prop · H703113 · 2020-03-17 00:00:00 — Regeringens proposition 2019/20:113 En mer ändamålsenlig dataskyddsreglering för Regeringen överlämnar denna proposition till . I propositionen föreslås ändringar i studiestödsdatalagen (2009:287) som syftar till att ge () en mer ändamålsenlig dataskyddsreglering och därmed också bättre förutsättningar för myndigheten att utveckla sin verksamhet. För det första föreslås att de tillåtna ändamålen för personuppgiftsbehandling inte längre ska vara uttömmande reglerade. I stället ska den s.k. finalitetsprincipen utgöra den yttersta ramen för personuppgiftsbehandling i studiestödsverksamheten. Principen innebär att personuppgifter får vidarebehandlas för tillkommande ändamål, men med begränsningen att dessa ändamål inte får vara oförenliga med de ursprungliga insamlingsändamålen. För det andra föreslås att denna princip även ska gälla känsliga personuppgifter och personuppgifter om lagöverträdelser. Sådana uppgifter får dock bara vidarebehandlas i enlighet med finalitetsprincipen om det är absolut nödvändigt för syftet med behandlingen. Denna ytterligare begränsning syftar till att säkerställa att behandlingen sker med restriktivitet efter en noggrann prövning i det enskilda fallet. För det tredje föreslås att den gallringsbestämmelse i lagen som innebär att CSN får bevara personuppgifter än de i lagen angivna gallringsfristerna, ska göras teknikneutral. får sådant bevarande endast ske på papper eller annat medium som inte är elektroniskt. Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i studiestödsdatalagen (2009:287) ......... Ärendet och dess beredning .............................................................. Modernisering av dataskyddsregleringen på Det generella dataskyddsregelverket, registerförfattningar och finalitetsprincipen ....................... 4.2Ändamålen för CSN:s personuppgiftsbehandling är 4.3Flera nya förmånstyper har tillkommit sedan lagen 4.4Den nuvarande regleringen är inte helt CSN önskar att ändamålen inte ska vara CSN har även efterfrågat en ändring i 5 Närmare om den nuvarande dataskyddsregleringen ....................... 6 Finalitetsprincipen ska utgöra den yttersta ramen för behandling av personuppgifter i studiestödsverksamheten ............. 7Känsliga personuppgifter och personuppgifter om lagöverträdelser ska endast få vidarebehandlas om det är Gallringsbestämmelsen görs teknikneutral ..................................... Sammanfattning av promemorian Moderniserade dataskyddsbestämmelser – förslag på en mer ändamålsenlig reglering för studiestödsverksamhet......... Förteckning över remissinstanserna ................................. Utdrag ur protokoll vid regeringssammanträde ......... antar regeringens förslag till lag om ändring i studiestödsdatalagen (2009:287). 2019/20:113 2 Förslag till lag om ändring i studiestödsdatalagen (2009:287) Härigenom föreskrivs i fråga om studiestödsdatalagen (2009:287) dels att 4, 6 och 16 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 4 a §, av följande lydelse. Personuppgifter får behandlas i Personuppgifter får behandlas i diestödsverksamhet bara om det diestödsverksamhet om det behövs 1.handlägga ärenden i den verksamheten, 4.informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5.ta fram och distribuera bevis om studiestöd för studier till studerande, 6.anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheterna. Personuppgifter som behandlas enligt första stycket får även behandlas genom att lämnas ut till den registrerade själv, och regeringen samt, i den utsträckning skyldighet för att lämna uppgifter följer av lag eller förordning, till andra. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas för att ge tillgång till vägledande avgöranden. Regeringen får meddela föreskrifter om begränsningar av ändamålen i första stycket och om i vilka fall behandling får göras med stöd av första stycket 3. Regeringen meddelar föreskrifter om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Regeringen får meddela föreskrifter om begränsningar av ändamålen i första stycket och om i vilka fall behandling får göras med stöd av första stycket 3. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Personuppgifter som behandlas enligt 4 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Personuppgifter som avses i arti- Personuppgifter som avses i arti- kel 9.1 i EU:s dataskyddsförord- kel 9.1 i EU:s dataskyddsförord- ning (känsliga personuppgifter) och ning (känsliga personuppgifter) får personuppgifter som avses i arti- med stöd av artikel i samma kel 10 i samma förordning får be- handlas av Centrala studiestöds- mål som avses i 4 § första stycket 1 4 § första stycket 1 och 6 och andra och 6 och andra stycket samt 4 a §. För de ändamål som avses i första stycket får även personupp- gifter som avses i samma förordning behandlas. För ändamål som avses i 4 a § får dock personuppgifter som avses i första och andra styckena behandlas endast om det är absolut nödvändigt för syftet med behandlingen. Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de kan ha sådan betydelse. Personuppgifter som behandlas enligt 4 § första stycket 3 ska, i den utsträckning de inte har tillförts ett ärende om studiestöd, gallras senast efter det att uppgifterna registrerades. Regeringen eller den myndighet Regeringen eller den myndighet som regeringen bestämmer får som regeringen bestämmer får meddela föreskrifter om att person- meddela föreskrifter om att person- uppgifter får bevaras för arkivända- uppgifter får bevaras för arkivända- mål av allmänt intresse, vetenskap- mål av allmänt intresse, vetenskap- liga eller historiska forskningsän- liga eller historiska forskningsän- damål, statistiska ändamål eller för damål, statistiska ändamål eller för redovisningsändamål, även om fö- redovisningsändamål, även om fö- reskrifterna kommer att avvika från reskrifterna kommer att avvika från nämnden får också, trots första nämnden får också, trots första stycket, i enstaka fall besluta att stycket, i enskilda fall besluta att personuppgifterna i ett ärende om personuppgifterna i ett ärende om studiestöd ska bevaras på papper studiestöd ska bevaras, dock längst 1 Senaste lydelse 2018:1353. 2 Senaste lydelse 2018:1353. 2019/20:113 eller annat medium som inte är elektroniskt. till dess att uppgifterna inte längre bedöms nödvändiga för det ändamål för vilka de behandlas. Denna lag träder i kraft . Ärendet och dess beredning () har i två skrivelser till (U2019/00221/GV och U2011/01355/GV) efterfrågat en uppdatering i vissa avseenden av det dataskyddsregelverk som gäller vid behandling av personuppgifter i studiestödsverksamheten. Promemorian Moderniserade dataskyddsbestämmelser – förslag på en mer ändamålsenlig reglering för studiestödsverksamheten (U2019/01948/UH) har därför utarbetats inom (). En sammanfattning av promemorian finns i bilaga 1. Promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissvaren finns tillgängliga i (U2019/01948/UH). Datainspektionen och CSN har beretts tillfälle att yttra sig över ett utkast till lagrådsremiss, vars lagförslag med vissa språkliga ändringar överensstämmer med lagförslaget i denna lagrådsremiss. CSN har inte haft några synpunkter på utkastet. Datainspektionen har inkommit med synpunkter som behandlas i avsnitt 6 och 7. Yttrandena finns tillgängliga i (U2019/01948/UH). Regeringen beslutade att inhämta Lagrådets yttrande över ett lagförslag som är likalydande med propositionens lagförslag. Lagrådets yttrande finns i bilaga 4. Lagrådet har lämnat förslaget utan erinran. 4Modernisering av dataskyddsregleringen på studiestödsområdet efterfrågas CSN efterfrågar mer ändamålsenliga förutsättningar för personuppgiftsbehandlingen i studiestödsverksamheten, utan att integritetsintrånget för de registrerade överstiger vad som i andra sammanhang har bedömts vara rimligt. CSN vill bl.a. att den i EU:s dataskyddsförordning reglerade s.k. finalitetsprincipen ska utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten. I detta avsnitt ges en övergripande redogörelse för det generella dataskyddsregelverket, vad finalitetsprincipen innebär samt något om särregleringen på studiestödsområdet och skälen för CSN:s önskemål. Därefter lämnas en mer ingående redogörelse för dataskyddsregelverket på studiestödsområdet i avsnitt 5. Förslag till ändringar i regelverket lämnas i avsnitt 6–8. 4.1Det generella dataskyddsregelverket, registerförfattningar och finalitetsprincipen trädde och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) i kraft, nedan benämnd dataskyddsförordningen. upphävdes personuppgiftslagen (1998:204), förkortad PUL, då dataskyddsförordningen ersatte det tidigare dataskyddsdirektivet, som låg till grund för PUL. Dataskyddsförordningen är till alla delar bindande och direkt tillämplig imedlemsstaterna (artikel 99.2). Att en EU-förordning ska ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat framgår också av fördraget om Europeiska unionens funktionssätt (artikel 288 andra stycket). Till skillnad från EU-direktiv ska alltså EU- förordningar inte genomföras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser. Även om dataskyddsförordningen är direkt tillämplig i medlemsstaterna, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Möjligheten till kompletterande nationella bestämmelser gäller framför allt behandling av personuppgifter inom den offentliga sektorn i respektive medlemsstat. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bl.a. när det handlar om behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2). Förordningen har därmed i vissa delar en direktivliknande karaktär. Om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (skäl 8). En allmän dataskyddsrättslig princip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Denna princip kommer till uttryck i artikel 5.1 b i dataskyddsförordningen. fanns den bl.a. i 9 § första stycket c och d PUL. Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) innehåller bl.a. bestämmelser som förtydligar innehållet i dataskyddsförordningen och kompletterar förordningen i vissa delar. Bestämmelser i annan lag eller förordning som avviker från dataskyddslagen ska ha företräde (1 kap. 6 § dataskyddslagen), dvs. lagen är subsidiär till andra författningar. Det innebär att lagen, på motsvarande sätt som PUL, kan kompletteras av s.k. registerförfattningar, dvs. sektorsspecifika författningar som reglerar behandling av personuppgifter inom olika avgränsade områden. Det är vanligt att s.k. ändamålsbestämmelser, dvs. bestämmelser som Prop. 2019/20:113 anger för vilka ändamål personuppgifter får behandlas, tas in i en register- Sådana bestämmelser finns bl.a. i studiestödsdatalagen (2009:287), se vidare avsnitt 5.2. Det finns olika sätt att utforma ändamålsregleringen i en registerförfattning. Ett sätt är att uttömmande ange de ändamål för vilken behandling får ske. Ett annat sätt är att de i lagen angivna ändamålen kompletteras med en möjlighet att behandla uppgifter även för ändamål som inte är oförenliga med de för vilka uppgifterna samlades in. Det senare alternativet innebär att finalitetsprincipen utgör den yttersta ramen inom vilken personuppgifter får behandlas. 4.2Ändamålen för CSN:s personuppgiftsbehandling är uttömmande reglerade När studiestödsdatalagen infördes gjorde regeringen bedömningen att ändamålen för personuppgiftsbehandlingen i studiestödsverksamheten skulle vara uttömmande reglerade i lagen. I propositionen Behandling av personuppgifter inom studiestödsområdet (prop. 2008/09:96) anförde regeringen bl.a. att de skäl som tidigare hade motiverat förslag med ändamålsregleringar som inte varit uttömmande inte gjorde sig gällande med någon betydande styrka när det gällde studiestöd. De förmåner som rymdes inom studiestödet bedömdes inte vara lika snabbt föränderliga som många av de förmåner som erbjöds inom t.ex. socialförsäkringens administration. Med hänsyn till bl.a. detta ansåg regeringen att de tillåtna ändamålen för behandling av personuppgifter inom CSN:s studiestödsverksamhet skulle vara uttömmande reglerade i studiestödsdatalagen. Det innebär att CSN i sin studiestödsverksamhet inte får behandla personuppgifter för några andra ändamål än de som anges i studiestödsdatalagen. Av förarbetena framgår också att detta ställningstagande innebär att finalitetsprincipen inte är tillämplig och att en behandling av personuppgifter som inte har stöd i lagens ändamålsbestämmelser inte kan tillåtas även om behandlingens syfte i och för sig kan bedömas vara förenligt med de ändamål för vilka uppgifterna samlats in (samma prop. s. 40 f.). I samband med den översyn som gjordes för att anpassa bl.a. studiestödsdatalagen till dataskyddsförordningen konstaterades det i propositionen Behandling av personuppgifter på utbildningsområdet (prop. 2017/18:218) att studiestödsdatalagens bestämmelser om bl.a. ändamål med behandlingen var förenliga med dataskyddsförordningen och borde behållas (s. 188). Något ställningstagande kring den uttömmande ändamålsregleringen eller finalitetsprincipen gjordes inte i samband med översynen. 4.3Flera nya förmånstyper har tillkommit sedan lagen infördes Som nämnts var ett starkt vägande skäl till bedömningen att finalitetsprincipen inte skulle vara tillämplig i studiestödsverksamheten att förmånerna inom studiestödet inte bedömdes vara så snabbt föränderliga. Sedan studiestödsdatalagen infördes har emellertid en rad olika reformer genomförts inom studiestödsverksamheten och flera olika förmånstyper har tillkommit. De helt nya studiestöd som har tillkommit är den s.k. lärlingsersättningen, som regleras i förordningen (2013:1121) om kostnadsersättning till elever i gymnasial lärlingsutbildning och lärlingsliknande utbildning inom introduktionsprogram, och studiestartsstödet, som regleras i lagen (2017:527) om studiestartsstöd. Utöver dessa renodlade studiestöd har också ett nytt körkortslån tillkommit, som regleras i förordningen (2018:1118) om körkortslån. CSN administrerar lånet och studiestödsdatalagen har i departementspromemorian Körkortslån (Ds 2017:35) bedömts vara tillämplig på personuppgiftsbehandlingen i ärenden om körkortslån (s. 26). Flera reformer inom det studiestöd som lämnas enligt studiestödslagen (1999:1395) har också skett. Som ett exempel kan nämnas den s.k. utlandsreformen, som rör villkoren för studiemedel för utlandsstudier, se propositionen Studiemedel i en globaliserad värld (prop. 2012/13:152). Studiestödsverksamheten har således visat sig, i motsats till det antagande som gjordes i förarbetena till studiestödsdatalagen, vara en föränderlig verksamhet. Vidare är finalitetsprincipen en grundläggande princip i dataskyddsförordningen och kommer även till uttryck i den kompletterande reglering som gäller i verksamheterna hos en rad olika myndigheter som, liksom CSN, har en omfattande personuppgiftsbehandling och en hög grad av automatisering. Det gäller bl.a. , , , och . 4.4Den nuvarande regleringen är inte helt ändamålsenlig 4.4.1CSN önskar att ändamålen inte ska vara uttömmande reglerade CSN framför i sin hemställan (U2019/00221/GV) att studiestödsdatalagens restriktiva utformning när det gäller tillåtna ändamål för personuppgiftsbehandling innebär ett återkommande hinder mot utveckling och andra kvalitets- och effektivitetshöjande åtgärder i myndighetens verksamhet. Myndighetens ärendehandläggning och informationshantering är i stort sett helt automatiserad. Den automatiserade behandlingen av personuppgifter är omfattande, avser ett stort antal personer och flera olika förmånstyper. CSN är dessutom statistikansvarig myndighet på området. CSN:s verksamhet är diversifierad och innefattar en omfattande personuppgiftsbehandling. Verksamheten är vidare föränderlig. Detta medför för CSN, liksom för de flesta andra myndigheter med likartade förutsätt- ningar, ett behov av att behandla personuppgifter insamlade i verksamheten för ett flertal olika berättigade ändamål. Som exempel nämner CSN utförande av tester som avser utveckling av befintlig eller ny it-infrastruk- tur (testverksamhet), framställning av statistik med uteslutande ett myndighetsinternt syfte och kvalitetsutveckling av handläggning och service genom att t.ex. kunna söka ut och hitta registrerade vars förutsättningar är sådana att de är lämpliga att kontakta för fördjupade undersökningar av hur CSN:s service kan utvecklas. Som andra exempel nämns genomförande av s.k. predikativa analyser för att motverka felaktiga utbetalningar, dvs. att på automatiserad väg identifiera vissa återkommande omständigheter i ärenden där felaktiga utbetalningar har konstaterats, och utökat informationsutbyte om adressuppgifter med studiestödsmyndigheter i andra länder, under förutsättning att sekretess inte hindrar att uppgifterna kan lämnas. För att CSN ska kunna fullgöra sitt uppdrag, tillhandahålla en säker it-infrastruktur, kontinuerligt söka förbättringspotential och effektiviseringsåtgärder samt utveckla myndighetens handläggning och service behöver personuppgifter som samlats in för handläggning av ärenden få behandlas även för andra ändamål. CSN föreslår därför att myndigheten ska få en vidare rätt att behandla personuppgifter i studiestödsverksamheten. CSN föreslår att myndigheten ska få rätt att behandla uppgifter som samlats in för ändamål som anges i 4 § för ändamål som inte är oförenliga med de ändamål för vilka personuppgifterna samlats in. Förslaget innebär att finalitetsprincipen ska utgöra den yttersta ramen för behandling av personuppgifter i studiestödsverksamheten. CSN föreslår även att myndighetens rätt att behandla personuppgifter för utförande av testverksamhet uttryckligen ska anges i 4 § studiestödsdatalagen, då det enligt myndigheten inte står klart att denna rätt följer av finalitetsprincipen i samtliga fall då sådan personuppgiftsbehandling inte kan undvikas (U2019/00221/GV). CSN hänvisar bl.a. till att testverksamhet som ett särskilt angivet ändamål finns i 11 § utlänningsdatalagen (2016:27). Särskilt om känsliga personuppgifter CSN framför också att om studiestödsdatalagen ändras behöver även ett ställningstagande göras om CSN:s rätt att behandla dels känsliga personuppgifter, dels uppgifter om fällande domar i brottmål och överträdelser (personuppgifter om lagöverträdelser) för de tillkommande ändamålen (U2019/00221/GV). I många fall kommer det avsedda syftet med behandlingen av personuppgifter enligt myndigheten att kunna uppnås utan att känsliga uppgifter eller personuppgifter om lagöverträdelser behöver behandlas. Det kommer dock att förekomma situationer då behandling av framför allt känsliga personuppgifter kommer att vara nödvändig för att uppnå det avsedda syftet. Det kan t.ex. röra sig om framtagande av verksamhetsstatistik för att utveckla handläggningen av ärenden om studiestöd under sjukdom. CSN framför att det är nödvändigt att myndigheten ges en grundläggande rätt att behandla även känsliga personuppgifter för de tillkommande ändamålen, bl.a. för att uppnå den flexibili- 2019/20:113 tet som behövs. CSN föreslår dock att rätten att behandla känsliga personuppgifter och personuppgifter om lagöverträdelser begränsas till att uteslutande avse fall där behandling av sådana uppgifter är absolut nödvändig för syftet med behandlingen. 4.4.2CSN har även efterfrågat en ändring i gallringsbestämmelserna CSN har även efterfrågat ändringar i 16 § studiestödsdatalagen, som innehåller gallringsbestämmelser U2011/01355/GV). CSN har framfört att det ibland, utöver de tidsfrister för gallring som anges där, kan förekomma att personuppgifter i ett ärende om beviljande av studiestöd eller återbetalning av studiestöd har betydelse för andra ärenden där handläggning fortfarande pågår efter dessa gallringsfrister. Det kan t.ex. gälla situationer där ärendet granskas av en tillsynsmyndighet eller ärenden där beslutet har överklagats och där överprövningen ännu inte är klar. Det kan även gälla andra situationer, t.ex. om någon har begärt skadestånd med anledning av handläggningen av ett ärende hos CSN och handläggningen inte har kunnat slutföras inom de angivna gallringstidpunkterna. För dessa fall kan CSN bevara personuppgifterna på papper eller annat medium som inte är elektroniskt enligt bestämmelsen i 16 § tredje stycket studiestödsdatalagen. CSN har framfört att myndighetens ärendehantering är uppbyggd på en hantering i ett digitalt handläggningssystem. Att skriva ut den information som tillhör eller kan påverka ett visst ärende kan innebära utskrifter av ett stort antal uppgifter. Dessa riskerar då att tappa sitt sammanhang. Uppgifter kan t.ex. finnas i olika databastabeller. Det är därför inte tillräckligt med ett utdrag ur CSN:s handläggningssystem för att ett gallrat ärende ska kunna registreras på nytt. För att ha en realistisk möjlighet att avsluta de få ärenden som ännu inte har hunnit avslutas inom ramen för gallringsfristen föreslår CSN en ändring som innebär att uppgifterna ska få bevaras i elektroniskt format fram till dess att de inte längre behövs för handläggningen i ärendet. 5Närmare om den nuvarande dataskyddsregleringen Vissa allmänna villkor gäller för all personuppgiftsbehandling Vilka principer som gäller för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i dataskyddsförordningen. Den första principen som slås fast är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhål- lande till den registrerade (a). Vidare anges att personuppgifterna ska sam- las in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål.