sou · H9B383 · 2021-10-26 00:00:00 — Det förekommer också, när uppgifter om vissa brottstyper enligt lag innebär ett absolut hinder vid den prövning som ska göras, att belastningsregisterutdraget endast innehåller en upplysning om huruvida den enskilde förekommer eller inte förekommer i registret för sådan brottslighet (13 a och 22 a §§ förordningen om belastningsregister och 3 kap. 1 § förordningen [2018:1231] om försäkringsdistribution, se En ny lag om försäkringsdistribution, prop. 2017/18:216, s. 196). Vilka personkategorier som kontrollen ska omfatta Från integritetssynpunkt är det av stor vikt att inte bara begränsa vilka uppgifter en belastningsregisterkontroll omfattar, utan även vilka personer som ska omfattas av kontrollen. Kontrollen bör alltså inte omfatta en större krets av personer än vad som är nödvändigt för att uppnå dess syfte. När författningsreglerad belastningskontroll sker inför anställning är det exempelvis i regel endast den som faktiskt erbjuds en anställning, inte samtliga arbetssökande, som får kontrolleras (se t.ex. prop. 1999/2000:123 s. 20; jfr också 7 § lagen om belastningsregister). Vem som ska begära ut uppgifterna En författningsreglerad belastningsregisterkontroll kan ske genom att den som ansvarar för kontrollen begär uppgifter ur belastningsregistret från eller genom att denne begär av den enskilde att få se ett utdrag ur registret. Vilken metod som väljs har betydelse för graden av integritetskränkning. Integritetskränkningen anses mindre när den enskilde själv får begära ut belastningsuppgifter från och sedan lämna in eller visa upp dessa, eftersom den enskilde då har kontroll över vilka uppgifter som lämnas ut (jfr t.ex. prop. 1999/2000:123 s. 25 f. och prop. 2017/18:216 s. 196). Utgångspunkter vid införande av eventuell belastningsregisterkontroll Som redogjorts för i avsnitt 7.5.3 får vissa myndigheter ha direktåtkomst till belastningsregistret, vilket innebär att myndigheten har en automatiserad tillgång till registret och därmed inte behöver vända sig till med en begäran om uppgifter. En sådan åtkomst till registret begränsas till de uppgifter myndigheten har en reglerad rätt att få ut. Det finns inte någon legaldefinition av begreppet direktåtkomst. Det som vanligtvis avses är att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. Enligt bör direktåtkomst anses föreligga om en myndighet hos en annan myndighet har sådan teknisk tillgång till upptagningar som avses i 2 kap. 6 § första stycket tryckfrihetsförordningen, dvs. om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (se Myndighetsdatalag, SOU 2015:39, s. 390 f.). använde i avgörandet HFD 2015 ref. 61, som avsåg utlämnande av uppgifter i form av upptagning mellan myndigheter, samma definition av direktåtkomst. I begreppet direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen saknar kontroll över vilka uppgifter som den som har direktåtkomst vid ett visst tillfälle tar del av. Vid tillgång till handlingar genom direktåtkomst anses handlingarna vara expedierade från den utlämnande myndigheten i den mening som avses i 2 kap. 10 § tryckfrihetsförordningen. Om den mottagande myndigheten faktiskt använder sig av tillgången har inte någon betydelse. Det innebär att handlingarna är att anse som förvarade och därmed också, som huvudregel, inkomna hos den mottagande myndigheten enligt 2 kap. 4 och 9 §§ tryckfrihetsförordningen. En registeruppgift som omfattas av direktåtkomst utgör därmed en allmän handling hos den mottagande myndigheten (se HFD 2011 ref. 52 och 2015 ref. 61; jfr även SOU 2015:39 s. 121 f. och 389 f.). Som vi redogjort för i avsnitt 7.4 gäller emellertid absolut sekretess för uppgifter i belastningsregistret i verksamhet som avser förande av eller uttag ur registret. Utgångspunkter vid införande av eventuell belastningsregisterkontroll Direktåtkomst till en annan myndighets uppgifter anses generellt sett öka riskerna för intrång i den personliga integriteten, eftersom en sådan åtkomst typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. Som framhållits innehåller ett belastningsregisterutdrag uppgifter som är av mycket känslig karaktär. Integritetsaspekterna är därför av central betydelse vid bedömningen av i vilken omfattning en myndighet bör medges direktåtkomst till registret. Vid denna avvägning är det nödvändigt att vissa aspekter hos den mottagande myndigheten beaktas, t.ex. sekretesskyddet för uppgifterna, hur uppgifterna sprids och används och om det finns ändamålsenliga bestämmelser om informationssäkerhet (jfr prop. 1997/98:97 s. 88 f. och Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 176 f.). 10.4.5Obligatorisk eller fakultativ belastningsregisterkontroll Belastningsregisterkontroll kan vara obligatorisk eller fakultativ. Med att kontrollen är obligatorisk avses att det finns en skyldighet att genomföra den, medan kontrollen är fakultativ om det är frivilligt för den som ansvarar för prövningen att ta del av uppgifterna i belastningsregistret. Det går inte att generellt slå fast om obligatorisk eller fakultativ kontroll medför störst integritetsintrång, utan detta kan sägas bero på om man beaktar det sammantagna integritetsintrånget eller varje enskilt sådant intrång. En möjlighet till belastningsregisterkontroll innebär inte ett lika stort integritetsintrång som en motsvarande skyldighet, eftersom antalet kontrollerade då blir färre. En obligatorisk kontroll kan emellertid uppfattas som mindre känslig av de som blir föremål för kontrollen, eftersom de enskilda i ett sådant fall inte riskerar att känna sig utpekade på grund av att man valt att kontrollera just dem. 10.4.6Hantering av inhämtade belastningsregisterutdrag När belastningsregisterkontroll görs har den kontrollerade ett intresse av att belastningsuppgifterna som inhämtats inte sprids i onödan eller används för andra ändamål än det som motiverade kontrollen. Från integritetsperspektiv är det därför av intresse om sekretess kommer Utgångspunkter vid införande av eventuell belastningsregisterkontroll att gälla för uppgifterna, och i så fall hur långtgående den är, i den verksamhet som de lämnats ut till. Dessutom måste beaktas hur länge uppgifterna kan komma att sparas i den mottagande verksamheten. Dataskyddslagstiftningen, som bl.a. syftar till att skydda den enskildes personliga integritet, motsvarar i många avseenden det integritetsskydd som har behandlats i avsnitt 10.4. Behandlingen av uppgifter från belastningsregistret behöver dock särskilt analyseras i förhållande till reglerna om dataskydd. Vi inleder med att redogöra för vilka dataskyddsregelverk som blir tillämpliga vid eventuell belastningsregisterkontroll av högskolestudenter (avsnitt 10.5.2) samt i vilken utsträckning en sådan kontroll skulle innebära personuppgiftsbehandling som omfattas av dataskyddsbestämmelserna (avsnitt 10.5.3). Vi behandlar även kravet på rättslig grund för personuppgiftsbehandlingen (avsnitt 10.5.4), den särskilda regleringen av personuppgifter som rör lagöverträdelser (avsnitt 10.5.5) samt de övriga krav som ställs på den personuppgiftsansvarige (avsnitt 10.5.6). Som redogjorts för i avsnitt 7.3 har belastningsregistret flera ändamål. I dataskyddsrättslig mening anses emellertid förandet av registret primärt ske för de syften som anges i 2 § första stycket 1–3 lagen om belastningsregister. Dessa syften är sådana som omfattas av brottsdatalagen (2018:1177), nämligen att förebygga, förhindra eller upptäcka brottslig verksamhet samt att utreda eller lagföra brott. Den behandling av personuppgifter som utför för att samla in uppgifter och sedan bevara dem i belastningsregistret omfattas därför av brottsdatalagens tillämpningsområde, liksom den behandling som sker för utlämnande av uppgifter från registret för sådana ändamål (se Personuppgiftsbehandling i viss verksamhet som rör allmän ordning och säkerhet – anpassningar till EU:s dataskyddsreform, prop. 2018/19:65, s. 90). Utgångspunkter vid införande av eventuell belastningsregisterkontroll Den behandling av personuppgifter som utför för utlämnande ur belastningsregistret i syfte att ge underlag för olika tillstånds- och lämplighetsprövningar, dvs. med stöd av 2 § första stycket 4 lagen om belastningsregister, har emellertid inte ansetts omfattas av brottsdatalagens tillämpningsområde, utan av dataskyddsförordningens (se prop. 2018/19:65 s. 90 med hänvisningar). En bedömning som i förlängningen innebär att även den behandling av uppgifterna ur belastningsregistret som sker hos mottagaren, dvs. den som ansvarar för prövningen, om uppgifterna skulle lämnas ut för prövning inför antagning till högskolestudier eller verksamhetsförlagd utbildning omfattas av dataskyddsförordningens tillämpningsområde. Syftet med mottagarens behandling av uppgifterna är ju detsamma som med behandling för utlämnandet. Även om en prövning av studenter inför antagning eller verksamhetsförlagd utbildning i vid mening ytterst skulle syfta till att förebygga brott rör det sig helt enkelt inte om brottsbekämpning i brottsdatalagens snävare mening (se Brottsdatalag, prop. 2017/18:232, s. 93 f. och 429 ff.). Den behandling av personuppgifter ur belastningsregistret som framför allt är av intresse för vårt uppdrag – dvs. dels den behandling som utför för utlämnande ur registret för eventuell prövning inför antagning till högskolestudier eller verksamhetsförlagd utbildning, dels den behandling som sker hos mottagaren av uppgifterna – är alltså sådan att den omfattas av dataskyddsförordningens tillämpningsområde. Dataskyddsförordningen är tillämplig på sådan behandling av personuppgifter som helt eller delvis sker på automatisk väg och på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). Om uppgifter ur belastningsregistret för prövning inför antagning eller verksamhetsförlagd utbildning förs över på elektronisk väg till den som ansvarar för prövningen, t.ex. vid direktåtkomst, omfattas mottagarens behandling av uppgifterna alltså av dataskyddsregleringen. Detsamma gäller när uppgifterna i någon form behandlas på automatisk väg, exempelvis genom att föras in i mottagarens datasystem, även om de mottagits i pappersform. Utgångspunkter vid införande av eventuell belastningsregisterkontroll Om mottagaren tar emot uppgifterna ur belastningsregistret i pappersform, antingen direkt från eller genom att studenten själv lämnar in eller visar upp ett utdrag, är det emellertid inte givet att dataskyddsregleringen blir tillämplig om uppgifterna aldrig behandlas på automatisk väg. Avgörande blir då om de ingår i eller kommer att ingå i ett register. Med register avses en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden (artikel 4.6). har i en dom (mål C-25/17 ang. förhandsbesked från i ), prövat innebörden av begreppet register i artikel 2 c i det tidigare gällande dataskyddsdirektivet . Enligt måste inte personuppgifterna ingå i särskilda kartotek eller förteckningar eller någon form av sökbart system för att vara ett register i den mening som avses i direktivet. Domstolen menade att det avgörande i stället är om de insamlade uppgifterna strukturerats enligt kriterier som är knutna till syftet med insamlingen av uppgifterna och om kriterierna har valts ut på ett sådant sätt att information om en bestämd person kan erhållas med lätthet. Domstolen kom därmed fram till att med begreppet register avses en samling personuppgifter när dessa i praktiken kan erhållas med lätthet för senare användning och att samlingen inte behöver innehålla register, särskilda förteckningar eller andra arrangemang för sökning för att omfattas av begreppet. Definitionen av register är densamma i dataskyddsförordningen som dataskyddsdirektiv och det finns inget som talar för att innebörden av begreppet skulle vara en annan (, Dataskyddsförordningen (GDPR) m.m., 1A, kommentaren till artikel 2.1). Det finns därför anledning att anta att EU- domstolens uttalanden om register innebär att dataskyddslagstiftningen kommer att tillämpas på fler strukturerade uppgiftssamlingar än vad som har skett. behandling i dataskyddslagstiftningens mening har tidigare ofta tolkats på så sätt att det krävs att personuppgifterna är tillgängliga för sökning eller sammanställning genom något särskilt arrangemang för sökning, t.ex. i form av register eller sökmarkörer, och att registret måste vara sökbart på mer än ett kriterium, t.ex. namn och personnummer (jfr Integritet, Offentlighet, Informationsteknik, SOU 1997:39, s. 339 f., RÅ 2001 ref. 35 och Utgångspunkter vid införande av eventuell belastningsregisterkontroll m.fl., Personuppgiftslagen, 4C, kommentaren till 5 §). Dessa krav framgår inte av dom. I enlighet med detta torde det främst vara i fall då mottagaren endast tar emot uppgifterna från belastningsregistret genom att ett utdrag visas upp av studenten, utan att innehållet i detta sedan dokumenteras, som dataskyddsregleringen inte blir tillämplig på behandlingen av uppgifterna. Om utdragen lämnas in eller uppgifterna i dessa dokumenteras, även om det inte sker på automatiserad väg, ligger det däremot nära till hands att anse att uppgifterna ingår i ett register och att dataskyddsförordningen alltså är tillämplig. 10.5.4Rättslig grund för personuppgiftsbehandlingen Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I dataskyddsförordningen räknas dessa rättsliga grunder upp i artikel 6.1. Behandling av personuppgifter är enligt denna bestämmelse endast laglig om och i den mån som åtminstone ett av de villkor som räknas upp i bestämmelsen är uppfyllt. De olika villkoren är i viss mån överlappande och kan därför vara tillämpliga avseende en och samma behandling. Eventuell belastningsregisterkontroll inför antagning till högskolestudier skulle utföras av en eller flera myndigheter, medan eventuell kontroll inför verksamhetsförlagd utbildning skulle kunna utföras av såväl myndigheter som enskilda beroende på i vilken verksamhet som utbildningen ska genomföras och vilken ordning som föreslås. Den behandling av personuppgifter som myndigheter utför sker huvudsakligen med stöd av de rättsliga grunder som kommer till uttryck i artikel 6.1 c eller e, vilka enligt artikel 6.3 första stycket ska fastställas i enlighet med unionsrätten eller nationell rätt. I normalfallet utgör en myndighets uppdrag enligt författning, instruktion eller regleringsbrev en rättslig grund för behandling av personuppgifter enligt artikel 6.1 e (Ny dataskyddslag, prop. 2017/18:105, s. 53 f.). Enligt nämnda artikel gäller att behandlingen är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. All verksamhet som myndigheter bedriver, inom ramen för sin befogenhet, anses vara av allmänt intresse och även privata aktörer kan utföra uppgifter Utgångspunkter vid införande av eventuell belastningsregisterkontroll av allmänt intresse (prop. 2017/18:105 s. 56–59). Av 2 kap. 2 § 1 lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) följer att en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning utgör en rättslig grund för behandling av personuppgifter. Tydliga uppdrag att behandla personuppgifter i författning, exempelvis en myndighets instruktion, kan dock också utgöra en rättslig förpliktelse. Enligt artikel 6.1 c är personuppgiftsbehandling laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Begreppet omfattar i första hand offentligrättsliga förpliktelser och av 2 kap. 1 § dataskyddslagen följer att en förpliktelse utgör en rättslig grund för behandling av personuppgifter om förpliktelsen följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Gemensamt för artikel 6.1 c och e är att personuppgiftsbehandlingen ska vara nödvändig i förhållande till den rättsliga grunden för att vara laglig. Detta innebär inte att det måste vara omöjligt att utföra en uppgift utan att behandla personuppgifter, utan det är tillräckligt att personuppgiftsbehandlingen bidrar till effektivitetsvinster. På motsvarande sätt bör det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag (prop. 2017/18:105 s. 46 f.). Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen är tillämplig, omgärdas varje behandling av personuppgifter också av andra krav. Principerna för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i dataskyddsförordningen. Den första principen som läggs fast i artikel 5.1 är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (led a). Vidare ska personuppgifterna samlas in för särskilda, uttryckligt angivna och berättigade ändamål och de får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (led b). Uppgifterna ska även bl.a. vara adekvata och riktiga och får inte förvaras än vad som är nödvändigt (leden c, Utgångspunkter vid införande av eventuell belastningsregisterkontroll d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet (led f). Artiklarna 5 och 6 i dataskyddsförordningen är grundläggande och kumulativa. Dels måste någon av de rättsliga grunder som anges i artikel 6.1 vara tillämplig, dels måste samtliga principer i artikel 5.1 följas. 10.5.5Behandling av personuppgifter som rör lagöverträdelser I detta sammanhang måste även regleringen i artikel 10 i dataskyddsförordningen om behandling av personuppgifter som rör lagöverträdelser (enligt förordningen ”fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder”) beaktas. Sådan behandling av uppgifter får enligt bestämmelsen endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. I 3 kap. 8 § första stycket dataskyddslagen har förtydligats att detta innebär att myndigheter får behandla den typen av uppgifter. Regeringen eller den myndighet regeringen bestämmer kan dessutom, enligt 3 kap. 9 § första stycket dataskyddslagen, föreskriva att andra än myndigheter får behandla personuppgifter som rör lagöverträdelser. Enligt 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning får personuppgifter som rör lagöverträdelser behandlas av andra än myndigheter om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras eller en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. En privat aktör som har en författningsreglerad skyldighet att utföra belastningsregisterkontroll, exempelvis inför verksamhetsförlag utbildning, har alltså rätt att behandla personuppgifter som rör lagöverträdelser enligt dataskyddslagstiftningen. 10.5.6Övriga krav på den personuppgiftsansvarige Förutom de grundläggande kraven på rättslig grund och de allmänna principerna för behandling av personuppgifter i artikel 5.1 följer av dataskyddsförordningen en rad andra krav på den personuppgifts- Utgångspunkter vid införande av eventuell belastningsregisterkontroll Denne ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen, liksom lämpliga strategier för dataskydd (artikel 24). Den personuppgiftsansvarige är också skyldig att följa principerna om inbyggt dataskydd och dataskydd som standard (artikel 25) samt att föra register över den personuppgiftsbehandling som utförs (artikel 30). Dessutom ställs en rad säkerhetskrav på den personuppgiftsansvarige (artikel 32). Innan den nya personuppgiftsbehandlingen inleds kan det också ställas krav på en konsekvensbedömning (artikel 35), med eventuellt efterföljande samråd med (artikel 36). Gemensamt för merparten av dessa bestämmelser är att nivån på kraven anpassas till arten och omfattningen av den aktuella personuppgiftsbehandlingen, vilket sammanhang den sker i och vilket ändamål samt vilka risker den innebär för fysiska personers rättigheter och friheter. Eventuell belastningsregisterkontroll i samband med antagning till högskolestudier skulle med nödvändighet behöva omfatta en stor mängd sökande och röra en kategori av personuppgifter, om lagöverträdelser, som kräver särskild aktsamhet. Får en myndighet tillgång till belastningsuppgifter för prövning inför högskoleantagning så kommer det alltså att ställas höga krav på denna. 11Belastningsregisterkontroll som en förutsättning för att bli antagen I vårt uppdrag ingår att ta ställning till om belastningsregisterkontroll bör ligga till grund för antagning till vissa utbildningar vid statliga högskolor och universitet. Om så är fallet ska vi även föreslå hur ett system med belastningsregisterkontroll ska utformas. Såväl skyddsaspekter som integritetsaspekter ska beaktas i vår analys. I detta kapitel redogör vi inledningsvis för våra bedömningar av på vilka utbildningsområden det finns skäl att införa belastningsregisterkontroll vid antagning till statliga lärosäten. viförslag angående utformningen av ett system med sådan kontroll. I den delen redovisar vi även våra överväganden i fråga om bl.a. vilka utbildningar som bör omfattas och vilka brott som belastningsregisterkontrollen bör avse. Slutligen redogör vi för våra bedömningar gällande sekretess och dataskydd. 11.2Det finns skäl att införa belastningsregisterkontroll i samband med antagning till vissa högskoleutbildningar Utredningens bedömning: Det finns skäl att införa belastningsregisterkontroll i samband med antagningen till vissa högskoleutbildningar som leder till yrken inom skolan eller hälso- och sjukvården. Belastningsregisterkontroll som en förutsättning för att bli antagen Skälen för utredningens bedömning Inom vilka utbildningsområden bör belastningsregisterkontroll inför antagning övervägas? Vi ska, enligt utredningsdirektiven, ta ställning till om belastningsregisterkontroll bör ligga till grund för antagning till vissa högskoleutbildningar. I direktiven pekas lärarutbildningar och hälso- och sjukvårdsutbildningar ut som särskilt relevanta. Den närmare avgränsningen av vilka högskoleutbildningar som bör omfattas överlämnas dock till utredningen att bestämma. En belastningsregisterkontroll i samband med antagning till högskolan innebär, som framgår av avsnitt 10.2, både en integritetskränkning och en viss begränsning av enskildas möjligheter till återanpassning i samhället. Det senare inte bara genom att den som avtjänat sitt straff inte kan studera på samma villkor som alla andra, utan även genom att hen i förlängningen hindras från att arbeta inom ett visst yrke. Det finns alltså starka skäl mot att införa en sådan kontroll.