prop · H903157 · 2022-03-22 00:00:00 — för de personer som omfattas av den. Närmare om den rättsliga grunden uppgift av allmänt intresse I propositionen Ny dataskyddslag framför regeringen att begreppet uppgift av allmänt intresse måste ges en vid betydelse. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är enligt uttalanden i förarbetena av allmänt intresse. Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. måste även gälla i dataskyddsförordningens mening, eftersom det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse 2017/18:105 s. 56 och 57). Som nämnts ovan krävs enligt dataskyddsförordningen att den grund för behandlingen som avses i punkt 6.1 c och e är fastställd i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgifts- ansvarige omfattas av. Detta innebär inte att det krävs en reglering i den nationella rätten av själva personuppgiftsbehandlingen, utan det som Prop. 2021/22:157 måste ha stöd i rättsordningen är i stället uppgiften av allmänt intresse 2017/18:105 s. 48 och 49). Myndigheternas uppdrag och åligganden framgår av lagar, förordningar och andra regeringsbeslut, antagna i enlighet med regeringsformens bestämmelser om normgivningskompetens. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler (prop. 2017/18:105 s. 57). Enligt art. 6.3 ska vidare unionsrätten eller medlemsstaternas nationella rätt uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det konstateras i propositionen Ny dataskyddslag att bestämmelsen motsvarar det krav som ställer på lagstiftaren i en rättsstat. Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna har inkorporerats i svensk rätt. Vidare gäller enligt 2 kap. 19 § RF att lagar och andra föreskrifter inte får meddelas i strid med åtaganden på grund av . Mot denna bakgrund bör utgångspunkten vara att nu aktuellt krav i dataskyddsförordningen är uppfyllt i fråga om bl.a. de uppgifter av allmänt intresse som fastställs i enlighet med svensk rätt (prop. 2017/18:105 s. 50). För att behandling av personuppgifter ska vara tillåten under åberopande av den rättliga grunden uppgift av allmänt intresse krävs också att behandlingen är nödvändig för att utföra uppgiften av allmänt intresse (art. 6.3). Detta ska enligt uttalanden i propositionen Ny dataskyddslag inte tolkas som att uppgiften av allmänt intresse måste vara avgränsad så att den bara kan utföras på ett sätt. Den metod som den personuppgiftsansvarige väljer för att utföra sin uppgift måste dock – som i all offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss uppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutsebarhet i fråga om vilken personuppgiftsbehandling som kan aktualiseras. Om ett uppdrag i stället har reglerats på en mer övergripande och resultatinriktad nivå kan det sannolikt utföras på många olika sätt, vilka i förhållande till varandra kan vara mer eller mindre nödvändiga i dataskyddsförordningens mening. Kravet på att ändamålet ska vara nödvändigt för att utföra en uppgift av allmänt intresse innebär alltså i sig en spärr mot helt onödig behandling av personuppgifter eller sådan behandling som utgör ett oproportionerligt intrång i privatlivet som inte kunnat förutses (prop. 2017/18:105 s. 60). Ovanstående ligger till grund för 2 kap. 2 § 1 dataskyddslagen, där det anges att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Närmare om den rättsliga grunden myndighetsutövning Som framgått får personuppgifter också behandlas om syftet med behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e och artikel 6.3 dataskyddsförordningen). Myndighetsutövning som rättslig grund för behandlingen ska, likhet med den rättsliga grunden utförande av uppgift av allmänt intresse, vara fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3). I propositionen Ny dataskyddslag anges att begreppet myndighetsutövning har en EU-gemensam innebörd. Utgångspunkten i svensk rätt är att det som i brukar anses som myndighetsutövning faller under begreppet och att detta bör gälla även fortsättningsvis. Myndighetsutövning mot enskilda karaktäriseras av beslut eller andra ensidiga åtgärder som ytterst är ett uttryck för samhällets maktbefogenheter i förhållande till medborgarna. Myndighetsutövning behöver ha stöd i gällande rätt och befogenheten att utöva myndighet är därför alltid fastställd i en författning i . Den rättsliga grunden myndighetsutövning som grund för att behandla personuppgifter kan tillämpas av alla personuppgiftsansvariga som har tilldelats myndighetsutövande befogenheter (prop. 2017/18:105 s. 62 och 63). Ovanstående ligger till grund för 2 kap. 2 § 2 dataskyddslagen, där det anges att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Närmare om den rättsliga grunden rättslig förpliktelse En behandling av personuppgifter är tillåten om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. För att denna grund ska kunna tillämpas krävs, i likhet med de rättsliga grunderna utförande uppgift av allmänt intresse och myndighetsutövning att den rättsliga förpliktelsen är fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av samt att unionsrätten eller medlemsstaternas nationella rätt uppfyller ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas (artikel 6.1 c och artikel 6.3 dataskyddsförordningen). När personuppgiftsbehandlingen grundar sig på en rättslig förpliktelse ska syftet med behandlingen fastställas i den rättsliga grunden (artikel 6.3). I propositionen Ny dataskyddslag (prop. 2017/18:105) anges att detta krav torde innebära att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår. Det ska vara möjligt för såväl den personuppgiftsansvarige som den registrerade att förstå varför behandlingen av personuppgifter ska ske. Detta kan exempelvis ske genom en författning som anger att en näringsidkare i en viss situation är skyldig att lämna uppgifter till en myndighet eller en domstol (prop. 2017/18:105 s. 54). Med detta får förstås att ändamålet med personuppgiftsbehandling som grundar sig på rättslig förpliktelse bör framgå av det sammanhang där den rättsliga förpliktelsen fastställs. Ovanstående ligger till grund för 2 kap. 1 § dataskyddslagen där det Prop. 2021/22:157 anges att personuppgifter får behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Behandling av vissa kategorier av uppgifter När det gäller vissa typer av uppgifter ställs det särskilt höga krav i dataskyddsförordningen för att de ska få behandlas. Enligt artikel 9.1 är det som huvudregel förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Sådana uppgifter benämns i dataskyddsförordningen särskilda kategorier av personuppgifter. I dataskyddslagen benämns de i stället känsliga personuppgifter (3 kap. 1 §). Det finns undantag från förbudet i artikel 9.2 a–j. Av artikel följer att behandling av känsliga uppgifter får utföras om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Enligt dataskyddslagen får en myndighet behandla känsliga uppgifter med stöd av artikel i EU:s dataskyddsförordning 1. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2. om behandlingen är nödvändig för handläggningen av ett ärende, eller 3. i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. (3 kap. 3 § första stycket dataskyddslagen). Vid sådan behandling är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter (3 kap. 3 § andra stycket dataskyddslagen). Dessa bestämmelser gäller för t.ex. Skolinspektionen, kommunala tillstånds- och tillsynsmyndigheter och kommunala huvudmän. Sökbegränsningen omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Därmed förbjuds sökningar som görs för att få fram ett urval av personer som t.ex. har en viss politisk åsikt, religiös åskådning eller sexuell läggning. Däremot kan sökningar göras t.ex. för att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård (prop. 2017/18: 105 s. 195). I skollagen har det införts en bestämmelse som innebär att enskilda huvudmän får behandla känsliga uppgifter om behandlingen är nödvändig för en hantering som motsvarar handläggning av ett ärende hos en myndighet, eller i annat fall, om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Även vid sådan behandling är det förbjudet att utföra sökningar i syfte att 2021/22:157 få fram ett urval av personer grundat på känsliga personuppgifter (26 a kap. 4 §). Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder regleras i artikel 10 i dataskyddsförordningen. Sådan behandling av uppgifter får enligt artikeln endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Av 3 kap. 8 § första stycket dataskyddslagen framgår att myndigheter får behandla den typen av uppgifter. Av 3 kap. 10 § dataskyddslagen framgår att personnummer och samordningsnummer får behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. 10.2Regleringen om personuppgifter behöver inte kompletteras Regeringens bedömning: EU:s dataskyddsförordning och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning utgör tillräcklig dataskyddsreglering för den personuppgiftsbehandling som kan komma att ske hos Skolinspektionen, kommunerna och de enskilda huvudmännen med anledning av förslagen i denna proposition. Det behöver således inte införas någon ytterligare dataskyddsreglering för denna behandling. Skälen för regeringens bedömning Ansökan om godkännande som huvudman Fristående förskolor, fristående skolor och fristående fritidshem drivs normalt av en juridisk person men det är även möjligt för en fysisk person att vara huvudman. Förslagen i avsitt 7 och 8 innebär att och kommunerna kan komma att behöva behandla personuppgifter i form av namn, personnummer, adresser, utdrag ur belastningsregistret m.m. för fysiska personer som är huvudmän och för eventuella företrädare för en juridisk huvudman, med anledning av ansökningar om huvudmannaskap. Detta gäller oavsett om sökanden avser att driva verksamheten med konfessionell inriktning eller inte. Om en huvudman avser att bedriva verksamheten med konfessionell inriktning ska detta anges i ansökan, men det behöver inte anges vilken konfessionell inriktning det är fråga om. Prövningar av ansökningar om huvudmannaskap är en befintlig ärendekategori för Skolinspektionen och kommunala tillståndsmyndigheter som regleras i skollagen, men där regleringen nu förslås kompletteras i vissa avseenden. Tillståndsprövningen är en viktig uppgift av allmänt intresse som utgör både myndighetsutövning gentemot den enskilde och en rättslig förpliktelse för myndigheterna. När det gäller den föreslagna skyldigheten för en sökande som avser att bedriva den verksamhet som ansökan avser med en konfessionell inriktning, att ange detta i ansökan, har det i avsnitt 8 bedömts att det inte är fråga om en känslig uppgift. I avsnitt 7.2 föreslås att ägar- och ledningsprövningen ska utökas med en prövning mot s.k. demokrativillkor. Denna prövning föreslås gälla alla ansökningar om huvudmannaskap, dvs. oavsett om sökanden avser att driva verksamheten med konfessionell inriktning eller inte. Denna komplettering av ägar- och ledningsprövningen innebär att en huvudman inte ska anses lämplig att bedriva skollagsreglerad verksamhet om det finns en risk för att barn eller elever i sökandens verksamhet kommer att utsättas för våld, tvång, hot, diskriminering, kränkande behandling, eller påverkan som syftar till motarbetande av grundläggande fri- och rättigheter eller det demokratiska styrelseskicket. Vid en prövning mot dessa demokrativillkor kan det vara nödvändigt att behandla personuppgifter, även känsliga personuppgifter såsom personuppgifter som avslöjar bl.a. politiska åsikter, religiös eller filosofisk övertygelse. I samband med en sådan prövning kan tillståndsmyndigheten även komma att behöva behandla uppgifter om lagöverträdelser. Behandling av sådana uppgifter ingår dock redan i det befintliga prövningsförfarandet, se avsnitt 7.1. Regleringen avseende ovanstående tillägg i prövningsförfarande föreslås tas in i skollagen. Det kommer således att vara fråga om ärendehandläggning som är fastställd i nationell rätt. De uppgifter som föreslås åläggas tillstånds- och tillsynsmyndigheterna i skollagen bedöms, som nämnts ovan, vara såväl viktiga uppgifter av allmänt intresse som utgöra myndighetsutövning och rättsliga förpliktelser. Myndigheterna kommer således att ha stöd för sin personuppgiftsbehandling i 2 kap. 1 och 2 §§, 3 kap. 3, 8 och 10 §§ dataskyddslagen. Av artikel följer att behandling av känsliga uppgifter får utföras om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Syftet med att kontrollera sökandens och eventuella företrädares insikter i bl.a. de bestämmelser som gäller för verksamheter med konfessionell inriktning är att säkerställa barns och elevers såväl positiva som negativa religionsfrihet enligt RF och i sådan verksamhet enligt skollagen som ansökan avser. Det intrång i den personliga integriteten som den behandling av personuppgifter som kan förekomma i detta led av ägar- och ledningsprövningen bedöms uppvägas av detta intresse. Något mindre integritetskänsligt alternativ finns inte. Således bedöms sådan behandling av personuppgifter vara nödvändig och stå i proportion till det eftersträvade syftet att upprätthålla barns och elevers grundlagsskyddade religionsfrihet i förskola, skola och fritidshem. När det gäller prövningen mot demokrativillkoren är det övergripande syftet att säkerställa att barn inte far illa i offentligfinansierad verksamhet enligt skollagen. Som angetts i avsnitt 7.2. är en utgångspunkt, när en komplettering av ägar- och ledningsprövningen övervägs, att det inte finns någon rättighet att bedriva skola med stöd av allmänna medel utan att 2021/22:157 staten kan uppställa villkor för att en enskild ska bli godkänd som huvudman. Staten ska enligt RF verka för att barns rättigheter tas till vara (1 kap. 2 § RF). Enligt artikel 4 i ska konventionsstaterna vidta alla lämpliga lagstiftningsåtgärder, administrativa åtgärder och andra åtgärder för att genomföra barns rättigheter enligt konventionen. Staten kan och bör således uppställa villkor för godkännande av enskilda som huvudman för verksamhet enligt skollagen som minskar risken för att barn far illa i sådan verksamhet. Skolan är en verksamhet där vuxna har ansvar för barns och elevers utbildning. Barn är underåriga och står i beroendeställning till rektor, lärare och annan personal. Syftet med regleringen om demokrativillkor är att skydda barn och elever från att utsättas för våld, hot, kränkande behandling och andra oacceptabla ageranden eller brist på ageranden som beskrivs i de föreslagna bestämmelserna. Barn och elever är således skyddsobjekt. Av Skolinspektionens tillsynsbeslut framgår att det i skollagsreglerad verksamhet förekommer brister kopplade till skolans demokratiuppdrag, likvärdig utbildning samt till kravet på saklighet och allsidighet i verksamheterna. Det har vidare förekommit kopplingar mellan våldsbejakande extremistmiljöer och skolverksamhet där Säkerhetspolisen, Skolinspektionen och domstolar har ansett att barn riskerar att utsättas för bl.a. radikalisering (Skolinspektionens beslut 2020- 11-09 dnr: 2018:11114, beslut dnr SI 2019:7842 [beslutet fastställt av Förvaltningsrätten i i mål nr 20703- 21], beslut dnr SI-2019:3330 [beslutet fastställt av Förvaltningsrätten i i mål nr 29437-19]). Med hänsyn till att det är frivilligt att ansöka om godkännande som huvudman för skollagsreglerad verksamhet bedöms det intrång i den personliga integriteten som den behandling av personuppgifter och känsliga personuppgifter som prövningen kan komma att medföra uppvägas av intresset att skydda barn och elever från de risker som beskrivits ovan. Något mindre integritetskänsligt alternativ finns inte. Således bedöms behandlingen av personuppgifter vara nödvändig och stå i proportion till det eftersträvade syftet att skydda barn och elever i skolan. För att känsliga uppgifter ska få behandlas krävs, förutom att behandlingen ska stå i proportion mot det eftersträvade syftet, att behandlingen omgärdas av skyddsåtgärder. En sådan skyddsåtgärd finns i 3 kap. 3 § andra stycket dataskyddslagen. Där föreskrivs att det är förbjudet att enbart med stöd av 3 kap. 3 § första stycket utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Detta förbud gäller Skolinspektionen och kommunerna exempelvis när dessa utför den förstärkta ägar-och ledningsprövning som föreslås i avsnitt 7.2. Sammantaget bedöms den behandling som Skolinspektionen och kommuner kommer att behöva göra vid prövningar av ansökningar från enskilda om att bli godkänd som huvudman enligt 2 kap. 5 § skollagen enligt det utvidgade regelverk som föreslås i denna proposition att vara förenlig med dataskyddsregelverket. I avsnitt 7.2 har det även bedömts att den utvidgade ägar- och ledningsprövningen är förenlig med relevanta bestämmelser i 2 kap. RF. Anmälan om konfessionell inriktning I avsnitt 8 föreslås att en befintlig huvudman som vill fortsätta bedriva eller börja bedriva en verksamhet med konfessionell inriktning ska anmäla detta till tillsynsmyndigheten senast vid ikraftträdandet av de förslag som lämnas i denna proposition. Huvudmannen behöver dock inte ange vilken konfessionell inriktning det är fråga om. I avsnitt 8 görs bedömningen att denna anmälningsskyldighet inte innefattar behandling av känsliga personuppgifter. De personuppgifter som kan förekomma är uppgifter som rör huvudmannen, om denne är en fysisk person, eller företrädare för huvudmannen, t.ex. namn- och adressuppgifter och eventuellt personnummer. Effekten av att en sådan anmälan inte görs är att huvudmannen får fortsätta att bedriva den verksamhet som huvudmannen redan har godkännande för, men att verksamheten inte får ha en konfessionell inriktning, såvida inte huvudmannen ansöker om godkännande för en sådan inriktning och får ett sådant godkännande. Den inkomna anmälan kommer att behöva diarieföras och uppgifterna i anmälan kommer att ligga till grund för eventuell tillsynsverksamhet från tillsynsmyndighetens sida. Skyldigheten att diarieföra allmänna handlingar utgör en rättslig förpliktelse för tillsynsmyndigheten och tillsynsverksamheten utgör myndighetsutövning. Dessa uppgifter är redan fastställda i nationell rätt, i 5 kap. offentlighets- och sekretesslagen (2009:400), förkortad OSL, och 26 kap. skollagen. kommer således att ha laglig grund att behandla personuppgifterna med stöd av 2 kap. 1 och 2 §§ och 3 kap. 8 § dataskyddslagen. Det kommer dock att bli fler personuppgifter som ska behandlas vid tillsynen. När personuppgiftsbehandling sker som ett led i myndighetsutövning krävs, förutom att behandlingen ska uppfylla ett mål allmänt intresse, att behandlingen ska vara proportionell mot det legitima mål som eftersträvas (artikel 6.3). Ett syfte med anmälningsskyldigheten är att de anmälda uppgifterna bl.a. ska ligga till grund för tillsynsmyndighetens val av tillsynsobjekt. Ytterligare ett syfte är att tillsynsmyndigheten, om den vid tillsyn upptäcker att konfessionella inslag förekommer hos en huvudman som inte har anmält konfessionell inriktning, ska kunna vidta adekvata åtgärder enligt 26 kap. skollagen. Med hänsyn till att det är frivilligt för enskilda att bedriva skollagsreglerad verksamhet och till vilka personuppgifter det är fråga om bedöms det intrång i den personliga integriteten som aktuell behandling av personuppgifter kan komma att medföra uppvägas av intresset av att i skollagsreglerad verksamhet säkerställa barns och elevers positiva och negativa religionsfrihet och intresset av att ingripa mot otillåten verksamhet. Något mindre integritetskänsligt alternativ finns inte. Således bedöms behandlingen av personuppgifter vara nödvändig och stå i proportion till det eftersträvade syftet en effektiv tillsyn. Huvudmannens skyldighet att informera vårdnadshavare och elever om konfessionella inslag I avsnitt 6.3 föreslås att huvudmän som bedriver en fristående skollagsreglerad verksamhet med konfessionell inriktning ska åläggas en informationsskyldighet gentemot vårdnadshavare och elever om konfessionella inslag. Den information som ska lämnas ska innehålla uppgifter om vilka 2021/22:157 konfessionella inslag som kan förekomma och när de kan förekomma, vilken likvärdig aktivitet utan konfessionella inslag som erbjuds som ett alternativ till en aktivitet där konfessionella inslag ingår, och en upplys- ning om att deltagande i konfessionella inslag är frivilligt. kommer att vara att informationen lämnas på ett sådant sätt att huvud-