prop · H703113 · 2020-03-17 00:00:00 — Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska dock inte anses vara oförenlig med de ursprungliga ändamålen (b). Uppgifterna ska också bl.a. vara adekvata och korrekta och får inte förvaras än vad som är nödvändigt (c, d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet, med användning av lämpliga tekniska eller organisatoriska åtgärder (f). Det är den personuppgiftsansvarige som ska ansvara för och kunna visa att artikel 5.1 efterlevs (artikel 5.2). Det måste alltid finnas en rättslig grund för personuppgiftsbehandling Dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på någon av de rättsliga grunder som räknas upp i artikel 6.1.Där anges att behandlingen är laglig bl.a. om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (e). När det gäller behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning måste det även finnas ett annat stöd i rättsordningen än det som ges i dataskyddsförordningen. I artikel 6.3 första stycket anges att den grund för behandlingen som bl.a. avses i artikel 6.1 e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. I artikel 6.3 andra stycket anges vidare att syftet med behandlingen ska fastställas i den rättsliga grunden eller ska, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. ändamålsbegränsningar och lagringstid. När det gäller vidarebehandling av personuppgifter anges i skäl 50 till dataskyddsförordningen att behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in endast bör vara tillåten när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Det är förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning (artikel 9.1). Sådana uppgifter benämns i dataskyddsförordningen särskilda kategorier av personuppgifter. I dataskyddslagen benämns de i stället känsliga personuppgifter (3 kap. 1 §). Förbudet ska dock inte tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Känsliga personuppgifter får också behandlas för statistiska ändamål på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 j). Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10). När det gäller gallring av personuppgifter är det främst bestämmelsen om lagringsminimering som är av intresse (artikel 5.1 e) som anger att personuppgifterna inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Därtill framgår att personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter. I tredje kapitlet i dataskyddsförordningen (artiklarna 12–23) anges den registrerades rättigheter i samband med att personuppgifter behandlas. Dessa rättigheter kan under vissa förutsättningar begränsas. I artikel 12 finns bestämmelser om klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter. I artikel 13 finns bestämmelser om information som ska tillhandahållas om personuppgifterna samlas in från den registrerade och i artikel 14 finns bestämmelser om information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Artikel 15 reglerar den registrerades rätt till tillgång, som huvudsakligen rör den registrerades rätt att av den personuppgiftsansvarige få bekräftelse på om personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och viss information. Artikel 16 och 17 reglerar rätten till rättelse respektive rätten till radering (”rätten att bli bort- glömd”). Rätten till begränsning av behandling regleras i artikel 18. I arti- Prop. 2019/20:113 kel 19 finns bestämmelser om anmälningsskyldighet avseende rättelse eller radering av personuppgifter och begränsning av behandling. Artikel 20 reglerar rätten till dataportabilitet, dvs. den registrerades rätt att under vissa förutsättningar få ut sina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format och sedan överföra dessa till en annan personuppgiftsansvarig. Artiklarna 21 och 22 reglerar rätten att göra invändningar respektive automatiserat individuellt beslutsfattande, inbegripet profilering. Av artikel 23.1 följer att såväl unionsrätten som en medlemsstats nationella rätt, under vissa angivna förutsättningar får begränsa tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12– 22 och 34 (information till den registrerade om en personuppgiftsincident), samt artikel 5 (principer för behandling av personuppgifter) i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. Som nämns i avsnitt 4.1 kompletteras dataskyddsförordningen av dataskyddslagen. Den lagen är dock subsidiär i förhållande till annan lagstiftning. Studiestödsdatalagen är den registerförfattning som tillämpas vid behandling av personuppgifter i CSN:s studiestödsverksamhet. Studiestödsverksamheten är en fastställd uppgift av allmänt intresse och ett viktigt allmänt intresse Studiestödsdatalagen har anpassats till dataskyddsförordningen. Enligt regeringens bedömning i propositionen Behandling av personuppgifter på utbildningsområdet (prop. 2017/18:218 s. 108 f.) är studiestödsverksamhet en i bl.a. studiestödslagen fastställd uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningen. Verksamheten utgör vidare ett viktigt allmänt intresse. Studiestödsdatalagen och studiestödsdataförordningen är sådana mer specifika bestämmelser om personuppgiftsbehandling som är tillåtna i nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen Ändamålen för behandling av personuppgifter är uttömmande reglerade I studiestödsdatalagen anges samtliga ändamål för vilka personuppgifter Där anges att personuppgifter får behandlas i CSN:s studie- stödsverksamhet bara om det behövs för att 1. handlägga ärenden i den verksamheten, 2. administrera handläggningen, 3. förbereda handlägg- ningen, 4. informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5. ta fram och distribuera bevis om studiestöd för studier till studerande, eller 6. anmäla oegentligheter inom studiestöds- verksamheten till ett offentligt organ som har att utreda eller beivra oegent- ligheterna (4 § första stycket). Personuppgifter som behandlas enligt 4 § första stycket får även behand- las genom att lämnas ut till den registrerade själv, och regerin- gen samt, i den utsträckning skyldighet för CSN att lämna uppgifter följer av lag eller förordning, till andra. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas för att ge tillgång till vägledande avgöranden (4 § andra stycket). Regeringen får enligt ett bemyndigande meddela föreskrifter om begränsningar av ändamålen i 4 § första stycket och om i vilka fall behandling får göras när det gäller att förbereda handläggningen. Vidare finns en upplysningsbestämmelse om att regeringen meddelar föreskrifter om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål (4 § tredje stycket). Regeringen har meddelat sådana föreskrifter i studiestödsdataförordningen (2009:321) när det gäller behandling av personuppgifter för förberedande handläggning av ärenden (3 och 4 §§), information om studiestödsförmåner och studiesociala förmåner (5 §) och framtagande och distribution av bevis om studiestöd för studier (6 §). När är behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser tillåten? Personuppgifter som avses i artikel 9.1 i dataskyddsförordningen (känsliga personuppgifter) och personuppgifter som avses i artikel 10 (personuppgifter om lagöverträdelser) får behandlas av CSN för att handlägga ärenden i studiestödsverksamheten, för att anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheterna samt för att lämnas ut till den registrerade själv, och regeringen samt i övrigt för ändamål som avses i 4 § andra stycket (6 §). Det finns bestämmelser om sökbegränsningar Studiestödsdatalagen innehåller vidare bestämmelser som reglerar begränsningar för användning av olika sökbegrepp (8 §). Det är förbjudet att använda sökbegrepp som avslöjar 1. känsliga personuppgifter, 2. personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning, 3. uppgifter som rör inkomst, förmögenhet eller anledning till studieavbrott, eller 4. uppgift om att det allmänna helt eller till en väsentlig del bekostat en persons uppehälle. Sökbegrepp som avslöjar sådana uppgifter får dock användas vid sökning i ett visst ärende om studiestöd, i en viss handling eller i en samling vägledande avgöranden. Sökbegrepp får också användas om de avslöjar uppgifter som rör 1. hälsa, om det är nödvändigt för att ge behörig personal elektronisk tillgång till pågående ärenden där sjukdom har betydelse, och 2. inkomst och förmögenhet, om det är nödvändigt för att ge behörig personal elektronisk tillgång till ärenden i syfte att kunna genomföra kontroller av uppgifter som har legat till grund för ett beslut i ett ärende. Den interna elektroniska tillgången till personuppgifter begränsas Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om villkoren för elektronisk tillgång till personuppgifterna för den som arbetar i CSN:s studiestödsverksamhet. Sådan tillgång ska begränsas till vad som behövs för att han eller hon ska kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten. CSN ska vidare se till att elektronisk tillgång till personuppgifter dokumenteras. Myndigheten ska också systematiskt och återkommande kontrollera om någon obehörig åt- komst till uppgifterna har förekommit. Regeringen eller den myndighet . 2019/20:113 som regeringen bestämmer får meddela ytterligare föreskrifter om doku- mentation och kontroll (9 §). Direktåtkomst och annat elektroniskt utlämnande Direktåtkomst till, och annat elektroniskt utlämnande av, personuppgifter som behandlas i CSN studiestödsverksamhet är tillåtet bara i den utsträckning som anges i lag eller förordning och under förutsättning att ändamålsbestämmelserna, bestämmelserna om när känsliga personuppgifter får behandlas och bestämmelserna om sökbegräsningar följs (10 §). Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de kan ha sådan betydelse (16 § första stycket). Personuppgifter som behandlas för att förbereda handläggningen ska, i den utsträckning de inte har tillförts ett ärende om studiestöd, gallras senast efter det att uppgifterna registrerades (16 § andra stycket). Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål, statistiska ändamål eller för redovisningsändamål, även om föreskrifterna kommer att avvika från första stycket. CSN får också, trots första stycket, i enstaka fall besluta att personuppgifterna i ett ärende om studiestöd ska bevaras på papper eller annat medium som inte är elektroniskt (16 § tredje stycket) 2019/20:113 6 Finalitetsprincipen ska utgöra den yttersta ramen för behandling av person- Regeringens förslag: Ändamålen för personuppgiftsbehandling i studiestödsdatalagen ska inte längre vara uttömmande reglerade. I lagen ska det i stället införas en bestämmelse som anger att personuppgifter som behandlas enligt ändamålsbestämmelserna i lagen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Regeringens bedömning: Tester som avser utveckling av befintlig eller ny it-infrastruktur är en administrativ uppgift som CSN behöver utföra för att kunna sköta studiestödsverksamheten. Uppgiften har ett sådant samband med CSN:s studiestödsverksamhet i övrigt att någon särskild ändamålsbestämmelse inte behövs för den verksamheten. Promemorians förslag och bedömning: Överensstämmer, utöver en mindre språklig skillnad, med regeringens förslag och bedömning. Remissinstanserna: En majoritet av remissinstanserna tillstyrker förslaget och bedömningen eller har inget att invända. Detta gäller Kammarrätten i , Förvaltningsrätten i , Justitiekanslern, , och . CSN är positiva till de föreslagna ändringarna och har i övrigt inga synpunkter på förslaget. har inga invändningar mot förslaget och anför därtill att införandet av finalitetsprincipen inte tycks medföra någon ökad risk för att personuppgifter hanteras på ett oacceptabelt sätt. Dels eftersom myndigheten inte ges någon rätt att behandla personuppgifter som den inte redan har rätt att behandla. Dels eftersom den personuppgiftsansvariges skyldigheter att skydda uppgifterna är oförändrade. Risken att någon obehörig får tillgång till uppgifterna tycks inte öka väsentligt av att de används inom myndighetens testverksamhet. Endast Datainspektionen avstyrker förslaget. Myndigheten anför att den reglering av finalitetsprincipen som föreslås i promemorian inte överensstämmer med ordalydelsen i dataskyddsförordningen. Den föreslagna regleringen är missvisande och svåröverskådlig vilket skulle kunna innebära en mer utvidgad vidarebehandling än vad dataskyddsförordningen ger stöd för. Datainspektionen framhåller också att det saknas en kartläggning av vilken personuppgiftsbehandling som CSN avser att utföra och de integritetsrisker som kan följa av förslaget. Bland annat finns det brister i angivandet av vilka personuppgifter och i vilken omfattning som behandlingen kommer att ske samt hur eventuella tillkommande ändamål förhåller sig till det ursprungliga ändamålet. Detta leder sammantaget till att det inte är möjligt att genomföra den proportionalitetsbedömning som krävs enligt dataskyddsförordningen. En sådan bedömning ska beakta om personuppgiftsbehandlingen är nödvändig för att uppnå det avsedda ändamålet, eller om det finns alternativ som är mindre integritetskänsliga samt om skyd- dande åtgärder krävs. När det gäller frågan om testverksamhet anför Data- Prop. 2019/20:113 inspektionen att ordet test är ett mycket vitt begrepp. Det innebär att det inte är möjligt att slå fast att testverksamhet alltid kan bedömas som en administrativ åtgärd som är tillåten. De krav som dataskyddsförordningen uppställer på bland annat öppenhet, uppgiftsminimering, riktighet, proportionalitet och säkerhet måste uppfyllas även vid testverksamhet. Som nämnts i avsnitt 3 har Datainspektionen och CSN även beretts till- fälle att yttra sig över ett utkast till lagrådsremiss vars förslag överens- stämmer med förslaget i rutan. CSN har inte haft några synpunkter. inspektionen har förtydligat och understrukit vad myndigheten har anfört i sitt remissvar. Skälen för regeringens förslag och bedömning Testverksamhet är generellt sett en sådan administrativ åtgärd som krävs för att CSN ska kunna utföra studiestödsverksamheten Av CSN:s skrivelse framgår att myndigheten är osäker på vilket rättsligt stöd som finns när det gäller utförande av testverksamhet av myndighetens it-system och vid nyutveckling av sådana system. att den därför gärna skulle se att sådan testverksamhet fördes upp som ett särskilt angivet ändamål i 4 § studiestödsdatalagen. För att personuppgifter ska få behandlas måste det, som tidigare nämnts, finnas en rättslig grund för behandlingen. När det gäller behandling enligt artikel 6.1 e, ska syftet med behandlingen vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.3 andra stycket). I propositionen Ny data- skyddslag (prop. 2017/18:105) anför regeringen bl.a., i fråga om den rätts- liga grunden allmänt intresse, att alla myndigheter, såväl statliga som kom- munala, vidtar en rad administrativa åtgärder som krävs för att myndig- heten ska fungera. Krav på myndigheterna att vidta sådana administrativa åtgärder kan framgå direkt eller indirekt av författning eller beslut. förekommer dock även att myndigheterna, för att fungera, behöver vidta administrativa åtgärder som varken direkt eller indirekt kan sägas följa av författning eller beslut. Om myndigheten inte fungerar kan den inte utföra sina fastställda uppgifter. Behandling av personuppgifter som utförs som ett led i sådana administrativa åtgärder som är nödvändiga för myndighe- tens förvaltning och funktion är därmed enligt regeringens uppfattning rättsligt grundad i dataskyddsförordningens mening. Det krävs alltså inte att de administrativa åtgärderna är fastställda i en- lighet med svensk rätt. Däremot måste de administrativa åtgärderna vara nödvändiga för att myndigheten ska kunna utföra sina uppgifter. uppgifter måste vara fastställda i enlighet med gällande rätt (s. 60 f.). CSN:s del är sådana rättsligt fastställda uppgifter t.ex. att handlägga ären- den i studiestödsverksamheten. Som framgår av avsnitt 4.3 har flera nya typer av studiestödsärenden tillkommit sedan studiestödslagen infördes. Detta innebär att CSN:s it-system kontinuerligt behöver byggas om för att de nya ärendetyperna ska kunna handläggas. I detta sammanhang kan det nämnas att dataskyddsförordningen i sig ställer höga krav på den personuppgiftsansvarige, som enligt artikel 5.2 ska ansvara för och kunna visa att de allmänna villkor som gäller för all 2019/20:113 personuppgiftsbehandling enligt artikel 5.1 efterlevs. Myndigheten har, som personuppgiftsansvarig, ansvar för att vidta åtgärder för att säkerställa säkerheten i de tekniska systemen. Av artikel 24.1. framgår bl.a. att den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Vidare finns det i artikel 32.1 bestämmelser om säkerhet i samband med behandlingen. Där anges bl.a. att med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Ett exempel på en sådan administrativ åtgärd inom vilken personuppgiftsbehandling är tillåten måste, i enlighet med vad som uttalas i de ovan angivna förarbetsuttalandena, kunna vara just när en myndighet, genom utförande av testverksamhet, säkerställer att den har väl fungerande itsystem för att i förlängningen kunna fullgöra de åligganden som vilar på myndigheten i dess verksamhet. För att CSN i studiestödsverksamheten, som är en uppgift av allmänt intresse, ska kunna handlägga ärenden och betala ut den ersättning som studerande har rätt till och säkerställa att systemstödet är effektivt också när det gäller återbetalning av studielån krävs att myndigheten har säkra och effektiva system för att kunna fullgöra denna uppgift. Något ytterligare författningsstöd krävs därför inte för att CSN ska kunna behandla personuppgifter för att testa dessa system. Några särskilda skäl att reglera testverksamheten i just studiestödsverksamheten har inte framkommit CSN har hänvisat till att en ändamålsbestämmelse för testverksamhet finns i utlänningsdatalagen. Registerförfattningar är dock utformade på olika sätt beroende på vilka villkor som gäller för respektive verksamhet. Denna typ av bestämmelse, dvs. behandling av personuppgifter för teständamål, är också något som normalt inte brukar regleras i särskilda registerförfattningar. Det följer, som nämns ovan, av att myndigheter generellt har en skyldighet att ha säkra tekniska lösningar för att kunna utföra de uppgifter som åligger dem. Av propositionen Utlänningsdatalag (prop. 2015/16:65) framgår dock bl.a. att de tester som utför krävs för att myndigheten ska kunna delta i det europeiska samarbetet. Det anges vidare att, när det gäller behandling av personuppgifter för att bedriva testverksamhet, det kan hävdas att sådan verksamhet måste anses ha ett sådant samband med verksamheten i övrigt att den inte skulle behöva regleras i en särskild ändamålsbestämmelse. Beträffande just testverksamheten inom ramen för utlännings- och medborgarskapslagstiftningen har dock regeringen gjort bedömningen att det bör införas en särskild ändamålsbestämmelse som reglerar den sortens verksamhet (s. 63 f.). Att testverksamhet inte behöver regleras som ett särskilt ändamål måste således anses vara en slags huvudprincip. Regeringen bedömer att det till skillnad från vad som gäller för utlännings- och medborgarskapslagstiftningen, inte har framkommit några sådana skäl som innebär att testverksamheten inom just studiestödsverksamheten skulle behöva regleras som ett särskilt ändamål. Den måste i stället, som nämns ovan, anses ha ett sådant tydligt och nära samband med verksamheten i övrigt, särskilt handläggningen av ärenden, att någon ändring inte behövs för att CSN ska ha rättsliga förutsättningar att kunna utföra personuppgiftsbehandling vid sådan verksamhet.