prop · H703113 · 2020-03-17 00:00:00 — CSN har framfört att vid vidarebehandling av personuppgifter kommer i många fall de syften som avses med vidarebehandlingen av personuppgifter att kunna uppnås utan att några känsliga personuppgifter eller personuppgifter om lagöverträdelser behöver behandlas. Det kan i detta sammanhang också konstateras att känsliga personuppgifter är något som förekommer i förhållandevis liten utsträckning i CSN:s studiestödsverksamhet. När sådana uppgifter förekommer rör det sig i allmänhet om uppgifter om hälsotillstånd. Känsliga personuppgifter skulle dock enligt myndigheten kunna behöva vidarebehandlas bl.a. för att ta fram intern verksamhetsstatistik för att kunna utveckla handläggningen av ärenden om studiestöd under sjukdom. I undantagsfall kan det enligt myndigheten även finnas behov av att behandla personuppgifter om lagöverträdelser för tillkommande ändamål. Det är viktigt att CSN fortlöpande kan bevaka effektiviteten och kvaliteten i verksamheten för att kunna vidareutveckla, effektivisera och förbättra myndighetens verksamhet. Detta förutsätter uppföljning och kontroll av olika slag och då kan känsliga personuppgifter eller personuppgifter om lagöverträdelser i vissa fall vara relevanta. Regeringen gör bedömningen att myndigheten har behov att i vissa situationer få vidarebehandla sådana personuppgifter även när behandlingen inte hör samman med den direkta handläggningen av ett ärende. För att så långt som möjligt värna om den personliga integriteten finns det dock anledning att, precis som CSN föreslår, begränsa myndighetens möjligheter till vidarebehandling av dessa personuppgifter jämfört med vad som i övrigt gäller enligt studiestödsdatalagen. Regeringen föreslår därför att det ska införas en ny bestämmelse i studiestödsdatalagen som stadgar att vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ska tillåtas först om det är absolut nödvändigt för syftet med behandlingen (jfr hänvisningen i 6 § studiestödsdatalagen till 4 § samma lag som innebär att personuppgiftsbehandling i andra fall får ske om det behövs). Datainspektionen har invänt bl.a. att den föreslagna bestämmelsen är oklar samt att den brister i struktur i jämförelse med dataskyddsförordningen och innebär otillåtna integritetsrisker för enskilda. Kravet på att en behandling av personuppgifter ska vara absolut nödvändig finns i vissa andra registerförfattningar som kompletterar dataskyddsförordningen, t.ex. 14 § utlänningsdatalagen (2016:27), 5 § kriminalvårdsdatalagen (2018:1235) och 12 § kustbevakningsdatalagen (2019:429). I dessa bestämmelser gäller kravet redan vid den ursprungliga behandlingen av känsliga personuppgifter. I förarbetena till 14 § utlänningsdatalagen uttalas att syftet med kravet på absolut nödvändighet är att markera att behandling av känsliga personuppgifter bör ske med försiktighet och aldrig slentrianmässigt. Formuleringen att behandlingen ska vara absolut nödvändig, innebär emellertid inte att känsliga personuppgifter endast får behandlas i undantagsfall. Det innebär dock en markering att behandlingen ska ske med restriktivitet och att behovet av att behandla personuppgiften ska prövas noga i det enskilda ärendet (se prop. 2015/16:65 s. 78–81 och prop. 2017/18:254 s. 30 f.). Regeringen konstaterar att föreslaget innebär att en terminologi som är vedertagen i andra registerförfattningar som kompletterar dataskyddsförordningen används. Regeringen bedömer även att den föreslagna bestämmelsen står i proportion till det eftersträvade syftet med behandlingen. Regeringen anser därför att förslaget bör genomföras. Som ovan konstaterats finns det därutöver skyddsåtgärder i regelverket för personuppgiftsbehandling i studiestödsverksamheten i form av bestämmelser om förbud mot användning av vissa sökbegrepp, reglering av intern elektronisk tillgång till personuppgifter och bestämmelser om när direktåtkomst till och annat elektroniskt utlämnande av personuppgifter är tillåten. Därutöver finns det sekretessbestämmelser som är tillämpliga oavsett i vilket sammanhang uppgifterna förekommer. Dessa skyddsbestämmelser kommer att vara tillämpliga också vid vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser. De befintliga skyddsbestämmelserna bedöms därför även vid vidarebehandling i enlighet med finalitetsprincipen uppfylla de krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs enligt dataskyddsförordningen. 2019/20:113 8 Regeringens förslag: CSN ska även fortsättningsvis i enskilda fall få besluta att personuppgifterna i ett ärende om studiestöd får bevaras, dock längst till dess att uppgifterna inte längre bedöms nödvändiga för det ändamål för vilka de behandlas. De ska dock inte, till skillnad från nu, behöva bevaras i pappersform eller på annat medium som inte är elektroniskt, dvs. bestämmelsen görs teknikneutral. Promemorians förslag: Överensstämmer i huvudsak med regeringens Promemorians förslag skiljer sig enbart språkligt från regeringens. Remissinstanserna: En majoritet av remissinstanserna tillstyrker för- slaget eller har inget att invända mot det. Detta gäller Kammarrätten i , Förvaltningsrätten i , Justitiekanslern, och CSN är positiva till de föreslagna ändringarna och har i övrigt inga syn- punkter på förslaget. välkomnar att bestämmelsen blir teknik- neutral då detta sammanfaller med myndighetens ambition att regelverket på arkivområdet ska vara så teknikneutralt som möjligt. dock inte att det angivna syftet med de språkliga förändringarna, att tyd- liggöra att bestämmelsen handlar om att CSN ska fatta förvaltningsbeslut i enskilda fall när det bedöms nödvändigt att bevara uppgifterna under en Endast Datainspektionen avstyrker förslaget. Myndigheten anför att den reglering av gallringsbestämmelsen som föreslås är en modifiering av be- stämmelsen om lagringsminimering i artikel 5.1. e i dataskyddsförord- ningen samt att den föreslagna regleringen är missvisande och svåröver- Som nämnts i avsnitt 3 har Datainspektionen och CSN även beretts till- fälle att yttra sig över utkast till lagrådsremiss vars förslag överensstämmer med förslaget i rutan. CSN har inte haft några synpunkter. tionen har i sitt yttrande inte berört den föreslagna bestämmelsen. Skälen för regeringens förslag: En allmän dataskyddsprincip enligt 5.1 e dataskyddsförordningen är att personuppgifter inte får förvaras under än vad som är nödvändigt (s.k. lagringsminimering, se avsnitt För CSN:s del finns det, i enlighet med artikel 6.1 e och artikel 6.3 första stycket dataskyddsförordningen, en i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet. och 6.3 andra stycket är det då också tillåtet att i en registerförfattning be- hålla specifika bestämmelser i form av bl.a. lagringstid. I gallringsbestämmelserna i 16 § första stycket studiestödsdatalagen anges när gallring av personuppgifter ska ske i ett ärende om studiestöd (se avsnitt 5.2). Av andra stycket i paragrafen framgår när gallring av per- sonuppgifter ska ske när det är fråga om förberedande handläggning av ett ärende som inte avser studiestöd. Av paragrafens tredje stycke framgår att CSN i enstaka fall får besluta att personuppgifterna i ett ärende om studie- stöd, dvs. enligt första stycket, ska bevaras på papper eller annat medium som inte är elektroniskt. CSN har framfört att det kan förekomma att personuppgifter i ett ärende kan ha betydelse för andra ärenden där handläggning fortfarande pågår efter de angivna gallringsfristerna. Det kan exempelvis handla om situationer där ett ärende granskas av en tillsynsmyndighet eller ett ärende där beslutet har överklagats men där överprövningen ännu inte är klar. I sådana fall är alltså myndigheten hänvisad till att bevara personuppgifter på papper eller annat medium som inte är elektroniskt. Som framgår av CSN:s skrivelse kan detta innebära en stor administration för myndigheten, eftersom uppgifter kan finnas i flera databaser vilket kan innebära utskrifter av ett stort antal uppgifter, som efter en sådan utskrift riskerar att tappa sitt sammanhang. För att göra mer ändamålsenliga och för att undvika den onödiga administration som den nuvarande regleringen innebär i de få undantagsfall det handlar om, bör den aktuella bestämmelsen i 16 § tredje stycket göras teknikneutral. Datainspektionen invänder mot hur den i promemorian föreslagna bestämmelsen har formulerats, och anser att bestämmelsen är missvisande och svåröverskådlig i förhållande till dataskyddsförordningen. Regeringen konstaterar att den i promemorian föreslagna lydelsen avviker från hur bestämmelser med motsvarande sakliga innehåll har formulerats i andra registerförfattningar. Regeringen anser därför att bestämmelsen bör ges lydelsen att CSN får, ”trots första stycket, i enskilda fall besluta att personuppgifterna i ett ärende om studiestöd ska bevaras, dock längst till dess uppgifterna inte längre bedöms nödvändiga för det ändamål för vilka de behandlas” (jfr 24 § kustbevakningsdatalag [2019:429]). Både av den nuvarande och den av regeringen föreslagna lydelsen framgår att CSN:s ställningstagande i dessa delar innebär att ett förvaltningsbeslut fattas. Något ytterligare förtydligande behövs inte i denna del De föreslagna ändringarna innebär inte att CSN i sak ska göra någon annan prövning än vad myndigheten redan gör enligt nuvarande lydelse. Det handlar fortsatt om sådana situationer där t.ex. personuppgifterna i ett ärende om studiestöd även efter gallringstidpunkten i undantagsfall har betydelse därför att handläggningen av ärendet i en eller annan mening kan sägas fortsätta hos CSN eller någon annan myndighet. Som nämnts kan det bl.a. handla om att ett beslut om studiestöd har överklagats men där överprövningen ännu inte är klar (jfr prop. 2008/09:96 s.73 och 88). Förslaget innebär inte att fler personuppgifter kommer att behöva behandlas utan handlar enbart om formen för bevarande till dess att uppgifterna gallras, dvs. att även elektronisk form godtas. Förslaget bedöms stå i proportion till det legitima mål som eftersträvas, dvs. en mer ändamålsenlig, effektiv och rättssäker personuppgiftsbehandling, och bidrar också till en likartad terminologi i förhållande till andra registerförfattningar. 2019/20:113 9 Regeringens förslag: Lagändringarna ska träda i kraft . Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt om tidpunkten för ikraftträdande. Skälen för regeringens förslag: Lagändringarna bör träda i kraft för att CSN ska ges bättre förutsättningar för en ändamålsenlig personuppgiftsbehandling i studiestödsverksamheten. bedöms vara den tidigaste tidpunkt det kan ske. Några särskilda övergångsbestämmelser behövs inte. I detta avsnitt analyseras konsekvenserna av förslagen i den utsträckning konsekvenserna inte har redovisats tidigare i denna proposition. Förslagen föranleder inte några kostnadsmässiga eller andra ekonomiska konsekvenser. Förslagen bedöms vara förenliga med . Konsekvenser för den personliga integriteten Som nämns i avsnitt 6 kommer införandet av finalitetsprincipen att innebära att personuppgifter kommer att behandlas för fler ändamål jämfört med . Detta innebär naturligtvis en inskränkning i den personliga integriteten. innebär det en inskränkning från en nivå på integritetsskyddet som är så hög att den riskerar att försämra myndighetens funktionalitet och förslaget avviker inte från grundregleringen i dataskyddsförordningen, som i sig ligger på en hög nivå. När det gäller vidarebehandling av känsliga personuppgifter för tillkommande ändamål ställer den föreslagna lydelsen dessutom högre krav för att sådan behandling ska få ske än vad dataskyddsförordningen gör. Som framgår i avsnitt 6 och 7 bedöms förslagen vara proportionerliga. När det gäller förslaget om en ändring i gallringsbestämmelserna konstateras att förslaget inte innebär att fler personuppgifter bevaras, utan enbart att bestämmelsen blir teknikneutral. I avsnitt 8 görs bedömningen att också detta förslag är proportionerligt. Den reglering som föreslås i denna proposition bedöms inte få några effekter för den kommunala självstyrelsen, brottsligheten, sysselsätt- ningen, företags arbets- och konkurrensförmåga eller villkor i övrigt eller Prop. 2019/20:113 jämställdheten mellan kvinnor och män. Personuppgifter får behandlas i Centrala studiestödsverksamhet om det behövs för att 1.handlägga ärenden i den verksamheten, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och distribuera bevis om studiestöd för studier till studerande, eller 6.anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheterna. Personuppgifter som behandlas enligt första stycket får även behandlas genom att lämnas ut till den registrerade själv, och regeringen samt, i den utsträckning skyldighet för att lämna uppgifter följer av lag eller förordning, till andra. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas för att ge tillgång till vägledande avgöranden. Regeringen får meddela föreskrifter om begränsningar av ändamålen i första stycket och om i vilka fall behandling får göras med stöd av första stycket 3. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. I paragrafen anges de ändamål för vilka personuppgifter får behandlas i CSN:s studiestödsverksamhet. I första stycket tas ordet ”bara” bort. Det innebär att bestämmelsen, till skillnad från den tidigare lydelsen, inte längre uttömmande reglerar för vilka ändamål som personuppgifter får behandlas i studiestödsverksamheten. I tredje stycket görs en språklig ändring för att det tydligare ska framgå att andra meningen innehåller en upplysningsbestämmelse. Den ändrade ordalydelsen innebär ingen förändring i sak. Övervägandena finns i avsnitt 6. Personuppgifter som behandlas enligt 4 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Paragrafen, som är ny, innebär att uppgifter som behandlas enligt 4 § under vissa förutsättningar även får vidarebehandlas för andra ändamål. Av paragrafen framgår att uppgifter som behandlas för de ändamål som anges i 4 § får behandlas även för andra ändamål under förutsättning att behandlingen inte är oförenlig med de ändamål för vilka de ursprungligen samlades in. Innebörden av uttrycket ”som behandlas” är att det måste pågå en behandling enligt 4 § när man inleder en vidarebehandling enligt paragrafen. Behandlingsbegreppet är dock brett enligt dataskyddsförordningen och innefattar bl.a. lagring av uppgifter (artikel 4 punkt 2 i dataskyddsförordningen). Bestämmelsen, som är ett uttryck för den s.k. finalitetsprincipen, är ut- formad i nära anslutning till artikel 5.1 b i dataskyddsförordningen, och andra motsvarande bestämmelser i registerförfattningar, och bör tolkas på Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oför- enlig med insamlingsändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen. Övervägandena finns i avsnitt 6. Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgif- ter) får med stöd av artikel i samma förordning behandlas av Centrala studiestödsnämn- den för de ändamål som avses i 4 § första stycket 1 och 6 och andra stycket samt 4 a §. För de ändamål som avses i första stycket får behandling även ske av personuppgifter som avses i artikel 10 i samma förordning. För ändamål som avses i 4 a § får dock personuppgifter som avses i första och andra styckena behandlas endast om det är absolut nödvändigt för syftet med behandlingen. I paragrafen anges i vilka fall känsliga personuppgifter och personuppgif- ter om lagöverträdelse får behandlas av CSN. Paragrafen delas upp i tre stycken för att tydliggöra att förutsättningarna för personuppgiftsbehandling skiljer sig åt, beroende på om det är känsliga personuppgifter eller uppgifter om lagöverträdelser och andra uppgifter som avses i artikel 10 i dataskyddsförordningen, som ska behandlas. Första stycket renodlas till att enbart reglera behandling av känsliga per- I stycket införs också en hänvisning till artikel i EU:s dataskyddsförordning som anger under vilka förutsättningar känsliga personuppgifter får behandlas. Motsvarande hänvisning finns i andra jäm- förbara registerförfattningar (se t.ex. 13 § lagen [1993:792] om tillstånd att utfärda vissa examina och 19 § lagen [2019:504] om ansvar för god forskningssed och prövning av oredlighet i forskning). teras stycket med ett tillägg som innebär att känsliga personuppgifter inte bara får behandlas för de ändamål som avses i 4 § första stycket 1 och 6, utan att sådana uppgifter även får vidarebehandlas i enlighet med finali- tetsprincipen, se vidare kommentaren till bestämmelsen i 4 a §. I andra stycket, som är nytt, finns den bestämmelse om behandling av uppgifter om lagöverträdelser och andra uppgifter som avses i artikel 10 i dataskyddsförordningen, som tidigare fanns i första stycket. till första stycket innebär att sådana uppgifter inte bara får behandlas för de ändamål som anges i 4 § första stycket 1 och 6, utan att de även får vidarebehandlas i enlighet med finalitetsprincipen. Tredje stycket, som är nytt, innehåller en bestämmelse om att vidarebe- handling enligt finalitetsprincipen av såväl känsliga uppgifter som upp- gifter som avses i artikel 10 i dataskyddsförordningen enbart får ske om det är absolut nödvändigt för syftet med behandlingen. syfte är att markera att vidarebehandling av sådana uppgifter bör ske med försiktighet och aldrig slentrianmässigt. inte att sådana personuppgifter endast får behandlas i undantagsfall. Genom kravet på absolut nödvändighet markeras dock att behandlingen ska ske med restriktivitet och att behovet av att behandla personuppgiften ska prövas noga i det enskilda fallet (jfr 14 § utlänningsdatalagen Prop. 2019/20:113 [2016:27], prop. 2015/16:65 s. 78–81 och prop. 2017/18:254 s. 30 f.). det gäller vidarebehandling av nu avsedda personuppgifter ställs alltså ett striktare krav för att behandlingen ska vara tillåten jämfört med vad som gäller för övriga ändamål i lagen. Övervägandena finns i avsnitt 7. Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de kan ha sådan betydelse. Personuppgifter som behandlas enligt 4 § första stycket 3 ska, i den utsträckning de inte har tillförts ett ärende om studiestöd, gallras senast efter det att uppgifterna registrerades. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål, statistiska ändamål eller för redovisningsändamål, även om föreskrifterna kommer att avvika från första stycket. får också, trots första stycket, i enskilda fall besluta att personuppgifterna i ett ärende om studiestöd ska bevaras, dock längst till dess uppgifterna inte längre bedöms nödvändiga för det ändamål för vilka de behandlas. I paragrafen finns de gallringsbestämmelser som gäller för personuppgifter i studiestödsverksamheten. Bestämmelsen i tredje stycket andra meningen ändras så att den blir teknikneutral, dvs. även elektroniskt bevarande av personuppgifter kan tillåtas efter särskilt beslut. Det förtydligas också att uppgifterna bara får bevaras till dess uppgifterna inte längre bedöms nödvändiga för det ändamål för vilka de behandlas. Ändringarna innebär inte att CSN i sak ska göra någon annan prövning av när uppgifter bör bevaras än vad myndigheten redan gör , utan enbart att bevarande även kan ske elektroniskt. Det kan handla om situationer där personuppgifter bör bevaras längre än vad som följer av första stycket t.ex. därför att ett ärende granskas av en tillsynsmyndighet eller där ett beslut om studiestöd har överklagats men där överprövningen ännu inte är klar (jfr prop. 2008/09:96 s. 73 och 88). Övervägandena finns i avsnitt 8. Sammanfattning av promemorian Moderniserade dataskyddsbestämmelser – förslag på en mer ändamålsenlig reglering för studiestödsverksamhet () är en myndighet som i hög utsträckning behandlar personuppgifter i sin studiestödsverksamhet. För att myndigheten ska ges goda förutsättningar att utveckla sin verksamhet behöver myndigheten ha nödvändiga och ändamålsenliga rättsliga verktyg för sin personuppgiftsbehandling. Därför föreslås i promemorian, som har utarbetats inom (), vissa ändringar i studiestödsdatalagen (2009:287). Det föreslås att de ändamål för vilka personuppgiftsbehandling är tillåten inte längre ska vara uttömmande reglerade i studiestödsdatalagen. I stället föreslås att den s.k. finalitetsprincipen ska utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten. Den principen innebär att personuppgifter som samlats in för ett visst eller vissa ändamål inte senare får behandlas för något ändamål som är oförenligt med de ursprungliga insamlingsändamålen. Vidare föreslås att vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser i enlighet med finalitetsprincipen ska vara tillåten, men endast om behandlingen är absolut nödvändig för syftet med behandlingen. Denna ytterligare begränsning syftar till att säkerställa att behandlingen sker med restriktivitet och att behovet av att behandla en sådan personuppgift prövas noga i det enskilda fallet. Därutöver föreslås följande justering i en gallringsbestämmelse. Enligt nuvarande reglering får CSN i enstaka fall besluta att personuppgifter i ett ärende om studiestöd ska bevaras än vad som följer av de generella gallringsfristerna. Bevarandet får dock i sådana fall bara ske på papper eller annat medium som inte är elektroniskt. Det föreslås att bestämmelsen görs teknikneutral, dvs. att det inte längre regleras i vilken form uppgifterna får bevaras. Ändringarna i studiestödsdatalagen föreslås träda i kraft . Förslag till lag om ändring i studiestödsdatalagen (2009:287) Härigenom föreskrivs i fråga om studiestödsdatalagen (2009:287) dels att 4, 6 och 16 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 4 a §, av följande lydelse. Personuppgifter får behandlas i Personuppgifter får behandlas i diestödsverksamhet bara om det diestödsverksamhet om det behövs 1.handlägga ärenden i den verksamheten, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och distribuera bevis om studiestöd för studier till studerande, 6.anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheterna. Personuppgifter som behandlas enligt första stycket får även behandlas genom att lämnas ut till den registrerade själv, och regeringen samt, i den utsträckning skyldighet för att lämna uppgifter följer av lag eller förordning, till andra.