prop · H703113 · 2020-03-17 00:00:00 — Denna bedömning gäller således oavsett om registerförfattningen innehåller en uttömmande ändamålsreglering eller inte. Datainspektionen påpekar att ordet test inte är tillräckligt konkret för att utgöra ett preciserat ändamål utan att det är ett mycket vitt begrepp samt att det därmed inte är möjligt att fastslå att testverksamhet alltid kan bedömas som en administrativ åtgärd som är tillåten. De krav som dataskyddsförordningen ställer på bland annat öppenhet, uppgiftsminimering, riktighet, proportionalitet och säkerhet måste uppfyllas även vid testverksamhet. Regeringen delar uppfattningen att det alltid måste göras en bedömning i det enskilda fallet och att ändamålet då också måste konkretiseras. När det gäller tester behöver myndigheten bl.a. göra en bedömning av om testet behövs för att myndigheten ska kunna utföra verksamheten på det effektiva sätt som krävs enligt 3 § myndighetsförordningen (2007:515) och att, om så är fallet, se till att ändamålet är tillräckligt preciserat samt att testet utförs i enlighet med bestämmelserna i bl.a. dataskyddsförordningen. För att ge CSN mer ändamålsenliga förutsättningar att utföra sin verksamhet ska ändamålsbestämmelsen inte längre vara uttömmande Som nämns i avsnitt 5.1 utgår dataskyddsregleringen från att varje behandling av personuppgifter måste vila på en rättslig grund för att vara laglig. Det är alltså bara om det finns en rättslig grund som personuppgifter överhuvudtaget får behandlas. Denna grund framgår för CSN:s del i studiestödslagen, lagen om studiestartstöd och andra författningar. Ändamålsbestämmelser i lagstiftning som reglerar myndigheters personuppgiftsbehandling är sådana specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling enligt artikel 6.2. Detta framgår även av artikel 6.3 där det anges att den rättsliga grunden kan innehålla särskilda bestämmelser om bl.a. ändamålsbegränsningar. I enlighet med artikel 23.2 a i dataskyddsförordningen ska dessutom, åtminstone när så är relevant, lagstiftning som begränsar tillämpningsområdet för förordningens skyldigheter och rättigheter innehålla specifika ändamålsbestämmelser. Som framgått av avsnitt 4.3 är det dock inte vanligt att en registerförfattning innehåller en sådan uttömmande ändamålsreglering som studiestödsdatalagen gör. I stället brukar finalitetsprincipen gälla. Det är viktigt att CSN har rättsliga förutsättningar att bedriva studiestödsverksamheten på ett effektivt sätt. För att CSN ska ges goda förutsättningar att utveckla sin verksamhet behöver myndigheten ha nödvändiga och ändamålsenliga rättsliga verktyg för sin personuppgiftsbehandling. Sådana verktyg måste vara rimliga i förhållande till myndighetens behov och verksamhetens komplexitet och till att CSN, precis som många andra myndigheter, behandlar en stor mängd personuppgifter i sin verksamhet. Som CSN har påtalat finns det behov att kunna behandla personuppgifter för att myndigheten ska kunna vidareutveckla sin verksamhet. Det råder dock viss osäkerhet om sådan behandling fullt ut ryms inom de angivna ändamålen. Vissa av de exempel som CSN nämner som skäl för att finalitetsprinci- pen bör utgöra den yttersta ramen inom vilken personuppgifter får behand- las i studiestödsverksamheten avser uppgifter som har ett nära samband med CSN:s verksamhet i fråga om handläggning av ärenden eller andra ändamål som personuppgifter får behandlas för enligt studiestödsdatala- Det gäller t.ex. den kvalitetsutveckling av handläggning och service som myndigheten nämner. Andra exempel är att CSN har behov av att kunna ta fram statistik för myndighetsinterna syften och att använda per- sonuppgifter för att ta fram s.k. predikativa analyser för att motverka fel- I 3 § myndighetsförordningen anges att myndighetens ledning bl.a. ska se till att verksamheten bedrivs effektivt. I 4 § förordningen (2017:1114) med instruktion för anges att myndigheten ska motverka bidragsbrott och säkerställa att felaktiga utbetalningar inte Att CSN kan behöva behandla personuppgifter för att ta fram statistik som ett led i att säkerställa att myndigheten bedrivs effektivt kan således anses följa av myndighetsförordningen, medan behandlingen av person- uppgifter för att genom olika typer av åtgärder motverka felaktiga utbetal- ningar följer av myndighetens instruktion. Det finns således en rättslig grund för behandling av personuppgifter i dessa förordningar. emellertid om studiestödsdatalagen, genom att den innehåller en uttöm- mande reglering om personuppgiftsbehandling, kan tolkas som att den be- gränsar eller till och med står i strid med de krav på CSN som följer av t.ex. myndighetsförordningen och myndighetens instruktion. ställning i den frågan anser regeringen, för att det inte ska finnas några frågetecken kring CSN:s rättsliga stöd för behandling av personuppgifter, att finalitetsprincipen ska utgöra den yttersta ramen inom vilken person- uppgifter får behandlas. En myndighets behov av att få behandla personuppgifter måste dock all- tid vägas mot det skydd för enskilda som dataskyddsregleringen syftar till. Det integritetsintrång för enskilda som personuppgiftsbehandling innebär måste alltid stå i proportion både till de åtgärder som myndigheten vidtar och till åtgärder som föreslås på området. Datainspektionen anser att det saknas en kartläggning av vilken personuppgiftsbehandling som CSN av- ser att utföra och de integritetsrisker som kan följa av förslaget att finali- tetsprincipen ska göras tillämplig i CSN:s verksamhet samt att det därför inte är möjligt att genomföra den proportionalitetsbedömning som krävs Datainspektionen anser bl.a. att det finns brister i angivandet av vilka personuppgifter och i vilken omfattning som behandlingen kommer ske samt i hur eventuella tillkommande ändamål förhåller sig till det ursprungliga ändamålet. Som exempel på tillkom- mande ändamål har ovan nämnts bl.a. utförande av tester som avser ut- veckling av befintlig eller ny it-infrastruktur, framställning av statistik med ett myndighetsinternt syfte, kvalitetsutveckling av handläggning och service och genomförande av s.k. predikativa analyser för att motverka Regeringen konstaterar att finalitetsprincipen är en huvudprincip i dataskyddsförordningen och det normala är att den princi- pen är tillämplig. De bedömningar som Datainspektionen efterlyser är så- dana bedömningar som CSN kommer att behöva göra i varje enskilt fall när en behandling av personuppgifter för ett tillkommande ändamål över- Regeringen bedömer, i likhet med , att förslaget att finalitetsprincipen ska göras tillämplig inte medför någon ökad risk för att personuppgifter hanteras på ett oacceptabelt sätt. Vid en avvägning mellan den inskränkning i den personliga integriteten som en tillämpning av finalitetsprincipen kan innebära och vikten av att CSN kan bedriva sin verksamhet på ett ändamålsenlig sätt utifrån de olika krav som ställs på myndigheten, bl.a. utifrån myndighetsförordningen och myndighetens instruktion, gör regeringen bedömningen att förslaget är förenligt med dataskyddsförordningen. Regeringen föreslår således att ordet ”bara” ska strykas i 4 § studiestödsdatalagen och att det ska införas en ny bestämmelse om att personuppgifter som behandlas enligt 4 § får behandlas även för andra ändamål under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (4 a §). Datainspektionen anför att den reglering av finalitetsprincipen som föreslås inte överensstämmer med ordalydelsen i dataskyddsförordningen. Myndigheten anser att den föreslagna regleringen är missvisande och svåröverskådlig vilket skulle kunna innebära en mer utvidgad vidarebehandling än vad dataskyddsförordningen ger stöd för. Om bestämmelsen ändå införs anser Datainspektionen att det i bestämmelsen bör hänvisas till artikel 5.1 b. Som Datainspektionen påtalar är finalitetsprincipen reglerad i artikel 5.1 b i dataskyddsförordningen. Enligt regeringens uppfattning finns det dock anledning att införa en bestämmelse i studiestödsdatalagen som förtydligar att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen. Denna bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål i 4 § en sådan ändamålsbegränsning som får införas i nationell rätt enligt artikel 6.3 i dataskyddsförordningen (jfr prop. 2017/18:115 s. 16 f.). Bestämmelsen har därtill formulerats på det sätt som är gängse när det gäller registerförfattningar efter att dataskyddsförordningen har trätt i kraft, se t.ex. 1 kap. 5 a § lagen (2001:183) om behandling av personuppgifter i verksamhet med val och omröstningar, 114 kap. 10 § socialförsäkringsbalken, 11 § kustbevakningsdatalag (2019:429), 7 § lagen (1996:1156) om receptregister och 9 § lag (2019:663) om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap som träder i kraft . I nämnda bestämmelser finns det inte någon hänvisning till artikel 5.1 b. Särskilt om behandling av personuppgifter för utlämnande till en utländsk myndighet CSN har anfört att myndigheten, om finalitetsprincipen görs tillämplig, skulle kunna få ökade möjligheter att vidarebehandla personuppgifter för att lämna ut adressuppgifter till utländska studiestödsmyndigheter, om ett utlämnade inte hindras av sekretess. När det gäller personuppgiftsbehandling i syfte att lämna uppgifter till utländska myndigheter finns det i vissa registerförfattningar bestämmelser om att ett sådant utlämnande kan ske om utlämnandet av uppgifterna krävs för att myndigheten ska kunna fullgöra ett åliggande som följer av ett för bindande internationellt åtagande. Det kan handla om ett åtagande som följer av medlemskap i , av uppgiftsskyldighet enligt en internationell konvention som har tillträtt eller enligt ett av riks- 2019/20:113 dagen godkänt avtal med främmande stat eller mellanfolklig organisation (se t.ex. 114 kap. 9 § socialförsäkringsbalken eller 13 § utlänningsdatalagen). Något sådant internationellt åtagande finns inte på studiestödsområdet. Den situation som CSN nämner rör i stället frivilliga samarbeten mellan studiestödsmyndigheter. Frågan är då om en vidarebehandling utifrån sådana förutsättningar skulle kunna vara förenlig med dataskyddsförordningen. Här finns det anledning att iaktta viss försiktighet. Det kan nämligen inte förutsättas att en vidarebehandling i form av utlämnande av uppgifter till utländska myndigheter är förenlig med dataskyddsförordningen enbart mot bakgrund av att finalitetsprincipen kommer att utgöra den yttersta ramen inom vilken personuppgifter får behandlas. För att en sådan behandling inte ska anses stå i strid med det ursprungliga ändamålet för vilka personuppgifterna samlats in måste CSN göra väl avvägda bedömningar för vilka ändamål som uppgifterna i så fall kan lämnas ut. De omständigheter som anges i artikel 6.4 a–e i dataskyddsförordningen måste beaktas vid bedömningen av om behandlingen är förenlig med insamlingsändamålen. Det handlar bl.a. om att beakta kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen och eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen. CSN måste alltså bedöma i varje enskilt fall att den tänkta behandlingen inte står i strid med det ursprungliga ändamålet för vilka personuppgifterna samlades in. Om det handlar om att lämna adressuppgifter till utländska studiestödsmyndigheter skulle det kunna anses vara en sådan vidarebehandling som inte är oförenlig med det ursprungliga ändamålet då syftet är att genom ett utökat internationellt samarbete kunna uppnå ökad återbetalning av studielån från låntagare bosatta utomlands. Det bör dock inte anses vara förenligt med finalitetsprincipen att personuppgifter behandlas för att lämnas ut till andra utländska myndigheter än just studiestödsmyndigheter. Detta eftersom det sannolikt innebär att uppgifterna har efterfrågats för ett syfte som helt saknar samband med studiestödsverksamheten, t.ex. för att ingå i en bedömning av om personen i fråga har rätt eller inte rätt till någon annan förmån eller liknande. Som CSN nämner är det i detta avseende också viktigt att myndigheten beaktar frågan om sekretess. Om sekretess gäller för uppgiften får, enligt 8 kap. 3 § offentlighets- och sekretesslagen (2009:400), uppgiften inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte utlämnande sker i enlighet med särskild föreskrift i lag eller förordning eller om uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. I detta sammanhang bör det också nämnas att det i kapitel V i dataskyddsförordningen finns särskilda bestämmelser som handlar om överföring av personuppgifter till tredjeländer eller internationella organisationer. Bland annat finns där bestämmelser om överföring på grundval av ett beslut om adekvat skyddsnivå (artikel 45), överföring som omfattas av lämpliga skyddsåtgärder (artikel 46) och undantag i enskilda situationer (artikel 49). Det innebär att om CSN planerar att överföra personuppgifter till myndigheter i stater som inte omfattas av dataskyddsförordningen be- Prop. 2019/20:113 höver CSN även beakta de bestämmelser som anges i detta kapitel. Vid vidarebehandling behöver CSN säkerställa att behandlingen är förenlig med dataskyddsförordningen De föreslagna ändringarna innebär att finalitetsprincipen kommer utgöra den yttersta ramen inom vilken personuppgifter får behandlas. Av skäl 50 till dataskyddsförordningen framgår också att vid behandling som inte hindras av finalitetsprincipen krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Även om det således inte krävs någon separat rättslig grund för sådan vidarebehandling kan det i detta sammanhang ändå förtjänas att påpekas att CSN inför varje vidarebehandling kommer behöva säkerställa att den tänkta behandlingen är förenlig med dataskyddsförordningen. Den personuppgiftsansvarige måste t.ex. enligt förordningen beakta såväl artikel 89.1, som rör skyddsåtgärder och undantag bl.a. för behandling av arkivändamål av allmänt intresse och statistiska ändamål, som övriga bestämmelser i dataskyddsförordningen. Det gäller bl.a. de grundläggande principerna i artikel 5 om uppgiftsminimering m.m., bestämmelser om behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser i artikel 9.2och 10 (se vidare avsnitt 6) och bestämmelserna i artikel 13.3 och 14.4 som innebär att de registrerade som huvudregel på förhand måste informeras om återanvändning av personuppgifter. 7Känsliga personuppgifter och personuppgifter om lagöverträdelser ska endast få vidarebehandlas om det är absolut nödvändigt Regeringens förslag: Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ska vara tillåten vid vidarebehandling i enlighet med finalitetsprincipen, dock endast om behandlingen är absolut nödvändig för syftet med behandlingen. Bestämmelsen i studiestödsdatalagen om när känsliga personuppgifter och personuppgifter får behandlas ska kompletteras med en hänvisning till dataskyddsförordningen. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. Promemorians förslag innehåller, till skillnad från regeringens förslag, ingen hänvisning till artikel i dataskyddsförordningen och har också en annan språklig utformning. Remissinstanserna: En majoritet av remissinstanserna tillstyrker förslaget eller har inget att invända mot det. Detta gäller Kammarrätten i , Förvaltningsrätten i , Justitiekanslern, , och . CSN är positiva till de föreslagna ändringarna och har i övrigt inga syn- punkter på förslaget. ningar mot förslaget och anför därtill att det är rimligt att CSN i vissa fall kan hantera känsliga personuppgifter om det är nödvändigt för myndighet- Endast Datainspektionen avstyrker förslaget. Myndigheten anför att det är förbjudet att behandla känsliga personuppgifter och att undantagen för tillåten behandling är uttömmande angivna i dataskyddsförordningen. slaget utgör ett ytterligare undantag som inte finns angivet i dataskydds- förordningen och det är oklart med vilket rättsligt stöd som behandlingen I bestämmelsen bör det hänvisas till artikel i dataskydds- förordningen eftersom det är den bestämmelsen som utgör det faktiska un- Som nämnts i avsnitt 3 har Datainspektionen och CSN även beretts till- fälle att yttra sig över utkast till lagrådsremiss, vars förslag överensstäm- mer med förslaget i rutan. CSN har inte haft några synpunkter. inspektionen har förtydligat och understrukit vad myndigheten har anfört i sitt remissvar. Skälen för regeringens förslag Allmänt om behandling av känsliga personuppgifter i dataskyddsförord- Om finalitetsprincipen ska utgöra den yttersta ramen inom vilken person- uppgifter får behandlas i studiestödsverksamheten har CSN föreslagit att myndigheten också ska ha rätt att vidarebehandla känsliga personuppgifter och personuppgifter om lagöverträdelser, men att denna rätt ska begränsas till att uteslutande avse fall där behandling av sådana uppgifter är absolut nödvändig för syftet med behandlingen. Som nämns i avsnitt 5.1 är det enligt artikel 9.1 i dataskyddsförordning- en förbjudet att behandla känsliga personuppgifter. rekt tillämplig och kräver inga åtgärder av medlemsstaterna. förordningens förbud ska dock enligt artikel 9.2 inte tillämpas om någon av de situationer som beskrivs i punkterna a–j föreligger. för medlemsstaterna att föreskriva ytterligare undantag från förbudet läm- Däremot får medlemsstaterna behålla eller införa mer specifika bestämmelser i fråga om behandling som sker med stöd av artikel 6.1 c (rättslig förpliktelse) och e (uppgift av allmänt intresse), även när det gäller känsliga personuppgifter (artikel 6.2 och skäl 10). Vissa av undantagen i artikel 9.2 innehåller också uttryckliga hänvisningar till och krav på inne- hållet i unionsrätten och medlemsstaternas nationella rätt. bestämmelserna i artikel (viktigt allmänt intresse) och artikel 9.2 j (statistiska ändamål). Både artikel och j innehåller krav på att behandlingen ska vara nödvändig på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestäm- melser om lämpliga och särskilda åtgärder för att säkerställa den registre- rades grundläggande rättigheter och intressen. aktualiseras både vid insamling av känsliga personuppgifter för de angivna ändamålen och vid vidarebehandling av känsliga personuppgifter för sådana ändamål. Behandling av personuppgifter om lagöverträdelser får enligt artikel 10 i dataskyddsförordningen utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Bedömningar i samband med att dataskyddsförordningen började gälla Enligt 6 § studiestödsdatalagen får känsliga personuppgifter behandlas i CSN:s studiestödsverksamhet för att handlägga ärenden, anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheten, lämnas ut till den registrerade själv, och regeringen samt i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra, och ge tillgång till vägledande avgöranden (om uppgifterna inte direkt pekar ut den registrerade). I propositionen Behandling av personuppgifter på utbildningsområdet (prop. 2017/18:218) gjorde regeringen bedömningen att studiestödsverksamheten är ett viktigt allmänt intresse och att CSN även fortsättningsvis ska få behandla känsliga personuppgifter och uppgifter om lagöverträdelser för vissa ändamål. Regeringen anförde att de specifika avgränsningar som gäller för behandlingen också uppfyller dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Mot denna bakgrund ansåg regeringen att CSN alltjämt ska ha möjlighet att behandla känsliga personuppgifter för de i studiestödsdatalagen angivna ändamålen (s. 174). I propositionen föreslogs en hänvisning till artikel 9.1 i dataskyddsförordningen införas i 6 § studiestödsdatalagen. Regeringen angav att även en hänvisning till skulle införas (s. 174 f.). Av förbiseende infördes dock inte den senare hänvisningen i det lagförslag som lämnades till . Re- geringen anser, i likhet med Datainspektionen att en sådan hänvisning nu bör införas. I samma proposition bedömde regeringen att CSN även i fortsättningen ska få behandla personuppgifter om lagöverträdelser för de ändamål som anges i studiestödsdatalagen. Av artikel 10 i dataskyddsförordningen följer att uppgifter om lagöverträdelser får behandlas om det sker under kontroll av myndighet, vilket enligt regeringens bedömning i propositionen Ny dataskyddslag innebär att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter som rör lagöverträdelser (samma prop. s. 187). Vilka skyddsbestämmelser gäller för studiestödsverksamheten? De specifika avgränsningar som gäller för behandlingen för att säkerställa den registrerades grundläggande rättigheter och intressen finns bl.a. i 8 och 9 §§ studiestödsdatalagen. I 8 § regleras förbud mot användning av vissa sökbegrepp och i 9 § regleras vad som ska gälla hos CSN avseende intern elektronisk tillgång till personuppgifter. I 10 § finns bestämmelser som anger att direktåtkomst till och annat elektroniskt utlämnande av personuppgifter som behandlas i CSN:s studiestödsverksamhet, bara är tillåtet i 2019/20:113 den utsträckning som anges i lag eller förordning och under förutsättning att 4, 6 och 8 §§ följs. Utöver bestämmelserna i studiestödsdatalagen finns också bestämmelser i offentlighets- och sekretesslagen. Där regleras bl.a. att sekretess gäller i ärende om studiestöd och i ärende hos CSN om körkortslån för uppgift om en enskilds personliga eller ekonomiska förhållanden, om det kan antas att den enskilde lider skada eller men om uppgiften röjs. I andra ärenden än sådana om studiestöd under sjukdom gäller sekretessen inte beslut i ärendet. För uppgift i en allmän handling gäller sekretessen i högst (28 kap. 9 § offentlighets- och sekretesslagen). Därutöver finns det i 21 kap. offentlighets- och sekretesslagen s.k. minimiskyddsbestämmelser, dvs. sekretessbestämmelser till skydd för uppgifter om enskilds personliga förhållanden som är tillämpliga oavsett i vilket sammanhang uppgifterna förekommer. Där finns t.ex. bestämmelser om sekretess för uppgifter som rör hälsa och sexualliv och för uppgifter om förföljda personer m.m. (21 kap. 1 och 3 §§ offentlighets- och sekretesslagen). Bestämmelserna i studiestödsdatalagen, som reglerar personuppgiftsbehandlingen i CSN:s interna verksamhet men också vilka uppgifter som får lämnas mellan CSN och andra myndigheter och på vilket sätt, samt regleringen om sekretess, innebär att kraven på proportionalitet samt lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen är uppfyllda enligt artikel och artikel 10 när CSN behandlar känsliga personuppgifter och uppgifter om lagöverträdelser för de ändamål som är tillåtna enligt studiestödsdatalagen. Vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ska vara tillåten endast om den är absolut nödvändig för syftet med behandlingen