prop · H703127 · 2020-03-23 00:00:00 — som övriga tjänster som omfattades av avtalet mellan kommunen och stif- Kammarrätten anser alltså i likhet med underinstansen att avtalet mellan kommunen och stiftelsen avser tjänster enligt artikel 57 och att den då gällande lagen om offentlig upphandling därmed är tillämplig (Kammarrätten i dom i mål nr 3556-18). marrättens dom överklagades till , som kommer till samma slutsats som kammarrätten. stolen anger i sin dom att stiftelsens prestationer får anses vara av direkt ekonomiskt intresse för kommunen och att det är fråga om ett avtal med ekonomiska villkor i upphandlingslagstiftningens mening. len innehåller upphandlingslagstiftningen inget undantag för tjänster av de slag som omfattas av avtalet och det står klart att det i finns en marknad för sådana tjänster. Eftersom stiftelsen tillhandahåller tjänster på marknaden är den enligt domstolen att betrakta som leverantör i upphand- lingslagstiftningens mening (Högsta förvaltningsdomstolens dom den i mål nr 3165-19). har vidare angett att tjänster avseende undervisning och utbildning omfattas av bilaga 2 till och att den naturliga utgångs- punkten därför måste vara att utbildningstjänster omfattas av . ringen håller dock inte med om att detta måste vara utgångspunkten. hållet i bilagorna är hämtat från Common Procurement Vocabulary (CPV), som är ett klassificeringssystem för offentlig upphandling som syftar till att standardisera den terminologi som används av upphandlande myndig- heter och enheter för att beskriva föremålet för en upphandling. Systemet regleras i kommissionens förordning (EG) nr 213/2008 av den 28 novem- ber 2007 om ändring av och rådets förordning (EG) nr 2195/2002 om en gemensam terminologi vid offentlig upphandling (CPV) samt av och rådets direktiv /17/EG res- pektive 2004/18/EG om förfaranden vid offentlig upphandling, när det gäller revidering av CPV. Det är alltså en harmoniserad terminologi som används när en viss tjänst, t.ex. skolbespisning, ska upphandlas. Det är inte en förteckning över tjänster som måste upphandlas. I vissa medlemsstater kan en tjänst av allmänt intresse vara ekonomisk, medan samma tjänst i en annan medlemsstat är icke-ekonomisk. Om det är fråga om en icke-eko- nomisk tjänst av allmänt intresse så spelar det ingen roll att tjänsten är angiven med en CPV-kod. Den behöver ändå inte, enligt , upp- handlas. Det finns dessutom många andra utbildningstjänster än de som erbjuds inom skolväsendet, t.ex. olika utbildningar om regelverk, bl.a. när det gäller personuppgiftsbehandling, som erbjuds av företag. Ingen remissinstans har ifrågasatt att utbildningssystemet, till den del det avser den verksamhet som huvudmännen själva utför för egen del, skulle vara en icke-ekonomisk verksamhet av allmänt intresse. Som Konkurrens- kommissionen framför handlar det nu aktuella betänkandet inte om det svenska skolväsendets system med skolpeng som sådant, utan det rör i stället en huvudmans möjlighet att i enlighet med 23 kap. skollagen sluta avtal med någon annan om att denne ska utföra vissa uppgifter på entre- prenad. Till skillnad från bidraget (skolpengen) som är författningsreglerat är ersättningen vid en entreprenadsituation enligt 23 kap. inte författnings- reglerad. Parterna får i stället komma överens om den sinsemellan. Frågan är om denna ersättning kan jämställas med en sådan ersättning som lämnas för en tjänst i EUF-fördragets mening. I målet Fenin mot kommissionen (mål C-205/03, 2006) påstods att det spanska statliga nationella hälso- och sjukvårdssystemet (SNS) missbrukade sin dominerande ställning. Sam- manslutningen Fenin, vars medlemmar tillhandahöll sjukvårdsprodukter, gjorde gällande att SNS systematiskt betalade sina skulder till medlem- marna senare än till andra tjänsteleverantörer. Fenin ansåg att dess med- lemmar inte kunde utöva några påtryckningar i affärsmässigt hänseende eftersom SNS hade en dominerande ställning på den spanska marknaden för sjukvårdsprodukter. angav att det vid bedömningen av verksamhetens art inte finns någon anledning att särskilja den verksamhet som avser inköp av en produkt från den senare användningen av den pro- dukt som köparen förvärvat och att det är frågan huruvida den senare användningen av den köpta produkten är av ekonomisk karaktär eller inte som oundvikligen avgör inköpsverksamhetens art (punkt 26). I en parallell till entreprenadsituationen inom skolväsendet kan det argumenteras för att ett inköp på entreprenad av en utbildningstjänst som används för genom- förandet av den utbildningspolitiska uppgiften, som anses utgöra en icke- ekonomisk verksamhet av allmänt intresse, inte ska särskiljas från den verksamheten. Fenin-domen gällde dock en konkurrensrättslig situation, inte upphandling. får enligt 23 kap. skollagen vissa uppgifter överlämnas på entreprenad endast till en annan huvudman (23 kap. 3 a och 4 §§). De utbildningstjänsterna står då utanför en fri marknad. Det föreslås även i 2019/20:127 denna proposition att möjligheten att utföra tjänster som avser undervis- ning på entreprenad inom skolväsendet i huvudsak kommer att vara begränsad till andra huvudmän. Enskilda kan således inte erbjuda utbild- ningstjänster fritt till skolväsendet. Enskilda huvudmän kan visserligen erbjuda sina undervisningstjänster till andra huvudmän, men endast i begränsad omfattning. Det är således varken fritt för en enskild att leverera tjänster till skolväsendet eller fritt för en huvudman inom skolväsendet att överlåta uppgifter inom utbildningen till en enskild. Skollagen gäller även i en entreprenadsituation och anskaffandet av tjänsten ingår i utbildnings- anordnarens uppgift. Det kan således hävdas att tjänsten förblir integrerad med huvudmannens uppdrag även i en entreprenadsituation, och därför inte ska anses utgöra en tjänst i EUF-fördragets mening. En sådan bedöm- ning har dock ifrågasatts i doktrinen. Det har hävdats att praxis är att det inte är systemets eller finansiärens syfte som är relevant för att avgöra huruvida privata operatörer i systemet driver en ekonomisk verksamhet eller inte, utan att frågan är om statens finansiering utgör en ersättning i operatörens perspektiv (, När medför en offentlig finansiering en skyldighet att följa ? – Studie med särskilt fokus på EU-begreppen SGEI och NSGI, uppdragsforskningsrapport 2018:5, , s. 20). I detta sammanhang bör också nämnas ett pågående upphandlingsmål i Europeiska frihandelssammanslutningens domstol (Eftadomstolen) angående ett avtal som en isländsk myndighet slutit med en aktör om att denne mot ersättning ska erbjuda gymnasieskola. Den isländska myndighet som prövar överklaganden rörande offentlig upphandling har ansökt om ett rådgivande yttrande från domstolen och har bl.a. ställt frågan om en sådan utbildningstjänst ska upphandlas (Case E- 13/19). Sammanfattningsvis har EU:s medlemsstater ett brett handlingsut- rymme när det gäller att fastställa vad de anser vara tjänster av allmänt ekonomiskt intresse och de har i regel full frihet att själva besluta hur deras tjänster av allmänt ekonomiskt intresse bör organiseras och finansieras. Det finns emellertid ingen EU-rättspraxis som avser icke-ekonomiska tjänster av allmänt intresse i förhållande till upphandling av utbildnings- tjänster. Frågan om utbildningstjänster inom skolväsendet alltid utgör icke-ekonomiska tjänster av allmänt intresse får därför till den del som är aktuell, dvs. i situationer som regleras i 23 kap. skollagen, mot bakgrund av de invändningar som rests mot utredningens bedömning ytterst avgöras i rättstillämpningen. 7Ytterligare rättsligt stöd för behandling av personuppgifter behövs inte Regeringens bedömning: EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, förord- ningen med kompletterande bestämmelser till EU:s dataskyddsförord- ning, offentlighets- och sekretesslagen och skollagens bestämmelser om behandling av personuppgifter och tystnadsplikt utgör tillräcklig reglering för den personuppgiftsbehandling som kan komma att ske hos skolhuvudmännen och deras uppdragstagare. Det behöver således inte införas någon ytterligare reglering om denna behandling med anledning av förslagen i denna proposition. Utredningens bedömning: Överensstämmer med regeringens bedöm- ning, dvs. utredningen bedömer att det inte behövs någon ytterligare regle- ring. Utredningen utgår dock vid sin bedömning från personuppgiftslagen (1998:204), som gällde då utredningen lämnade sitt betänkande men som är upphävd. Remissinstanserna: Datainspektionen saknar en utredning och analys om vad förslagen innebär för den aktuella personuppgiftsbehandlingen och hur detta överensstämmer med EU:s dataskyddsförordning. Datain- spektionen anser att det i det fortsatta lagstiftningsarbetet behövs en analys utifrån förordningen och en bedömning om det finns behov av komplette- rande nationella regler för att skolan ska kunna utföra de föreslagna upp- gifterna. Som nämns i avsnitt 3 har några myndigheter beretts tillfälle att yttra sig över ett utkast till lagrådsremiss. och Statens skolinspek- tion har inga synpunkter på bedömningen. Datainspektionen anger att det är viktigt att det inte råder någon tvekan om vem eller vilka som är person- uppgiftsansvariga. Myndigheten anser vidare att om entreprenören ska ses som personuppgiftsansvarig finns stödet för en enskild entreprenörs behandling av personuppgifter i skollagen och inte i dataskyddslagen, oav- sett om uppgifterna överlämnas till entreprenören av en offentlig eller enskild huvudman. Myndigheten anger också att även andra integritets- skyddande åtgärder än sekretessbestämmelser kan behövas och saknar ett resonemang om frågor om ansvarsskyldighet, behörighetsstyrning och behov av behörighetskontroll. Skälen för regeringens bedömning Det finns nationella bestämmelser om dataskydd som kompletterar EU:s dataskyddsförordning och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter och om upphä- vande av direktiv /46/EG (allmän dataskyddsförordning), som i det föl- jande benämns dataskyddsförordningen, ersatte Europa- parlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgif- ter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirekti- vet. Dataskyddsdirektivet hade i genomförts genom personupp- giftslagen. Förordningen kompletteras av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, som i det följande benämns dataskyddslagen, och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Dataskyddslagen ersatte personuppgiftslagen. Dataskyddslagen förtydligar under vilka förutsättningar personuppgifter får behandlas med stöd av data- skyddsförordningen. Lagen är subsidiär i förhållande till annan lag eller förordning (1 kap. 6 §), dvs. dataskyddsbestämmelser som finns i sektors- lagstiftning och som avviker från dataskyddslagen har företräde. För att personuppgiftsbehandling ska vara laglig krävs en rättslig grund Behandling av personuppgifter som faller under dataskyddsförordningens tillämpningsområde får bara ske om det finns en tillämplig rättslig grund. Dessa är enligt artikel 6.1 att –den registrerade har lämnat sitt samtycke till att dennes personuppgif- ter behandlas för ett eller flera specifika ändamål (samtycke, artikel 6.1 a), –behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrera- de innan ett sådant avtal ingås (avtal, artikel 6.1 b), –behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (rättslig förpliktelse, artikel 6.1 c), –behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade eller för en annan fysisk person (skydda intressen, artikel 6.1 d), –behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (upp- gift av allmänt intresse och myndighetsutövning, artikel 6.1 e), eller –behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den registre- rades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (intresseavvägning, artikel 6.1 f). Det är inte tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grunden intresseav- vägning. Om inget av dessa villkor är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. Uppgift av allmänt intresse som rättslig grund Enligt artikel 6.1 e i dataskyddsförordningen får en personuppgift behand- las bl.a. om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Grunden för behandlingen ska enligt artikel 6.3 fastställas i unionsrätten eller en medlemsstats nationella rätt som den personuppgifts- ansvarige omfattas av. Av artikel 6.3 framgår också att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Regeringen bedömer i propositionen Behandling av personuppgifter på utbildnings- området att utgångspunkten bör vara att dataskyddsförordningens krav i artikel 6.3 är uppfyllt i fråga om bl.a. de uppgifter av allmänt intresse som fastställs i enlighet med svensk rätt (prop. 2017/18:218 s. 44). I propo- sitionen Ny dataskyddslag anser regeringen att begreppet uppgift av all- mänt intresse måste ges en vid betydelse. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är enligt rege- ringens mening av allmänt intresse. Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. På motsva- rande sätt är de obligatoriska uppgifter som ålagts kommuner och regioner att utföra av allmänt intresse. Detta måste enligt regeringens mening gälla även i dataskyddsförordningens mening, eftersom det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse. Begrep- pet uppgifter av allmänt intresse omfattar inte bara sådant som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. Till skillnad från vad som gäller enligt artikel 6.1 c i dataskyddsförordningen (den rättsliga grunden rättslig förpliktelse) behöver den personuppgiftsan- svarige inte vara skyldig att utföra uppgiften för att den rättsliga grunden uppgift av allmänt intresse ska vara tillämplig. Som en följd av det kom- munala självstyret har kommuner och regioner en vidsträckt möjlighet att göra frivilliga åtaganden. Befogenheten är emellertid enligt kommunalla- gen (2017:725) begränsad till angelägenheter av just allmänt intresse. Den verksamhet som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är således av allmänt intresse. Det är därmed den rättsliga grunden uppgift av allmänt intresse som vanligen bör tilläm- pas av myndigheter. Detta utesluter dock inte att också andra rättsliga grunder kan vara tillämpliga i vissa situationer (prop. 2017/18:105 s. 56 f.). Myndigheternas uppdrag och åligganden framgår av författningar, rege- ringsbeslut och kommunala reglementen, antagna i enlighet med rege- ringsformens (RF) bestämmelser om normgivningskompetens och kom- munalt självstyre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara reg- ler. Statliga myndigheter får sina uppdrag och befogenheter av riksdag och regering – i myndighetsinstruktioner, regleringsbrev och andra regerings- beslut. På motsvarande sätt följer de kommunala myndigheternas obliga- toriska uppgifter av åligganden som fastställts i lag eller förordning. Även sådana frivilliga åtaganden som en kommun gör inom ramen för sin all- männa befogenhet ska framgå av gällande rätt, nämligen av det reglemente som fullmäktige utfärdar för den ansvariga nämnden. En behandling av personuppgifter måste dock i det enskilda fallet vara nödvändig i förhål- lande till uppgiften av allmänt intresse och följa de grundläggande princi- per som gäller för personuppgiftsbehandling i artikel 5 i dataskyddsförord- ningen. Dessutom ankommer det på varje svensk myndighet att i all verk- samhet iaktta proportionalitetskravet. Detta krav kommer numera även till uttryck i 5 § förvaltningslagen (2017:900), där det anges att en åtgärd ald- rig får vara mer långtgående än vad som behövs och att den får vidtas endast om det avsedda resultatet står i rimligt förhållande till de olägen- heter som kan antas uppstå för den som åtgärden riktas mot. Vid tillämpningen av artikel 6.1 e spelar det ingen roll om den person- uppgiftsansvarige är en offentlig eller en privat aktör. Om den uppgift som den personuppgiftsansvarige utför är av allmänt intresse och denna uppgift är fastställd i enlighet med unionsrätten eller den nationella rätten finns det en rättslig grund för nödvändig behandling enligt artikel 6.1 e. Det saknar då betydelse om en privat aktör utför verksamheten på direkt uppdrag av en myndighet eller på eget initiativ. Avmonopolisering och konkurrensut- sättning av offentlig verksamhet i har inneburit att privaträttsliga organ numera utför en inte obetydlig del av de uppgifter som sannolikt skulle anses vara av allmänt intresse, även i begreppets mest snäva bemär- 2019/20:127 kelse. Detta gäller inom den kommunala sektorn exempelvis avseende för- skoleverksamhet och skola. I propositionen Behandling av personuppgifter på utbildningsområdet anges att de uppgifter av allmänt intresse som utförs i syfte att utföra ett uttryckligt uppdrag eller till följd av ett åliggande måste anses vara av denna karaktär oavsett om de faktiskt utförs i myndighetens egen regi eller om de genom utkontraktering eller entreprenad utförs av någon annan. en juridisk eller fysisk person, på uppdrag av en eller statlig myndighet, utför en förvaltningsuppgift som åligger kommunen eller myn- digheten, bör alltså även den privata utföraren, entreprenören eller det kommunala bolaget anses utföra en uppgift av allmänt intresse. rättsligt organ som fullgör ett uppdrag från en myndighet avseende en sådan uppgift som är fastställd i författning, regeringsbeslut eller kommu- nalt beslut i fullmäktige kan därför vidta nödvändiga behandlingsåtgärder på samma rättsliga grund som om myndigheten själv utfört uppgiften, dvs. med stöd av artikel 6.1 e i dataskyddsförordningen (s. 45 f.). Det bör noteras att en uppdragstagare som är personuppgiftsbiträde åt myndigheten i stället behandlar personuppgifter med stöd av artikel 28 i När det är tveksamt om den verksamhet som en privaträttslig aktör, t.ex. ett statligt eller kommunalt bolag, bedriver är av allmänt intresse i unionsrättslig mening är det i stället ofta möjligt att grun- da nödvändig behandling av personuppgifter på en intresseavvägning i enlighet med artikel 6.1 f i dataskyddsförordningen eller att inhämta den Detsamma gäller om verksamheten visserligen är av allmänt intresse, men uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den nationella rätten. Att det ska vara nödvändigt att behandla en uppgift ska enligt regering- ens bedömning inte tolkas som att uppgiften av allmänt intresse måste vara avgränsad så att den bara kan utföras på ett sätt. Den metod som den per- sonuppgiftsansvarige väljer för att utföra sin uppgift måste dock – som all offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. mer detaljerat en viss uppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutsebarhet i fråga om vilken personupp- giftsbehandling som kan aktualiseras. Om ett uppdrag i stället har reglerats på en mer övergripande och resultatinriktad nivå kan det sannolikt utföras på många olika sätt, vilka i förhållande till varandra kan vara mer eller mindre nödvändiga i dataskyddsförordningens mening. Kravet på att ända- målet ska vara nödvändigt för att utföra en uppgift av allmänt intresse inne- bär alltså i sig en spärr mot helt onödig behandling av personuppgifter eller sådan behandling som utgör ett oproportionerligt intrång i privatlivet som inte kunnat förutses (prop. 2017/18:105 s. 60). Regeringen bedömer i propositionen Behandling av personuppgifter på utbildningsområdet att tillhandahållande, anordnande och bedrivande av utbildning och annan pedagogisk verksamhet genom bestämmelser i skol- lagen med anslutande föreskrifter och beslut fattade med stöd av dessa är en i svensk rätt fastställd uppgift av allmänt intresse. personuppgifter som är nödvändig för att utöva verksamhet som grundas på nämnda föreskrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i EU:s dataskyddsförordning. Regeringen bedömer också att de åtgärder som huvudmännen och hem- kommunerna vidtar i syfte att utföra uppdragen eller uppfylla åligganden enligt skollagen och anslutande föreskrifter har en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler som står i proportion till de mål som eftersträvas. Uppgiften av allmänt intresse, dvs. att tillhandahålla, anordna och bedriva utbildning, är således fastställd genom skollagen med anslutande föreskrifter (s. 57 f.). Entreprenad enligt skollagen innebär, enligt vad om föreslås i denna proposition, att en huvudman med bibehållet huvudmannaskap sluter avtal med någon annan om att denne ska utföra uppgifter inom utbildning eller annan verksamhet som huvudmannen ansvarar för enligt skollagen (se avsnitt 6.3.9). Om en enskild med stöd av bestämmelserna i 23 kap. skolla- gen och avtal anordnar t.ex. pedagogisk omsorg eller annan verksamhet på entreprenad anses denne utföra uppgiften av allmänt intresse på uppdrag av kommunen. Även i dessa fall är enligt regeringens bedömning uppgif- ten av allmänt intresse fastställd i författning (prop. 2017/18:218 s. 67). Myndighetsutövning som rättslig grund Enligt dataskyddsförordningen får personuppgifter även behandlas om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning. För att grunden ska kunna tillämpas krävs att rätten att utöva myndighet är fastställd i unionsrätten eller en medlemsstats natio- nella rätt som den personuppgiftsansvarige omfattas av. Den personupp- giftsansvarige behöver inte vara skyldig att utföra uppgiften för att den rättsliga grunden ska vara tillämplig, men behandlingen måste vara nöd- vändig (artikel 6.1 e andra ledet och artikel 6.3). Begreppet myndighetsutövning har en EU-gemensam innebörd. I propo- sitionen Ny dataskyddslag anges att utgångspunkten i svensk rätt är att det som i brukar anses som myndighetsutövning faller under begrep- pet och att detta bör gälla även fortsättningsvis (s. 62). Myndighetsutöv- ning karaktäriseras av beslut eller andra ensidiga åtgärder som ytterst är uttryck för samhällets maktbefogenheter i förhållande till medborgarna. Befogenheten till myndighetsutövning måste vara grundad på lag eller annan författning eller på annat sätt kunna härledas ur bemyndiganden från de högsta statsorganen. Utanför begreppet myndighetsutövning faller råd, upplysningar och faktiskt handlande som inte innebär tvång mot den enskilde. Av naturliga skäl är det i första hand statliga och kommunala myndigheter som ägnar sig åt myndighetsutövning.