga om per- sonuppgiftsbehandling hos ovan nämnda myndigheter redan har lämnats förslag och bedömningar i propositionen Ny dataskyddslag som medför att det saknas anledning att även i denna proposition behandla samma frågor. I de fall det därutöver finns behov av anpassningar till den nya dataskyddsregleringen i fråga om ovan nämnda myndigheter bedöms detta kunna ske inom ramen för det fortsatta förordningsarbetet. När det gäller studiestödet kan konstateras att CSN visserligen inte bedriver utbildning. Som nämnts i avsnitt 4.3. finns det dock registerförfattningar på studiestödsområdet och dessa behöver anpassas till den nya dataskyddsförordningen och den nya dataskyddslagen. Frågor om studiestödet behandlas därför i denna proposition. 6För att personuppgiftsbehandling ska vara laglig krävs en rättslig grund Som framgått av avsnitt 4 får behandling av personuppgifter som faller under dataskyddsförordningens tillämpningsområde bara ske om det finns en tillämplig rättslig grund. Dessa är enligt artikel 6.1 att –den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål (samtycke, artikel 6.1 a), –behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (avtal, artikel 6.1 b), –behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (rättslig förpliktelse, artikel 6.1 c), –behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade eller för en annan fysisk person (skydda intressen, artikel 6.1 d), –behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning (uppgift av allmänt intresse och myndighetsutövning, artikel 6.1 e), eller –behandlingen är nödvändig för ändamål som rör den personupp- giftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (intresseavvägning, artikel 6.1.f). Om inget av dessa villkor är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. Som framgått av avsnitt 4 förtydligas i skäl 43 till dataskydds- förordningen att utrymmet för att myndigheter ska kunna basera en behandling av personuppgifter på den rättsliga grunden samtycke är Vidare är skillnaderna mot gällande rätt att det inte är tillåtet Prop. 2017/18:218 för myndigheter att behandla personuppgifter med stöd av den rättsliga grunden intresseavvägning, och att de rättsliga grunderna rättslig förpliktelse, uppgift av allmänt intresse och myndighetsutövning ska fast- ställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Enligt skäl 41 i dataskyddsförordningen bör den rättsliga grunden vara tydlig och precis och dess tillämpning bör vara förutsägbar för de personer som omfattas av den. Nedan ges en närmare redogörelse för de rättsliga grunderna samtycke, uppgift av allmänt intresse, myndighetsutövning, rättslig förpliktelse och intresseavvägning. 6.1Samtycke som rättslig grund Om en behandling grundar sig på samtycke ska den personuppgiftsan- svarige kunna visa att den registrerade har samtyckt till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (artikel 6.1 a och 7.1). Med samtycke avses varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar be- handling av personuppgifter som rör honom eller henne (artikel 4.11). Samtycke kan lämnas genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den regi- strerade godtar den avsedda behandlingen av sina personuppgifter (skäl 32). En förklaring om samtycke som den personuppgiftsansvarige i förväg formulerat bör tillhandahållas i en begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk och utan oskäliga villkor. För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Ett samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke (skäl 42). Samtycke bör inte utgöra giltig rättslig grund för behandling av person- uppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den person- uppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar (skäl 43). Artikel 29-gruppen, som är EU:s oberoende rådgivande instans för dataskydd och skydd för privatlivet bestående av en företrädare för varje nationell tillsynsmyndighet i EU-medlemsstaterna, en företrädare för och den europeiske datatillsynsmannen, har yttrat att samtycke i undantagsfall kan vara en giltig grund för stater när de be- 2017/18:218 handlar personuppgifter. Det bör göras en noggrann kontroll för att se om samtycket faktiskt är tillräckligt frivilligt. När den registeransvarige är en offentlig myndighet kommer den rättsliga grunden för att legitimera behandlingen av personuppgifter att vara fullgörandet av en rättslig för- pliktelse eller utförandet av en uppgift av allmänt intresse snarare än samtycke (yttrande 15/2011 om definitionen av begreppet samtycke artikel 29-gruppen s. 13–14 och 16–17). Möjligheten att använda samtycke som rättslig grund är därmed begränsad och aktualiseras främst inom områden som inte är offentlig- rättsligt reglerade. I propositionen Ny dataskyddslag gör regeringen bedömningen att när det är tveksamt om den verksamhet som en privat- rättslig aktör, t.ex. ett statligt eller kommunalt bolag, bedriver är av allmänt intresse i unionsrättslig mening är det i stället ofta möjligt att inhämta den registrerades samtycke. Detsamma gäller om verksamheten visserligen är av allmänt intresse, men uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den nationella rätten (s. 58). 6.2Uppgift av allmänt intresse som rättslig grund Enligt artikel 6.1.e får en personuppgift behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Grunden för be- handlingen ska enligt artikel 6.3 fastställas i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Av artikel 6.3 sista meningen framgår att unionsrätten eller medlems- staternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Vilka uppgifter är av allmänt intresse? Begreppet allmänt intresse är ett unionsrättsligt begrepp som inte har definierats vare sig i dataskyddsdirektivet eller i dataskyddsförordningen och innebörden har heller inte ännu utvecklats av . Rent språkligt kan begreppet uppgift av allmänt intresse antas avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse eller ett enskilt intresse. Av skäl 45 till dataskyddsförordningen följer att allmänintresset inbegriper hälso- och sjukvårdsändamål, folkhälsa, socialt skydd och förvaltning av hälso- och sjukvårdstjänster. Det kan konstateras att begreppet förekommer i mot- svarande bestämmelser i dataskyddsdirektivet (artikel 7 e) och per- sonuppgiftslagen (10 § d) och att ledning kan hämtas från hur begreppet tolkats enligt dessa bestämmelser. Som anförts i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 56) gör regeringen bedömningen att alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är av allmänt in- tresse. Om uppgifterna inte vore av allmänt intresse skulle myndig- heterna inte ha ålagts att utföra dem. På motsvarande sätt är de obliga- toriska uppgifter som ålagts kommuner och landsting att utföra av all- mänt intresse. Detta måste enligt regeringens mening gälla även i data- skyddsförordningens mening, eftersom det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse. Begreppet uppgifter av allmänt intresse omfattar inte bara sådant som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. Till skillnad från vad som gäller enligt artikel 6.1 c i data- skyddsförordningen (den rättsliga grunden rättslig förpliktelse) behöver den personuppgiftsansvarige inte vara skyldig att utföra uppgiften för att den rättsliga grunden uppgift av allmänt intresse ska vara tillämplig. Som en följd av det kommunala självstyret har kommuner och landsting en vidsträckt möjlighet att göra frivilliga åtaganden. Befogenheten är emellertid enligt kommunallagen (2017:725) begränsad till angelägen- heter av just allmänt intresse. Kommuner och landsting får driva närings- verksamhet, men bara om den drivs utan vinstsyfte och syftar till att till- handahålla allmännyttiga anläggningar eller tjänster åt medlemmarna. Som exempel på sådana uppgifter av allmänt intresse som kommunerna utför på frivillig grund kan nämnas tillhandahållande av bostäder och fritids- och idrottsanläggningar, åtgärder för att främja ortens näringsliv och annan kulturell verksamhet än bibliotek (som i stället är en obliga- torisk uppgift). Vissa myndigheter, t.ex. Lantmäteriet, har av eller rege- ringen getts befogenhet att bedriva viss uppdragsverksamhet. Även denna typ av verksamhet måste enligt regeringens mening anses vara motiverad av ett allmänt intresse. Den verksamhet som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är således av allmänt intresse. Det är därmed den rättsliga grunden uppgift av allmänt intresse som vanligen bör tillämpas av myndigheter. Detta utesluter dock inte att också andra rättsliga grunder kan vara tillämpliga i vissa situationer. Vid tillämpningen av den rättsliga grunden allmänt intresse spelar det ingen roll om den personuppgiftsansvarige är en offentlig eller en privat aktör. I propositionen Ny dataskyddslag anser regeringen att begreppet upp- gift av allmänt intresse måste ges en vid betydelse (prop. 2017/18:105 s. 56). Detta för att myndigheternas verksamhet ska kunna fungera även i fortsättningen mot bakgrund av dataskyddsförordningens begränsningar för myndigheter att tillämpa såväl samtycke som intresseavvägning som rättsliga grunder för att behandla personuppgifter inom ramen för sin verksamhet. Ytterligare en väsentlig förändring i förhållande till gällande rätt är att det enligt dataskyddsförordningen inte räcker med att en behandling av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse – uppgiften måste också vara fastställd i enlighet med unionsrätten eller nationell rätt. Vad avses med att den rättsliga grunden ska vara fastställd i nationell rätt? I propositionen Ny dataskyddslag (prop. 2017/18:105 s. 48 f.) framhålls att kraven i artikel 6.3 på att grunden för behandlingen ska fastställas i unionsrätten eller en medlemsstats nationella rätt som den personupp- giftsansvarige omfattas av, inte innebär att det krävs en reglering i den nationella rätten av den personuppgiftsbehandling som ska ske med stöd av art. 6.1.e utan det som måste ha stöd i rättsordningen i stället är upp- giften av allmänt intresse. Något motsvarande krav på att grunden för 2017/18:218 behandlingen ska vara fastställd i unionsrätt eller nationell rätt finns inte i dataskyddsdirektivet. Det har därför t.ex. ansetts möjligt att med stöd av 10 § d PUL utföra behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift av allmänt intresse, även om uppgiften inte är fastställd i författning eller liknande. Detta har bl.a. inneburit att grunden uppgift av allmänt intresse har kunnat åberopas av enskilda som utför sådana uppgifter utan författningsstöd. I detta avseende innebär data- skyddsförordningen en väsentlig förändring i förhållande till vad som Att grunden för en behandling ska vara fastställd i nationell rätt är vis- serligen en nyhet i förhållande till dataskyddsdirektivet, men i nämnda proposition konstateras att det inte är någon nyhet när det gäller svenska myndigheters behandling av personuppgifter då legalitetsprincipen är en av de principer som kännetecknar som rättsstat (s. 50). litetsprincipen är grundlagsfäst genom 1 kap. 1 § RF, som anger att den offentliga makten utövas under lagarna. Med uttrycket lagarna avses inte bara sådana föreskrifter som har beslutat, utan även andra författningar och t.ex. sedvanerätt (prop. 1973:90 s. 397 och KU 1973:26 s. 59). Legalitetsprincipen innebär alltså att myndigheternas maktutöv- ning i vidsträckt mening, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans När det gäller den bestämmelse i artikel 6.3 som anger att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas konstateras i propositionen Ny dataskyddslag att bestämmelsen mot- svarar det krav som ställer på lagstiftaren i en rätts- Genom lagen (1994:1219) om den europeiska konventionen an- gående skydd för de mänskliga rättigheterna och de grundläggande fri- heterna har inkorporerats i svensk rätt. enligt 2 kap. 19 § RF att lagar och andra föreskrifter inte får meddelas i strid med åtaganden enligt . vara mycket ovanligt att svensk rätt inte uppfyller Mot denna bakgrund bör utgångspunkten vara att dataskyddsför- ordningens krav i artikel 6.3 är uppfyllt i fråga om bl.a. de uppgifter av allmänt intresse som fastställs i enlighet med svensk rätt. Myndigheternas uppdrag och åligganden framgår av författningar, regeringsbeslut och kommunala reglementen, antagna i enlighet med regeringsformens bestämmelser om normgivningskompetens och kom- De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara Statliga myndigheter får sina uppdrag och befogenheter av riks- dag och regering – i myndighetsinstruktioner, regleringsbrev och andra På motsvarande sätt följer de kommunala myndighe- ternas obligatoriska uppgifter av åligganden som fastställts i lag eller Även sådana frivilliga åtaganden som en kommun gör inom ramen för sin allmänna befogenhet ska framgå av gällande rätt, nämligen av det reglemente som fullmäktige utfärdar för den ansvariga nämnden. En behandling av personuppgifter måste dock i det enskilda fallet vara nödvändig i förhållande till uppgiften av allmänt intresse och följa de grundläggande principer som gäller för personuppgiftsbehandling i art. 5 (se mer om nödvändighetsrekvisitet nedan och om nämnda principer i avsnitt 7.1). Dessutom ankommer det på varje svensk myndighet att i all verksamhet iaktta proportionalitetskravet. Detta krav kommer numera även till uttryck i 5 § i den nya förvaltningslagen (2017:900), där det an- ges att en åtgärd aldrig får vara mer långtgående än vad som behövs och att den får vidtas endast om det avsedda resultatet står i rimligt förhål- lande till de olägenheter som kan antas uppstå för den som åtgärden riktas mot. Såväl offentliga som privata aktörer kan tillämpa den rättsliga grunden uppgift av allmänt intresse Vid tillämpningen av artikel 6.1 e spelar det ingen roll om den per- sonuppgiftsansvarige är en offentlig eller en privat aktör. Om den uppgift som den personuppgiftsansvarige utför är av allmänt intresse och denna uppgift är fastställd i enlighet med unionsrätten eller den nationella rätten finns det en rättslig grund för nödvändig behandling enligt artikel 6.1 e. Det saknar då betydelse om en privat aktör utför verksamheten på direkt uppdrag av en myndighet eller på eget initiativ. Avmonopolisering och konkurrensutsättning av offentlig verksamhet i har inneburit att privaträttsliga organ numera utför en inte obetydlig del av de uppgifter som sannolikt skulle anses vara av allmänt intresse, även i begreppets mest snäva bemärkelse. Detta gäller inom den kommunala sektorn exempelvis avseende förskoleverksamhet och skola, hälso- och sjukvård samt stöd och service till personer med funktions- nedsättning. Inom den traditionellt statliga sektorn kan nämnas riks- täckande infrastruktur, kommunikation och energiförsörjning. bedrivs verksamheten alltjämt under eller statlig styrning, i form av kommunala eller statliga bolag, men på andra områden förekom- mer också eller enbart privata subjekt som är associationsrättsligt helt fri stående från den offentliga sektorn. I flera av dessa fall är verksamheten av kommersiell karaktär och bygger i viss utsträckning på avtal med den registrerade. I den mån behandling av personuppgifter är nödvändig kan den i sådana fall ske med stöd av artikel 6.1 b i dataskyddsförordningen (den rättsliga grunden avtal), även om uppgiften inte skulle vara fast- ställd i lagstiftningen. När det gäller hälso- och sjukvårdsverksamhet, i både offentlig och privat regi, fastställs dock uppgiften i bl.a. hälso- och sjukvårdslagen (2017:30).