prop · H703127 · 2020-03-23 00:00:00 — Även juridiska och fysiska personer kan dock med stöd av lag anförtros förvaltningsuppgifter som innefattar myndighetsutövning (12 kap. 4 § RF). I propositionen Ny dataskyddslag noteras att den rättsliga grunden myndighetsutövning kan tillämpas av alla personuppgiftsansvariga som har tilldelats myndighets- utövande befogenheter (s. 63). Såväl offentliga som enskilda huvudmän inom området som regleras av skollagen vidtar vissa åtgärder med stöd av skollagen som innefattar myn- dighetsutövning, t.ex. betygssättning och beslut om särskilt stöd. Den behandling av personuppgifter som är nödvändig för myndighetsutöv- ningen kan i dessa fall göras med stöd av den rättsliga grunden myndig- hetsutövning i artikel 6.1 e i dataskyddsförordningen. Enligt regeringens bedömning i propositionen Behandling av personuppgifter på utbildnings- området är grunden för behandlingen fastställd i skollagen och anslutande föreskrifter. Det behövs därför inte någon ytterligare reglering för att skolorna ska kunna utföra nödvändig behandling av personuppgifter som ingår i myndighetsutövningen med stöd av den rättsliga grunden myn- dighetsutövning i artikel 6.1 e i dataskyddsförordningen. Regeringen anser vidare att även den rättsliga grunden uppgift av allmänt intresse i artikel 6.1e är tillämplig som rättslig grund för ovan nämnda moment, eftersom dessa ingår i uppgiften att anordna utbildning (s. 68 f.). Rättslig förpliktelse som rättslig grund Dataskyddsförordningen tillåter även behandling av personuppgifter om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvi- lar den personuppgiftsansvarige. För att grunden ska kunna tillämpas krävs att den rättsliga förpliktelsen är fastställd i unionsrätten eller en med- lemsstats nationella rätt som den personuppgiftsansvarige omfattas av (artikel 6.1 c och artikel 6.3 första stycket). Till skillnad från de rättsliga grunderna uppgift av allmänt intresse och myndighetsutövning, ska syftet med behandlingen fastställas i den rättsliga grunden (artikel 6.3 andra stycket). Av propositionen Ny dataskyddslag framgår att kravet torde inne- bära att en förpliktelse inte kan läggas till grund för behandling av person- uppgifter om syftet med behandlingen inte framgår av den reglering som förpliktelsen grundas på eller det beslut där förpliktelsen anges. Det ska alltså vara möjligt för såväl den personuppgiftsansvarige som den registre- rade att förstå varför behandlingen av personuppgifter ska ske (s. 54). I fråga om den rättsliga grunden rättslig förpliktelse gör dataskyddsförord- ningen inte skillnad på offentliga eller privata organ. Liksom i fråga om de rättsliga grunderna uppgift av allmänt intresse och myndighetsutövning, får medlemsstaterna behålla eller införa mer speci- fika bestämmelser för att anpassa tillämpningen av bestämmelserna i för- ordningen med hänsyn till behandling för att efterleva den rättliga grunden rättslig förpliktelse. Detta får ske genom att närmare fastställa specifika krav för personuppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling (artikel 6.2 i dataskyddsförordningen). Skollagen innehåller bestämmelser som gör det nödvändigt för verksam- hetsutövarna att behandla personuppgifter. Behandlingen kan i dessa fall göras med stöd av den rättsliga grunden rättslig förpliktelse i artikel 6.1 c i dataskyddsförordningen. Även artikel 6.1 e i förordningen, dvs. uppgift av allmänt intresse, är tillämplig som rättslig grund i dessa fall, eftersom det är fråga om uppgiften att anordna utbildning (prop. 2017/18:218 s. 69 f.). Samtycke som rättslig grund Samtycke bör inte utgöra giltig rättslig grund för behandling av person- uppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personupp- giftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar (skäl 43 till dataskyddsförordningen). Detta får anses gälla även fristående skolor när behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller myndighetsutövning eller behandlingen är en rättslig förpliktelse (prop. 2017/18:218 s. 73). Möjlig- heten att använda samtycke som rättslig grund är därmed begränsad och aktualiseras främst inom områden som inte är offentligrättsligt reglerade. I propositionen Ny dataskyddslag gör regeringen bedömningen att när det är tveksamt om den verksamhet som en privaträttslig aktör, t.ex. ett statligt eller kommunalt bolag, bedriver är av allmänt intresse i unionsrättslig mening är det i stället ofta möjligt att inhämta den registrerades samtycke. Detsamma gäller om verksamheten visserligen är av allmänt intresse, men uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den nationella rätten (s. 59). Huvudmän inom det skollagsreglerade området kan alltså endast i begränsad utsträckning använda sig av den rättsliga grunden samtycke i artikel 6.1 a i dataskyddsförordningen för sin personuppgiftsbehandling (prop. 2017/18:218 s. 71 f.). Som huvudregel krävs inte lagform för personuppgiftsbehandling på utbildningsområdet Var och en är enligt RF gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och inne- bär övervakning eller kartläggning av den enskildes personliga förhållan- den (2 kap. 6 §). Detta skydd mot integritetsintrång kan dock begränsas genom lag (2 kap. 20 § första stycket 2 RF). I förarbetena till grundlags- bestämmelsen, propositionen En reformerad grundlag, anges att bestäm- melsen inte ska innebära ett hinder mot sådan lagstiftning som behövs till skydd för viktiga samhällsintressen eller lagstiftning som utgör ett led i anpassningen av normerna till den fortgående samhällsutvecklingen. Det grundlagsskyddade området bör avgränsas på ett sådant sätt att det enbart omfattar de mest ingripande intrången. Bestämmelsen har därför utformats så att grundlagsskyddet omfattar åtgärder som vidtas utan samtycke och som innebär kartläggning eller övervakning av enskildas personliga för- hållanden. Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgär- den har. Ur förarbetena kan utläsas följande tre faktorer som är av betydel- se för om det är fråga om ett betydande integritetsintrång: uppgifternas karaktär, omfattning av uppgifter som behandlas och ändamål med behandlingen (prop. 2009/10:80 s. 182 f., 243 och 250). Regeringen bedömer i propositionen Behandling av personuppgifter på utbildningsområdet att den behandling av personuppgifter som kan bli aktuell på utbildningsområdet generellt inte utgör ett sådant betydande intrång i den personliga integriteten att det krävs lagreglering enligt RF. Exempel på personuppgiftsbehandling inom skolområdet som kan inne- bära ett intrång i den personliga integriteten, men inte ett betydande intrång i den mening som avses i 2 kap. 6 § andra stycket RF, är bl.a. en utredning av om en elev behöver särskilt stöd i undervisningen (3 kap. 7 § skolla- gen). I dessa fall finns dock redan regleringen på lagnivå. Den personupp- giftsansvarige ska dessutom enligt artikel 5 i dataskyddsförordningen se till att personuppgifterna är adekvata, relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). Dessa bestämmelser begränsar den personuppgiftsansvariges möjligheter att behandla fler personuppgifter än nödvändigt. 2019/20:127 handling som kan bli aktuell på utbildningsområdet, och som inte omfattas av någon lagreglering, är inte av den karaktär som avses i grundlags- bestämmelsen om skyddet mot integritetsintrång (2 kap. 6 § RF). Rege- ringen bedömde dock i propositionen att det med anledning av de krav som uppställs i dataskyddsförordningen behövde införas kompletterande bestämmelser om behandlingen av känsliga personuppgifter inom utbild- ningsområdet (s. 113 f.). Det finns kompletterande bestämmelser om känsliga personuppgifter i skollagen I artikel 9.1 i dataskyddsförordningen finns ett principiellt förbud mot att behandla särskilda kategorier av personuppgifter. Det är fråga om uppgif- ter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter om hälsa eller om en fysisk persons sexualliv eller sexuella läggning. Det är också förbjudet att behandla genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Uppgifterna får dock behand- las bl.a. om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestäm- melser om lämpliga och särskilda åtgärder för att säkerställa den registre- rades grundläggande rättigheter och intressen (artikel ). Sådana upp- gifter som avses i artikel 9.1 i förordningen benämns i dataskyddslagen känsliga personuppgifter (3 kap. 1 §). Känsliga personuppgifter får enligt lagen behandlas av en myndighet om uppgifterna har lämnats till myndig- heten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Det är vid sådan behandling förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter (3 kap. 3 §). Bestämmel- serna innebär att förskolor och skolor som drivs av kommuner, regioner eller staten utan hinder av dataskyddsförordningen och dataskyddslagen kan uppfylla sina åligganden enligt skollagen, även när det gäller behand- lingen av känsliga personuppgifter (prop. 2017/18:218 s. 138). När det gäller enskilda skolhuvudmän finns det vissa sär- skilda bestämmelser i 26 a kap. skollagen som innebär kompletteringar och anpassningar till dataskyddsförordningen samt dataskyddslagen och föreskrifter som har meddelats med stöd av lagen. Bestämmelserna inför- des efter förslag i propositionen Behandling av personuppgifter på utbild- ningsområdet. Kompletteringarna syftar till att möjliggöra en fortsatt ändamålsenlig behandling av personuppgifter på utbildningsområdet sam- tidigt som den enskildes fri- och rättigheter skyddas, oavsett om behand- lingen utförs av offentliga eller enskilda aktörer. I kapitlet anges att käns- liga personuppgifter får behandlas hos en enskild huvudman enligt 2 kap. eller hos en enskild aktör enligt 24 eller 25 kap. om behandlingen är nöd- vändig för en hantering som motsvarar handläggning av ett ärende hos en myndighet eller i annat fall, om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång i den registrerades personliga integ- Det är vid sådan behandling förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Rege- ringen får dock meddela föreskrifter om undantag från dessa och vissa andra sökbegränsningar i fråga om personuppgifter om hälsa och etniskt ursprung i verksamhet hos vissa huvudmän (4 och 5 §§). Förslagen i denna proposition påverkar skolhuvudmännens hantering av personuppgifter Flera av förslagen i denna proposition påverkar skolhuvudmännens han- tering av personuppgifter. Vilka förslag det är fråga om berörs närmare nedan. Förslagen berör på olika sätt den personliga integriteten. Exempel- vis kan det medföra särskilda risker för enskildas personliga integritet att använda sig av informationsteknik, t.ex. att elevers personuppgifter och skoluppgifter överförs mellan elev och lärare. Förslagen innebär att det kan förekomma i fler fall. I denna proposition föreslås att såväl fjärrundervisning som distans- undervisning ska få användas i ämnet modersmål (avsnitten 4.3.2 och 5.2.2). När det är fråga om modersmålsundervisning kan en uppgift om modersmål inte ensamt avslöja elevens etniska ursprung. Uppgiften kan dock, tillsammans med andra uppgifter om den fysiska personen, avslöja personens etniska ursprung eller religiösa eller filosofiska övertygelse och därmed utgöra känsliga personuppgifter (prop. 2017/18:218 s. 134). För- slagen om fjärrundervisning, distansundervisning och entreprenad berör vidare såväl grundsärskolan och specialskolan som gymnasiesärskolan. Dessa skolformer vänder sig till elever som har en funktionsnedsättning och en uppgift om en funktionsnedsättning är en känslig personuppgift om hälsa. När det gäller sameskolan, som också omfattas av förslagen, kan uppgiften att en elev går i en sådan skola inte ensamt avslöja elevens etniska ursprung, då även andra barn än barn till samer får fullfölja sin skolplikt i sameskolan om det finns särskilda skäl (7 kap. 7 § skollagen). Uppgiften kan dock tillsammans med andra uppgifter, t.ex. ett efternamn av samiskt ursprung, avslöja ett sådant ursprung (prop. 2017/18:218 s. 132 f.). I propositionen föreslås också att en elev för att kunna få särskilt stöd i form av distansundervisning inte ska kunna delta i den ordinarie undervisningen på grund av en dokumenterad medicinsk, psykisk eller social problematik (avsnitten 5.2.1 och 5.3.1). Det innebär att känsliga uppgifter kan förekomma i en utredning om en elev behöver särskilt stöd enligt 3 kap. skollagen och i ett åtgärdsprogram enligt samma kapitel. I propositionen föreslås även att det ska vara ett krav för att en sökande ska tas emot till en utbildning i gymnasieskolan eller gymnasiesärskolan där distansundervisning får användas för hela utbildningen att den sökande inte kan delta i den ordinarie undervisningen på grund av en dokumenterad medicinsk, psykisk eller social problematik eller andra särskilda skäl (avsnitt 5.3.1). Detta innebär att känsliga uppgifter måste behandlas av huvudmannen för utbildningen. Skolhuvudmännen måste ta hänsyn till den ökade behandling av känsliga personuppgifter som förslagen i denna proposition medför. En grundläggande princip inom dataskydd är att personuppgifter ska behandlas endast av den som har berättigade skäl att göra det. De personer som faktiskt kommer att behandla uppgifterna är i huvudsak en lärare vid en skola. För att minska risken för att känsliga per- 2019/20:127 sonuppgifter kommer fel person till handa måste huvudmännen försäkra sig om att tillräckliga rutiner och kunskap finns bland personalen. Datainspektionen framhåller är det viktigt att enbart den som har behov av uppgifterna för att fullgöra sitt uppdrag eller sina arbetsuppgifter ska få åtkomst till uppgifterna, för att minimera risken för spridning av integri- Datainspektionen anför vidare att det är viktigt att det inte råder någon tvekan om vem eller vilka som är personuppgiftsansvariga samt framhåller att ansvarsskyldigheten och frågan om behörighetsstyrning och behov av behörighetskontroll följer av bestämmelserna i dataskyddsförordningen. Personuppgiftsansvarig är den som bestämmer för vilka ändamål person- uppgifter ska behandlas och hur behandlingen ska gå till. giftsansvarig kan vara en fysisk eller juridisk person, en myndighet, en institution eller ett annat organ. Bedömningen av vem eller vilka som är personuppgiftsansvariga får göras i det enskilda fallet. ansvarig måste bl.a. ha system som syftar till att kontrollera att endast behöriga personer behandlar känsliga personuppgifter som förekommer i den personuppgiftsansvariges verksamhet. måste också vidta nödvändiga säkerhetsåtgärder. ningen anges att den personuppgiftsansvarige, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sanno- likhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken (artikel 32.1). hetsåtgärderna ska alltså anpassas efter situationen. Som ovan nämns ställs det i dataskyddsförordningen när det gäller behandlingen av känsliga personuppgifter krav på särskilda skyddsåtgär- der för att säkerställa den registrerades grundläggande rättigheter och Vid offentliga skolhuvudmän skyddas uppgifter om en enskilds personliga förhållanden av bestämmelser i offentlighets- och sekretessla- gen (OSL). Det finns bl.a. i 23 kap. 2 § bestämmelser om att sekretess gäller i sådan elevhälsa som avser psykologisk, psykosocial eller special- pedagogisk insats, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. i särskild elevstödjande verksamhet i övrigt, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. som är eller har varit verksam inom enskilt bedriven verksamhet enligt skollagen, såsom vid en fristående skola, omfattas av en motsvarande tyst- nadsplikt i fråga om elevhälsoverksamhet eller särskild elevstödjande verksamhet i övrigt (29 kap. 14 § andra stycket skollagen). sekretessbestämmelser i och bestämmelser om tystnadsplikt i skolla- gen som omfattar sådant särskilt stöd som elever kan få enligt 3 kap. skol- För att skydda den personliga integriteten föreslår regeringen också i denna proposition att sekretess ska gälla i ärende om mottagande till utbildning i gymnasieskolan eller gymnasiesärskolan där distansundervis- ning får användas för hela utbildningen, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. föreslår också att den som är eller har varit verksam inom enskilt bedriven gymnasieskola eller enskilt bedriven gymnasiesärskola ska omfattas av en motsvarande tystnadsplikt i ett sådant ärende (avsnitt 5.5.2). Särskilt om behandling av personuppgifter vid entreprenad Enskilda aktörer som utför uppgifter på entreprenad enligt 23 kap. skolla- gen nämns inte uttryckligen i 26 a kap. samma lag. Som framgår ovan måste dock de uppgifter av allmänt intresse som utförs i syfte att utföra ett uttryckligt uppdrag eller till följd av ett åliggande anses vara av denna karaktär oavsett om de faktiskt utförs i egen regi eller om de genom utkon- traktering eller entreprenad utförs av någon annan. När en juridisk eller fysisk person utför uppgifter som avser undervisning på entreprenad åt en skolhuvudman bör alltså även entreprenören anses utföra en uppgift av allmänt intresse. Ett privaträttsligt organ som fullgör ett uppdrag avseende en sådan uppgift kan därför vidta nödvändiga behandlingsåtgärder på samma rättsliga grund som om skolhuvudmannen själv utfört uppgiften, dvs. med stöd av artikel 6.1 e i dataskyddsförordningen. Vid entreprenad kan personuppgiftsbehandling komma att utföras av såväl den huvudman som överlämnar uppgifter på entreprenad som av den utförare som tar sig an uppgifterna. Det är nödvändigt att låta en entrepre- nör behandla personuppgifter, även känsliga uppgifter, för att säkerställa elevens rätt till en likvärdig utbildning av god kvalitet. Uppgifterna kan t.ex. handla om en elevs kunskapsutveckling eller frånvaro. Det är dock viktigt att uppgifterna behandlas på ett sådant sätt att det inte uppstår ett oproportionerligt intrång i den enskildes integritet. En risksituation för ett sådant intrång kan exempelvis uppstå vid översändandet av uppgifter mellan beställaren och utföraren av en entreprenad. Uppgifterna torde som oftast överföras elektroniskt och då är det viktigt att åtkomsten till uppgif- terna hos mottagaren begränsas till personer som har ett reellt behov av dessa. För att minska risken att känsliga personuppgifter kommer fel per- son till handa måste huvudmännen, och uppdragstagaren, försäkra sig om att tillräckliga rutiner och kunskap finns bland personalen. Bland skolhu- vudmän, som enligt förslag i denna proposition kommer att vara de huvudsakliga utförarna av entreprenad inom skolväsendet, ska sådana ruti- ner och kunskap redan finnas. Vid offentliga skolhuvudmän skyddas som ovan nämns uppgifter om en enskilds personliga förhållanden av bestäm- melser i OSL. Den som är eller har varit verksam inom enskilt bedriven verksamhet enligt skollagen, såsom vid en fristående skola, omfattas av en motsvarande tystnadsplikt (29 kap. 14 § andra stycket skollagen). I propo- sitionen Den nya skollagen – för kunskap, valfrihet och trygghet anges att den tystnadsplikten gäller även för andra entreprenörer än en skolhuvud- man (prop. 2009/10:165 s. 602). Därutöver kan tystnadsplikt regleras genom entreprenadavtalet. Att en ändamålsenlig undervisning kommer till stånd får anses vara till gagn för den enskilde. Uppgifterna kommer också att skyddas mot vidare utlämnande hos mottagaren. Utgångspunkten måste därför vara att ett utlämnande av känsliga uppgifter som utföraren behöver i sin verksamhet inte kan antas orsaka att den enskilde eller någon när- stående till denne lider men. Bedömningen är därmed att ett utlämnande av nödvändiga uppgifter i normalfallet inte möter hinder på grund av sek- retess (jfr propositionen Fjärrundervisning och entreprenad – nya möjlig- heter för undervisning och studiehandledning på modersmål [prop. 2015/16:173 s. 30]). Om sekretess trots allt skulle gälla finns det sekretess- brytande regler i t.ex. 10 kap. 2 och 27 §§ OSL. 2019/20:127 Behandling av personuppgifter i samband med överlämnande av uppgif- ter på entreprenad sker redan såväl vid skolhuvudmännen som vid enskilda fysiska eller juridiska personer i entreprenadsituationer. I denna proposition föreslås utökade möjligheter att överlämna uppgifter på entreprenad. Exempelvis föreslås att entreprenad ska få användas för modersmålsundervisning och studiehandledning på modersmålet även inom specialskolan och sameskolan, att uppgifter som avser bedömning av nyanlända elevers och vissa andra elevers kunskaper ska få överlämnas till en annan huvudman inom skolväsendet på entreprenad och att entreprenad ska få användas för undervisning i vissa karaktärsämnen även inom gymnasiesärskolan (avsnitten 6.3.2–6.3.4). Det lämnas också förslag om utökade möjligheter att överlämna fjärrundervisning på entreprenad och om att uppgifter som avser distansundervisning ska få överlämnas på entreprenad till en annan huvudman inom skolväsendet (avsnitten Enligt regeringens bedömning är den utökade behandling av personuppgifter som föranleds av förslagen om entreprenad och samverkan i denna proposition proportionerlig i förhållande till sitt ändamål och till de motstående intressen som kan finnas. Elevernas integritet skyddas av befintliga bestämmelser I denna proposition föreslås att det i skollagen ska införas omfattande och detaljerade bestämmelser om fjärrundervisning, distansundervisning och entreprenad. Liksom när det gäller annan verksamhet enligt skollagen är det därmed fråga om i svensk rätt fastställda uppgifter av allmänt intresse. Den behandling av personuppgifter som är nödvändig för att utöva verksamhet som grundas på de aktuella bestämmelserna kan därmed, när det gäller såväl offentliga som enskilda huvudmän, ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i EU:s dataskyddsförordning. De åtgärder som huvudmännen och hemkommu- nerna vidtar i syfte att utföra uppdragen eller uppfylla åligganden enligt bestämmelserna och anslutande föreskrifter kommer att ha en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler som står i proportion till de mål som eftersträvas. Anordnande och bedrivande av utbildning i olika former utgör vidare ett sådant viktigt allmänt intresse som gör att även känsliga personuppgifter får behandlas i verksamheten, förutsatt att behandlingen är nödvändig (artikel i dataskyddsförordningen).