prop · H503218 · 2018-04-10 00:00:00 — 2017/18:218 3 § och 5 kap. 2 och 4 §§ förordningen om samt 30 § förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar). Behandling av känsliga personuppgifter kan även före- komma i ärenden om trakasserier och sexuella trakasserier (1 kap. 4 och 2 kap. 7 §§ diskrimineringslagen [2008:567]). Det finns behov av behandling av känsliga personuppgifter i ärenden om anstånd och studieuppehåll När det gäller konst- och kulturutbildningar och vissa andra utbildningar kan behandling av känsliga personuppgifter även förekomma i ärenden om anstånd med att påbörja studier eller studieuppehåll av hälsoskäl (24 a § förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar). För utbildningsanordnare inom saknas det en motsvarande reglering, men dessa anordnare kan i stället ha egna regelverk som medför motsvarande behov av behandling av känsliga personuppgifter. Det finns behov av behandling av känsliga personuppgifter i ärenden om avskiljande När det gäller utbildning inom som bedrivs av offentliga utbildningsanordnare, får studerande tills vidare avskiljas från utbild- ningen om han eller hon lider av psykisk störning, missbrukar alkohol eller narkotika eller har gjort sig skyldig till allvarlig brottslighet. För ett avskiljande krävs även att det, till följd av något av nämnda förhållanden, bedöms finnas en påtaglig risk att den studerande kan komma att skada någon annan person eller värdefull egendom under utbildningen (19 § lagen om ). Även enskilda utbildningsanordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan ha egna regelverk som medför motsvarande behov av behandling av känsliga personuppgifter i form av hälsa i samband med utredningar och ärenden om avskiljande. Det finns behov av behandling av känsliga personuppgifter vid uppfyllandet av offentlighetsprincipen Utbildningsanordnare som är myndigheter omfattas av tryckfrihetsför- ordningens, offentlighets- och sekretesslagens och förvaltningslagens bestämmelser om allmänna handlingar, diarieföring och skyldighet att ta emot e-post. För att kunna uppfylla de åligganden som följer av att om- fattas av offentlighetsprincipen kan det för dessa utbildningsanordnare bli nödvändigt att behandla känsliga personuppgifter. 13.5.2Ytterligare reglering av behandling av känsliga personuppgifter som krävs enligt lag behövs inte Regeringens bedömning: I fråga om behandling av känsliga person- uppgifter som krävs enligt lag behövs det för utbildningsanordnare inom eller för dem som anordnar utbildning som 2017/18:218 avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar inte någon ytterligare reglering utöver den som föreslås i dataskyddslagen. Utredningens förslag: Utredningen föreslår att det i lagen om yrkes- högskolan bör införas en möjlighet för offentliga utbildningsanordnare inom att behandla känsliga personuppgifter, om upp- gifterna har lämnats till anordnaren och behandlingen krävs enligt lag. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. Det gäller t.ex. Kommuner och Landsting och . tillstyrker utredningen förslag. Datainspektionen avstyrker förslaget i dess nuvarande utformning och ifrågasätter om utformningen av bestämmelsen kan anses uttrycka det krav på ett viktigt allmänt intresse som framgår av artikel i data- skyddsförordningen. avstyrker förslaget och anser att dataskyddsförordningens bestämmelser utgör en tillräcklig reglering. Skälen för regeringens bedömning: Enligt propositionen Ny data- skyddslag är den hantering av allmänna handlingar som krävs enligt svensk rätt motiverad av hänsyn till ett viktigt allmänt intresse (prop. 2017/18:105 s. 86). I dataskyddslagen föreslås också en bestämmelse om att myndigheter får behandla känsliga personuppgifter om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag (3 kap. 2 § första stycket 1 dataskyddslagen). Förslaget innebär att offentliga utbildningsanordnare inom även fortsättningsvis kommer att kunna uppfylla de åligganden enligt bl.a. offentlighetsprincipen som ankommer på dem, t.ex. att diarieföra handlingar som innehåller känsliga personuppgifter. Förslaget i dataskyddslagen är i detta avseende därmed tillräckligt för de offentliga utbildningsanordnarnas nödvändiga behand- ling av känsliga personuppgifter. Som framgår av avsnitt 12 anser reger- ingen att det saknas behov av att i lagen om införa en bestämmelse som innebär en dubbelreglering i förhållande till data- skyddslagens bestämmelser. Enskilda utbildningsanordnare inom och anordnare av utbildningar som avses i förordningen om stöd för konst- och kulturut- bildningar och vissa andra utbildningar, vilka också är enskilda fysiska eller juridiska personer, omfattas inte av offentlighetsprincipen. För deras del behöver det således inte införas en motsvarande bestämmelse. 13.5.3 Behandling av känsliga personuppgifter som är nödvändiga för en hantering som motsvarar handläggning av ett ärende ska tillåtas Regeringens förslag: En enskild utbildningsanordnare inom yrkes- högskolan ska få behandla känsliga personuppgifter om behandlingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet. Regeringens bedömning: Motsvarande bestämmelse bör införas för dem som anordnar utbildning som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Utredningens förslag och bedömning: Överensstämmer delvis med regeringens förslag. Utredningens förslag omfattar behandling av käns- liga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. Det gäller t.ex. Kommuner och Landsting och . tillstyrker utredningen förslag. kommun välkom- nar att motsvarande bestämmelser ska gälla för enskilda som för offent- liga utbildningsanordnare inom . Justitiekanslern anser generellt att det är mycket angeläget att likartade lagtekniska lösningar väljs för de författningar som tillkommer eller ses över med anledning av EU:s dataskyddsreform. Myndigheten för anser att det finns anledning att tydliggöra om känsliga personuppgifter i intyg som ges in av sökande för att styrka att förkunskapskraven till en utbildning är uppfyllda kommer få behandlas. Datainspektionen avstyrker förslaget i dess nuvarande utformning och ifrågasätter om utformningen av bestämmelsen kan anses uttrycka det krav på ett viktigt allmänt intresse som framgår av artikel i data- skyddsförordningen. avstyrker förslaget och anser att dataskyddsförordningens bestämmelser utgör en tillräcklig reglering. Skälen för regeringens förslag och bedömning: Enligt propositionen Ny dataskyddslag (prop. 2017/18:105) är myndighetsutövning och övriga uppgifter av allmänt intresse som myndigheter har befogenhet att utföra alltid fastställda i enlighet med svensk rätt. Behandling av personupp- gifter kan därmed ske på denna rättsliga grund. Enligt regeringens be- dömning i den propositionen står det också klart att det är ett viktigt all- mänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt (s. 82). I dataskyddslagen föreslås också en bestämmelse om att myndigheter får behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § första stycket 2 dataskyddslagen). Bestämmelsen i dataskyddslagen möjliggör för offentliga utbildnings- anordnare inom att, i den mån det är nödvändigt, även fortsättningsvis kunna behandla känsliga personuppgifter i ärenden om t.ex. särskilt pedagogiskt stöd, i ärenden om statsbidrag eller särskilda medel för kostnader för särskilt pedagogiskt stöd samt i ärenden om trakasserier, sexuella trakasserier och avskiljande från utbildningen. Det- samma gäller sådana känsliga personuppgifter som kan förekomma i antagningsärenden, vilket också har uppmärksammats av Myndigheten för . Någon ytterligare reglering krävs därmed inte för att offentliga utbild- ningsanordnare inom ska få behandla känsliga person- uppgifter om behandlingen är nödvändig för handläggningen av ett ärende. Som framgår av avsnitt 12 anser regeringen att det saknas behov av att i lagen om införa en bestämmelse som innebär en dubbelreglering i förhållande till dataskyddslagens bestämmelser. Som anges i avsnitt 13.5.1 kan motsvarande behov av behandling som nämnts ovan även finnas hos de enskilda utbildningsanordnarna inom 2017/18:218 och enskilda anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Dessa utbildningsanordnare har därmed, förutsatt att det är relevant och nödvändigt, samma behov av att kunna behandla känsliga personuppgifter som de offentliga utbildningsanordnarna inom yrkeshög- skolan. Regeringen anser att det även i detta fall är fråga om behandling som är nödvändig med hänsyn till ett viktigt allmänt intresse. Förslaget i dataskyddslagen omfattar dock inte enskilda utbildningsanordnare. Regeringen föreslår därför, till skillnad mot , att det i lagen om införs en bestämmelse som för enskilda utbildnings- anordnare inom som motsvarar dataskyddslagens be- stämmelse för ärendehandläggning för myndigheter. har i sitt betänkande föreslagit att bestäm- melsen ska omfatta behandling av känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handlägg- ningen av det. Den i propositionen Ny dataskyddslag (prop. 2017/18:105) föreslagna bestämmelsen för myndigheter är mer långt- gående (se avsnitt 13.2.1). Den har utformats så att myndigheter får behandla känsliga personuppgifter om det är nödvändigt för handlägg- ningen av ett ärende. Regeringen anser att den kompletterande regle- ringen i lagen om så långt som möjligt bör utformas på ett sätt som motsvarar regleringen i dataskyddslagen. I propositionen Ny dataskyddslag (prop. 2017/18:105 s. 194) anges att begreppet ärende ska tolkas på samma sätt som i förvaltningslagen (2017:900). Eftersom förvaltningslagen inte gäller i de enskilda utbildningsanordnarnas verk- samhet bör dock bestämmelsen formuleras så att den gäller behandling som är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet. När det gäller Datainspektionens ifrågasättande av om utformningen av bestämmelsen kan anses uttrycka det krav på ett viktigt allmänt intres- se som framgår av artikel i dataskyddsförordningen kan konstateras att Datainspektionen framfört motsvarande synpunkt i fråga om den i datassyddslagen föreslagna bestämmelsen. Regeringen har dock i propositionen Ny dataskyddslag (prop. 2017/18:105) inte funnit anled- ning att justera bestämmelsen med anledning av den synpunkten och saknar anledning att i fråga om bestämmelsen i lagen om göra någon annan bedömning. Detta är också i linje med vad Justitie- kanslern förordat i fråga om likartade lagtekniska lösningar med anled- ning av EU:s dataskyddsreform. Eftersom de enskilda utbildningsanordnarna har möjlighet att utföra sådana behandlingar, blir integritetsintrånget för den enskilde varken blir större eller mindre genom att en sådan bestämmelse införs. Av samma skäl som gör sig gällande i fråga om de enskilda utbild- ningsanordnarna inom , bör en motsvarande bestämmelse som möjliggör behandling av känsliga personuppgifter om behandlingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet införas för dem som anordnar utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Som nämnts tidigare bör den bestämmelsen införas i förordningen om stöd till konst- och kulturutbildningar och vissa andra Prop. 2017/18:218 utbildningar. 13.5.4Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång Regeringens förslag: En enskild utbildningsanordnare inom yrkes- högskolan ska med stöd av artikel i EU:s dataskyddsförordning även få behandla känsliga personuppgifter i annat fall, om behand- lingen är nödvändig i verksamheten och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Regeringens bedömning: Motsvarande bestämmelse bör införas för dem som anordnar utbildning som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Utredningens förslag: Överensstämmer delvis med regeringens för- slag. Utredningens förslag omfattar behandling i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga inte- gritet. I fråga om utredningens förslag att i sektorslagstiftningen dubbel- reglera vad som gäller för myndigheter enligt dataskyddslagen, se avsnitt 12. Utredningen föreslår även ett bemyndigande för regeringen att med- dela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. Det gäller t.ex. Kommuner och Landsting och . tillstyrker utredningen förslag. kommun välkom- nar att motsvarande bestämmelser ska gälla för enskilda som för offent- liga utbildningsanordnare inom . Justitiekanslern anser generellt att det är mycket angeläget att likartade lagtekniska lösningar väljs för de författningar som tillkommer eller ses över med anledning av EU:s dataskyddsreform. Datainspektionen avstyrker förslaget i dess nuvarande utformning och ifrågasätter om utformningen av bestämmelsen kan anses uttrycka det krav på ett viktigt allmänt intresse som framgår av artikel i data- skyddsförordningen. Datainspektionen anser att begreppet absolut nöd- vändigt är ett begrepp som skapar otydlighet. avstyrker förslaget och anser att dataskyddsförordningens bestämmelser utgör en tillräcklig reglering. Skälen för regeringens förslag och bedömning: I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås att en myndighet, utöver be- handling av känsliga personuppgifter som krävs enligt lag eller som är nödvändig för handläggningen av ett ärende, även i annat fall ska få be- handla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket 3). 2017/18:218 Som angetts i avsnitt 8 anser regeringen att anordnande och bedrivande av utbildning utgör ett sådant viktigt allmänt intresse som avses i artikel i dataskyddsförordningen. Bestämmelsen i dataskyddslagen kan därmed tillämpas av offentliga utbildningsanordnare inom yrkeshög- skolan. När det gäller deras behandling av känsliga personuppgifter kan bestämmelsen vara tillämplig t.ex. när beslut att bevilja särskilt peda- gogiskt stöd ska verkställas. Även för enskilda utbildningsanordnare inom och an- ordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan behand- ling av känsliga personuppgifter vara nödvändig i vissa fall när det inte är fråga om handläggningen av ett ärende. Till exempel tillhandahåller även dessa utbildningsanordnare särskilt pedagogiskt stöd. De har där- med samma behov som offentliga utbildningsanordnare inom yrkeshög- skolan att behandla känsliga personuppgifter även när det inte är fråga om ärendehandläggning. Regeringen anser därför, till skillnad mot Data- , att det ska införas en bestämmelse i lagen om som möjliggör även för enskilda utbildningsanordnare inom yrkes- högskolan att med stöd av artikel i dataskyddsförordningen behand- la känsliga personuppgifter i motsvarande fall som myndigheter. har i sitt betänkande föreslagit att bestäm- melsen i lagen om ska omfatta behandling av känsliga personuppgifter i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Den bestämmelse för myndigheter som föreslås i propositionen Ny dataskyddslag är mer långtgående (se avsnitt 13.2.1). Den innebär att myndigheter, även i annat fall får behandla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Regeringen anser att kompletterande reglering i lagen om bör utfor- mas på ett sätt som motsvarar regleringen i dataskyddslagen. Detta är också i linje med vad Justitiekanslern förordat i fråga om likartade lag- tekniska lösningar med anledning av EU:s dataskyddsreform. Eftersom det redan konstaterats i avsnitt 8 att anordnande och bedrivande av utbildning utgör ett viktigt allmänt intresse anser regeringen att det är tillräckligt att i den kompletterande bestämmelsen i lagen om ange att behandlingen av personuppgifter ska vara nödvändig i verksamheten. I övrigt bör bestämmelsens utformning följa den föreslagna formuleringen i dataskyddslagen. Regeringens uppfattning är att en bestämmelse som möjliggör för en- skilda utbildningsanordnare inom att behandla känsliga personuppgifter i annat fall om det är nödvändigt av hänsyn till ett viktigt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet, i t.ex. faktiskt verksamhet som undervisning, står i proportion till det eftersträvade syftet. En bestämmelse med sådana starkt begränsande rekvisit tillgodoser enligt regeringen dataskyddsförord- ningens krav på proportionalitet och skyddsåtgärder. I avsnitt 13.5.5 föreslås dessutom vissa sökbegränsningar i fråga om känsliga person- uppgifter. Av samma skäl som gör sig gällande i fråga om de enskilda utbild- Prop. 2017/18:218 ningsanordnarna inom , bör en motsvarande bestämmelse som möjliggör behandling av känsliga personuppgifter även i annat fall införas för dem som anordnar utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Utredningen har även föreslagit ett bemyndigande i lagen om yrkes- högskolan för regeringen att meddela föreskrifter om ytterligare undan- tag från förbudet att behandla känsliga personuppgifter. Något mot- svarande bemyndigande har inte föreslagits i lagen om tillstånd att utfär- da vissa examina, trots att behovet av behandling av känsliga person- uppgifter är likartat på det området. Det finns inte heller något som tyder på att det skulle finnas ett behov av att införa kompletterande bestämmelser på förordningsnivå. Regeringen anser därför att det saknas behov av att införa ett bemyndigande för regeringen att meddela ytter- ligare föreskrifter om behandling av känsliga personuppgifter. Skulle ett sådant behov trots allt uppstå finns dock en möjlighet för regeringen att meddela föreskrifter med stöd av bemyndigandet i 3 kap. 4 § dataskydds- lagen. 13.5.5Det ska vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter Regeringens förslag: Det ska vara förbjudet för enskilda utbildnings- anordnare inom att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Regeringens bedömning: Motsvarande bestämmelse bör införas för dem som anordnar utbildning som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Utredningens förslag: Utredningen har föreslagit ett förbud mot att använda sökbegrepp som avslöjar känsliga personuppgifter. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. tillstyrker utredningen förslag. Justitiekanslern anser generellt att det är mycket angeläget att likartade lagtekniska lösningar väljs för de författningar som tillkommer eller ses över med anledning av EU:s dataskyddsreform. avstyrker förslaget och anser att dataskyddsförord- ningens bestämmelser utgör en tillräcklig reglering. Skälen för regeringens förslag och bedömning: I propositionen Ny dataskyddslag (2017/18:105) föreslås det införas en skyddsåtgärd som innebär ett förbud mot att utföra sökningar i syfte att få fram ett person- urval grundat på känsliga personuppgifter (3 kap. 3 § andra stycket data- Sökförbudet gäller för myndigheter vid tillämpningen av samtliga de bestämmelser om behandling av känsliga personuppgifter som finns i 3 kap. 3 § första stycket dataskyddslagen, dvs. som krävs enligt lag, vid behandling som är nödvändig för hand- läggningen av ett ärende och vid behandling i enstaka fall om behand- lingen är nödvändig av hänsyn till ett viktigt allmänt intresse. 2017/18:218 13.2.2 har redogjorts för detta sökförbud och skälen för att införa sök- förbudet. Eftersom sökförbudet gäller myndigheter omfattar det offent- liga utbildningsanordnare inom , men inte enskilda ut- bildningsanordnare inom och anordnare av sådana utbildningar som avses i förordningen om stöd för konst- och kulturut- bildningar och vissa andra utbildningar. De skäl som finns för att sök- förbudet ska gälla för myndigheter, såsom offentliga utbildnings- anordnare inom , gör sig dock gällande även för enskilda utbildningsanordnare inom . Regeringen föreslår därför, till skillnad mot , att en motsvarande bestämmelse som innebär att enskilda utbildningsanordnare inom inte får utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter ska införas i lagen om . Av samma skäl som gör sig gällande i fråga om de enskilda utbild- ningsanordnarna inom , bedömer regeringen att en mot- svarande bestämmelse om sökbegränsningar även bör införas för dem som anordnar utbildningar som avses i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Regeringens förslag och bedömning innebär att regleringen får en något annorlunda utformning än vad som föreslagits av Utbildningsdata- utredningen. Liksom förslaget i betänkandet syftar dock regeringens förslag och bedömning till att införa en kompletterande reglering som motsvarar den som föreslås i dataskyddslagen. Detta är också i linje med vad Justitiekanslern förordat i fråga om likartade lagtekniska lösningar med anledning av EU:s dataskyddsreform. 13.6Folkbildningen bör ges rättsligt stöd för att behandla känsliga personuppgifter Regeringen bedömning: Folkhögskolorna och studieförbunden bör inte behandla känsliga personuppgifter inom statsbidragsfinansierad folkbildning med stöd av samtycke utan bör ges rättsligt stöd för behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse enligt artikel i EU:s dataskyddsförordning. Utredningens bedömning: Utredningen bedömer att folkhögskolornas och studieförbundens behandling av känsliga personuppgifter kan ske med stöd av den rättsliga grunden samtycke i artikel 9.2 a i dataskydds- förordningen. Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. Det gäller t.ex. , , och . påpekar att om det i folkhögskolornas verksamhet för asylsökande med stöd av förordningen (2015:521) om statsbidrag till särskilda folkbildningsinsatser för asylsökande och vissa nyanlända in- vandrare förekommer en uppgift om ett dossiénummer, så röjer det i någon mån att en person är eller har varit asylsökande. finnas anledning att överväga om uppgiften ska anses som integritets- känslig vid behandling av personuppgifter.