sou · H9B383 · 2021-10-26 00:00:00 — Utredningens bedömning: Det bör inte införas några bestämmelser om sekretess för uppgifter om att en sökande förekommer i belastningsregistret avseende vissa brott. Genom utformningen av våra förslag är uppgifterna om förekomst i belastningsregistret tillräckligt skyddade. Skälen för utredningens bedömning: I våra direktiv anges att belastningsregistret innehåller känsliga uppgifter om enskilda, för vilka gäller absolut sekretess, och att dessa uppgifter behöver skyddas hos de aktörer som eventuellt ges rätt att ta del av dem. Vi ska därför, enligt direktiven, ta ställning till hur uppgifterna ur belastningsregistret ska kunna skyddas hos de aktörer som eventuellt ges rätt att ta del av dessa. I avsnitt 11.5 har vi föreslagit att UHR samt universitet och högskolor – för den belastningsregisterkontroll av sökande som de ska göra – ska få tillgång till uppgifter ur belastningsregistret om huruvida en enskild förekommer eller inte förekommer för relevant brottslighet. Den absoluta sekretessen för uppgifter i belastningsregistret gäller i verksamhet som avser förande av eller uttag ur registret (35 kap. 3 § offentlighets- och sekretesslagen [2009:400]). Sekretessens räckvidd begränsas genom detta till den registerförande myndigheten (dvs. ) och myndigheter med direktåtkomst så länge upp- Belastningsregisterkontroll som en förutsättning för att bli antagen giften är kvar i registret. Sekretessbestämmelsen är däremot inte tilllämplig när ett lärosäte eller UHR får en uppgift ur registret för att använda den i sin egen verksamhet. Då blir den sekretess som kan gälla i denna verksamhet i stället tillämplig (Effektivare handläggning av strafförelägganden m.m., prop. 1999/2000:67, s. 25 f., prop. 2009/10:210 s. 161 f. och m.fl., Offentlighets- och sekretesslagen, 23, kommentaren till 35 kap. 3 §). Bestämmelsen om absolut sekretess i 35 kap. 3 § offentlighets- och sekretesslagen blir alltså aldrig tillämplig för UHR eller universitet och högskolor, eftersom de inte har direktåtkomst till belastningsregistret. Därmed uppstår frågan om uppgifter om huruvida sökande förekommer eller inte förkommer för relevant brottslighet kan omfattas av sekretess i UHR:s eller lärosätenas verksamhet. I 23 kap. 5 § offentlighets- och sekretesslagen finns bestämmelser om sekretess till skydd för enskild i utbildningsverksamhet m.m. Av paragrafens första stycke framgår att sekretess gäller i bl.a. högskoleverksamhet för uppgift som hänför sig till psykologisk undersökning eller behandling och för uppgift om en enskilds personliga förhållanden hos psykolog, kurator eller hos studie- och yrkesvägledningen, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Som framgår är sekretessen enligt denna bestämmelse begränsad till viss verksamhet och gäller alltså inte vid t.ex. antagning. Av paragrafens andra stycke framgår att sekretess gäller i bl.a. högskoleverksamhet i annat fall än som avses i första stycket och hos UHR i verksamhet som avser biträde vid antagning av studenter för uppgift om en enskilds identitet, adress och andra liknande uppgifter om en enskilds personliga förhållanden, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. Sekretessen i detta stycke gör det bl.a. möjligt att vid befarad personförföljelse och andra former av trakasserier sekretessbelägga uppgifter som rör enskildas identitet, adress och andra liknande uppgifter (Skydd för förföljda personer, samordningsnummer, m.m., prop. 1997/98:9, och m.fl., Offentlighets- och sekretesslagen, 23, kommentaren till 23 kap. 2 och 5 §§). Bestämmelserna i 23 kap. 5 § första och andra styckena offentlighets- och sekretesslagen torde inte bli tillämpliga på lärosätenas eller UHR:s uppgifter om förekomst i belastningsregistret. Det finns inte heller i övrigt några sekretessbestämmelser Belastningsregisterkontroll som en förutsättning för att bli antagen som kan bli tillämpliga på dessa uppgifter i lärosätenas eller UHR:s verksamheter. Frågan uppkommer därför om det finns anledning att införa sekretess för UHR:s och lärosätenas uppgifter om sökandes förekomst i belastningsregistret. En sekretessbestämmelse med skaderekvisit, även om det skulle vara ett s.k. omvänt skaderekvisit, skulle emellertid inte ge något reellt skydd för uppgifterna. Förekommer sökanden inte i belastningsregistret kommer det nämligen alltid stå klart att denne inte lider skada om uppgiften lämnas ut. Om någon begär att få ta del av uppgifter om förekomst i belastningsregistret och nekas detta på grund av sekretess, kan den som begär att få ta del av uppgifterna därför dra slutsatsen att den berörda personen förekommer för relevant brottslighet. Att i stället införa absolut sekretess skulle till synes kunna ge ett fullgott skydd för uppgifter om förekomst i belastningsregistret. Enligt vår mening finns det dock inte tillräckliga skäl att införa sådan sekretess i den typ av ärenden det nu är fråga om. Av 1 kap. 4 a § högskoleförordningen framgår i och för sig att förvaltningslagens regler om motivering av beslut inte behöver tillämpas av universitet och högskolor i den här typen av ärenden. , som under utredningen getts tillfälle att lämna synpunkter på utredningens förslag, har dock anfört att det är viktigt att en sökande som inte antas informeras om anledningen, så att det tydliggörs att denne nekas antagning på grund av förekomst i belastningsregistret för vissa brott och inte av andra skäl. Vi ansluter oss till den uppfattningen. Uppgifter om förekomst i belastningsregistret bör alltså i normalfallet anges i skälen för beslut om att neka antagning till de aktuella utbildningarna. Den absoluta sekretessen kan då enkelt kringgås, genom att man i stället begär ut beslutet om nekad antagning. Vi gör således bedömningen att en bestämmelse om absolut sekretess riskerar att bli verkningslös och därför inte bör införas. Våra direktiv begränsar oss dock inte till skydd av uppgifterna i form av sekretess utan lämnar i stället öppet för andra skyddsåtgärder. En viktig begränsning i våra förslag – som minimerar utlämnandet av uppgifter ur belastningsregistret – är att UHR och lärosätena endast får del av uppgifter ur belastningsregistret om eventuell förekomst i belastningsregistret för relevant brottslighet. De får alltså inte del av uppgifter om specifika brott. En annan begränsning i våra förslag är att det endast är sökande som ska erbjudas en studieplats som Belastningsregisterkontroll som en förutsättning för att bli antagen Det är alltså inte fråga om att alla sökande ska kontrolleras, utan bara de som ska erbjudas en plats på den aktuella utbildningen. Även detta förslag minimerar utlämnandet av uppgifter ur belastningsregistret. Genom dessa åtgärder anser vi att uppgifterna om förekomst i belastningsregistret är tillräckligt skyddade. Några ytterligare skyddsåtgärder är enligt vår mening inte nödvändiga. Utredningens bedömning: Förslaget om belastningsregisterkontroll i samband med antagning till vissa högskoleutbildningar kräver inte några ändringar i dataskyddslagstiftningen. En förutsättning för att förslaget ska kunna genomföras är att det praktiskt säkerställs att inga enskilda utbildningsanordnare får tillgång till uppgifter ur antagnings- eller studieregister om att någon sökande nekats antagning på grund av förekomst i belastningsregistret. I annat fall kommer genomförandet att stå i strid med dataskyddsförordningen. Det finns ett angeläget behov av en generell översyn av förordningen om redovisning av studier m.m. vid universitet och högskolor. Skälen för utredningens bedömning Behandling av personuppgifter för genomförandet av antagningskontroll Den nu föreslagna belastningsregisterkontrollen i samband med antagning till vissa lärarutbildningar och hälso- och sjukvårdsutbildningar innebär att viss personuppgiftsbehandling på automatisk väg, som inte utförs , blir nödvändig. Det rör sig dels om sådan behandling av belastningsregisteruppgifter som kan behöva utföra för utlämnande till UHR och lärosätena, dels sådan behandling av de utlämnade uppgifterna som UHR och lärosätena behöver utföra för prövningen av de sökande. I enlighet med vad som angetts i avsnitt 10.5.2 kommer såväl behandling för utlämnande som UHR:s och lärosätenas behandling för prövningen vara sådan att den omfattas av dataskyddsförordningens tillämpningsområde. Som framgår av avsnitt 10.5.4 Belastningsregisterkontroll som en förutsättning för att bli antagen krävs, för att den ska vara tillåten, att personuppgiftsbehandlingen har en rättslig grund enligt artikel 6.1 i dataskyddsförordningen. Den behandling som kommer att utföra för utlämnande blir nödvändig för att myndigheten ska kunna fullgöra en rättslig förpliktelse som följer av författning – dvs. av den föreslagna bestämmelsen i § förordningen om belastningsregister. Behandlingen är därför tillåten enligt artikel 6.1 c och 6.3 i dataskyddsförordningen. Eftersom UHR anlitas av lärosätena för att biträda vid antagningen kan den behandling av uppgifter från belastningsregistret som myndigheten kommer att utföra inte sägas vara nödvändig för att fullgöra en rättslig förpliktelse i dataskyddsförordningens mening. I stället blir det fråga om behandling som är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e. Regeringen har i samband med genomförandet av EU:s dataskyddsreform nämligen gjort bedömningen att verksamhet – inklusive uppdragsverksamhet – som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är av allmänt intresse och dessutom har stöd i rättsordningen på sådant sätt som krävs enligt artikel 6.3 (Ny dataskyddslag, prop. 2017/18:105, s. 55 ff.; se även 2 kap. 2 § 1 dataskyddslagen samt Behandling av personuppgifter på utbildningsområdet, prop. 2017/ 18:218, s. 39 f.). På motsvarande sätt blir även den behandling som lärosätena kommer att utföra nödvändig för att utföra en uppgift av allmänt intresse. Den personuppgiftsbehandling som myndigheterna kommer att utföra för genomförandet av belastningsregisterkontrollerna uppfyller alltså kravet på rättslig grund i artikel 6. Som utvecklats i avsnitt 10.5.5 gäller därutöver särskilda krav i artikel 10 för att personuppgifter som rör lagöverträdelser ska få behandlas. Eftersom det endast är myndigheter som kommer att behandla uppgifterna ur belastningsregistret i samband med antagningskontrollen är även dessa krav uppfyllda (3 kap. 8 § första stycket dataskyddslagen). Behandling av personuppgifter efter antagningskontroll I förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor (redovisningsförordningen) föreskrivs att UHR får föra ett antagningsregister (4 kap. 1 § första stycket), vilket myndigheten också gör. Ändamålet med antagningsregistret är att Belastningsregisterkontroll som en förutsättning för att bli antagen vara till hjälp för högskolor vid antagning av studenter. Uppgifterna får också användas för visst utlämnande, för viss officiell statistik och för forskning (4 kap. 1 § andra stycket). Uppgifterna i registret får omfatta bl.a. behörighet, urvalsgrund och antagning (4 kap. 2 §). Enligt redovisningsförordningen får UHR alltså, efter att antagning nekats på grund av att en sökande förekommer i belastningsregistret avseende viss brottslighet, dokumentera den nekade antagningen i antagningsregistret. Eftersom det inte finns någon skyldighet att föra ett antagningsregister kommer UHR:s behandling för att föra in, och sedan bevara, sådana uppgifter i registret inte vara nödvändig för att fullgöra någon rättslig förpliktelse. Förandet av antagningsregistret är emellertid en i svensk rätt fastställd uppgift av allmänt intresse, varför det finns rättslig grund för behandlingen enligt artikel 6.1 e (för en mer ingående genomgång av frågan om rättslig grund för UHR, se EU:s dataskyddsförordning och utbildningsområdet, SOU 2017:49, s. 254 ff.). Även om det inte behöver vara den uttagna uppgiften från belastningsregistret som sådan som dokumenteras, så kan det i antagningsregistret alltså komma att föras in anteckningar om att sökande nekats antagning på grund av förekomst i belastningsregistret. Eftersom det av sådana anteckningar går att dra slutsatsen att sökanden dömts för något av de brott som belastningsregisterkontrollen omfattar är det fråga om personuppgifter som rör lagöverträdelser enligt artikel 10 i dataskyddsförordningen. UHR är en myndighet och dess behandling av uppgifterna uppfyller därför de särskilda kraven för att få behandla sådana uppgifter. I 4 kap. 6 § redovisningsförordningen finns bestämmelser om gallring av antagningsregistret. Enligt dessa ska uppgifter om en student i antagningsregistret gallras efter det att uppgifterna senast har påförts. I tidigare betänkande har gjorts bedömningen att gallringsbestämmelsen är förenlig med dataskyddsförordningen (SOU 2017:49 s. 280.). Vi delar den bedömningen och konstaterar dessutom att det inte finns skäl att göra ändringar i bestämmelsen med anledning av att registret kan komma att innehålla vissa anteckningar om att sökande nekats antagning på grund av förekomst i belastningsregistret. Det måste också uppmärksammas att redovisningsförordningen även innehåller bestämmelser om att uppgifter ur antagningsregistret i vissa fall får lämnas ut på medium för automatiserad behandling eller genom direktåtkomst (4 kap. 4 och 5 §§). Belastningsregisterkontroll som en förutsättning för att bli antagen serna innebär att sådant utlämnande får ske till enskilda. Enskilda får emellertid endast behandla personuppgifter som rör lagöverträdelser om det är nödvändigt för att kunna följa föreskrifter om arkiv eller om regeringen, eller myndighet som bemyndigats av regeringen, meddelat föreskrifter som tillåter detta alternativt beslutat att sådan behandling är tillåten i ett enskilt fall (3 kap. 8 § andra stycket och 9 § dataskyddslagen). Eftersom inga av dessa undantag är aktuella beträffande eventuella anteckningar om nekad antagning på grund av förekomst i belastningsregistret är de bestämmelser som tillåter utlämnande till enskilda av uppgifter ur registret på medium för automatiserad behandling eller genom direktåtkomst inte förenliga med dataskyddsregleringen, om de innebär att sådana anteckningar får lämnas ut. Detta såvida inte den enskilde mottagarens behandling av uppgifterna kommer att vara av rent privat natur, eftersom dataskyddsförordningen då inte alls blir tillämplig på behandlingen (artikel 2.2 c i dataskyddsförordningen). Från antagningsregistret får uppgifter på medium för automatiserad behandling lämnas ut till en högskola (4 kap. 4 § 1). Det är inte helt klart om detta omfattar s.k. enskilda utbildningsanordnare (jfr 1 kap. 1 § första stycket 1). Bestämmelsen avser emellertid endast utlämnande om uppgifterna rör behörighet och underlag för urval eller studiemeriter som en student vill tillgodoräkna sig eller åberopa i samband med antagning till en utbildning eller utfärdande av examen, eller om uppgifterna rör skyldighet att betala anmälningsavgift och studieavgift eller uppgift om betald sådan avgift. Villkoret att sökande till vissa utbildningar inte får förekomma i belastningsregistret avseende vissa brott är inte ett behörighetskrav och uppgifter om eventuell förekomst utgör inte underlag för urval (se avsnitt 11.7). Sådana uppgifter rör inte heller studiemeriter och har inget med avgiftsskyldighet eller betalda avgifter att göra. Bestämmelsen tillåter därför inte utlämnande av eventuella uppgifter om nekad antagning på grund av förekomst i belastningsregistret. Uppgifter på medium för automatiserad behandling får också lämnas ut från antagningsregistret till en student, om uppgifterna rör honom eller henne själv (4 kap. 4 § 4). Sådana uppgifter kan visserligen röra förekomst i belastningsregistret, men eftersom den mottagande studentens behandling av dessa kommer att vara av rent privat natur blir dataskyddsförordningen inte tillämplig på denna. Detsamma gäller den bestämmelse som säger att den registrerade får ha Belastningsregisterkontroll som en förutsättning för att bli antagen direktåtkomst till sådana personuppgifter om sig själv i antagningsregistret som får lämnas ut till henne eller honom (4 kap. 5 §). Detta innebär att ingen av redovisningsförordningens bestämmelser om utlämnande av uppgifter från antagningsregistret på medium för automatiserad behandling eller genom direktåtkomst står i strid med det dataskyddsrättsliga förbudet för enskilda att behandla personuppgifter som rör lagöverträdelser. Det ska slutligen nämnas att redovisningsförordningen även innehåller bestämmelser om att varje högskola ska föra ett studieregister som bl.a. har till ändamål att säkra uppgifter om sökande till utbildning (2 kap. 1 och 2 §§). I registret ska det för varje student dokumenteras ett flertal uppgifter, däribland om antagning (2 kap. 3 §). Det kan därför inte uteslutas att även studieregister kan komma att innehålla anteckningar om att sökande nekats antagning på grund av förekomst i belastningsregistret. Även om så skulle vara fallet så finns, av samma skäl som beträffande antagningsregistret, rättslig grund för behandling av uppgifterna och eftersom de aktuella lärosätena är myndigheter kommer dessutom de särskilda kraven för att få behandla personuppgifter som rör lagöverträdelser att vara uppfyllda. Vidare finns också beträffande studieregister en bestämmelse om gallring, av vilken det bl.a. följer att uppgifter om en sökande som inte har antagits till utbildning vid högskolan ska gallras ur registret så snart det kan göras med hänsyn till högskolans eget behov av material för uppföljningar och statistiska bearbetningar, kraven på resultatredovisning och kraven på rapportering för den officiella statistiken (2 kap. 7 §). Även denna gallringsbestämmelse har tidigare befunnits vara förenlig med dataskyddsförordningen (SOU 2017:49 s. 271 f.). Vi delar den bedömningen och konstaterar att det, liksom vad gäller bestämmelsen om gallring av antagningsregistret, inte finns skäl att nu göra någon ändring i bestämmelsen. innehåller redovisningsförordningen även bestämmelser om att uppgifter ur studieregister i vissa fall får lämnas ut på medium för automatiserad behandling (2 kap. 6 och 6 a §§). Vissa av dessa bestämmelser innebär att sådant utlämnande får ske till enskilda. Liksom vad gäller motsvarande utlämnande från antagningsregistret tillåter bestämmelserna som reglerar utlämnande på medium för automatiserad behandling till enskilda emellertid antingen inte att eventuella uppgifter om nekad antagning på grund av förekomst i belastnings- Belastningsregisterkontroll som en förutsättning för att bli antagen registret utlämnas (2 kap. 6 § första stycket 1, 2 och 8) eller så kommer mottagarens behandling av sådana uppgifter att vara av rent privat natur och dataskyddsförordningen därför inte vara tillämplig på denna (2 kap. 6 § första stycket 9). Detta innebär att inte heller någon av redovisningsförordningens bestämmelser om utlämnande av uppgifter på medium för automatiserad behandling från en högskolas studieregister står i strid med det dataskyddsrättsliga förbudet för enskilda att behandla personuppgifter som rör lagöverträdelser. Den praktiska tillämpningen är problematisk Att uppgifter om nekad antagning på grund av förekomst i belastningsregistret, dvs. personuppgifter som rör lagöverträdelser, kommer att behöva behandlas i samband med antagningskontroll och dessutom kan komma att registreras i antagningsregistret och kanske även studieregister medför i sig alltså inte något behov av ändringar i dataskyddsregleringen. Redan i betänkandet SOU 2017:49 uppmärksammades emellertid att redovisningsförordningens bestämmelser i många fall inte motsvarar de verkliga förhållandena. Under utredningen har vi kunnat konstatera att så fortsatt är fallet. Vi uppmärksammar här de delar där den bristande överensstämmelsen är av särskild betydelse för genomförandet av vårt förslag om belastningsregisterkontroll vid antagning till vissa utbildningar – i övrigt hänvisas till genomgången i SOU 2017:49 s. 282 f. Till att börja med innebär regleringen i 4 kap. redovisningsförordningen att ett särskilt antagningsregister får föras av UHR. NyA, som UHR använder sig av vid antagningsförfarandet, används emellertid som ett handläggningssystem och uppgifterna i systemet har gjorts gemensamt tillgängliga för de högskolor som använder NyA, i vart fall beträffande de personer som sökt till eller studerar vid respektive högskola. Detta trots att regleringen i 4 kap. 4 § 1, som redogjorts för, begränsar vilka uppgifter som får lämnas ut på medium för automatiserad behandling till en högskola som regleringen i 4 kap. 5 § inte ger någon rätt för en högskola att ha direktåtkomst till antagningsregistret. På liknande vis förutsätter 2 kap. i redovisningsförordningen att varje lärosäte för ett eget, i förhållande till övriga separat, studieregister (se särskilt 2 kap. 1 § första stycket). I själva verket använder Belastningsregisterkontroll som en förutsättning för att bli antagen lärosätena Ladok för sin studieadministration, ett system som består av flera gemensamt tillgängliggjorda uppgiftssamlingar. Genom systemet kan ett lärosäte – i vart fall när studenten har sökt till eller studerar vid flera olika lärosäten – ha elektronisk tillgång till samtliga uppgifter om en viss student i ett annat lärosätes studieregister. Detta trots att regleringen i 2 kap. 6 § 1 begränsar vilka uppgifter som får lämnas ut på medium för automatiserad behandling från en högskolas studieregister till en annan högskola som det saknas bestämmelser som ger rätt för en högskola att ha direktåtkomst till uppgifter i en annan högskolas studieregister. När antagningsregistret och kanske även studieregistren kan komma att innehålla uppgifter om nekad antagning på grund av förekomst i belastningsregistret blir nämnda förhållanden särskilt problematiska. Det är nämligen inte enbart statliga högskolor, som i och för sig har rätt att behandla uppgifter som rör lagöverträdelser, som har tillgång till uppgifter i NyA och använder Ladok. Detsamma gäller ett flertal av de enskilda utbildningsanordnarna. Som framgått har dessa enligt gällande dataskyddsregelverk inte någon rätt att behandla sådana uppgifter, men den åtkomst de i praktiken givits till antagningsregistret och studieregister innebär att de ändå kan komma att få tillgång till dessa. Det sagda innebär att det inte är tillräckligt att konstatera att sådan åtkomst inte är tillåten enligt redovisningsförordningen. En ytterligare förutsättning för att förslaget om belastningsregisterkontroll vid antagning till vissa utbildningar ska kunna genomföras är att det även praktiskt säkerställs att inga enskilda utbildningsanordnare kommer att kunna få tillgång till uppgifter ur antagningsregistret eller studieregister om att någon sökande nekats antagning på grund av förekomst i belastningsregistret. I annat fall kommer genomförandet att stå i strid med dataskyddsförordningen. Även om det inte är av samma omedelbara betydelse för genomförandet av vårt förslag måste det påpekas att det även i övrigt är mycket otillfredsställande att de verkliga förhållandena vad gäller förande av antagningsregistret och studieregister inte stämmer överens med regleringen i redovisningsförordningen. Redan i SOU 2017:49 konstaterades att det finns behov av en omfattande översyn av förordningen, något som framstår som än mer angeläget. 12Belastningsregisterkontroll inför verksamhetsförlagd utbildning Utredningens bedömning: Det finns inte tillräckliga skäl för att införa belastningsregisterkontroll inför verksamhetsförlagd utbildning inom fler högskoleutbildningar än . Skälen för utredningens bedömning Införande av belastningsregisterkontroll inför verksamhetsförlagd utbildning kan endast bli aktuellt på hälso- och sjukvårdsutbildningar