prop · H503218 · 2018-04-10 00:00:00 — Regeringen har i propositionen Ny dataskyddslag (prop. 2017/18:105) angett att myndigheternas uppdrag och åligganden framgår av författ- ningar, regeringsbeslut och kommunala reglementen, antagna i enlighet med regeringsformens bestämmelser om normgivningskompetens och kommunalt självstyre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutse- bara regler (s. 56 f.). Uppgiften att administrera studiestödsverksamheten ligger på en statlig myndighet och regleras bl.a. i studiestödslagen och i lagen om studiestartsstöd. CSN:s studiestödsverksamhet är därigenom fastställd i svensk rätt. Därutöver finns kompletterande reglering i bl.a. studiestödsdatalagen och i författningar som ansluter till studiestödslagen och lagen om studiestartsstöd. Den svenska regleringen är förenlig med dataskyddsförordningen Som framgått av avsnitt 4.2 är det förenligt med dataskyddsförordningen (artikel 6.2) att det i nationell rätt finns sådana registerförfattningar som studiestödsdatalagen och studiestödsdataförordningen. Som Datainspektionen påpekar, ska den rättsliga regleringen även upp- fylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen i data- skyddsförordningen). Studiestödslagen, studiestödsförordningen, lagen om studiestartsstöd, förordningen om studiestartsstöd, studiestödsdata- lagen och studiestödsdataförordningen har tillkommit i den ordning som regeringsformen utpekar för föreskrifter av nu aktuellt slag. Utbildnings- datautredningen har vid genomgången av aktuella författningar inte heller funnit några bestämmelser i dessa författningar som bedömts vara irrelevanta eller oproportionerliga (SOU 2017:49, s. 384 f.). Regeringen, som inte ser någon anledning att frångå den tidigare gjorda analysen, Regeringen anser således att föreskrif- uppfyller kraven i artikel 6.3 andra stycket i dataskyddsförord- 9.5.3Den rättsliga grunden myndighetsutövning kan användas för en rad åtgärder Regeringens bedömning: CSN kan vidta en rad åtgärder med stöd av studiestödslagen och studiestödsförordningen som innefattar myndighetsutövning, t.ex. beslut om studiehjälp, studiemedel, återbetalning av studielån och återkrav av studiestöd. Den behandling av personuppgifter som är nödvändig för myndighetsutövningen kan i dessa fall göras med stöd av den rättsliga grunden myndig- hetsutövning i artikel 6.1 e i EU:s dataskyddsförordning. Utredningens bedömning: Utredningen har inte gjort någon bedöm- ning i fråga om den rättsliga grunden myndighetsutövning. Remissinstanserna: Remissinstanserna har inte yttrat sig över möjlig- heten för att använda myndighetsutövning som rättsliga grund. Skälen för regeringens bedömning: Den rättsliga grunden myndig- hetsutövning i artikel 6.1 e i dataskyddsförordningen har beskrivits i avsnitt 6.3. CSN vidtar en rad åtgärder med stöd av bl.a. studiestödslagen och studiestödsförordningen som innefattar myndighetsutövning. Det gäller t.ex. beslut om studiehjälp, studiemedel, återbetalning av studielån och återkrav av studiestöd. Enligt regeringens bedömning är grunden för behandlingen fastställd i svensk rätt genom de bestämmelser i dessa författningar som ger CSN författningsstöd för att vidta åtgärderna. Det behövs därför inte någon ytterligare reglering för att CSN ska kunna utföra nödvändig behandling av personuppgifter som ingår i myndighets- utövningen med stöd av den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskyddsförordningen. 9.5.4Samtycke ska inte användas som rättslig grund Regeringens bedömning: Samtycke ska inte användas som rättslig grund för behandling av personuppgifter i CSN:s studiestödsverk- samhet. Regeringens förslag: Bestämmelserna i studiestödsdatalagen om behandling av personuppgifter med stöd av samtycke och återkallelse av samtycke ska upphävas. Utredningens bedömning och förslag: Överensstämmer delvis med regeringens. Till skillnad mot regeringen anser utredning att bestämmel- serna om behandling av personuppgifter med stöd av samtycke är fören- liga med artikel 6.1 a och 9.2 a i dataskyddsförordningen. Utredningen har liksom regeringen bedömt att bestämmelsen om återkallelse av sam- tycke ska upphävas, men av andra skäl. 2017/18:218 Remissinstanserna: Det stora flertalet remissinstanser som har yttrat sig, däribland , har inte haft några synpunk- ter på bedömningen eller förslaget. Datainspektionen ifrågasätter om 7 § studiestödsdatalagen ska kvarstå, eftersom artikel 6.2 i dataskyddsdirektivet inte ger utrymme för natio- nella bestämmelser i fråga om den rättsliga grunden samtycke. Skälen för regeringens bedömning och förslag: Den rättsliga grunden samtycke i artikel 6.1 a i dataskyddsförordningen har beskrivits i avsnitt 6.1. I CSN:s studiestödsverksamhet får personuppgifter endast behandlas för vissa i studiestödsdatalagen angivna fall. Personuppgifter får endast behandlas för vissa ändamål. Vidare gäller särskilda begränsningar för när känsliga personuppgifter får behandlas (4 och 6 §§). Trots dessa begränsningar får dock personuppgifter behandlas i CSN:s studiestöds- verksamhet med den registrerades samtycke. Känsliga personuppgifter får också behandlas för andra ändamål med den registrerades uttryckliga samtycke (7 § första stycket). Uppgifter som behandlas med sådant samtycke från den registrerade får också behandlas för utlämnande i vissa fall och för att ge tillgång till vägledande avgöranden (7 § andra stycket). När behandling av personuppgifter i CSN:s studiestödsverk- samhet sker med stöd av samtycke, har dock den registrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas (7 § tredje stycket). Regeringen delar Datainspektionens synpunkt att dataskyddsförord- ningen inte ger utrymme för nationella bestämmelser i fråga om den rättsliga grunden samtycke. Av artikel 6.2 i dataskyddsförordningen föl- jer nämligen att det finns utrymme för anpassningar till förordningen i nationella bestämmelser i fråga om de rättsliga grunderna rättslig förplik- telse, uppgift av allmänt intresse och myndighetsutövning i artikel 6.1 c och e. Någon motsvarande möjlighet i fråga om den rättsliga grunden samtycke i artikel 6.1 a ges däremot inte i artikel 6.2 i dataskyddsför- ordningen. Regeringen bedömer även att det mellan CSN, vars verksam- het i betydande omfattning består av myndighetsutövning, och de regis- trerade råder sådan betydande ojämlikhet att det är osannolikt att sam- tycke kan anses lämnas på ett sådant frivilligt sätt som förutsätts för att samtycke ska kunna användas som rättslig grund (skäl 43 i dataskydds- förordningen). Av dessa skäl behöver bestämmelserna om personupp- giftsbehandling med stöd av samtycke i 7 § första och andra stycket studiestödsdatalagen upphävas. När det gäller återkallelse av samtycke, har dataskyddsutredningen be- dömt att studiestödsdatalagens och dataskyddsförordningens reglering har motsvarande innehåll, och föreslagit att studiestödsdatalagens be- stämmelse om återkallelse ska upphävas eftersom bestämmelsen i data- skyddsförordningen är direkt tillämplig i svensk rätt. Mot bakgrund av regeringens uppfattning att studiestödsdatalagens bestämmelser om sam- tycke i 7 § första och andra stycket behöver upphävas, följer dock redan av detta att även bestämmelsen om återkallelse av samtycke i 7 § tredje stycket studiestödsdatalagen behöver upphävas. På grund av att 7 § upp- hävs behöver även följdändringar göras i andra paragrafer i studiestöds- datalagen där samtycke omnämns. I fråga om CSN:s möjlighet att behandla känsliga personuppgifter när Prop. 2017/18:218 bestämmelserna om samtycke upphävs hänvisas till avsnitt 13.7. 10Som huvudregel krävs inte lagform för personuppgiftsbehandling på utbildningsområdet Regeringens bedömning: Den behandling av personuppgifter som görs på utbildningsområdet utgör generellt inte ett sådant betydande intrång i den personliga integriteten att det krävs lagreglering enligt regeringsformen. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig har inte haft synpunkter på bedömningen. Justitiekanslern anser att såvitt framgår av utredningen är inte den personuppgiftsbehandling som kan bli aktuell inom utbildningsområdet och som inte omfattas av någon lagreglering av sådan karaktär som avses i grundlagsbestämmelsen om skyddet mot integritetsintrång (2 kap. 6 § RF). framför att det skulle vara önskvärt med en djupare analys av just förhållandet mellan personuppgiftsbehandling inom utbild- ningsområdet och 2 kap. 6 § 2 RF om skyddet mot betydande intrång i den personliga integriteten, särskilt mot bakgrund av att de som person- uppgiftsbehandlingen avser är barn som får betraktas som särskilt skyddsvärda. Datainspektionen anser att behandling av personuppgifter för fler verk- samheter inom utbildningsområdet utgör ett sådant integritetsintrång enligt 2 kap. 6 RF att begränsning av den enskildes rättigheter kräver stöd i lag. Som nämnts i avsnitt 3 har Datainspektionen även beretts tillfälle att yttra sig över ett utkast till lagrådsremiss som i allt väsentligt överens- stämmer med propositionen. Datainspektionen noterar att utkastet utgår från att personuppgiftsansvaret ifråga om den utrustning som skolor tillhandahåller i form av datorer och surfplattor som eleverna kan an- vända kan vara delat. Datainspektionen vill dock framhålla att data- skyddsförordningen är tillämplig i de fall personuppgiftsansvariga till- handahåller utrustning för behandling av personuppgifter som även om- fattar privat bruk, jfr. I detta sammanhang vill Datainspektionen även understryka att de registrerade som omfattas av de aktuella bestämmelserna i regel är barn, som enligt dataskyddsför- ordningen förtjänar särskild hänsyn. Skälen för regeringens bedömning Som nämns i avsnitt 4.7 är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan 2017/18:218 samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § RF). Detta skydd mot integritets- intrång kan dock begränsas genom lag (2 kap. 20 § första stycket 2 RF). Frågan är om dessa bestämmelser i medför att det krävs ytterligare lagreglering på utbildningsområdet. I förarbetena till grundlagsbestämmelsen i 2 kap. 6 § RF anges att bestämmelsen inte ska innebära ett hinder mot sådan lagstiftning som be- hövs till skydd för viktiga samhällsintressen eller lagstiftning som utgör ett led i anpassningen av normerna till den fortgående samhällsutveck- lingen. Det grundlagsskyddade området bör avgränsas på ett sådant sätt att det enbart omfattar de mest ingripande intrången. Bestämmelsen har därför utformats så att grundlagsskyddet omfattar åtgärder som vidtas utan samtycke och som innebär kartläggning eller övervakning av en- skildas personliga förhållanden. Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har (prop. 2009/10:80 s. 182 och 250). I för- arbetena till bestämmelsen anges även följande (prop. 2009/10:80 s. 183). Vid bedömningen av hur ingripande intrånget i den personliga integ- riteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det enligt regeringens mening naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. Därutöver kan givet- vis mängden uppgifter vara en betydelsefull faktor i sammanhanget. Det kan anmärkas att i flera lagstiftningsärenden som rört myndigheters personuppgiftsbehandling framhållit att målsätt- ningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag (se t.ex. bet. 1990/91:KU11 s. 11, 1997/98:KU18 s. 43). Ur förarbetena kan alltså utläsas följande tre faktorer som är av betydelse för om det är fråga om ett betydande integritetsintrång; uppgifternas karaktär, omfattning av uppgifter som behandlas och ändamål med be- handlingen. De huvudsakliga personuppgiftsbehandlingar som sker på utbild- ningsområdet har beskrivits översiktligt i avsnitten 9.1.1, 9.2.1, 9.3.1, 9.4.1 och 9.5.1. Nedan gör regeringen en analys, utifrån regeringsformens krav, om det finns ett behov inom utbildningsområdet av att meddela ytterligare bestämmelser om behandling av personuppgifter och om de i så fall måste införas på lagnivå. Ändamålet med behandling av personuppgifter inom utbildningsområdet Ändamålet med behandlingen av personuppgifter på utbildningsområdet är kopplat till utförande av utbildning i olika former och dokumentering av studieresultat. I förarbetena till bestämmelsen om grundlagsskyddet exemplifieras ett antal verksamheter där ändamålet med behandlingen av personuppgifter i sig kan indikera att det handlar om en omfattande kart- läggning av den enskildes personliga förhållanden. Det är t.ex. fallet med behandling av personuppgifter inom brottsbekämpande verksamheten, på skatt- och tullområdet, inom och hälso- och sjukvården samt inom socialförsäkringen och indrivningen (prop. 2009/10:80 s. 180–181). Förutom studiestödsverksamheten, som redan är lagreglerad, nämns inte utbildningsområdet bland sådana verksamheter där ändamålet med behandlingen av personuppgifter förutsätter en omfattande kart- läggning av den enskildes personliga förhållanden. Det är regeringens bedömning att ändamålet med behandling av personuppgifter inom ut- bildningsområdet, dvs. genomförande av utbildningsverksamheten och dokumentering av studieresultaten, inte motiverar en generell reglering av personuppgiftsbehandling på lagnivå. Personuppgifternas karaktär och omfattning på det skollagsreglerade området Datainspektionen anser att det inom skolområdet behandlas mycket vari- erande slag av personuppgifter om elever. Det kan vara uppgifter om ele- vers fysiska- och psykiska hälsa, sociala situation, utveckling, omdömen, känsliga personuppgifter i åtgärdsplaner m.m. Inte sällan tillhandahåller skolan teknisk utrustning till eleverna som blir deras personliga . Stora delar av elevernas prestationer, men också deras tankar, intressen och sociala umgänge kan komma att behandlas av skolan. Det är frågan om svåra gränsdragningar mellan elevens integritet och skolans uppdrag. Barnens rätt ska också skyddas särskilt. Datainspektionen anser att den sammantagna behandlingen som aktualiseras inom skolan är att bedöma som ett sådant integritetsintrång enligt 2 kap. 6 § RF att begräns- ningar endast får ske genom lag. Regeringen delar uppfattningen att det finns personuppgiftsbehandling inom skolområdet som innebär ett sådant betydande intrång i den person- liga integriteten att en begränsning av grundlagens skydd mot intrånget måste, i enlighet med 2 kap. 6 §, göras i lag. Ett exempel är den mål- gruppsutredning som enligt skollagens kapitel om skolplikt måste göras för att avgöra om ett barn ska går i grundsärskolan. I den skolformen får endast barn som bedöms inte kunna nå upp till kunskaps- krav därför att de har en utvecklingsstörning tas emot (7 kap. 5 §). Frågan om mottagande i grundsärskolan prövas av barnets hemkommun. Ett beslut om mottagande i grundsärskolan ska föregås av en utredning som omfattar en pedagogisk, psykologisk, medicinsk och social bedöm- ning. Samråd med barnets vårdnadshavare ska ske när utredningen genomförs. Om barnets vårdnadshavare inte lämnar sitt medgivande till att barnet tas emot i grundsärskolan, ska barnet fullgöra sin skolplikt enligt vad som gäller i övrigt enligt skollagen. Ett barn får dock tas emot i grundsärskolan utan sin vårdnadshavares medgivande, om det finns synnerliga skäl med hänsyn till barnets bästa (7 kap. 5 § skollagen). I specialskolan får endast barn som på grund av sin funktionsnedsättning eller andra särskilda skäl inte kan gå i eller grundsärskolan tas emot. Det krävs då att de är dövblinda eller annars har en synnedsättning och har ytterligare funktionsnedsättning, i annat fall är döva eller har en hörselnedsättning, eller har en grav språkstörning. 2017/18:218 Frågan om mottagande i specialskolan prövas av Specialpedagogiska skolmyndigheten (SPSM). Ett beslut om mottagande i specialskolan ska föregås av en utredning som omfattar en pedagogisk, psykologisk, medicinsk och social bedömning. Samråd med barnets vårdnadshavare ska ske när utredningen genomförs (7 kap. 6 § skollagen). är dock hemkommunens respektive SPSM:s skyldighet att utföra dessa utredningar redan lagregerade, dvs. lagkravet i 2 kap. 6 § andra stycket RF är redan uppfyllt. När det gäller de krav som uppställs enligt data- skyddsförordningen kan konstateras att då utredningarna utförs av hem- kommunen respektive SPSM kan dessa vid utredningarna tillämpa de bestämmelser om behandling av känsliga personuppgifter i ett ärende som i propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås i 3 kap. 3 § dataskyddslagen. Exempel på personuppgiftsbehandling inom skolområdet som kan innebära ett intrång i den personliga integriteten, men inte ett betydande intrång i den mening som avses i 2 kap. 6 § andra stycket RF, är en utredning av om en elev behöver särskilt stöd i undervisningen (3 kap. § skollagen), en utredning med anledning av att en elev vid upprepade gånger har stört studieron, uppträtt olämpligt eller gjort sig skyldig till en allvarlig förseelse (5 kap. 9 § skollagen) eller en utredning om kränkande behandling (6 kap. 10 § skollagen). Även i dessa fall finns dock regle- ringen på lagnivå. När det gäller de krav dataskyddsförordningen upp- ställer kan kommunala huvudmän vid sådana utredningar tillämpa 3 kap. 3 § dataskyddslagen (se vidare i avsnitt 13.3.3). Det behöver dock i svensk lag föras in bestämmelser som motsvarar sistnämnda bestäm- melser för huvudmän för fristående skolor. det i avsnitt 12 och 13. På motsvarande sätt har offentliga huvudmän stöd för att behandla uppgifter om lagöverträdelser i skollagen och data- skyddslagen, men det kan behöva införas bestämmelser motsvarande sistnämnda bestämmelser i dataskyddslagen för enskilda huvudmän. Regeringen återkommer till det i avsnitt 12 och 14. Även i övrigt kan det på det skollagsreglerade området förekomma be- handling av känsliga uppgifter, t.ex. i faktisk verksamhet. kan nämnas att en elev skriver om känsliga uppgifter i en skoluppsats. I sådana fall kan det, på grund av dataskyddslagens krav, behöva införas stöd i författning för att enskilda huvudmän ska kunna behandla person- uppgifter i den utsträckning som behövs. Även detta behandlas i avsnitt 12 och 13. I övrigt är det i huvudsak okänsliga personuppgifter som behandlas inom skolväsendet, t.ex. namn, personnummer och adress. gifter behandlas också för sättande av betyg (allmänna bestämmelser om betyg finns i 3 kap. 13–21 §§ skollagen och därutöver finns bestämmel- ser för varje skolform i de olika skolformskapitlen i skollagen och på förordningsnivå, och har på uppdrag av regeringen tagit fram stödmaterial för bedömningen), utfärdande av intyg i stället för betyg (11 kap. 17 §, 12 kap. 14 §, 13 kap. 14 §, 20 kap. 44 och 45 §§ och 21 kap. 18, 23 och 24 §§ skollagen), upprättande av individuell studie- plan i gymnasieskolan, gymnasiesärskolan, vuxenutbildning och särskild vuxenutbildning (16 kap. 25 §, och 17 kap. 7 § och 20 kap. 8 §, 21 kap. 8 § skollagen) samt utfärdande av gymnasieexamen (26 kap. 26-28 §§ skollagen) och gymnasiesärskolebevis (19 kap. 27 §) etc. Behandling av personuppgifter kan också ske vid bedömning och kart- läggning av elevernas kunskaper (t.ex. enligt 3 kap. 12 c § skollagen eller i samband med genomförande av prov, t.ex. de reglerade nationella proven). Även om uppgifter om elevers kunskaper inte är känsliga personuppgifter innehåller således skollagen och anslutande förordningar en omfattande reglering av om när bedömningar ska göras, vilka stöd- åtgärder som huvudmännen är skyldiga att sätta in och när och hur be- dömningarna ska dokumenteras. När det gäller stödåtgärder och olika former av utredningar, vilka som framgått ovan redan är lagreglerade, kan det konstateras att de berör en mindre del av elevkollektivet. Majoriteten av elever behöver inte särskilt stöd och blir inte heller föremål för andra typer av utredningar. Den per- sonuppgiftsansvarige ska dessutom enligt artikel 5 i dataskyddsförord- ningen se till att personuppgifterna är adekvata, relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas (uppgifts- minimering). Dessa bestämmelser begränsar den personuppgiftsansva- riges möjligheter att behandla fler personuppgifter än nödvändigt. Mot denna bakgrund delar regeringen () bedöm- ning att den personuppgiftsbehandling som kan bli aktuell på utbild- ningsområdet, och som inte omfattas av någon lagreglering, inte är av den karaktär som avses i grundlagsbestämmelsen om skyddet mot inte- gritetsintrång (2 kap. 6 § RF). När det gäller den utbredda praxis som innebär att skolorna numera tillhandahåller utrustning i form av datorer och surfplattor som eleverna även kan använda utanför skolverksamheten för t.ex. socialt umgänge, kan regeringen konstatera att det måste göras en gränsdragning mellan användningen av sådan utrustning för skolarbetet och användningen för privat bruk. Skolhuvudmännens behandling av personuppgifter som sker med stöd av den utrustning som disponeras av eleverna omfattas av dataskyddsförordningens bestämmelser. Det innebär bl.a. att endast den behandling av personuppgifter som är nödvändig för uppgifter inom skolverksamheten är tillåten för skolhuvudmän att utföra (artikel 6.1 dataskyddsförordningen). När det gäller elevernas egna användning av den utrustningen för socialt umgänge och liknande användning som inte omfattas av skolverksamheten konstaterar regeringen att det handlar om behandling av personuppgifter i verksamhet av rent privat natur som inte omfattas av dataskyddsförordningens bestämmelser (artikel 2.2 c dataskyddsförordningen). Därför aktualiseras det i den delen inte något behov av särskild reglering med anledning av dataskyddsförordningen. När det gäller Datainspektionens påpekande att det anges i skäl 18 till dataskyddsförordningen att förordningen är tillämplig på personuppgifts- ansvariga som tillhandhåller utrustning för behandling av personupp- gifter som även omfattar privat bruk, anser regeringen att det avser de personuppgiftsansvarigas behandling av personuppgifter som krävs för att just tillhandahålla utrustningen, såsom kontaktuppgifter och liknande. Sammanfattningsvis anser regeringen att till den del 2 kap. 6 § andra stycket RF ställer krav på lagform så är dessa krav redan uppfyllda på det skollagsreglerade området. Det kan dock med anledning av de krav som uppställs i dataskyddsförordningen behöva införas kompletterande be- stämmelser som rör behandlingen av känsliga personuppgifter och 2017/18:218 behandling av personuppgifter om lagöverträdelser inom utbildningsom- rådet. Personuppgifternas karaktär och omfattning i större uppgiftssamlingar inom övriga delar av utbildningsområdet Datainspektionen ifrågasätter också om det inte inom universitet och högskola handlar om så omfattande behandling av personuppgifter att det kan utgöra ett integritetsintrång som behöver regleras genom lag enligt 2 kap. 6 § RF. Datainspektionen framför även att det saknas en analys av om den behandling av personuppgifter som aktualiseras inom yrkeshög- skolan är att bedöma som ett sådant integritetsintrång enligt RF att be- gränsningen av den enskildes rättigheter kräver stöd i lag.