Behandling av personuppgifter på utbildningsområdet

Regeringens proposition 2017/18:218

Behandling av personuppgifter på	Prop.
utbildningsområdet	2017/18:218

Regeringen överlämnar denna proposition till riksdagen.

Stockholm den 5 april 2018

Stefan Löfven

Gustav Fridolin

(Utbildningsdepartementet)

Propositionens huvudsakliga innehåll

Propositionen innehåller förslag till lagändringar på utbildningsområdet som innebär kompletteringar och anpassningar till

–Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv 95/46/EG (allmän dataskydds- förordning),

–den i propositionen Ny dataskyddslag (prop. 2017/18:105) föreslagna lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, och

–föreskrifter som meddelas med stöd av den lagen.

De kompletterande bestämmelser inom utbildningsområdet som här föreslås syftar till att möjliggöra en fortsatt ändamålsenlig behandling av personuppgifter på detta område samtidigt som den enskildes fri- och rättigheter skyddas, oavsett om behandlingen utförs av offentliga eller enskilda aktörer. Ändringar föreslås i

–lagen (1993:792) om tillstånd att utfärda vissa examina,

–lagen (2009:128) om yrkeshögskolan,

–studiestödsdatalagen (2009:287), och

–skollagen (2010:800).

Lagändringarna föreslås träda i kraft den 1 augusti 2018.

Prop. 2017/18:218	13.4.5	Det ska vara förbjudet att utföra sökningar
		i syfte att få fram ett personurval grundat
		på känsliga personuppgifter ...........................	163
13.5	Kompletterande bestämmelser om känsliga
	personuppgifter ska införas i lagen om
	yrkeshögskolan...............................................................		164
	13.5.1	Det finns behov av att behandla känsliga
		personuppgifter inom yrkeshögskolan och
		annan eftergymnasial utbildning ...................	164
	13.5.2	Ytterligare reglering av behandling av
		känsliga personuppgifter som krävs enligt
		lag behövs inte ...............................................	165
	13.5.3	Behandling av känsliga personuppgifter
		som är nödvändiga för en hantering som
		motsvarar handläggning av ett ärende ska
		tillåtas ............................................................	166
	13.5.4	Behandling av känsliga personuppgifter
		ska tillåtas i annat fall om det inte innebär
		ett otillbörligt intrång .....................................	169
	13.5.5	Det ska vara förbjudet att utföra sökningar
		i syfte att få fram ett personurval grundat
		på känsliga personuppgifter ...........................	171
13.6	Folkbildningen bör ges rättsligt stöd för att behandla
	känsliga personuppgifter ................................................		172
13.7	Studiestödsdatalagens bestämmelser om känsliga
	personuppgifter ska hänvisa till
	dataskyddsförordningen .................................................		174
14 Sektorslagstiftningen ska kompletteras med bestämmelser om
behandling av personuppgifter som rör lagöverträdelser ..............			177
14.1	Dataskyddsförordningen tillåter bara behandling av
	personuppgifter som rör lagöverträdelser i vissa fall .....		177
14.2	Dataskyddslagen kompletterar
	dataskyddsförordningen .................................................		178
14.3	Kompletterande bestämmelser om lagöverträdelser
	ska införas i skollagen ....................................................		179
	14.3.1	Det finns behov av behandling av
		personuppgifter som rör lagöverträdelser i
		skollagsreglerad verksamhet .........................	179
	14.3.2	Behandling av personuppgifter som rör
		lagöverträdelser ska tillåtas i vissa fall ..........	180
14.4	Kompletterande bestämmelser om lagöverträdelser
	ska införas i lagen om tillstånd att utfärda vissa
	examina	..........................................................................	182
	14.4.1	Det finns behov av behandling av
		personuppgifter som rör lagöverträdelser
	.......................................	på högskoleområdet	182
	14.4.2	Behandling av personuppgifter som rör
		fällande domar i brottmål ska tillåtas i
	........	ärenden om avskiljande från utbildning	182
6

Prop. 2017/18:218 2

Lagförslag

Regeringen har följande förslag till lagtext.

2.1Förslag till lag om ändring i lagen (1993:792) om tillstånd att utfärda vissa examina

Härigenom föreskrivs i fråga om lagen (1993:792) om tillstånd att utfärda vissa examina1

dels att nuvarande 5 och 6 §§ ska betecknas 6 och 5 §§,

dels att det ska införas fem nya paragrafer, 10–14 §§, och närmast före 10 § en ny rubrik av följande lydelse,

dels att det ska införas en ny rubrik närmast före 1 § som ska lyda ”Tillstånd att utfärda examina”, en ny rubrik närmast före den nya 6 § som ska lyda ”Uppföljning och utvärdering”, en ny rubrik närmast före 7 § som ska lyda ”Återkallelse av tillstånd” och en ny rubrik närmast före 8 § som ska lyda ”Utfärdande av examina utan tillstånd”.

Nuvarande lydelse	Föreslagen lydelse
	Behandling av personuppgifter
	10 §
	Bestämmelserna i 13 och 14 §§
	tillämpas	vid	behandling		av
	personuppgifter		i	verksamhet	hos
	en enskild	utbildningsanordnare
	som har fått tillstånd att utfärda
	examina och som bedrivs med stöd
	av denna lag, bestämmelser för
	utbildningen som finns i annan
	författning	eller		beslut	som
	meddelats med stöd av någon av
	dessa författningar.

11 §

Bestämmelserna i 13 och 14 §§ kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om

1 Senaste lydelse av

5 § 2000:1371

6 § 2000:1371.

upphävande av direktiv 95/46/EG Prop. 2017/18:218

(allmän dataskyddsförordning), här benämnd EU:s dataskydds- förordning.

Termer och uttryck i 13 och 14 §§ har samma betydelse som i EU:s dataskyddsförordning.

12 §

Bestämmelser om behandling av personuppgifter finns även i lagen (2018:000) med kompletterande bestämmelser till EU:s data- skyddsförordning, här benämnd dataskyddslagen, och i föreskrifter som har meddelats i anslutning till den lagen.

13 §

Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsför- ordning (känsliga personuppgifter) får med stöd av artikel 9.2 g i samma förordning behandlas av en enskild utbildningsanordnare

1.om behandlingen är nöd- vändig för en hantering som mot- svarar handläggning av ett ärende hos en myndighet, eller

2.i annat fall, om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång

iden registrerades personliga integritet.

Vid behandling som sker med stöd av första stycket är det för- bjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personupp- gifter.

För vissa enskilda utbildnings- anordnare som jämställs med myn-

digheter finns det bestämmelser om behandling av känsliga person- uppgifter och om sökbegräns- ningar i 3 kap. 3 § dataskydds- lagen.

14 §
Personuppgifter som rör fäl-
lande domar i brottmål får be-	11

Prop. 2017/18:218

2.2Förslag till lag om ändring i lagen (2009:128) om yrkeshögskolan

Härigenom föreskrivs att det i lagen (2009:128) om yrkeshögskolan ska införas fem nya paragrafer, 19 a–19 e §§, och närmast före 19 a § en ny rubrik av följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
	Behandling av personuppgifter
	19 a §
	Bestämmelserna	i	19 d och
	19 e §§ tillämpas vid		behandling
	av personuppgifter	i	verksamhet

inom yrkeshögskolan som bedrivs med stöd av denna lag, föreskrifter som meddelats med stöd av lagen, bestämmelser för utbildningen som finns i annan författning eller beslut som meddelats med stöd av någon av dessa författningar.

19 b §

Bestämmelserna i 19 d och 19 e §§ kompletterar Europaparla- mentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska per- soner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskydds- förordning.

Termer och uttryck i 19 d och 19 e §§ har samma betydelse som i EU:s dataskyddsförordning.

19 c §

den lagen.

2.3	Förslag till lag om ändring i	Prop. 2017/18:218
	studiestödsdatalagen (2009:287)

Härigenom föreskrivs i fråga om studiestödsdatalagen (2009:287) dels att 7 och 15 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 7 och 15 §§ ska utgå,

dels att 2, 5, 6, 8, 10 och 16 §§ och rubriken närmast före 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 2 a §, av följande lydelse.

Nuvarande lydelse			Föreslagen lydelse
Förhållandet		till personupp-	Förhållandet	till	annan
giftslagen och lagen om den			reglering
officiella statistiken
			2 §
I den mån	personuppgiftslagen		Denna lag kompletterar Europa-
(1998:204)	innehåller bestäm-		parlamentets och rådets förord-
melser om behandling av person-			ning (EU) 2016/679 av den 27
uppgifter som saknar motsvarighet			april 2016 om skydd för fysiska
i denna lag, ska personuppgifts-			personer med avseende på be-
lagen tillämpas vid behandling av			handling av personuppgifter och
personuppgifter i Centrala studie-			om det fria flödet av sådana
stödsnämndens		studiestödsverk-	uppgifter och om upphävande av
samhet.			direktiv 95/46/EG (allmän data-
			skyddsförordning),	här	benämnd
			EU:s dataskyddsförordning.
Vid Centrala studiestödsnämnd-			Termer och uttryck i denna lag
ens behandling av personuppgifter			har samma betydelse som i EU:s
för att framställa statistik ska			dataskyddsförordning.
lagen (2001:99) om den officiella
statistiken och anslutande författ-
ningar tillämpas i stället för denna
lag.

2 a §

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med komplette- rande bestämmelser till EU:s dataskyddsförordning, och före- skrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till denna lag.

Vid Centrala studiestödsnämn- dens behandling av personupp-

gifter för att framställa statistik

Prop. 2017/18:218	ska lagen (2001:99) om den
	officiella statistiken och anslutan-
	de författningar tillämpas i stället
	för denna lag.
	5 §
Behandling av personuppgifter	Artikel 21.1 i EU:s dataskydds-
som enligt denna lag är tillåten	förordning om rätten att göra
utan den registrerades samtycke	invändningar gäller inte vid sådan
får utföras även om den regi-	behandling som är tillåten enligt
strerade motsätter sig behand-	denna lag eller föreskrifter som
lingen.	har meddelats i anslutning till
	lagen.
	6 §

Särskilda begränsningar gäller för behandling av personuppgifter som

1.avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller med- lemskap i fackförening,

2.avser lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberöv- anden, eller

3.rör hälsa eller sexualliv. Uppgifter enligt första stycket får behandlas bara för ändamål som avses i 4 § första stycket 1, om uppgifterna har lämnats i ett ärende i studiestödsverksamheten eller behövs för handläggningen av ett sådant ärende, eller för ändamål som avses i 4 § första stycket 6 och andra stycket.

Personuppgifter som avses i artikel 9.1 i EU:s data- skyddsförordning (känsliga personuppgifter) och personupp- gifter som avses i artikel 10 i samma förordning får behandlas av Centrala studiestödsnämnden för ändamål som avses i 4 § första stycket 1 och 6 och andra stycket.

			8 §
	Som sökbegrepp får inte an-		Det är förbjudet att använda
	vändas		sökbegrepp som avslöjar
	1. uppgifter	som avslöjar ras,	1. känsliga personuppgifter,
	etniskt ursprung, politiska åsikter,
	religiös eller filosofisk övertygelse
	eller medlemskap i fackförening,		2. personuppgifter	som	avses i
	2. uppgifter som avser lagöver-		2. personuppgifter	som	avses i
	trädelser som	innefattar brott,	artikel 10 i EU:s dataskydds-
	domar i brottmål, straffprocess-		förordning,
	uella tvångsmedel eller admi-
	nistrativa frihetsberövanden,
16	3. uppgifter som rör hälsa, sex-		3. uppgifter som	rör	inkomst,

ualliv,	inkomst, förmögenhet eller	förmögenhet		eller	anledning till Prop. 2017/18:218
anledning till studieavbrott, eller		studieavbrott, eller
4. uppgift om att det allmänna helt eller till en väsentlig del bekostat en
persons uppehälle.
Vid sökning i ett visst ärende om		Sökbegrepp som avslöjar upp-
studiestöd, i en viss handling eller		gifter som anges i första stycket får
i en sådan avskild samling av		dock användas vid sökning i ett
personuppgifter som avses i 4 §		visst ärende om studiestöd, i en
andra stycket andra meningen får		viss handling eller i en sådan av-
dock sökbegrepp som anges i		skild	samling	av	personuppgifter
första stycket användas. Som sök-		som	avses i	4 §	andra stycket
begrepp får också användas upp-		andra meningen.
gifter som rör
1. hälsa för att ge behörig perso-
nal elektronisk tillgång till på-
gående ärenden där sjukdom har
betydelse, och
2. inkomst och förmögenhet för
att ge behörig personal elektronisk
tillgång till ärenden i syfte att
kunna	genomföra kontroller av

uppgifter som har legat till grund för ett beslut i ett ärende.

Sökbegrepp får också användas om de avslöjar uppgifter som rör

1.hälsa, om det är nödvändigt för att ge behörig personal elek- tronisk tillgång till pågående ären- den där sjukdom har betydelse, och

2.inkomst och förmögenhet, om det är nödvändigt för att ge behö- rig personal elektronisk tillgång till ärenden i syfte att kunna genomföra kontroller av uppgifter som har legat till grund för ett beslut i ett ärende.

10 §

Direktåtkomst till och annat el- ektroniskt utlämnande utan den registrerades samtycke av person- uppgifter som behandlas i Centrala studiestödsnämndens studiestöds- verksamhet, är tillåtet bara i den utsträckning som anges i lag eller förordning och under förutsättning att 4 och 6–8 §§ följs.

Direktåtkomst till och annat el- ektroniskt utlämnande av person- uppgifter som behandlas i Centrala studiestödsnämndens studiestöds- verksamhet, är tillåtet bara i den utsträckning som anges i lag eller förordning och under förutsättning att 4, 6 och 8 §§ följs.

Prop. 2017/18:218	16 §
Om återbetalning	eller återkrav av studiestöd inte är aktuellt i ett

ärende om studiestöd, ska personuppgifterna i ärendet gallras senast tre år efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska person- uppgifterna i ärendet gallras senast två år efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de inte längre kan ha sådan betydelse.

Personuppgifter som behandlas enligt 4 § första stycket 3 ska, i den utsträckning de inte har tillförts ett ärende om studiestöd, gallras senast

ett år efter det att uppgifterna registrerades.
Regeringen eller den myndighet		Regeringen eller den myndighet
som regeringen bestämmer	får	som regeringen bestämmer får
meddela föreskrifter om att per-		meddela föreskrifter om att per-
sonuppgifter får bevaras för his-		sonuppgifter får bevaras för arkiv-
toriska, statistiska eller veten-		ändamål	av	allmänt	intresse,
skapliga ändamål eller för redo-		vetenskapliga		eller	historiska
visningsändamål, även om före-		forskningsändamål,			statistiska
skrifterna kommer att avvika från		ändamål eller för redovisnings-
första stycket. Centrala studie-		ändamål,	även	om föreskrifterna
stödsnämnden får också,	trots	kommer att avvika från första
första stycket, i enstaka fall besluta		stycket. Centrala studiestödsnämn-
att personuppgifterna i ett ärende		den får också, trots första stycket, i
om studiestöd ska bevaras på		enstaka fall besluta att person-
papper eller annat medium som		uppgifterna i ett ärende om studie-
inte är elektroniskt.		stöd ska bevaras på papper eller
		annat medium som inte är elektro-
		niskt.

Denna lag träder i kraft den 1 augusti 2018.

2.4Förslag till lag om ändring i skollagen (2010:800)

Härigenom föreskrivs i fråga om skollagen (2010:800) dels att 1 kap. 12 § ska ha följande lydelse,

dels att det ska införas ett nytt kapitel, 26 a kap., av följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
1 kap.
	12 §2
Lagen är uppdelad i 29 kapitel.	Lagen är uppdelad i 30 kapitel.

Dessa är

–inledande bestämmelser (1 kap.),

–huvudmän och ansvarsfördelning (2 kap.),

–barns och elevers utveckling mot målen (3 kap.),

–kvalitet och inflytande (4 kap.),

–trygghet och studiero (5 kap.),

–åtgärder mot kränkande behandling (6 kap.),

–skolplikt och rätt till utbildning (7 kap.),

–förskolan (8 kap.),

–förskoleklassen (9 kap.),

–grundskolan (10 kap.),

–grundsärskolan (11 kap.),

–specialskolan (12 kap.),

–sameskolan (13 kap.),

–fritidshemmet (14 kap.),

–gymnasieskolan (15–17 a kap.),

–gymnasiesärskolan (18 och 19 kap.),

–kommunal vuxenutbildning (20 kap.),

–särskild utbildning för vuxna (21 kap.),

–entreprenad och samverkan (23 kap.),

–särskilda utbildningsformer (24 kap.),

–annan pedagogisk verksamhet (25 kap.),

–tillsyn, statlig kvalitetsgranskning och nationell uppföljning och utvärdering (26 kap.),

–behandling av personuppgif- ter (26 a kap.),

–Skolväsendets överklagandenämnd och Lärarnas ansvarsnämnd

(27 kap.),

–överklagande (28 kap.), och

–övriga bestämmelser (29 kap.).

2 Senaste lydelse 2015:482.

Prop. 2017/18:218

Prop. 2017/18:218	en språkstörning, och
	7. förskola,	förskoleklass			eller
	skola som har begränsats till att
	avse elever som är i behov av
	särskilt stöd.
	Regeringen	får	också	meddela
	föreskrifter om		undantag		från
	sökbegränsningen i 3 kap. 3 §
	andra stycket	dataskyddslagen				i
	fråga om personuppgifter om
	1. etniskt ursprung i verksamhet
	hos en huvudman för sameskolan,
	och
	2. hälsa och etniskt ursprung i
	verksamhet hos en kommun.
	Personuppgifter som rör lagöver-
	trädelser
	6 §
	Personuppgifter		som	avses		i

artikel 10 i EU:s dataskyddsför- ordning får behandlas i verk- samhet hos en huvudman för en fristående skola om behandlingen är nödvändig i verksamheten och inte innebär ett otillbörligt intrång i den registrerades personliga integritet

1. i löpande text inom elev- hälsan, och

2. i skriftlig dokumentation som ska föras enligt 5 kap. 24 §.

För myndigheter finns det bestämmelser om behandling av personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning i 3 kap. 8 § dataskyddslagen. Där finns det även bestämmelser för andra än myndigheter som är skyldiga att följa föreskrifter om arkiv.

Denna lag träder i kraft den 1 augusti 2018.

Ärendet och dess beredning

Prop. 2017/18:218

Den 27 april 2016 antogs Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Dataskyddsförordningen, som börjar tillämpas den 25 maj 2018, finns i svensk lydelse i bilaga 1.

Regeringen beslutade den 30 juni 2016 att tillkalla en särskild utredare som bl.a. fick i uppdrag att undersöka vilken reglering av personupp- giftsbehandling inom utbildningsområdet som är möjlig och kan behövas utöver dels regleringen i dataskyddsförordningen, dels den generella reglering som den redan tillsatta Dataskyddsutredningen (Ju 2016:04) hade i uppdrag att föreslå med anledning av dataskyddsförordningen. Den nya utredningen, som tog sig namnet Utbildningsdatautredningen (U 2016:03), överlämnade i juni 2017 betänkandet EU:s dataskydds- förordning och utbildningsområdet (SOU 2017:49). En sammanfattning av betänkandet finns i bilaga 2. Utredningens lagförslag finns i bilaga 3. Betänkandet har remissbehandlats. En förteckning över remissinstans- erna finns i bilaga 4. Remissyttrandena och en sammanställning av dessa finns tillgängliga i Utbildningsdepartementet (U2017/02586/RS).

Datainspektionen har beretts tillfälle yttra sig över ett utkast till lagrådsremiss. Utkastet överensstämmer i allt väsentligt med lagråds- remissen. Vissa myndigheter och enskilda har beretts tillfälle att yttra sig över delar av utkastet till lagrådsremiss. Dessa är Statens skolverk, Statens skolinspektion, Specialpedagogiska skolmyndigheten, Sameskol- styrelsen, Sveriges Kommuner och Landsting, Friskolornas Riksförbund, Lärarförbundet, Lärarnas riksförbund Sveriges skolledarförbund, Riks- förbundet FUB (avsnitt 2.4, 9.1, 13.3) Myndigheten för yrkeshögskolan (avsnitt 2.2, 20.2), Chalmers tekniska högskola AB (avsnitt 2.1, 20.1), Sveriges förenade studentkårer (avsnitt 9.2.7) Statistiska centralbyrån, Folkbildningsrådet, Studieförbunden i samverkan, Studieförbundet SISU Idrottsutbildarna (avsnitt 5, 5.4, 9.4, 13.6) och Centrala Studiestöds- nämnden (avsnitt 9.5, 13.7, 15, 18.2). Yttranden har inkommit från samtliga utom Lärarförbundet, Lärarnas riksförbund, Sveriges skol- ledarförbund, Riksförbundet FUB och Myndigheten för yrkeshögskolan. Chalmers tekniska högskola har avstått från att yttra sig. Synpunkterna behandlas i respektive avsnitt. Inkomna yttranden finns tillgängliga i Utbildningsdepartementet (U2017/02586/RS).

Lagrådet

Regeringen beslutade den 1 mars 2018 att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 5. Lagrådets yttrande finns i bilaga 6. Lagrådets synpunkter behandlas i avsnitt 16 och i författ-

ningskommentaren. I förhållande till lagrådsremissens	lagförslag
har vissa språkliga och redaktionella ändringar gjorts.
Förslaget till följdändring i 1 kap. 12 § skollagen (2010:800) är
författningstekniskt och även i övrigt av sådan beskaffenhet att Lagrådets
hörande skulle sakna betydelse. Regeringen har därför inte inhämtat
Lagrådets yttrande över det förslaget.	23

Prop. 2017/18:218	4	Ändringar i EU-rätten medför behov av
		ändringar i den svenska regleringen av
		behandling av personuppgifter
	4.1	Dataskyddsdirektivet ska ersättas av en
		dataskyddsförordning
	När myndigheter och enskilda behandlar personuppgifter inom utbild-
	ningsområdet sker det i huvudsak med stöd av personuppgiftslagen
	(1998:204), förkortad PUL. Med utbildningsområdet avses bl.a. skol-
	väsendet och annan verksamhet som regleras i skollagen (2010:800), den
	verksamhet som bedrivs av universitet och högskolor, yrkeshögskolan,
	folkbildningen och studiestödet.
	PUL är en lag som har tillkommit i syfte att genomföra Europaparla-
	mentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd
	för enskilda personer med avseende på behandling av personuppgifter
	och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet
	med direktivet är åstadkomma en likvärdig skyddsnivå i alla med-
	lemsstater i fråga om fysiska personers grundläggande fri- och rättig-
	heter, särskilt rätten till privatliv, i samband med behandling av person-
	uppgifter och därigenom eliminera hindren mot det fria flödet av person-
	uppgifter mellan medlemsstaterna (artikel 1 och skäl 7–9). Direktivet
	utgör i sin tur en precisering av Europarådets konvention om skydd för
	enskilda vid automatisk databehandling av personuppgifter (CETS 108),
	den s.k. dataskyddskonventionen, och dess tilläggsprotokoll. Konven-
	tionen kompletteras av ett antal rekommendationer som har antagits av
	ministerkommittén om hur personuppgifter bör behandlas inom olika
	områden. Sverige har, i likhet med övriga medlemsstater i EU, anslutit
	sig till dataskyddskonventionen. Under 2010 inledde Europarådet en
	översyn av dataskyddskonventionen. Hur lång tid det kommer att ta
	innan översynen är klar är svårt att förutse.
	Dataskyddsdirektivet har ett begränsat tillämpningsområde. Det är inte
	tillämpligt på t.ex. behandling som gäller allmän säkerhet, statens säker-
	het eller statens verksamhet på straffrättens område. PUL har dock, till
	skillnad från direktivet, gjorts generellt tillämplig och är därför tillämplig
	även utanför EU-rättens område. Skälet för detta är att den svenska data-
	skyddsreglering som gällde före införandet av PUL i princip var generellt
	tillämplig på all automatisk behandling av personregister, med vissa
	undantag. När den dåvarande datalagen (1973:289) skulle ersättas av
	PUL, ansågs det lämpligt att även den nya lagen skulle omfatta sådan
	verksamhet som faller utanför EU-rätten (prop. 1997/98:44 s. 40 f.). PUL
	ska dock inte tillämpas om avvikande bestämmelser finns i annan lag
	eller förordning, dvs. PUL är subsidiär i förhållande till annan författ-
	ningsreglering.
	Sedan dataskyddsdirektivet beslutades har den ekonomiska och sociala
	integrationen på EU:s inre marknaden lett till en betydande ökning av
	gränsöverskridande flöden av personuppgifter. Vidare har den snabba
	tekniska utvecklingen och globaliseringen skapat nya utmaningar i fråga
24	om skyddet av personuppgifter. Dessa förändringar har av EU:s med-

lemsstater ansetts kräva en stark och mer sammanhängande ram för Prop. 2017/18:218 dataskyddet inom EU. Dataskyddsdirektivet har inte heller förhindrat

bristande enhetlighet i genomförandet och tillämpningen av dataskyddet i olika delar av unionen. Skillnader i nivån på skyddet av personuppgifter har ansetts förhindra det fria flödet av personuppgifter och anses därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, snedvrida konkurrensen och hindra myndigheterna från att fullgöra sina skyldigheter enligt unionsrätten.

Av bl.a. ovan nämnda skäl antogs den 27 april 2016 Europaparlamen- tets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Den nya rättsakten, som i det följande benämns data- skyddsförordningen, syftar till att säkerställa en enhetlig skyddsnivå över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen syftar även till att skapa rättslig säkerhet och öppenhet för ekonomiska aktörer, ge fysiska personer i alla medlemsstater samma rättigheter och skyldigheter och ålägga dem som ansvarar för personuppgifterna samma ansvar. På så sätt avses övervakningen av behandling av personuppgifter bli enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt (skäl 10 och 13 till dataskyddsförordningen).

Dataskyddsförordningen har i likhet med dataskyddsdirektivet ett be- gränsat tillämpningsområde. Vid sidan av dataskyddsförordningen gäller Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndig- heters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF.

Dataskyddsförordningen ska tillämpas från och med den 25 maj 2018 då dataskyddsdirektivet upphör att gälla (artikel 99.2 och 94.1 i data- skyddsförordningen). Dataskyddsförordningen kommer alltså att ersätta dataskyddsdirektivet. Denna förändring innebär att PUL kommer att upp- hävas och att det även i övrigt kommer att behöva göras ändringar i svensk rätt.

4.2Dataskyddsförordningen är direkt tillämplig men kan kompletteras i nationell rätt

Dataskyddsförordningen är till alla delar bindande och direkt tillämplig i medlemsstaterna (artikel 99.2 i dataskyddsförordningen). Att en EU- förordning ska ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat framgår också av Fördraget om Europeiska unionens funktionssätt (artikel 288 andra stycket). Till skillnad från EU-direktiv ska alltså EU-förordningar inte implementeras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av en-

Prop. 2017/18:218 skilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser.

Även om dataskyddsförordningen, till skillnad från dataskyddsdirek- tivet, är direkt tillämplig i medlemsstaterna, innehåller den många be- stämmelser som förutsätter eller ger utrymme för kompletterande natio- nella bestämmelser av olika slag. Sådana bestämmelser måste dock vara förenliga med dataskyddsförordningen och avse en fråga som får regleras genom nationell rätt. Möjligheten till kompletterande nationella bestäm- melser gäller framför allt för bestämmelser som reglerar förhållandena inom den offentliga sektorn i respektive medlemsstat. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bl.a. när det handlar om behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2 i dataskyddsförordningen). Förordningen har därmed i vissa delar en direktivliknande karaktär. Om förordningen föreskriver att förtyd- liganden eller begränsningar av dess bestämmelser kan eller ska göras i medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (skäl 8 till dataskyddsförordningen).

4.3 Dataskyddsförordningen ska kompletteras av en ny svensk övergripande lag och förordning om dataskydd

	Till följd av att dataskyddsdirektivet upphävs och ersätts av dataskydds-
	förordningen beslutade regeringen den 15 februari 2018 propositionen
	Ny dataskyddslag (prop. 2017/18:105). I propositionen, som baseras på
	ett betänkande från den i avsnitt 3 nämnda Dataskyddsutredningen (SOU
	2017:39), föreslås att PUL ska upphävas. I stället ska bestämmelser som
	kompletterar dataskyddsförordningen och är av generell karaktär samlas i
	en ny övergripande lag om dataskydd. För att betona att lagen inte är hel-
	täckande, utan endast utgör komplement till dataskyddsförordningen,
	föreslås den benämnas lagen med kompletterande bestämmelser till EU:s
	dataskyddsförordning. Den föreslagna nya lagen förkortas i det följande
	dataskyddslagen.
	På motsvarande sätt som PUL har ett vidare tillämpningsområde än
	dataskyddsdirektivet, föreslås en bestämmelse i dataskyddslagen som
	utsträcker dataskyddsförordningens tillämpningsområde (1 kap. 2 §).
	Dataskyddslagen innehåller bl.a. bestämmelser som upplyser om inne-
	hållet i dataskyddsförordningen, förtydligar innehållet i dataskyddsför-
	ordningens bestämmelser och kompletterar dataskyddsförordningen i
	vissa delar. Det anges också att bestämmelser i annan lag eller förordning
	som rör behandling av personuppgifter och som avviker från dataskydds-
	lagen ska ha företräde framför dataskyddslagen (1 kap. 6 § dataskydds-
	lagen), dvs. dataskyddslagen är subsidiär till andra författningar. Det
	innebär att dataskyddslagen, på motsvarande sätt som PUL, kommer att
26	kunna kompletteras av s.k. registerförfattningar, dvs. författningar som
26

reglerar behandling av personuppgifter på ett avgränsat område. För Prop. 2017/18:218 närvarande kompletteras PUL av ca 200 registerförfattningar. På utbild-

ningsområdet gäller t.ex. studiestödsdatalagen (2009:287), studiestöds- dataförordningen (2009:321) och förordningen (1993:1153) om redo- visning av studier m.m. vid universitet och högskolor.

4.4Dataskyddsförordningen behöver även kompletteras genom svenska bestämmelser på utbildningsområdet

För att den behandling av personuppgifter som i dag sker på utbildnings- området ska kunna fortsätta när dataskyddsförordningen och dataskydds- lagen börjar gälla finns det även behov av kompletterande bestämmelser om personuppgiftsbehandling på utbildningsområdet. De frågor som aktualiseras på utbildningsområdet och där regeringen ser behov att lämna förslag till riksdagen eller informera om sin bedömning gäller förekomsten av rättslig grund för att behandla personuppgifter (avsnitt 9), behandling av känsliga personuppgifter (avsnitt 13), behandling av personuppgifter som rör lagöverträdelser (avsnitt 14) och att studie- stödsdatalagen ska anpassas till dataskyddsförordningen (avsnitt 15).

Nedan ges först en kortfattad redogörelse för gällande rätt då den nya dataskyddsförordningen till stor del baseras på dataskyddsdirektivets struktur och innehåll (avsnitt 4.5). Därefter ges en kort beskrivning av vilka nyheter dataskyddsförordningens reglering innebär (avsnitt 4.6).

4.5	Närmare om gällande rätt
Dataskyddsdirektivet
Dataskyddsdirektivet syftar till att garantera en hög och i alla medlems-
stater likvärdig skyddsnivå när det gäller enskilda personers fri- och
rättigheter med avseende på behandling av personuppgifter. Det syftar
även till att främja ett fritt flöde av personuppgifter mellan medlems-
staterna i EU. Medlemsstaterna får inom den ram som ges i direktivet
närmare precisera villkoren för när behandling av personuppgifter får
förekomma.
Huvuddragen i direktivet är följande. Direktivet gäller för sådan be-
handling av personuppgifter som helt eller delvis sker på automatisk väg
liksom för annan behandling än automatisk av personuppgifter som ingår
i eller kommer att ingå i ett register. Med behandling av personuppgifter
avses varje åtgärd eller serie av åtgärder som vidtas beträffande person-
uppgifter, vare sig det sker på automatisk väg eller inte, till exempel in-
samling, registrering, organisering, lagring, bearbetning eller ändring,
återvinning, inhämtande, användning, utlämnande genom översändande,
spridning eller annat tillhandahållande av uppgifter, sammanställning
eller samkörning, blockering, utplåning eller förstöring (artikel 2 b och
3.1 i dataskyddsdirektivet).
Direktivet är inte tillämpligt på sådan behandling av personuppgifter
som faller utanför gemenskapsrätten, t.ex. behandling som gäller allmän		27

Prop. 2017/18:218 säkerhet, statens säkerhet eller statens verksamhet på straffrättens områ-

	de.
	Direktivet är inte heller tillämpligt på behandling av personuppgifter
	som utförs av en fysisk person som ett led i verksamhet av rent privat
	natur eller som har samband med hans eller hennes hushåll. Behandling
	av personuppgifter för journalistiska, konstnärliga och litterära ändamål
	undantas från direktivets materiella bestämmelser (artikel 3.2 och 9).
	Medlemsstaterna ska enligt direktivet föreskriva vissa principer för
	uppgifternas kvalitet. Dessa innebär bl.a. följande. Personuppgifter ska
	behandlas på ett korrekt och lagligt sätt. Uppgifterna får samlas in endast
	för särskilda, uttryckligt angivna och berättigade ändamål och de får inte
	senare användas på ett sätt som är oförenligt med ursprungsändamålet.
	Senare behandling av uppgifter för historiska, statistiska eller veten-
	skapliga ändamål ska dock inte anses oförenligt med det ursprungliga
	ändamålet, förutsatt att medlemsstaterna beslutar om lämpliga skydds-
	åtgärder.
	Medlemsstaterna ska vidare föreskriva att personuppgifter endast får
	behandlas i bl.a. följande fall: när samtycke lämnats, när det är nöd-
	vändigt för att fullgöra ett avtal i vilket den registrerade är part, när det
	finns en i författning reglerad förpliktelse att behandling av uppgifterna
	skall ske, när det är nödvändigt för att skydda den enskildes grund-
	läggande intressen, när det är nödvändigt att utföra en arbetsuppgift i det
	allmännas intresse eller som ett led i myndighetsutövning eller efter en
	intresseavvägning mellan de berättigade intressen som finns för behand-
	lingen och den registrerades rättigheter (artikel 6 och 7).
	Så kallade känsliga uppgifter, dvs. uppgifter som avslöjar ras eller
	etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse,
	medlemskap i fackförening, samt uppgifter som rör hälsa och sexualliv.
	får som huvudregel inte behandlas. Det finns dock vissa undantag, bl.a.
	om den enskilde uttryckligen samtycker, för ideella föreningars med-
	lemsregister, för hälso- och sjukvårdens administration och vid för-
	fattningsreglerade skyldigheter. Medlemsstaterna får i sin nationella lag-
	stiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra
	undantag från förbudet än dem som anges i direktivet, dock endast under
	förutsättning att det sker av hänsyn till ett viktigt allmänt intresse och att
	lämpliga skyddsåtgärder vidtas. Medlemsstaterna ska vidare bestämma
	på vilka villkor nationella identifikationsnummer får behandlas. Vidare
	får uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder
	bara behandlas i vissa angivna fall (artikel 8).
	Med registeransvarig avses den fysiska eller juridiska person, den
	myndighet, den institution eller det andra organ som ensamt eller
	tillsammans med andra bestämmer ändamålen och medlen för be-
	handlingen av personuppgifter. Med registerförare avses den fysiska eller
	juridiska person, den myndighet, den institution eller det andra organ
	som behandlar personuppgifter för den registeransvariges räkning (artikel
	2 d och 2 e).
	När personuppgifter samlas in ska de registrerade informeras bl.a. om
	vem som är registeransvarig och vad uppgifterna ska användas till. All
	behandling av personuppgifter ska enligt huvudregeln anmälas till en
	tillsynsmyndighet. Behandling av personuppgifter som innebär särskilda
28	integritetsrisker får inte förekomma utan att tillsynsmyndigheten först

gett tillstånd till detta. Den registrerade ska ha rätt att få sina rättigheter Prop. 2017/18:218 enligt den nationella lagen prövad av tillsynsmyndigheten och domstol.

Överföring av personuppgifter till ett tredje land får i princip endast ske om det mottagande landet har en acceptabel skyddsnivå (se bl.a. artikel 10, 18–20, 22 och 25).

Personuppgiftslagen

Dataskyddsdirektivet har, som angetts ovan, genomförts i svensk rätt huvudsakligen genom PUL. Bestämmelserna i PUL har till syfte att skydda människor mot att deras personliga integritet kränks genom be- handling av personuppgifter. PUL följer i princip dataskyddsdirektivets struktur. Liksom direktivet innehåller PUL bestämmelser om behandling av personuppgifter som helt eller delvis är automatiserad, men även annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. PUL gäller både myndigheter och enskilda som behandlar personupp- gifter på detta sätt. Lagen gäller dock inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (5 och 6 §§ PUL). Vidare anges att PUL inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihets- grundlagen samt att vissa angivna bestämmelser inte ska tillämpas på sådan behandling av personuppgifter som sker uteslutande för jour- nalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). Det anges även att PUL inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter samt att bestämmelserna inte heller hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkiv- material tas om hand av en arkivmyndighet (8 §).

Liksom direktivet innehåller PUL bl.a. grundläggande krav på behand- ling av personuppgifter, när behandling av personuppgifter är tillåten, förbud mot behandling av känsliga personuppgifter och undantag från detta förbud, begränsningar i fråga om behandling av personuppgifter om lagöverträdelser m.m. och skyldighet att lämna information till den regi- strerade. De som i direktivet benämns som registeransvarig och register- förare motsvaras i PUL av personuppgiftsansvarig och personuppgifts- biträde (3 §).

4.6Likheter och skillnader mellan dataskydds- direktivet och dataskyddsförordningen

Som nämnts baseras dataskyddsförordningen till stor del på dataskydds- direktivets struktur och innehåll. Precis som dataskyddsdirektivet, ska dataskyddsförordningen tillämpas på sådan behandling av person- uppgifter som helt eller delvis företas på automatisk väg och på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1).

Prop. 2017/18:218 Definitionerna av begreppen personuppgifter och behandling i data- skyddsförordningen har, jämfört med dataskyddsdirektivets definitioner, endast justerats något redaktionellt och kompletterats med något ytter- ligare exempel på vad som utgör personuppgifter respektive behandling (artikel 4 punkt 1 och 2 i dataskyddsförordningen).

Definitionerna av personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen motsvarar definitionerna av registeransvarig och registerförare i dataskyddsdirektivet (artikel 4 punkt 7 och 8).

I likhet med dataskyddsdirektivet innehåller dataskyddsförordningen grundläggande principer för behandling av personuppgifter som i stort sett är oförändrade, en reglering av när behandling av personuppgifter är tillåten, förbud mot behandling av känsliga personuppgifter och undantag från detta förbud i vissa fall, begränsningar i fråga om behandling av personuppgifter om lagöverträdelser m.m. och bestämmelser om infor- mation till den registrerade (t.ex. artikel 5, 6, 9 10 och 12–15.)

Jämfört med dataskyddsdirektivet medför dock dataskyddsförord- ningen bl.a. följande förändringar.

Det territoriella tillämpningsområdet utvidgas

Dataskyddsförordningen ska i likhet med dataskyddsdirektivet tillämpas på behandling av personuppgifter som sker inom ramen för den verk- samhet som bedrivs av en personuppgiftsansvarig eller ett personupp- giftsbiträde som är etablerad i unionen. Vidare ska dataskyddsförord- ningen, i likhet med dataskyddsdirektivet, också tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerade i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten (artikel 3.1 och 3.3 i dataskyddsförordningen).

En skillnad jämfört med dataskyddsdirektivets ordalydelse är dock att förordningen under vissa omständigheter även ska tillämpas på behand- ling av personuppgifter som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen. Detta gäller om behandlingen avser registrerade som befinner sig i unionen, under förut- sättning att behandlingen har anknytning till antingen utbjudande av varor eller tjänster till sådana registrerade i unionen eller övervakning av deras beteende, så länge beteendet sker inom unionen (artikel 3.2 i data- skyddsförordningen).

De registrerades rättigheter förstärks

Den registrerades rättigheter har förstärkts i dataskyddsförordningen i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har preciserats och utvidgats och det anges bl.a. uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form (artikel 12–23).

Förordningen innebär även en förstärkning av rätten att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet (artikel 20).

Vidare har en tydligare rätt till radering (”rätt att bli bortglömd”) införts (artikel 17).

Ett krav på samtycke införs för situationer när informationssamhällets tjänster erbjuds barn

När det gäller barn införs ett krav på att samtycke ges eller behandlingen godkänns av barnets vårdnadshavare när informationssamhällets tjänster erbjuds direkt till ett barn under 16 år. Medlemsstaterna får dock före- skriva en lägre ålder, men inte under 13 år (artikel 8). I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås en åldersgräns på 13 år (2 kap. 4 § dataskyddslagen). Barns särställning och särskilda utsatthet poängteras också på flera ställen i förordningen.

En skyldighet att anmäla personuppgiftsincidenter införs

Genom dataskyddsförordningen införs en skyldighet för den person- uppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en så kallad personuppgiftsincident, dvs. en säkerhetsincident som oavsikt- ligt påverkar behandlingen av personuppgifter. Även den registrerade ska informeras om incidenten om den sannolikt leder till en hög risk för enskildas rättigheter och friheter (artikel 33).

Ett krav på konsekvensanalyser ersätter en allmän anmälningsskyldighet

Genom dataskyddsförordningen införs även ett krav på konsekvens- analyser om en viss behandling sannolikt kommer att leda till hög risk för enskildas rättigheter eller skyldigheter (artikel 35). Den allmänna anmälningsskyldigheten till tillsynsmyndigheten tas däremot bort.

Det finns ingen missbruksregel och vissa förändringar görs när det gäller de rättsliga grunderna för personuppgiftsbehandling

När dataskyddsförordningen börjar tillämpas kommer den så kallade missbruksregeln i 5 a § PUL inte längre att finnas kvar. Såväl data- skyddsdirektivet som PUL innebär att behandling av personuppgifter förutsätter tillämpning av ett antal s.k. hanteringsregler. Missbruksregeln innebär att vissa av dessa hanteringsregler inte behöver tillämpas på be- handling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt under- lätta sökning efter eller sammanställning av personuppgifter. Detta gäller dock endast under förutsättning att behandlingen inte innebär en kränk- ning av den registrerades personliga integritet. Bestämmelsen har till- kommit för att förenkla regleringen om personuppgiftsbehandling och bestämmelsen har ett relativt vitt tillämpningsområde (jfr HFD 2015 ref 3). Någon motsvarighet till missbruksregeln finns dock inte i data- skyddsförordningen.

Enligt dataskyddsförordningen är det vidare inte tillåtet för myndig- heter att, när de fullgör sina uppgifter, behandla personuppgifter med stöd av den rättsliga grund som utgår från en avvägning mellan de berättigade intressen som finns för behandlingen och den registrerades rättigheter och intressen (intresseavvägning, artikel 6.1 i data- skyddsförordningen). I skäl 43 till dataskyddsförordningen förtydligas också att utrymmet för att myndigheter ska kunna basera en behandling av personuppgifter på den rättsliga grunden samtycke är begränsat.

Ett nytt krav är vidare att den rättsliga grund som personuppgifts- behandlingen stödjer sig på i vissa fall ska vara fastställd i enlighet med

Prop. 2017/18:218

Prop. 2017/18:218 unionsrätten eller i nationell rätt. Detta gäller om behandlingen är nöd- vändig för att fullgöra en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Hur rättsliga för- pliktelser, uppgifter av allmänt intresse och myndighetsutövning fast- ställs i enlighet med svensk rätt förtydligas i 2 kap. 1–3 §§ i den före- slagna dataskyddslagen. Frågan om rättsliga grunder för behandling av personuppgifter på utbildningsområdet behandlas i avsnitt 9.

Förändringar när det gäller känsliga personuppgifter och lagöverträdelser

Det har också skett vissa ändringar i fråga om vilka uppgifter som om- fattas av förbudet mot behandling av känsliga personuppgifter och i fråga om vilka uppgifter om lagöverträdelser m.m. som får behandlas. Det redogörs närmare för dessa förändringar i avsnitt 13.1 och 14.1.

Kompletterande nationella bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser samt personnummer och samordningsnummer föreslås i 3 kap. dataskyddslagen. Frågan om behandling av känsliga personuppgifter och uppgifter om lagöver- trädelser på utbildningsområdet behandlas i avsnitt 13 och 14.

Förhållandet till offentlighetsprincipen blir tydligare

Utrymmet för att ge offentlighetsprincipen företräde framför dataskydds- regleringen blir tydligare, genom en uttrycklig och direkt tillämplig be- stämmelse i artikel 86 i dataskyddsförordningen. Av bestämmelsen följer att personuppgifter i allmänna handlingar får lämnas ut i enlighet med nationell rätt, för att jämka samman allmänhetens rätt att få tillgång till handlingar med rätten till skydd för personuppgifter i enlighet med för- ordningen. Härigenom möjliggörs alltså en tillämpning av tryckfrihets- förordningens reglering om allmänhetens tillgång till handlingar när det gäller allmänna handlingar som innehåller personuppgifter. Ett tydlig- görande av bl.a. detta föreslås i 1 kap. 7 § dataskyddslagen.

Administrativa sanktionsavgifter och andra åtgärder som syftar till en enhetlig tillämpning införs

Genom förordningen införs ett nytt gemensamt system med admini- strativa sanktionsavgifter som ska tas ut vid vissa typer av överträdelser av förordningen. Kompletterande nationella bestämmelser om sanktions- avgifter föreslås i 6 kap. 2–7 §§ dataskyddslagen. Även på andra sätt innebär förordningen ett ökat fokus på en enhetlig tillämpning av data- skyddsreglerna inom EU, till exempel genom åtgärder som godkännande av uppförandekoder och certifiering. Det införs även en skyldighet för de nationella tillsynsmyndigheterna att samarbeta med varandra. Det införs också en ny princip om en enda kontaktpunkt, som ska underlätta för personuppgiftsansvariga som är verksamma i flera medlemsstater genom att de endast ska behöva vara i kontakt med en av de behöriga tillsyns- myndigheterna. Det införs även ett nytt unionsorgan, Europeiska data- skyddsstyrelsen, som får långtgående befogenheter att uttala sig om tolk- ningen av förordningen även i enskilda fall (t.ex. artikel 40, 43, 57, 68– 76 och 83).

4.7 Regeringsformen avgör om kompletterande Prop. 2017/18:218 svensk reglering ska införas på lag- eller

förordningsnivå

När det gäller införande av svensk reglering som kompletterar data- skyddsförordningen behöver regeringsformens (RF) grundläggande be- stämmelser till skydd för den personliga integriteten beaktas.

Tidigare gällde att varje medborgare, i den utsträckning som närmare anges i lag, skulle skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling (tidigare 2 kap. 3 § andra stycket RF). Bestämmelsen gav dock inte något individuellt rättighetsskydd för enskilda, utan innebar enbart att lagstiftaren var skyldig att i lag upprätthålla någon form av skydd för den personliga integriteten i fråga om automatiserad behand- ling av personuppgifter.

Till följd av en grundlagsändring som trädde i kraft den 1 januari 2011 gäller numer att var och en är gentemot det allmänna skyddad mot bety- dande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Detta skydd kan dock begränsas genom lag (2 kap. 6 § andra stycket och 20 § första stycket 2 RF).

Vid införandet av nya bestämmelser som avser behandling av person- uppgifter behöver därmed bedömas om regleringen utgör ett sådant be- tydande intrång som kräver lagform, eller om regleringen kan införas på förordningsnivå. Förarbetena till grundlagsbestämmelsen ger ledning vid en sådan bedömning (propositionen En reformerad grundlag [prop. 2009/10:80 s. 171 f.]).

5 Vad avses med utbildningsområdet?

Utbildningsområdet omfattar bl.a. skolväsendet och annan verksamhet som regleras i skollagen, den verksamhet som bedrivs av universitet och högskolor, yrkeshögskolan, folkbildningen och studiestödet. Området omfattar utbildning hos offentliga och enskilda utbildningsanordnare som är erkända av det allmänna, t.ex. genom tillstånd, offentlig finansiering eller genom att utbildningen berättigar till studiestöd. Däremot omfattas inte rent privaträttslig utbildning. I propositionen behandlas inte behandling av personuppgifter på utbildningsområdet som sker med stöd av lagen om den officiella statistiken (2001:99) och förordningen om den officiella statistiken (2001:100). Nedan redogörs närmare för olika delar av utbildningsområdet.

5.1Skollagsreglerad verksamhet

Skolväsendet regleras i skollagen (2010:800) och anslutande förord-

ningar och omfattar skolformerna förskola, förskoleklass, grundskola,

Prop. 2017/18:218 grundsärskola, specialskola, sameskola, gymnasieskola, gymnasiesär- skola, kommunal vuxenutbildning och särskild utbildning för vuxna. I skolväsendet ingår också fritidshem som kompletterar utbildningen i förskoleklassen, grundskolan, grundsärskolan, specialskolan, sameskolan och vissa särskilda utbildningsformer (1 kap. 1 § skollagen). I skollagen finns även bestämmelser om vissa särskilda utbildningsformer och annan pedagogisk verksamhet som bedrivs i stället för utbildning inom skol- väsendet (1 kap. 2 §, 24 kap. och 25 kap. skollagen). Som exempel kan nämnas internationella skolor, utbildning vid särskilda ungdomshem, utbildning för barn och elever som vårdas på sjukhus, öppen förskola och omsorg under tid då förskola eller fritidshem inte erbjuds.

Utbildning inom skolväsendet anordnas av både offentliga och en- skilda aktörer. Kommuner är huvudmän för förskola, förskoleklass, grundskola, grundsärskola, gymnasieskola, gymnasiesärskola, kommunal vuxenutbildning, särskild utbildning för vuxna och fritidshem. Staten är huvudman för specialskola och sameskola och för förskoleklass och fritidshem vid en skolenhet inom dessa skolformer. I viss utsträckning får ett landsting vara huvudman för gymnasieskola, gymnasiesärskola, kom- munal vuxenutbildning och särskild utbildning för vuxna. Efter ansökan som prövas av Statens skolinspektion, eller i vissa fall av kommunen där utbildningen ska bedrivas, får en enskild godkännas som huvudman för förskola, förskoleklass, grundskola, grundsärskola, gymnasieskola, gym- nasiesärskola och fritidshem (2 kap. skollagen).

Det finns också vissa möjligheter för huvudmän inom skolväsendet att sluta avtal om att någon annan enskild fysisk eller juridisk person utför vissa uppgifter enligt skollagen, s.k. entreprenad (23 kap. skollagen).

I det följande används begreppet skollagsreglerad verksamhet som samlingsbegrepp för de verksamheter som regleras i skollagen.

Inom den skollagsreglerade verksamheten kan vissa utbildningar både på grundläggande och gymnasial nivå berättiga till studiestöd (se vidare avsnitt 5.5).

5.2Universitet och högskolor

Vid universitet och högskolor ges eftergymnasial utbildning på grund- nivå, avancerad nivå och forskarnivå. Examina utfärdas på grundnivå, avancerad nivå och forskarnivå. I vissa fall krävs tillstånd för att utfärda examina.

De flesta universitet och högskolor har staten som huvudman och om- fattas av högskolelagen (1992:1494) och högskoleförordningen (1993:100). Universitetskanslersämbetet prövar frågor om examenstill- stånd. Tillstånd att utfärda examina kan också ges av regeringen till enskilda utbildningsanordnare enligt lagen (1993:792) om tillstånd att utfärda vissa examina.

I det följande används högskolor som samlingsbegrepp för universitet och högskolor, oavsett om det är fråga om statliga eller enskilda utbild- ningsanordnare.

Statliga högskoleutbildningar och ett stort antal utbildningar vid enskilda utbildningsanordnare som har tillstånd att utfärda examina

enligt lagen om tillstånd att utfärda vissa examina berättigar till studie- Prop. 2017/18:218 stöd (se vidare avsnitt 5.5).

5.3Yrkeshögskolan och andra eftergymnasiala utbildningar

Yrkeshögskolan inrättades 2009 som en fristående utbildningsform med ett gemensamt regelverk för eftergymnasiala yrkesutbildningar vid sidan av högskolan. Yrkeshögskolan regleras i lagen (2009:128) om yrkes- högskolan. Myndigheten för yrkeshögskolan (MYH) är förvaltnings- myndighet för yrkeshögskolan och beslutar vilka utbildningar som får ingå där. Utbildning inom yrkeshögskolan får anordnas av statliga uni- versitet och högskolor, andra statliga myndigheter, kommuner, landsting och enskilda fysiska eller juridiska personer. Ett beslut om att en ut- bildning får ingå i yrkeshögskolan kan innebära att anordnaren kan få statsbidrag eller särskilda medel för utbildningen. En yrkeshögskole- utbildning berättigar också de studerande till studiestöd. Det finns också utbildningar där anordnarna i stället för att få statsbidrag eller särskilda medel kan ta ut studerandeavgifter. Även dessa utbildningar berättigar de studerande till studiestöd. En utbildning inom yrkeshögskolan ska svara mot behov av kvalificerad arbetskraft i arbetslivet som inte tillgodoses genom en utbildning enligt högskolelagen (1992:1434) eller en utbild- ning som kan leda fram till en examen enligt lagen (1993:792) om tillstånd att utfärda vissa examina. En anordnare av utbildning inom yrkeshögskolan får efter anmälan bedriva sådan utbildning även som uppdragsutbildning.

Även konst- och kulturutbildningar är en eftergymnasial utbildnings- form. Utbildningarna finns inom exempelvis dans, musik, teater, film, konst och mode. De bedrivs av enskilda fysiska eller juridiska personer men står under statlig tillsyn. MYH prövar frågor om stöd enligt förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar.

Både utbildning inom yrkeshögskolan enligt lagen om yrkeshögskolan som inte är uppdragsutbildning och utbildning som har förklarats berät- tiga till studiestöd genom beslut av Myndigheten för yrkeshögskolan enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar berättigar till studiestöd (se avsnitt 5.5).

5.4 Folkbildningen

Folkbildningen har traditionellt sett innefattat fyra grenar: folkbibliotek,
folkhögskolor, föreläsningsföreningar och studieförbund. Folkbiblio-
tekets verksamhet regleras i bibliotekslagen (2013:801). Det statliga an-
slaget för stöd till folkbildningen tilldelas enbart folkhögskolor och
studieförbund och deras verksamhet.
De flesta folkhögskolor drivs av folkrörelser eller andra organisationer.
Övriga folkhögskolor ägs och drivs av regioner eller landsting. Folkhög-
skolan är huvudsakligen en utbildningsform för vuxna. De flesta studie-	35
	35

Prop. 2017/18:218 förbunden är ideella organisationer. Studieförbunden driver bl.a. studie- cirkelverksamhet och kulturverksamhet.

Folkbildningen finansieras huvudsakligen. genom statsbidrag enligt förordningen (2015:218) om statsbidrag till folkbildningen. Folkbild- ningsrådet (FBR), som är en ideell organisation där organisationer som företräder folkhögskolor och studieförbund är medlemmar, beslutar vilka folkhögskolor, studieförbund och studerandeorganisationer inom folk- högskolan som ska få del av statsbidraget och fördelar tillgängliga medel mellan dem. Folkhögskolor och studieförbund som FBR fördelar stats- bidrag till enligt den nämnda förordningen kan även få statsbidrag enligt förordningen (2012:140) om statsbidrag för viss utbildning som rör tolkning och teckenspråk och förordningen (2015:521) om statsbidrag till särskilda folkbildningsinsatser för asylsökande och vissa nyanlända in- vandrare. Vidare kan folkhögskolorna ansöka hos Specialpedagogiska skolmyndigheten om statsbidrag för kostnader för särskilt utbildnings- stöd som erbjuds deltagare med funktionsnedsättningar enligt förord- ningen (2011:1163) om statsbidrag för särskilt utbildningsstöd. Special- pedagogiska skolmyndigheten beviljar det statsbidraget enbart till de folkhögskolor som av FBR har tilldelats statsbidrag till folkbildningen. Det finns även andra statsbidrag som folkhögskolor och studieförbund kan ansöka om för att genomföra olika typer av verksamhet. Det är t.ex. fallet med statsbidrag enligt förordningen (2016:1364) om statsbidrag till verksamheter för asylsökande m.fl. som beviljas av länsstyrelsen. Den del av folkbildningsverksamhet som finansieras genom olika former av statsbidrag benämns i denna proposition statsbidragsfinansierad folkbild- ning.

Folkbildningen kan dessutom finansieras på annat sätt. Det kan t.ex. handla om bidrag för uppdragsutbildningar, bidrag från kommun och landsting eller region samt bidrag från privata aktörer. Den delen av folk- bildningsverksamheten benämns i propositionen folkbildning som finan- sieras på annat sätt än genom statsbidrag.

Statsbidrag enligt förordningen om statsbidrag till folkbildningen och förordningen om statsbidrag till särskilda folkbildningsinsatser för asyl- sökande och vissa nyanlända invandrare får också direkt lämnas till Studieförbundet SISU Idrottsutbildarna (SISU) för idrottens studie-, bildnings- och utbildningsverksamhet. SISU beslutar vilka som bedriver sådan verksamhet som ska få statsbidrag och fördelar tillgängliga medel mellan dem. Även SISU mottar andra former av finansiering för sin verksamhet.

Att fördela statsbidrag är en förvaltningsuppgift som innefattar myn- dighetsutövning. En sådan uppgift får bara överlämnas till enskilda med stöd av lag (12 kap. 4 § RF). FBR och SISU fördelar statsbidrag med stöd av lagen (1976:1046) om överlämnande av förvaltningsuppgifter inom Utbildningsdepartementets verksamhetsområde. Av 2 kap. 4 § offentlighets- och sekretesslagen (2009:400, OSL) och bilagan till den lagen framgår att FBR och SISU i deras verksamhet att fördela stats- bidrag ska tillämpa vad som föreskrivs i tryckfrihetsförordningen om rätt att ta del av allmänna handlingar hos myndigheter samt att de i den verk- samheten också ska jämställas med myndigheter vid tillämpning av OSL.

Kvalifikationer från folkbildningen kan vara behörighetsgivande vid Prop. 2017/18:218 ansökan till t.ex. högskolan eller yrkeshögskolan. Vissa utbildningar som

anordnas av folkhögskolor berättigar till studiestöd (se avsnitt 5.5).

5.5Studiestödet

Till utbildningsområdet hör även studiestödet. Studiestödet består fram- för allt av ekonomiskt stöd till enskilda i form av bl.a. studiehjälp och studiemedel. Sedan den 2 juli 2017 finns också ett nytt studiestöd, studiestartsstöd, som ett komplement till studiemedelssystemet. Studie- stödet administreras av Centrala studiestödsnämnden (CSN).

Bestämmelser som avser studiestödet finns framförallt i studiestöds- lagen (1999:1395), studiestödsförordningen (2000:655), lagen (2017:527) om studiestartsstöd, förordningen (2017:532) om studiestarts- stöd, studiestödsdatalagen (2009:287) och studiestödsdataförordningen (2009:321).

En förteckning över de läroanstalter och utbildningar vid vilka studie- stöd kan lämnas finns i en bilaga till studiestödsförordningen.

5.6 Den nationella referensramen för livslångt lärande

Den 23 april 2008 beslutade Europaparlamentet och rådet en rekommen-
dation om en europeisk referensram för kvalifikationer för livslångt
lärande (rekommendationen om EQF, EUT C 111, 6.5.2008). Syftet med
rekommendationen är att bidra till att modernisera utbildningssystemen
inom Europa samt stärka kopplingarna mellan utbildning och arbetsliv
(ingresspunkt 13). Syftet med den europeiska referensramen, som finns
intagen som bilaga II till rekommendationen, är att främja livslångt
lärande och förbättra anställbarhet, rörlighet och social integrering för
arbetstagare och studerande inom EU (ingresspunkt 12). Referensramen
består av åtta nivåer som beskriver det resultat av lärande i form av
kunskaper, färdigheter och kompetenser som är av betydelse för respek-
tive nivå. Resultat av lärande är ett centralt begrepp i rekommendationen
och kan utryckas som det en individ vet, förstår och kan göra när en
lärandeprocess är avslutad. Enligt rekommendationen definieras en kvali-
fikation som ett formellt resultat av en bedömnings- och validerings-
process som ges när ett behörigt organ fastställer att en person har
uppnått resultat av lärande som motsvarar fastställda kriterier (bilaga I
till rekommendationen). Med kvalifikation avses således ett dokumen-
terat resultat av lärande i form av kunskaper, färdigheter och kompe-
tenser, t.ex. utbildningsbevis, examina, certifikat och diplom. Referens-
ramen omfattar alla typer av kvalifikationer från såväl utbildningssyste-
met som arbetslivet. Referensramen beskriver inte enskilda personers
meriter utan ska fungera som ett översättningsverktyg som på systemnivå
kan beskriva olika kvalifikationer i form av resultat av lärande. Det inne-
bär att den ska underlätta jämförelser mellan de kvalifikationer som ut-
färdas i olika medlemsstater. För att bidra till att skapa förtroende för de	37
	37

Prop. 2017/18:218 kvalifikationer som utfärdas rekommenderas medlemsstaterna att tilläm- pa de principer för kvalitetssäkring inom högre och yrkesinriktad utbild-

	ning som är framtagna till stöd för genomförandet av den europeiska
	referensramen för kvalifikationer (bilaga III till rekommendationen). För
	att underlätta jämförelse mellan ländernas kvalifikationer bör medlems-
	staterna införa nationella referensramar som kan kopplas till den euro-
	peiska referensramen. Detta ska ske genom att medlemsstaterna på ett
	tydligt sätt hänvisar nivåerna i de nationella referensramarna till de
	nivåer som anges i den europeiska referensramen i bilaga II till rekom-
	mendationen om EQF. Medlemsstaterna rekommenderas också att se till
	att alla nya bevis på kvalifikationer och Europassdokument som utfärdas
	av behöriga myndigheter innehåller en tydlig hänvisning till den
	relevanta nivån i den europeiska referensramen för kvalifikationer. På så
	sätt kan man öka användarvänligheten och underlätta för arbetsgivare att
	förstå nivån på ett kvalifikationsbevis som en arbetssökande uppvisar.
	Rekommendationen har ersatts av rådets rekommendation av den 22 maj
	2017 om den europeiska referensramen för kvalifikationer för livslångt
	lärande och om upphävande av Europaparlamentets och rådets rekom-
	mendation av den 23 april 2008 om en europeisk referensram för
	kvalifikationer för livslångt lärande (EUT C 189, 15.6.2017). Rekom-
	mendationen syftar till att stärka den europeiska referensramen som
	gemensam referensram med åtta uttryckta nivåer i form av lärande-
	resultat, som fungerar som ett verktyg för översättning mellan olika
	referensramar eller system för kvalifikationer och deras olika nivåer
	(ingresspunkt 28).
	I Sverige har den nationella referensramen reglerats i förordningen
	(2015:545) om referensram för kvalifikationer för livslångt lärande.
	Syftet med referensramen är enligt 1 § att underlätta jämförelser natio-
	nellt och internationellt av vilka nivåer sådana kvalifikationer motsvarar i
	fråga om kunskaper, färdigheter och kompetenser för att därigenom
	främja livslångt lärande och förbättra anställningsbarhet, rörlighet och
	social integration för arbetstagare och studerande inom EU. Referens-
	ramen består av åtta nivåer som finns i bilaga 1 till förordningen. En
	kvalifikation ska anses motsvara den nivå i referensramen som bäst
	överensstämmer med de kunskaper, färdigheter och kompetenser som
	kvalifikationen representerar. Kvalifikationer vars resultat av lärande är
	författningsreglerade motsvarar de nivåer som anges i bilaga 2 (3 §). Den
	som utfärdar en kvalifikation som inte anges i bilaga 2 får ansöka om att
	få ett beslut om vilken nivå kvalifikationen motsvarar i referensramen.
	En förutsättning för att en kvalifikation ska kunna motsvara en nivå i
	referensramen är att den som utfärdar kvalifikationen bedriver ett
	systematiskt kvalitetsarbete där kvalitetssäkring av kvalifikationen ingår.
	Ansökan prövas av Myndigheten för yrkeshögskolan. Ett beslut gäller i
	tio år (4 §).
	I bilaga 2 till förordningen har kvalifikationer, vars resultat av lärande
	är författningsreglerade, från samtliga i detta avsnitt behandlade delar av
	utbildningsområdet nivåplacerats. Som exempel kan nämnas att slutbetyg
	från grundsärskolan och slutbetyg från särskild utbildning för vuxna på
	grundläggande nivå har placerats på nivå 1. På nivå 2 återfinns bl.a. slut-
	betyg från grundskolan, specialskolan, kommunal vuxenutbildning på
38	grundläggande nivå, gymnasiesärskolebevis från gymnasiesärskolan,

gymnasiesärskolebevis från särskild utbildning för vuxna på gymnasial Prop. 2017/18:218 nivå, betyg från utbildning i svenska för invandrare kurs D, eller motsva-

rande utbildning som bedrivs vid folkhögskola, betyg från kommunal vuxenutbildning i svenska för invandrare kurs D, eller motsvarande ut- bildning som bedrivs vid folkhögskola samt i intyg om godkänt resultat från allmän kurs på grundskolenivå från folkhögskola. Det finns inga kvalifikationer inplacerade på nivå 3. På nivå 4 finns bl.a. gymnasie- examen från gymnasieskolan, gymnasieexamen från kommunal vuxen- utbildning och intyg om godkänt resultat från allmän kurs på gymnasial nivå från folkhögskola. Nivå 5 innehåller gymnasieingenjörsexamen från gymnasieskolan och yrkeshögskoleexamen från yrkeshögskolan. På nivå 6 har bl.a. examina på grundnivå enligt bilaga 2 till högskoleförord- ningen och kvalificerad yrkeshögskoleexamen från yrkeshögskolan placerats. Examina på avancerad nivå enligt bilaga 2 till högskoleför- ordningen, bilagan till förordningen (1993:221) för Sveriges lantbruks- universitet och bilagan till förordningen (2007:1164) för Försvars- högskolan finns på nivå 7 och slutligen finns på nivå 8 examina på forskarnivå enligt bilaga 2 till högskoleförordningen och bilagan till för- ordningen för Sveriges lantbruksuniversitet.

5.7	Behandling av personuppgifter hos myndig-
	heter som inte själva bedriver utbildning
	behandlas med ett undantag inte i denna
	proposition
Behov av behandling av personuppgifter finns hos myndigheter vars
verksamhet anknyter till det skollagsreglerade området men som inte
själva anordnar eller bedriver utbildning, såsom Statens skolinspektion,
Statens skolverk, Skolväsendets överklagandenämnd och Lärarnas
ansvarsnämnd.
På motsvarande sätt har myndigheter, vars verksamhet anknyter till
högskoleområdet men som inte anordnar eller bedriver utbildning, behov
av att behandla personuppgifter. Det gäller t.ex. Universitets- och
högskolerådet (UHR), Universitetskanslersämbetet, Överklagandenämn-
den för högskolan och Högskolans avskiljandenämnd.
När det gäller yrkeshögskolan har Myndigheten för yrkeshögskolan
(MYH), som är förvaltningsmyndighet för yrkeshögskolan och som är
den myndighet som beslutar om stöd enligt förordningen om stöd för
konst- och kulturutbildningar och vissa andra utbildningar, behov av att
behandla personuppgifter, även om MYH inte själv anordnar eller be-
driver utbildning.
I propositionen Ny dataskyddslag görs bedömningen att den rättsliga
grunden uppgift av allmänt intresse i artikel 6.1. e i dataskyddsförord-
ningen är tillämplig på den verksamhet som myndigheterna bedriver
inom ramen för sin befogenhet. (prop. 2017/18:105 s. 57). Vidare före-
slås i den propositionen generella bestämmelser för behandling av per-
sonuppgifter som bl.a. gäller myndigheters behandling av känsliga per-
sonuppgifter och lagöverträdelser (3 kap. 3–4 §§ och 8 § dataskydds-		39

Prop. 2017/18:218 lagen). Regeringen bedömer mot denna bakgrund att det i fråga om per- sonuppgiftsbehandling hos ovan nämnda myndigheter redan har lämnats förslag och bedömningar i propositionen Ny dataskyddslag som medför att det saknas anledning att även i denna proposition behandla samma frågor. I de fall det därutöver finns behov av anpassningar till den nya dataskyddsregleringen i fråga om ovan nämnda myndigheter bedöms detta kunna ske inom ramen för det fortsatta förordningsarbetet.

När det gäller studiestödet kan konstateras att CSN visserligen inte bedriver utbildning. Som nämnts i avsnitt 4.3. finns det dock registerförfattningar på studiestödsområdet och dessa behöver anpassas till den nya dataskyddsförordningen och den nya dataskyddslagen. Frågor om studiestödet behandlas därför i denna proposition.

6För att personuppgiftsbehandling ska vara laglig krävs en rättslig grund

Som framgått av avsnitt 4 får behandling av personuppgifter som faller under dataskyddsförordningens tillämpningsområde bara ske om det finns en tillämplig rättslig grund. Dessa är enligt artikel 6.1 att

–den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål (samtycke, artikel 6.1 a),

–behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (avtal, artikel 6.1 b),

–behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (rättslig förpliktelse, artikel 6.1 c),

–behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade eller för en annan fysisk person (skydda intressen, artikel 6.1 d),

–behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning (uppgift av allmänt intresse och myndighetsutövning, artikel 6.1 e), eller

–behandlingen är nödvändig för ändamål som rör den personupp- giftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (intresseavvägning, artikel 6.1.f).

Om inget av dessa villkor är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling.

Som framgått av avsnitt 4 förtydligas i skäl 43 till dataskydds- förordningen att utrymmet för att myndigheter ska kunna basera en

behandling av personuppgifter på den rättsliga grunden samtycke är

begränsat. Vidare är skillnaderna mot gällande rätt att det inte är tillåtet Prop. 2017/18:218 för myndigheter att behandla personuppgifter med stöd av den rättsliga

grunden intresseavvägning, och att de rättsliga grunderna rättslig förpliktelse, uppgift av allmänt intresse och myndighetsutövning ska fast- ställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Enligt skäl 41 i dataskyddsförordningen bör den rättsliga grunden vara tydlig och precis och dess tillämpning bör vara förutsägbar för de personer som omfattas av den.

Nedan ges en närmare redogörelse för de rättsliga grunderna samtycke, uppgift av allmänt intresse, myndighetsutövning, rättslig förpliktelse och intresseavvägning.

6.1Samtycke som rättslig grund

Om en behandling grundar sig på samtycke ska den personuppgiftsan- svarige kunna visa att den registrerade har samtyckt till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (artikel 6.1 a och 7.1).

Med samtycke avses varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar be- handling av personuppgifter som rör honom eller henne (artikel 4.11).

Samtycke kan lämnas genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den regi- strerade godtar den avsedda behandlingen av sina personuppgifter (skäl 32).

En förklaring om samtycke som den personuppgiftsansvarige i förväg formulerat bör tillhandahållas i en begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk och utan oskäliga villkor. För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Ett samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke (skäl 42).

Samtycke bör inte utgöra giltig rättslig grund för behandling av person- uppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den person- uppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar (skäl 43).

Artikel 29-gruppen, som är EU:s oberoende rådgivande instans för dataskydd och skydd för privatlivet bestående av en företrädare för varje nationell tillsynsmyndighet i EU-medlemsstaterna, en företrädare för EU-kommissionen och den europeiske datatillsynsmannen, har yttrat att samtycke i undantagsfall kan vara en giltig grund för stater när de be-

Prop. 2017/18:218 handlar personuppgifter. Det bör göras en noggrann kontroll för att se om samtycket faktiskt är tillräckligt frivilligt. När den registeransvarige är en offentlig myndighet kommer den rättsliga grunden för att legitimera behandlingen av personuppgifter att vara fullgörandet av en rättslig för- pliktelse eller utförandet av en uppgift av allmänt intresse snarare än samtycke (yttrande 15/2011 om definitionen av begreppet samtycke artikel 29-gruppen s. 13–14 och 16–17).

Möjligheten att använda samtycke som rättslig grund är därmed begränsad och aktualiseras främst inom områden som inte är offentlig- rättsligt reglerade. I propositionen Ny dataskyddslag gör regeringen bedömningen att när det är tveksamt om den verksamhet som en privat- rättslig aktör, t.ex. ett statligt eller kommunalt bolag, bedriver är av allmänt intresse i unionsrättslig mening är det i stället ofta möjligt att inhämta den registrerades samtycke. Detsamma gäller om verksamheten visserligen är av allmänt intresse, men uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den nationella rätten (s. 58).

6.2Uppgift av allmänt intresse som rättslig grund

Enligt artikel 6.1.e får en personuppgift behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Grunden för be- handlingen ska enligt artikel 6.3 fastställas i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Av artikel 6.3 sista meningen framgår att unionsrätten eller medlems- staternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

Vilka uppgifter är av allmänt intresse?

Begreppet allmänt intresse är ett unionsrättsligt begrepp som inte har definierats vare sig i dataskyddsdirektivet eller i dataskyddsförordningen och innebörden har heller inte ännu utvecklats av EU-domstolen.

Rent språkligt kan begreppet uppgift av allmänt intresse antas avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse eller ett enskilt intresse. Av skäl 45 till dataskyddsförordningen följer att allmänintresset inbegriper hälso- och sjukvårdsändamål, folkhälsa, socialt skydd och förvaltning av hälso- och sjukvårdstjänster. Det kan konstateras att begreppet förekommer i mot- svarande bestämmelser i dataskyddsdirektivet (artikel 7 e) och per- sonuppgiftslagen (10 § d) och att ledning kan hämtas från hur begreppet tolkats enligt dessa bestämmelser.

Som anförts i propositionen Ny dataskyddslag (prop. 2017/18:105 s. 56) gör regeringen bedömningen att alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är av allmänt in- tresse. Om uppgifterna inte vore av allmänt intresse skulle myndig- heterna inte ha ålagts att utföra dem. På motsvarande sätt är de obliga- toriska uppgifter som ålagts kommuner och landsting att utföra av all- mänt intresse. Detta måste enligt regeringens mening gälla även i data- skyddsförordningens mening, eftersom det är upp till varje medlemsstat

att fastställa de uppgifter som är av allmänt intresse.

Begreppet uppgifter av allmänt intresse omfattar inte bara sådant som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. Till skillnad från vad som gäller enligt artikel 6.1 c i data- skyddsförordningen (den rättsliga grunden rättslig förpliktelse) behöver den personuppgiftsansvarige inte vara skyldig att utföra uppgiften för att den rättsliga grunden uppgift av allmänt intresse ska vara tillämplig. Som en följd av det kommunala självstyret har kommuner och landsting en vidsträckt möjlighet att göra frivilliga åtaganden. Befogenheten är emellertid enligt kommunallagen (2017:725) begränsad till angelägen- heter av just allmänt intresse. Kommuner och landsting får driva närings- verksamhet, men bara om den drivs utan vinstsyfte och syftar till att till- handahålla allmännyttiga anläggningar eller tjänster åt medlemmarna. Som exempel på sådana uppgifter av allmänt intresse som kommunerna utför på frivillig grund kan nämnas tillhandahållande av bostäder och fritids- och idrottsanläggningar, åtgärder för att främja ortens näringsliv och annan kulturell verksamhet än bibliotek (som i stället är en obliga- torisk uppgift).

Vissa myndigheter, t.ex. Lantmäteriet, har av riksdagen eller rege- ringen getts befogenhet att bedriva viss uppdragsverksamhet. Även denna typ av verksamhet måste enligt regeringens mening anses vara motiverad av ett allmänt intresse.

Den verksamhet som en statlig eller kommunal myndighet bedriver, inom ramen för sin befogenhet, är således av allmänt intresse. Det är därmed den rättsliga grunden uppgift av allmänt intresse som vanligen bör tillämpas av myndigheter. Detta utesluter dock inte att också andra rättsliga grunder samtidigt kan vara tillämpliga i vissa situationer.

Vid tillämpningen av den rättsliga grunden allmänt intresse spelar det ingen roll om den personuppgiftsansvarige är en offentlig eller en privat aktör.

I propositionen Ny dataskyddslag anser regeringen att begreppet upp- gift av allmänt intresse måste ges en vid betydelse (prop. 2017/18:105 s. 56). Detta för att myndigheternas verksamhet ska kunna fungera även i fortsättningen mot bakgrund av dataskyddsförordningens begränsningar för myndigheter att tillämpa såväl samtycke som intresseavvägning som rättsliga grunder för att behandla personuppgifter inom ramen för sin verksamhet. Ytterligare en väsentlig förändring i förhållande till gällande rätt är att det enligt dataskyddsförordningen inte räcker med att en behandling av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse – uppgiften måste också vara fastställd i enlighet med unionsrätten eller nationell rätt.

Vad avses med att den rättsliga grunden ska vara fastställd i nationell rätt?

I propositionen Ny dataskyddslag (prop. 2017/18:105 s. 48 f.) framhålls att kraven i artikel 6.3 på att grunden för behandlingen ska fastställas i unionsrätten eller en medlemsstats nationella rätt som den personupp- giftsansvarige omfattas av, inte innebär att det krävs en reglering i den nationella rätten av den personuppgiftsbehandling som ska ske med stöd av art. 6.1.e utan det som måste ha stöd i rättsordningen i stället är upp- giften av allmänt intresse. Något motsvarande krav på att grunden för

Prop. 2017/18:218

Prop. 2017/18:218 behandlingen ska vara fastställd i unionsrätt eller nationell rätt finns inte i dataskyddsdirektivet. Det har därför t.ex. ansetts möjligt att med stöd av

	10 § d PUL utföra behandling av personuppgifter som är nödvändig för
	att utföra en arbetsuppgift av allmänt intresse, även om uppgiften inte är
	fastställd i författning eller liknande. Detta har bl.a. inneburit att grunden
	uppgift av allmänt intresse har kunnat åberopas av enskilda som utför
	sådana uppgifter utan författningsstöd. I detta avseende innebär data-
	skyddsförordningen en väsentlig förändring i förhållande till vad som
	gäller idag.
	Att grunden för en behandling ska vara fastställd i nationell rätt är vis-
	serligen en nyhet i förhållande till dataskyddsdirektivet, men i nämnda
	proposition konstateras att det inte är någon nyhet när det gäller svenska
	myndigheters behandling av personuppgifter då legalitetsprincipen är en
	av de principer som kännetecknar Sverige som rättsstat (s. 50). Lega-
	litetsprincipen är grundlagsfäst genom 1 kap. 1 § RF, som anger att den
	offentliga makten utövas under lagarna. Med uttrycket lagarna avses inte
	bara sådana föreskrifter som riksdagen har beslutat, utan även andra
	författningar och t.ex. sedvanerätt (prop. 1973:90 s. 397 och KU 1973:26
	s. 59). Legalitetsprincipen innebär alltså att myndigheternas maktutöv-
	ning i vidsträckt mening, även i den mån denna förutsätter behandling av
	personuppgifter, måste ha stöd i någon av de källor som tillsammans
	bildar rättsordningen.
	När det gäller den bestämmelse i artikel 6.3 som anger att unionsrätten
	eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt
	intresse och vara proportionell mot det legitima mål som eftersträvas
	konstateras i propositionen Ny dataskyddslag att bestämmelsen mot-
	svarar det krav som Europakonventionen ställer på lagstiftaren i en rätts-
	stat. Genom lagen (1994:1219) om den europeiska konventionen an-
	gående skydd för de mänskliga rättigheterna och de grundläggande fri-
	heterna har Europakonventionen inkorporerats i svensk rätt. Vidare gäller
	enligt 2 kap. 19 § RF att lagar och andra föreskrifter inte får meddelas i
	strid med Sveriges åtaganden enligt Europakonventionen. Det bör därför
	vara mycket ovanligt att svensk rätt inte uppfyller Europakonventionens
	krav. Mot denna bakgrund bör utgångspunkten vara att dataskyddsför-
	ordningens krav i artikel 6.3 är uppfyllt i fråga om bl.a. de uppgifter av
	allmänt intresse som fastställs i enlighet med svensk rätt.
	Myndigheternas uppdrag och åligganden framgår av författningar,
	regeringsbeslut och kommunala reglementen, antagna i enlighet med
	regeringsformens bestämmelser om normgivningskompetens och kom-
	munalt självstyre. De åtgärder som myndigheterna vidtar i syfte att utföra
	dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal
	grund, som har offentliggjorts genom tydliga, precisa och förutsebara
	regler. Statliga myndigheter får sina uppdrag och befogenheter av riks-
	dag och regering – i myndighetsinstruktioner, regleringsbrev och andra
	regeringsbeslut. På motsvarande sätt följer de kommunala myndighe-
	ternas obligatoriska uppgifter av åligganden som fastställts i lag eller
	förordning. Även sådana frivilliga åtaganden som en kommun gör inom
	ramen för sin allmänna befogenhet ska framgå av gällande rätt, nämligen
	av det reglemente som fullmäktige utfärdar för den ansvariga nämnden.
	En behandling av personuppgifter måste dock i det enskilda fallet vara
44	nödvändig i förhållande till uppgiften av allmänt intresse och följa de

grundläggande principer som gäller för personuppgiftsbehandling i art. 5 (se mer om nödvändighetsrekvisitet nedan och om nämnda principer i avsnitt 7.1). Dessutom ankommer det på varje svensk myndighet att i all verksamhet iaktta proportionalitetskravet. Detta krav kommer numera även till uttryck i 5 § i den nya förvaltningslagen (2017:900), där det an- ges att en åtgärd aldrig får vara mer långtgående än vad som behövs och att den får vidtas endast om det avsedda resultatet står i rimligt förhål- lande till de olägenheter som kan antas uppstå för den som åtgärden riktas mot.

Såväl offentliga som privata aktörer kan tillämpa den rättsliga grunden uppgift av allmänt intresse

Vid tillämpningen av artikel 6.1 e spelar det ingen roll om den per- sonuppgiftsansvarige är en offentlig eller en privat aktör. Om den uppgift som den personuppgiftsansvarige utför är av allmänt intresse och denna uppgift är fastställd i enlighet med unionsrätten eller den nationella rätten finns det en rättslig grund för nödvändig behandling enligt artikel 6.1 e. Det saknar då betydelse om en privat aktör utför verksamheten på direkt uppdrag av en myndighet eller på eget initiativ.

Avmonopolisering och konkurrensutsättning av offentlig verksamhet i Sverige har inneburit att privaträttsliga organ numera utför en inte obetydlig del av de uppgifter som sannolikt skulle anses vara av allmänt intresse, även i begreppets mest snäva bemärkelse. Detta gäller inom den kommunala sektorn exempelvis avseende förskoleverksamhet och skola, hälso- och sjukvård samt stöd och service till personer med funktions- nedsättning. Inom den traditionellt statliga sektorn kan nämnas riks- täckande infrastruktur, kommunikation och energiförsörjning. Ibland bedrivs verksamheten alltjämt under kommunal eller statlig styrning, i form av kommunala eller statliga bolag, men på andra områden förekom- mer också eller enbart privata subjekt som är associationsrättsligt helt fri stående från den offentliga sektorn. I flera av dessa fall är verksamheten av kommersiell karaktär och bygger i viss utsträckning på avtal med den registrerade. I den mån behandling av personuppgifter är nödvändig kan den i sådana fall ske med stöd av artikel 6.1 b i dataskyddsförordningen (den rättsliga grunden avtal), även om uppgiften inte skulle vara fast- ställd i lagstiftningen. När det gäller hälso- och sjukvårdsverksamhet, i både offentlig och privat regi, fastställs dock uppgiften i bl.a. hälso- och sjukvårdslagen (2017:30). På motsvarande sätt regleras uppgiften att till- handahålla stöd och service till personer med funktionsnedsättning av lagen (1993:387) om stöd och service till vissa funktionshindrade och uppgiften att tillhandahålla insatser inom socialtjänsten av socialtjänst- lagen (2001:453). Skolväsendets uppgifter fastställs i skollagen, som gäller för både offentliga och enskilda anordnare av utbildning. I avsnitt 5 beskrivs kortfattat på vilket sätt även andra uppgifter på utbildningsområdet har fastställts i svensk rätt.

De uppgifter av allmänt intresse som utförs i syfte att utföra ett uttryck- ligt uppdrag eller till följd av ett åliggande måste anses vara av denna karaktär oavsett om de faktiskt utförs i myndighetens egen regi eller om de genom utkontraktering eller entreprenad utförs av någon annan. När en juridisk eller fysisk person, på uppdrag av en kommunal eller statlig

Prop. 2017/18:218

myndighet, utför en förvaltningsuppgift som åligger kommunen eller myndigheten, bör alltså även den privata utföraren, entreprenören eller det kommunala bolaget anses utföra en uppgift av allmänt intresse. Ett privaträttsligt organ som fullgör ett uppdrag från en myndighet avseende en sådan uppgift som är fastställd i författning, regeringsbeslut eller kom- munalt beslut i fullmäktige kan därför vidta nödvändiga behand- lingsåtgärder på samma rättsliga grund som om myndigheten själv utfört uppgiften, dvs. med stöd av artikel 6.1 e i dataskyddsförordningen.

Det bör noteras att en uppdragstagare som är personuppgiftsbiträde åt myndigheten i stället behandlar personuppgifter med stöd av artikel 28 i dataskyddsförordningen. När det är tveksamt om den verksamhet som en privaträttslig aktör, t.ex. ett statligt eller kommunalt bolag, bedriver är av allmänt intresse i unionsrättslig mening är det i stället ofta möjligt att grunda nödvändig behandling av personuppgifter på en intresseavväg- ning i enlighet med artikel 6.1 f i dataskyddsförordningen eller att inhämta den registrerades samtycke. Detsamma gäller om verksamheten visserligen är av allmänt intresse, men uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den nationella rätten.

Reglering i dataskyddslagen

Av skäl 41 till dataskyddsförordningen kan man dra slutsatsen att den rättsliga grunden inte måste fastställas i en av riksdagen beslutad lag men däremot att grunden måste vara fastställd i laga ordning, dvs. på ett konstitutionellt korrekt sätt. Vad detta konkret innebär i svensk rätt när det gäller uppgift av allmänt intresse har preciserats i förslaget till data- skyddslag (2 kap. 2 § 1). Enligt den bestämmelsen får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om be- handlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning.

Av skäl 41 framgår också att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol och Europe- iska domstolen för de mänskliga rättigheterna. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste bedömas från fall till fall, utifrån behandlingens karaktär. En behandling av per- sonuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd av en rättslig grund som är allmänt hållen medan ett mer kännbart intrång kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.

Nödvändighetsrekvisitet

Som nämnts ovan får personuppgifter behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (art. 6 1 e). Syftet med behandlingen ska vara nödvändigt för att utföra en uppgift av allmänt intresse (art. 6.3).

Nödvändighetsrekvisitet gäller redan enligt artikel 7 dataskydds- direktivet och 10 § PUL. Enligt Svenska Akademiens Ordbok betyder det svenska ordet nödvändig att någonting absolut fordras eller inte kan

underlåtas. Det unionsrättsliga begreppet har dock inte denna strikta Prop. 2017/18:218 innebörd. Nödvändighetsrekvisitet i artikel 7 i dataskyddsdirektivet har

t.ex. inte ansetts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas. Detta synsätt kommer till uttryck i EU-domstolens dom i målet Huber mot Tyskland, som rörde tolkningen av nödvändighetsrekvisitet i artikel 7 e i direktivet (C-524/06, EU:C:2008:724). EU-domstolen uttalade att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. På motsvarande sätt bör det i dagsläget mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en manuell informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag.

Att det ska vara nödvändigt att behandla en uppgift ska enligt rege- ringens bedömning således inte tolkas som att uppgiften av allmänt intresse måste vara avgränsad så att den bara kan utföras på ett sätt. Den metod som den personuppgiftsansvarige väljer för att utföra sin uppgift måste dock – som all offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss uppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutse- barhet i fråga om vilken personuppgiftsbehandling som kan aktualiseras. Om ett uppdrag i stället har reglerats på en mer övergripande och resul- tatinriktad nivå kan det sannolikt utföras på många olika sätt, vilka i förhållande till varandra kan vara mer eller mindre nödvändiga i data- skyddsförordningens mening. Kravet på att ändamålet ska vara nödvän- digt för att utföra en uppgift av allmänt intresse innebär alltså i sig en spärr mot helt onödig behandling av personuppgifter eller sådan behand- ling som utgör ett oproportionerligt intrång i privatlivet som inte kunnat förutses (prop. 2017/18:105 s. 60).

6.3Myndighetsutövning som rättslig grund

Enligt dataskyddsförordningen får personuppgifter även behandlas om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning. För att grunden ska kunna tillämpas krävs att rätten att utöva myndighet är fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Den person- uppgiftsansvarige behöver inte vara skyldig att utföra uppgiften för att den rättsliga grunden ska vara tillämplig, men behandlingen måste vara nödvändig (artikel 6.1 e andra ledet och 6.3). Vad som avses med att en rättslig grund ska vara fastställd i nationell rätt och att en behandling ska vara nödvändig har behandlats i avsnitt 6.1.2.

Begreppet myndighetsutövning har en EU-gemensam innebörd. I propositionen Ny dataskyddslag (prop. 2017/18:105) anges att utgångs- punkten i svensk rätt är att det som i Sverige brukar anses som myndig-

Prop. 2017/18:218 hetsutövning faller under begreppet och att detta bör gälla även fortsätt- ningsvis (s. 62). Myndighetsutövning karaktäriseras av beslut eller andra ensidiga åtgärder som ytterst är uttryck för samhällets maktbefogenheter i förhållande till medborgarna. Befogenheten till myndighetsutövning måste vara grundad på lag eller annan författning eller på annat sätt kunna härledas ur bemyndiganden från de högsta statsorganen. Utanför begreppet myndighetsutövning faller råd, upplysningar och faktiskt handlande som inte innebär tvång mot den enskilde.

Av naturliga skäl är det i första hand statliga och kommunala myndigheter som ägnar sig åt myndighetsutövning. Även juridiska och fysiska personer kan dock med stöd av lag anförtros förvaltningsupp- gifter som innefattar myndighetsutövning (12 kap. 4 § RF). I proposi- tionen Ny dataskyddslag noteras att den rättsliga grunden myndighets- utövning kan tillämpas av alla personuppgiftsansvariga som har tilldelats myndighetsutövande befogenheter (prop. 2017/18:105, s. 63).

Liksom i fråga om den rättsliga grunden uppgift av allmänt intresse, får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling för att efterleva den rättliga grunden myndighetsutövning. Detta får ske genom att närmare fastställa specifika krav för person- uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling (artikel 6.2 i dataskyddsförordningen).

I propositionen Ny dataskyddslag föreslås att det i dataskyddslagen tydliggörs hur den rättsliga grunden myndighetsutövning kan vara ut- tryckt. Enligt förslaget i 2 kap. 2 § 2 dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om be- handlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning.

6.4Rättslig förpliktelse som rättslig grund

Dataskyddsförordningen tillåter även behandling av personuppgifter om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. För att grunden ska kunna tillämpas krävs att den rättsliga förpliktelsen är fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (artikel 6.1 c och 6.3 första stycket).

Till skillnad från de rättsliga grunderna uppgift av allmänt intresse och myndighetsutövning, ska syftet med behandlingen fastställas i den rättsliga grunden (artikel 6.3 andra stycket). I propositionen Ny data- skyddslag anges att kravet torde innebära att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår av den reglering som förpliktelsen grundas på eller det beslut där förpliktelsen anges. Det ska alltså vara möjligt för såväl den personuppgiftsansvarige som den registrerade att förstå varför behandlingen av personuppgifter ska ske (prop. 2017/18:105 s. 54).

I fråga om den rättsliga grunden rättslig förpliktelse gör dataskydds- förordningen inte skillnad på offentliga eller privata organ.

Liksom i fråga om de rättsliga grunderna uppgift av allmänt intresse Prop. 2017/18:218 och myndighetsutövning, får medlemsstaterna behålla eller införa mer

specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling för att efterleva den rättliga grunden rättslig förpliktelse. Detta får ske genom att närmare fastställa specifika krav för personuppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling (artikel 6.2 i dataskydds- förordningen).

I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås att det anges i 2 kap. 1 § dataskyddslagen att personuppgifter får behandlas med stöd av artikel 6.1 c i dataskyddsförordningen om behandlingen är nöd- vändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som gäller enligt lag eller annan författning, följer av kollek- tivavtal, eller följer av beslut som har meddelats med stöd av lag eller annan författning.

6.5Intresseavvägning som rättslig grund

Behandling av personuppgifter är enligt dataskyddsförordningen även laglig om den är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den registre- rades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (artikel 6.1 f första stycket)

Som nämnts tidigare gäller denna grund inte för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter (artikel 6.1 f andra stycket).

I propositionen Ny dataskyddslag gör regeringen bedömningen att när det är tveksamt om den verksamhet som en privaträttslig aktör, t.ex. ett statligt eller kommunalt bolag, bedriver är av allmänt intresse i unions- rättslig mening är det i stället ofta möjligt att grunda nödvändig behand- ling av personuppgifter på en intresseavvägning i enlighet med artikel 6.1 f i dataskyddsförordningen. Detsamma gäller om verksamhe- ten visserligen är av allmänt intresse, men uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den nationella rätten (prop. 2017/18:105 s. 59).

7Principer som måste följas vid behandling av personuppgifter

7.1 Allmänna principer för personuppgifts- behandling

Den omständigheten att behandlingen är laglig enligt artikel 6.1 i data-
skyddsförordningen innebär inte att behandling kan ske av vilka upp-	49
	49

Prop. 2017/18:218 gifter som helst eller på valfritt sätt. Den personuppgiftsansvarige måste också uppfylla kraven i övriga bestämmelser i förordningen.

Dataskyddsförordningen innehåller ett antal principer som gäller och ska tillämpas vid all behandling av personuppgifter. Dessa principer är i stort sett desamma enligt dataskyddsförordningen som enligt dataskydds- direktivet. Det är den personuppgiftsansvarige som ansvarar för och ska kunna visa att principerna efterlevs. Principerna framgår av artikel 5 i dataskyddsförordningen.

För det första ska uppgifterna behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet, artikel 5.1 a).

Uppgifterna ska vidare samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska emellertid inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegräns- ning, artikel 5.1 b).

Uppgifterna ska också vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering, artikel 5.1 c).

Uppgifterna ska dessutom vara korrekta och om nödvändigt uppdatera- de. Alla rimliga åtgärder måste vidtas för att säkerställa att person- uppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (korrekthet, artikel 5.1.d).

Personuppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering, artikel 5.1.e).

Slutligen ska uppgifterna behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisa- toriska åtgärder (integritet och konfidentialitet, artikel 5.1 f).

7.2Det finns en särskild reglering för s.k. känsliga personuppgifter

Dataskyddsförordningen innehåller, i likhet med dataskyddsförordning- en, ett principiellt förbud mot behandling av särskilda kategorier av uppgifter samt flera undantag från detta förbud (artikel 9 i dataskydds- förordningen respektive 8 i dataskyddsdirektivet). I PUL används benäm- ningen känsliga uppgifter för de personuppgifter som omfattas av denna

särskilda reglering. Dessa är enligt dataskyddsdirektivet och PUL upp-

gifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös Prop. 2017/18:218 eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter

som rör hälsa och sexualliv. I dataskyddsförordningen utvidgas den sär- skilda kategorierna av uppgifter till att också omfatta behandling av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Vidare ersätts uppgifter om hälsa och sexualliv av uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning.

Förbudet ska enligt artikel 9.2 inte tillämpas i någon av de situationer som beskrivs i artikel 9.2 a–j. Förbudet gäller t.ex. inte om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionslagstiftningen eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 g).

Ska uppgifterna benämnas särskilda kategorier av personuppgifter eller känsliga personuppgifter?

I såväl det nuvarande dataskyddsdirektivet som i dataskyddsförordningen benämns de personuppgifter som omfattas av förbudet som särskilda kategorier av personuppgifter i artikeltexten. I dataskyddsförordningens beaktandeskäl omnämns de på ett par ställen som känsliga respektive särskilt känsliga uppgifter (skäl 10 och 51). I PUL har särskilda katego- rier av personuppgifter kallats känsliga personuppgifter utan att detta närmare har kommenterats i förarbetena. I propositionen Ny dataskydds- lag (prop. 2017/18:105) föreslår regeringen att begreppet känsliga personuppgifter fortsatt bör användas som samlingsbenämning i data- skyddslagen för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen. Bak- grunden till detta förslag är att begreppet får anses väl inarbetat, även på EU-nivå, och är språkligt enklare att använda och förstå, inte minst i författningstext.

7.3 Den finns även en särskild reglering om personuppgifter om lagöverträdelser

Dataskyddsförordordningen innehåller även en artikel om behandling av
personuppgifter som rör fällande domar i brottmål och överträdelser eller
därmed sammanhängande säkerhetsåtgärder (artikel 10). Behandling av
sådana personuppgifter får endast utföras under kontroll av myndighet
eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas
nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättig-
heter och friheter fastställs. Ett fullständigt register över fällande domar i
brottmål får endast föras under kontroll av en myndighet.
Artikel 10 i dataskyddsförordningen skiljer sig något från regleringen i
artikel 8.5 dataskyddsdirektivet. Förordningens bestämmelse har be-
gränsats till enbart fällande brottmålsdomar och överträdelser eller
därmed sammanhängande säkerhetsåtgärder. En annan skillnad i förord-	51
	51

Prop. 2017/18:218 ningen jämfört med direktivet är att hänvisningen till personuppgifter om avgöranden i tvistemål och administrativa sanktioner har tagits bort.

	8	Anordnande av utbildning är både en
		uppgift av allmänt intresse och ett viktigt
		allmänt intresse

	Regeringens bedömning: Anordnande och bedrivande av utbildning
	är en uppgift av allmänt intresse enligt artikel 6.1. e i dataskydds-
	förordningen. Anordnande och bedrivande av utbildning är även ett
	sådant viktigt allmänt intresse som krävs för behandling av känsliga
	personuppgifter enligt artikel 9.2 g i dataskyddsförordningen.

		Utredningens bedömning: Överensstämmer med regeringens bedöm-
	ning att utbildning är en uppgift av allmänt intresse. Utredningen har
	dock inte redovisat sin bedömning i detta avseende på ett samlat sätt för
	hela utbildningsområdet. Utredningen har inte heller redovisat någon
	samlad bedömning i frågan om utbildning är ett viktigt allmänt intresse,
	utan har redovisat en bedömning i fråga om några delar av utbildnings-
	området samt lämnat förslag till ändringar i skollagen och lagen om
	yrkeshögskolan som utgår från att anordnande av utbildning enligt dessa
	lagar är ett viktigt allmänt intresse.
		Remissinstanserna: Datainspektionen delar bedömningen att anord-
	nande och bedrivande av utbildning i och för sig kan uppfylla ett allmänt
	intresse. Remissinstanserna i övrigt har inte haft några synpunkter på om
	anordnande och bedrivande av utbildning i och för sig utgör en uppgift
	av allmänt intresse. Det stora flertalet remissinstanser har inte heller
	några synpunkter på eller har inget att erinra mot utredningens bedöm-
	ningar rörande utbildning som ett viktigt allmänt intresse.
		Datainspektionen ifrågasätter om utredningens förslag till undantag
	som möjliggör behandling av känsliga personuppgifter med stöd av
	artikel 9.2 g i dataskyddsförordningen uppfyller artikelns krav på viktigt
	allmänt intresse.
		Skälen för regeringen bedömning: Av principerna för behandling av
	personuppgifter i dataskyddsförordningen framgår att uppgifterna ska
	behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den
	registrerade (laglighet, korrekthet och öppenhet, artikel 5.1 a). För att en
	behandling ska vara laglig krävs att det finns en rättslig grund för
	behandlingen. Som framgår av avsnitt 6 krävs för att den rättsliga
	grunden uppgift av allmänt intresse i artikel 6.1 ska kunna åberopas att
	grunden för behandlingen ska fastställas i unionsrätten eller i nationell
	rätt som den personuppgiftsansvarige omfattas av.
		I artikel 14.1 i Europeiska unionens stadga om de grundläggande
	rättigheterna (2010/C 83/02) anges att var och en har rätt till utbildning
	och till tillträde till yrkesutbildning och fortbildning.
		I Fördraget om Europeiska unionens funktionssätt anges också att EU
52	ska bidra till utvecklingen av en utbildning av god kvalitet genom att

främja samarbetet mellan medlemsstaterna och genom att vid behov stödja och komplettera deras insatser, och genomföra en yrkesutbild- ningspolitik som ska understödja och komplettera medlemsstaternas insatser (artikel 165.1 och 166.1). På EU-nivå har det även på flera sätt kommit till uttryck att utbildning ur flera perspektiv tillskrivs en viktig roll inom unionen. Några exempel på detta är följande.

En viktig del i Europa 2020-strategin, som är EU:s agenda för tillväxt och jobb fram till 2020, är kvantitativa mål på EU-nivå inom fem områden, varav utbildning utgör ett område. Målen fastställdes av Europeiska rådet i juni 2010 och ska vara uppfyllda senast 2020. Medlemsstaterna har även fastställt nationella mål inom samma områden, dvs. bland annat på utbildningsområdet. Uppnådda framsteg avseende de nationella målen redovisas årligen till EU-kommissionen.

I rådets slutsatser av den 12 maj 2009 om en strategisk ram för europeiskt utbildningssamarbete (Utbildning 2020) betonas dels att utbildning är av avgörande betydelse när det gäller att möta de många socioekonomiska, demografiska, miljömässiga och tekniska utmaningar som Europa och dess medborgare står inför i dag och kommer att stå inför under kommande år, dels att effektiv investering i humankapital genom förbättrade utbildningssystem är en väsentlig del av den euro- peiska strategin för att skapa den höga hållbara och kunskapsbaserade tillväxt och sysselsättning som utgör kärnan i Lissabonstrategin, sam- tidigt som självförverkligande, social sammanhållning och aktivt med- borgarskap främjas (EUT C 119, 28.5.2009).

Som nämnts i avsnitt 5.6 beslutade vidare Europaparlamentet och rådet den 23 april 2008 en rekommendation om en europeisk referensram för kvalifikationer för livslångt lärande (rekommendationen om EQF, EUT C 111, 6.5.2008). Syftet med rekommendationen är att bidra till att modernisera utbildningssystemen inom Europa samt stärka kopplingarna mellan utbildning och arbetsliv (ingresspunkt 13). Med kvalifikation avses ett dokumenterat resultat av lärande i form av kunskaper, färdig- heter och kompetenser, t.ex. utbildningsbevis, examina, certifikat och diplom. För att underlätta jämförelse mellan ländernas kvalifikationer bör medlemsstaterna införa nationella referensramar som kan kopplas till den europeiska referensramen. I Sverige har den nationella referensramen reglerats i förordningen (2015:545) om referensram för kvalifikationer för livslångt lärande. Syftet med referensramen är enligt 1 § att underlätta jämförelser nationellt och internationellt av vilka nivåer sådana kvalifikationer motsvarar i fråga om kunskaper, färdigheter och kompe- tenser för att därigenom främja livslångt lärande och förbättra anställ- ningsbarhet, rörlighet och social integration för arbetstagare och stude- rande inom EU. I bilaga 2 till förordningen har kvalifikationer vars resultat av lärande är författningsreglerade nivåplacerats. Som framgått har kvalifikationer från såväl skollagsreglerad verksamhet, universitet och högskolor, yrkeshögskolan och folkbildningen nivåplacerats i den bilagan. I övrigt kan en kvalifikation nivåplacerats efter beslut av Myn- digheten för yrkeshögskolan.

Vikten av utbildning framhålls också i den svenska grundlagen. I rege- ringsformen (RF) anges att det allmänna särskilt ska trygga rätten till bl.a. utbildning, att alla barn som omfattas av den allmänna skolplikten har rätt till kostnadsfri grundläggande utbildning i allmän skola och att

Prop. 2017/18:218

Prop. 2017/18:218 det allmänna också ska svara för att högre utbildning finns (1 kap. 2 § andra stycket och 2 kap. 18 § första stycket RF). I Europeiska konventio- nen till skydd för de mänskliga rättigheterna anges att ingen får förvägras rätten till undervisning (artikel 2 i protokollet till konventionen). Kon- ventionen gäller enligt lagen (1994:1219) om den europeiska konven- tionen angående skydd för de mänskliga rättigheterna och de grundläg- gande friheterna, som svensk lag

Regeringen anser att det redan i EU-rätten finns stöd för att utbildning utgör såväl en uppgift av allmänt intresse som ett viktigt allmänintresse. Det faktum att rätten till utbildning också lyfts fram i svensk grundlag och i Europakonventionen om mänskliga rättigheter bekräftar detta. Även förekomsten av den europeiska referensramen för kvalifikationer för livslångt lärande och de till den referensramen anslutande nationella referensramarna bekräftar detta.

Nedan kommer regeringen i avsnitt 9 att redogöra för andra mer specifika författningar inom de olika delarna av utbildningsområdet som bidrar till att anordnande och bedrivande av utbildning inom respektive del av utbildningsområdet anses vara en fastställd uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningen. I an- slutning till detta redogörs även för vilka andra rättsliga grunder i artikel 6.1 som skulle kunna vara aktuella att tillämpa inom olika delar av utbildningsområdet.

Frågan vilken kompletterande reglering som behövs i svensk rätt för att känsliga personuppgifter och uppgifter om lagöverträdelser ska kunna behandlas på utbildningsområdet i den utsträckning som är nödvändigt återkommer regeringen till i avsnitt 13 och 14.

9Rättsliga grunder för personuppgifts- behandling inom utbildningsområdet

9.1Skollagsreglerad verksamhet

9.1.1Vilka personuppgifter behandlas inom skollagsreglerad verksamhet?

Nedan ges en översiktlig beskrivning av de huvudsakliga behandlingar av personuppgifter som sker på det skollagsreglerade området. En närmare redogörelse för behandlingar av känsliga personuppgifter och uppgifter om lagöverträdelser ges i avsnitt 13.3.1 och 14.3.1.

Behandling vid mottagande och erbjudande av plats

Inom kommunernas organisation för bl.a. mottagande och erbjudande av plats i de olika skolformerna behandlas bl.a. elevens namn, personnum- mer, adress, vårdnadshavare och kontaktuppgifter till dessa. Sådan be- handling förekommer även när andra huvudmän prövar frågor om mot- tagande, såsom Specialpedagogiska skolmyndigheten som prövar frågor

om mottagande i specialskolan, och Sameskolstyrelsen som prövar frågor

om mottagande i sameskolan. Inför mottagandet i vissa skolformer, t.ex. grundsärskolan (som är avsedd för barn med en utvecklingsstörning), specialskolan (som är avsedd för barn med vissa funktionsnedsättningar) och särskild utbildning för vuxna (som är avsedd för vuxna med en utvecklingsstörning) behandlas också känsliga personuppgifter. Inför mottagandet av elever i sameskolan behandlas uppgifter som kan avslöja etniskt ursprung.

Behandling inom skolväsendet

Personuppgifter om barn och elever behandlas i skolväsendet för admi- nistrativa ändamål för att kunna planera, genomföra och följa upp elevernas utbildning. Inom skolornas elevadministration behandlas upp- gifter om bl.a. elevens namn, personnummer, adress, vårdnadshavare och kontaktuppgifter till dessa. Vid skapandet av klasslistor behandlas per- sonuppgifter i form av namn och adress. I skolorna behandlas också ele- vens personuppgifter i samband med registrering av elevers frånvaro respektive närvaro. Personuppgifter behandlas i dokumentation inför bl.a. utvecklingssamtal, vid upprättandet av skriftliga individuella ut- vecklingsplaner i låg- och mellanstadiet och vid upprättande av individu- ella studieplaner i gymnasieskolan, gymnasiesärskolan och vuxenutbild- ningen. Personuppgifter behandlas också under och vid dokumentation av olika typer av utredningar, t.ex. om särskilt stöd eller vid kränkande behandling. Vid upprättandet av t.ex. en lista över elevers ämnesval, såsom språkval och modersmålsundervisning, behöver också personupp- giftsbehandling ske. Även vid dokumentation inför betygssättning och av själva betygssättningen, t.ex. i betygsregister, behandlas elevernas per- sonuppgifter i form av namn, personnummer och betyg i ämnen, kurser och gymnasiearbete (t.ex. 3 kap. 8 och 13 §§, 6 kap. 10 §, 7 kap. 17 §, 10 kap. 7, 12 och 13 §§, 15 kap. 19 och 20 §§ och 16 kap. 25 § skol- lagen).

Även vid lämnande av information till eleven eller elevens vårdnads- havare kan personuppgiftsbehandling bli aktuell beroende på hur infor- mationen lämnas t.ex. genom ett e-postmeddelande (3 kap. 4 § skol- lagen).

Beroende av val av it-lösning kan det administrativa systemet vara integrerat med funktioner för det dagliga pedagogiska och administrativa arbetet för lärarna med t.ex. närvarohantering, betygssättning, provsche- man, planeringar, nyheter, elevinlämningar och kommunikation mellan lärare och elev respektive vårdnadshavare.

Elevernas personuppgifter kan även behandlas automatiskt i undervis- ningen genom att t.ex. en lärare anvisar eleverna till att lämna in en uppsats via en lärplattform eller via e-post. En annan situation där det sker personuppgiftsbehandling är om eleverna får ett konto på skolans server eller får en bärbar dator och eleverna använder dessa till att t.ex. skriva sina elevarbeten eller leta efter information på internet.

Personuppgiftsbehandling förekommer också i form av att eleverna fotograferas av personalen i syfte att dokumentera verksamheten och vid skolfotografering. Personuppgiftsbehandling i form av ljud- och film- inspelningar kan även förekomma i undervisningssammanhang, vid elev- arbeten och för bedömning.

Prop. 2017/18:218

Prop. 2017/18:218 Även i skolbiblioteken behandlas elevernas personuppgifter för att personalen ska kunna ha kontroll över vilka böcker som är utlånade till vem.

Skolorna behandlar även elevernas personuppgifter vid resultatupp- följningar som görs för huvudmannens systematiska kvalitetsarbete och för nationell uppföljning och utvärdering (4 kap. 3 § och 26 kap. 25 § skollagen, förordningen [1992:1083] om viss uppgiftsskyldighet för huvudmännen inom skolväsendet m.m. och Skolverkets föreskrifter [SKOLFS 2011:142] om uppgiftsinsamling från huvudmännen inom skolväsendet m.m., ändrad genom [SKOLFS 2017:18]).

Särskilt om behandling i förskolan, fritidshemmet och pedagogisk omsorg

I förskolorna, fritidshemmen och pedagogisk omsorg behandlas barnens och elevernas personuppgifter i form av i vart fall namn för att kunna planera och genomföra respektive uppdrag att stimulera barnens och elevernas utveckling och lärande. Personalen i respektive verksamhet behöver även kunna notera när ett barn eller en elev kommit respektive gått för dagen. Personuppgiftsbehandling förekommer också i form av att barnen fotograferas av personalen i syfte att dokumentera verksamheten och barnens lärande och inför samtal med vårdnadshavare. Även inom dessa verksamheter kan det finnas behov av att kunna behandla känsliga personuppgifter, t.ex. uppgifter om allergier.

Särskilt om fristående förskolors och skolors behandling

Huvudmän för fristående förskolor och skolor har behov av att behandla samma uppgifter som offentliga huvudmän. Därutöver behandlar en- skilda huvudmän även barnens och elevernas personuppgifter i samband med att de informerar kommunen om att de tagit emot ett barn eller en elev för att huvudmannen ska få bidrag från hemkommunen. I de fall en elev har ett omfattande behov av särskilt stöd eller ska erbjudas moders- målsundervisning ska hemkommunen betala ett tilläggsbelopp. I ansökan om tilläggsbelopp förekommer känsliga personuppgifter om eleven, t.ex. uppgift om funktionsnedsättning och behov av tekniska hjälpmedel (9 kap. 19 och 21 §§ och 10 kap. 37 och 39 §§ skollagen). Sådana uppgifter kan även förekomma om en ansökan om tilläggsbelopp över- klagas med stöd av 28 kap. 5 § skollagen.

Särskilt om behandling av känsliga personuppgifter

Känsliga personuppgifter kan förekomma vid vissa personuppgifts- behandlingar, t.ex. i uppgiftssamlingar om allergier inom elevhälsan och i samband med skolmåltider, uppgifter om funktionsnedsättning och olika diagnoser inom elevhälsan, elevhälsoteam och åtgärdsprogram. I elevernas individuella utvecklingsplaner kan integritetskänsliga omdö- men och bedömningar av elevernas möjligheter att nå kunskapskraven förekomma.

När en skola utreder och beslutar om särskilt stöd respektive åtgärds- program behandlas också personuppgifter som kan vara känsliga (3 kap. skollagen). Sådan behandling av personuppgifter kan även förekomma

inom elevhälsans psykosociala och specialpedagogiska verksamhet som Prop. 2017/18:218 inte omfattas av patientdatalagen.

Känsliga personuppgifter om hälsa kan även behöva behandlas i samband med att skolbibliotek förfogar över upphovsrättsligt skyddade verk som elever med funktionsnedsättning behöver för att kunna ta del av verken, t.ex. genom att överföra dem till den funktionsnedsatte enligt lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk.

Om disciplinära åtgärder vidtas ska dessa dokumenteras skriftligt varvid personuppgiftsbehandling sker (3 kap. 5 a, 8 och 9 §§ och 5 kap. 24 § skollagen).

Som har nämnts ovan behandlas vidare känsliga personuppgifter om hälsa vid prövning av mottagande i grundsärskolan, specialskolan, gymnasiesärskolan, och särskild utbildning för vuxna enligt 7, 18 och 21 kap. skollagen. Även en uppgift om att en elev går i en sådan skola är en känslig uppgift. Motsvarande gäller känsliga personuppgifter om etnicitet vid mottagande och fullgörande av skolplikt i sameskolan.

Behovet av behandling av känsliga personuppgifter på det skollags- reglerade området redogörs för närmare i avsnitt 13.3.

9.1.2Den rättsliga grunden uppgift av allmänt intresse kan användas inom skollagsreglerad verksamhet

Regeringens bedömning: Genom bestämmelser i skollagen med anslutande föreskrifter och beslut fattade med stöd av dessa är till- handahållande, anordnande och bedrivande av utbildning och annan pedagogisk verksamhet en i svensk rätt fastställd uppgift av allmänt intresse. Den behandling av personuppgifter som är nödvändig för att utöva verksamhet som grundas på nämnda föreskrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i EU:s dataskyddsförordning.

Utredningens bedömning: Överensstämmer med regeringens bedöm-
ning.
Remissinstanserna: Flertalet remissinstanser, såsom t.ex. Statens
skolverk, Statens skolinspektion, Skolväsendets överklagandenämnd,
Barnombudsmannen, Askersunds kommun, Eskilstuna kommun, Eslövs
kommun och Halmstads kommun har inte några synpunkter på bedöm-
ningen. Sveriges Kommuner och Landsting, Friskolornas riksförbund
och Specialpedagogiska skolmyndigheten delar uttryckligen utredningens
bedömning.
Även Stockholms kommun delar bedömningen, men är tveksam till om
den rättsliga grunden fullt ut täcker digitala läromedel som är moln-
baserade antingen genom olika typer av webbtjänster eller genom
applikationer. Vissa av dessa tjänster skulle kunna hanteras på sådant sätt
att det innebär att personuppgifter inte behöver behandlas och därmed
kan det ifrågasättas om det uppfyller kravet på nödvändighet enligt arti-
kel 6.1 e i fördraget. Även Luleå kommun pekar på svårigheten att avgöra
om en applikation är nödvändig för att fullgöra en undervisningsuppgift.
Datainspektionen anser att utredningens redovisning är bristfällig.
Inspektionen anser att den behöver kompletteras med en analys som visar	57
	57

Prop. 2017/18:218 vilken behandling som är nödvändig utifrån skolornas verksamhet och en redovisning som visar att skollagen och därtill hörande bestämmelser ger stöd för den behandlingen och att dessa är tydliga, precisa och dess tillämpning förutsägbar för personer som omfattas av den. Inspektionen anser vidare att det inte möjligt att presumera att de åtgärder som myndigheterna vidtar i syfte att utföra sina uppdrag och åligganden och som antagits i enlighet med grundlagens bestämmelser om normgiv- ningskompetens och kommunalt självstyre i sig har en legal grund som offentliggjorts genom tydliga, precisa och förutsägbara regler. Enligt Datainspektionen har utredningen inte visat att det kommer att finnas rättsligt stöd för all behandling av personuppgifter som är av betydelse för skolverksamheterna. Vilhelmina kommun delar bedömningen att det saknas tillräcklig analys.

Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning överensstämmer med regeringens bedömning i detta avsnitt. De tillstyrker eller har inga synpunkter på bedömningen.

Skälen för regeringens bedömning

Som framgått av föregående avsnitt finns det behov av att behandla en rad personuppgifter på det skollagsreglerade området. Som anges i avsnitt 6 förutsätter personuppgiftsbehandlingen en i EU-rätten eller nationell rätt fastställd rättslig grund (artikel 6 i dataskyddsförordningen).

Tillhandahållande, anordnande och bedrivande av utbildning är en uppgift av allmänt intresse

Den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i data- skyddsförordningen har beskrivits i avsnitt 6.2.

Som framgår av avsnitt 8 anser regeringen att det av såväl EU-rätten som regeringsformen framgår att anordnande och bedrivande av utbild- ning är en uppgift av allmänt intresse. Skolväsendet, som beskrivs i av- snitt 5.1, regleras i skollagen med anslutande föreskrifter. I förarbetena till den nuvarande skollagen anförs att utbildningen är av betydelse både för den enskilda individens utveckling och för samhällsutvecklingen (prop. 2009/10:165 s. 634). Regeringen har i två propositioner från i mars 2017 ansett att undervisning inom skolväsendet får anses vara en uppgift av allmänt intresse i den mening som avses i 10 § PUL (prop. 2016/17:156 s. 43 och prop. 2016/17:161 s. 21).

Skollagen innehåller förutom bestämmelser om skolväsendet och sär- skilda utbildningsformer även bestämmelser om bl.a. annan pedagogisk verksamhet i form av pedagogisk omsorg som erbjuds i stället för förskola eller fritidshem, öppen förskola, öppen fritidsverksamhet och omsorg under tid då förskola eller fritidshem inte erbjuds (25 kap.). Även om annan pedagogisk verksamhet i strikt mening inte skulle inrymmas i begreppet utbildning så erbjuds sådan verksamhet huvudsakligen i stället för eller som komplement till förskola eller fritidshem. Enligt rege- ringens bedömning bör därför även annan pedagogisk verksamhet vara en uppgift av allmänt intresse i dataskyddsförordningens mening. Det- samma gäller för öppen fritidsverksamhet som erbjuds av en huvudman.

I egenskap av hemkommun har en kommun enligt skollagen ansvar för en rad viktiga uppgifter i samband med utbildningen. Det handlar t.ex. om att se till att utbildning i olika skolformer kommer till stånd för alla barn i kommunen, att tillhandahålla skolskjuts eller att lämna bidrag till enskilda huvudmän för fristående förskolor och fristående skolor. Dessa uppgifter utgör viktiga förutsättningar för en fungerande skolverksamhet och bör därför enligt regeringens bedömning anses som uppgifter av allmänt intresse i dataskyddsförordningens mening.

Regeringens bedömning är således att tillhandahållande, anordnande och bedrivande av utbildning och annan pedagogisk verksamhet enligt skollagen med anslutande föreskrifter är en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

Även det förhållandet att vissa utbildningar på grundläggande och gymnasial nivå kan berättiga till studiestöd enligt studiestödslagen och studiestödsförordningen kan enligt regeringens uppfattning läggas till grund för bedömningen om att anordnande och bedrivande av dessa utbildningar är en uppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen.

Den rättsliga grunden är fastställd i bl.a. skollagen

Av artikel 6.3 dataskyddsförordningen framgår att när det är fråga om behandling av personuppgifter som är nödvändiga för att utföra en uppgift av allmänt intresse ska grunden för behandlingen fastställas i enlighet med unionsrätten eller nationell rätt. I förslaget till dataskydds- lag tydliggörs att den rättsliga grunden uppgift av allmänt intresse kan vara fastställd i svensk rätt om uppgiften följer av lag eller annan för- fattning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 2 §). Av kommentaren paragrafen framgår att även privaträttsligt bedriven verksamhet av allmänt intresse omfattas av formuleringen (prop. 2017/18:105 s. 190).

Av 2 kap. skollagen framgår att huvudmän inom skolväsendet är kommuner, landsting, staten och, efter godkännande, enskilda. Skol- väsendets, de särskilda utbildningsformernas och annan pedagogisk verksamhets samt hemkommunernas uppdrag och åligganden framgår av skollagen men även av flera förordningar som alla antagits i enlighet med grundlagens bestämmelser om normgivningskompetens.

Skollagen anger vilka ramar som gäller för all skolverksamhet. Där finns de övergripande målen och riktlinjerna för skolan. Vidare framgår att det ska finnas en läroplan för varje skolform och fritidshemmet som utgår från bestämmelserna i skollagen av (1 kap. 11 § skollagen). Läro- planerna, som är förordningar, ska tillsammans med skollagen styra verksamheten i skolan. I ämnes- och kursplanerna står vilket syfte och mål undervisningen i varje ämne ska ha. Kursplanerna talar inte om hur undervisningen ska läggas upp eller vilka arbetssätt som ska användas. Däremot anger kursplanerna vilka kunskapskvalitéer som ska utvecklas hos eleverna.

Av 2 kap. 8 § skollagen framgår att huvudmannen ansvarar för att utbildningen genomförs i enlighet med bestämmelserna i denna lag, före- skrifter som har meddelats med stöd av lagen och de bestämmelser för

Prop. 2017/18:218

Prop. 2017/18:218 utbildningen som kan finnas i andra författningar. Detta gäller såväl

	offentliga som enskilda huvudmän.
	Skollagen är en omfattande lag som är ca 150 sidor lång. Den närmare
	innebörden av uppdragen och åliggandena inom olika skolformer
	framgår av 2–21 kap. skollagen och föreskrifter som har sin grund i
	lagen. Dessa är t.ex. skolförordningen (2011:185), gymnasieförordningen
	(2010:2039), förordningen (SKOLFS 2010:37) om läroplan för grund-
	skolan, förskoleklassen och fritidshemmet, förordningen (SKOLFS
	2011:144) om läroplan för gymnasieskolan, förordningen (SKOLFS
	2010:14) om examensmål för gymnasieskolans nationella program,
	förordningen (SKOLFS 2010:261) om ämnesplaner för de gymnasie-
	gemensamma ämnena och Skolverkets föreskrifter (SKOLFS 2011:19)
	om kunskapskrav för grundskolans ämnen.
	En uppgift som åligger huvudmännen är själva undervisningen. Med
	undervisning avses sådana målstyrda processer som under ledning av
	lärare och förskollärare syftar till utveckling och lärande genom inhäm-
	tande och utvecklande av kunskaper och värden (1 kap. 3 § skollagen).
	Med utbildning avses enligt samma bestämmelse den verksamhet inom
	vilken undervisning sker utifrån bestämda mål. Av förarbetena (prop.
	2009/10:165 s. 217 f.) framgår att begreppet undervisning fått en defini-
	tion som är anpassad för såväl förskola och fritidshem som skola och
	vuxenutbildning. Begreppet har getts en vid tolkning i dessa verksam-
	heter. Med undervisning avses inte bara så kallad katederundervisning,
	utan även t.ex. förmedlande och undersökande undervisningsmetodik.
	Det är centralt i den kunskapssyn som genomsyrar skolväsendets
	samtliga styrdokument att undervisningen syftar till att eleverna ska
	inhämta samt utveckla både kunskaper och värden. I förskolan bildar
	omsorg, utveckling och lärande en helhet i undervisningen.
	I förarbetena anges vidare att begreppet utbildning utgör en över-
	gripande term som beskriver all den verksamhet som omfattas av de
	övergripande målen i skolförfattningarna. Begreppet utbildning är ett
	vidare begrepp än undervisning och kan omfatta annan verksamhet än
	undervisning både i den inre och den yttre miljön, t.ex. på skolgården, i
	matsalen eller i form av organiserat lärande förlagt till en arbetsplats.
	Utbildning kan dessutom omfatta annan verksamhet som äger rum t.ex.
	vid lägerskolor, utflykter eller olika former av praktik eller annan
	verksamhetsförlagd verksamhet. I förskolan har utbildningsbegreppet ett
	brett pedagogiskt perspektiv där omsorg, utveckling och lärande bildar
	en helhet. I begreppet utbildning omfattas också de frivilliga konfes-
	sionella inslag som förskolor och skolor med enskild huvudman kan ha
	(1 kap. 7 § skollagen).
	De ovannämnda föreskrifterna anger mål med undervisningen, men
	inte exakt i minsta detalj hur undervisningen ska läggas upp eller vilka
	arbetssätt som ska användas. Läraren har ett visst mått av bestämmande
	över undervisningens innehåll men måste hålla sig inom vissa ramar.
	Kursplanerna tillsammans med de övergripande målen i läroplanen är
	grunden för planering och genomförande av en lärares undervisning.
	Enligt läroplanen ska läraren svara för att eleverna får pröva olika
	arbetssätt och arbetsformer. Av läroplanen framgår att läraren ska svara
	för att alla elever får ett reellt inflytande på arbetssätt, arbetsformer och
60	undervisningens innehåll samt se till att detta inflytande ökar med

stigande ålder och mognad. En lärare kan dock bestämma t.ex. vilka Prop. 2017/18:218 läromedel eleverna ska använda, vilka uppgifter som de ska lösa och

vilka hjälpmedel som eventuellt ska användas, t.ex. dator eller mini- räknare. Detta innebär emellertid inte att själva undervisningen inte är fastställd i svensk rätt. Den undervisning som bedrivs av lärarna i skolorna har sitt stöd i skollagen med anslutande föreskrifter eftersom dessa sätter ramarna för undervisningen. Även själva undervisningen är enligt regeringens bedömning fastställd genom skollagen och anslutande föreskrifter och därigenom tydlig, precis och förutsägbar (jfr skäl 41 till dataskyddsförordningen).

Som exempel på personuppgiftsbehandling som kan anses nödvändig på grund av huvudmännens uppgifter enligt skollagen kan t.ex. nämnas elevregister för administration av elevernas närvaro (7 kap. 17 § skol- lagen), dokumentation av elevernas kunskaper inför ett utvecklings- samtal, uppgifter i en skriftlig individuell utvecklingsplan (t.ex. 10 kap. 12 och 13 §§ skollagen) och betygssättning (3 kap. 13 § skollagen). Det finns vidare tydliga dokumentationskrav i skollagen. Som exempel kan

nämnas att överenskommelser vid utvecklingssamtal i de obligatoriska

skolformerna ska dokumenteras i elevens skriftliga individuella utveck- lingsplan (10 kap. 13 §, 11 kap. 16 §, 12 kap. 13 § och 13 kap. 13 § skollagen). Om en elev är i behov av särskilt stöd ska det upprättas ett åtgärdsprogram. Av programmet ska framgå hur behovet av särskilt stöd ska tillgodoses, när åtgärderna ska följas upp och utvärderas och vem som är ansvarig för uppföljningen respektive utvärderingen. (3 kap. 9 § skollagen). De disciplinära åtgärder och andra särskilda åtgärder som vidtas för att tillförsäkra trygghet och studiero i skolan ska dokumenteras skriftligen (5 kap. 24 § skollagen). Även planen mot kränkande behand- ling (6 kap. 8 § skollagen) och det systematiska kvalitetsarbetet (4 kap. 6 § skollagen) ska dokumenteras.

Även de övriga skyldigheter som enligt skollagen åligger hemkommu- nen är enligt regeringens bedömning sådana uppgifter av allmänt intresse som är fastställda genom bestämmelserna i skollagen som reglerar just den aktuella uppgiften. Det gäller t.ex. att ansvara för att utbildning i grundskolan kommer till stånd (10 kap. 24 skollagen) och att lämna bidrag till enskilda huvudmän för fristående förskolor och fristående skolor (8 kap. 21 § och 10 kap. 37 § skollagen).

Mot denna bakgrund har enligt regeringens bedömning de åtgärder som huvudmännen och hemkommunerna vidtar i syfte att utföra upp- dragen eller uppfylla åligganden enligt skollagen och anslutande före- skrifter en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler som står i proportion till de mål som eftersträvas. Uppgiften av allmänt intresse, dvs. att tillhandahålla, anordna och bedriva utbildning, är således fastställd genom skollagen med anslutande föreskrifter.

I det följande utvecklas också närmare hur den rättsliga grunden för nödvändig personuppgiftsbehandling är fastställd i fråga om utbildning i särskilda utbildningsformer och annan pedagogisk verksamhet.

Prop. 2017/18:218

Det finns fastställda uppgifter av allmänt intresse i fråga om utbildning i särskilda utbildningsformer…

I 24 kap. skollagen finns bestämmelser om s.k. särskilda utbildnings- former som bedrivs i stället för utbildning inom skolväsendet. Bestäm- melserna gäller bl.a. utbildning vid särskilda ungdomshem, utbildning för intagna i kriminalvårdsanstalt, internationella skolor, utbildning vid folk- högskola som motsvarar kommunal vuxenutbildning i svenska för in- vandrare, utbildning för barn och elever som vårdas på sjukhus eller en institution som är knuten till ett sjukhus och utbildning i hemmet eller på annan lämplig plats. Nedan redogörs för regeringens bedömning av hur den rättsliga grunden för personuppgiftsbehandling är fastställd i fråga om dessa utbildningsformer.

…i form av särskilda ungdomshem…

Utbildning vid särskilda ungdomshem ska för skolpliktiga barn som vistas där och inte lämpligen kan fullgöra sin skolplikt på annat sätt, anordnas genom försorg av huvudmannen för hemmet. De barn som inte längre är skolpliktiga och inte lämpligen kan fullgöra sin skolgång på annat sätt ska genom huvudmannens försorg ges möjlighet att delta i utbildning (24 kap. 8 och 9 §§ skollagen).

Barn som genom en brottmålsdom dömts till sluten ungdomsvård placeras på särskilt ungdomshem. Dessa barn omfattas också av nämnda bestämmelser (32 kap. 5 § brottsbalken samt 1 och 12 §§ lagen [1998:603] om verkställighet av sluten ungdomsvård). Statens institu- tionsstyrelse (SiS) ansvarar för verkställigheten (3 § lagen om verkstäl- lighet av sluten ungdomsvård). I den del av myndighetens verksamhet som avser verkställighet av sluten ungdomsvård ska enligt Utredningen om 2016 års dataskyddsdirektiv förslaget till brottsdatalag (2018:000) tillämpas, eftersom det är fråga om en straffrättslig påföljd (SOU 2017:29, Brottsdatalag, avsnitt 8.4.2). I lagrådsremissen Brottsdatalag delar regeringen de bedömningar som utredningen gjort när det gäller tillvägagångssätt i gränsdragningsfrågor. I den lagrådsremissen anges också att ytterligare vägledning kring enskilda verksamheter inom myndigheterna kan fås genom de bedömningar som utredningen redo- visar i delbetänkandet (s. 111–112).

Däremot är den föreslagna brottsdatalagens bestämmelser inte tillämp- liga på personuppgiftsbehandling som inte är en följd av att den dömde överlämnats till sluten ungdomsvård, utan sker inom ramen för skol- plikten. Det beror på att det inte är fråga om verkställighet av en påföljd. Detsamma gäller barn vars personuppgifter behandlas med anledning av att de får utbildning vid särskilda ungdomshem och som placerats där med stöd av socialtjänstlagen (2001:453) eller lagen (1990:52) om särskilda bestämmelser om vård av unga. Inte heller då är den föreslagna brottsdatalagens bestämmelser tillämpliga, eftersom det inte är fråga om verkställighet av en påföljd. Det är således dataskyddsförordningens bestämmelser som ska tillämpas på personuppgiftsbehandlingen i dessa fall. Genom bestämmelserna i t.ex. 24 kap. 8 § skollagen är SiS anord- nande av utbildning för skolpliktiga barn som vistas i ungdomshemmet om de inte lämpligen kan fullgöra sin skolplikt på annat sätt en fastställd uppgift av allmänt intresse. Vidare anges i bestämmelsen att relevanta

bestämmelser i skollagen rörande grundskolan eller i förekommande fall grundsärskolan eller specialskolan ska tillämpas med nödvändiga av- vikelser. SiS kan alltså i dess fall grunda nödvändig personuppgifts- behandling på att den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen är fastställd i svensk rätt.

…internationella skolor…

Med en internationell skola avses en skola där utbildningen följer ett annat lands läroplan eller en internationell läroplan och som i första hand riktar sig till elever som är bosatta i Sverige för en begränsad tid 24 kap. 2 § skollagen).

En elev får under vissa förutsättningar fullgöra sin skolplikt i en internationell skola på grundskolenivå (24 kap. 2–4 §§ skollagen). De internationella skolorna på grundskolenivå är ålagda att följa vissa föreskrifter i förordningen (2015:801) om internationella skolor så länge som godkännandet för den enskilde respektive medgivandet för den kommunala huvudmannen gäller. Av föreskrifterna framgår bl.a. att utbildningen ska vara utformad så att den som helhet betraktad är lik- värdig med utbildningen i grundskolan. Elever som är bosatta i Sverige för en begränsad tid ska ges undervisning i svenska och om Sverige i den omfattning som de behöver. Undervisning i svenska för övriga skol- pliktiga elever ska bedrivas enligt läroplanen för grundskolan och kursplanen i svenska (4–6 §§). Av 24 kap. 3 och 4 §§ skollagen framgår att barn under vissa förutsättningar får fullgöra sin skolplikt i en internationell skola på grundskolenivå. Regeringen bedömer mot denna bakgrund att den utbildning som de internationella skolorna på grundskolenivå bedriver är en uppgift av allmänt intresse. Denna uppgift är fastställd i svensk rätt genom bestämmelserna i 24 kap. 2, 3 a och 4 a §§ skollagen, tillsammans med relevanta bestämmelser i förord- ningen om internationella skolor och Statens skolinspektions beslut om antingen ett godkännande eller förklaring som huvudman för en inter- nationell skola på grundskolenivå. Enligt regeringens bedömning kan en internationell skola på grundskolenivå således tillämpa den rättsliga grunden uppgift av allmänt intresse för nödvändig personuppgiftsbehand- ling.

En internationell skola på gymnasienivå har en enskild huvudman och följer en utländsk eller internationell läroplan. Det finns inga bestäm- melser om att huvudmannen ska ha ett godkännande för att få bedriva utbildningen, men för att vara berättigad till bidrag för elever från deras hemkommuner måste huvudmannen få en förklaring om rätt till bidrag från Skolinspektionen (24 kap. 6 och 6 a §§ skollagen). För att en enskild huvudman för en internationell skola på gymnasienivå ska förklaras berättigad till bidrag enligt skollagen krävs bl.a. att utbildningen är ut- formad så att den som helhet betraktad är likvärdig med utbildningen i gymnasieskolan. Dess allmänna mål och värdegrund får inte strida mot de allmänna mål och den värdegrund som gäller för utbildning inom skolväsendet (7 § förordningen [2015:801] om internationella skolor).

Regeringen bedömer att den utbildning som den internationella skolan bedriver är en uppgift av allmänt intresse som är fastställd i svensk rätt genom bestämmelserna i 24 kap. 2, 6 och 6 a §§ skollagen tillsammans

Prop. 2017/18:218

med relevanta bestämmelser i förordningen om internationella skolor och ett beslut från Skolinspektionen om förklaring om rätt till bidrag. Den internationella skolan är dock inte bunden av t.ex. skollagens bestäm- melser om betygssättning (se 3 kap. 13 § skollagen som särskilt räknar upp vilka skolformer som omfattas). Skolan måste inte heller ansöka om tillstånd att sätta betyg, anordna prövning samt utfärda betyg, gym- nasieexamen och intyg enligt de bestämmelser som gäller för gymnasie- skolan (förordningen [2012:509] om betygsrätt för viss utbildning vid internationella skolor). Att eleverna ska få betyg kan dock framgå av den utländska eller internationella läroplanen som skolan följer. Om behandling av personuppgifter för att kunna betygsätta eleverna inom den internationella skolan är nödvändig för att utföra uppgiften av allmänt intresse, dvs. anordna utbildning, bör sådan behandling kunna ske med stöd av den rättsliga grunden utföra uppgift av allmänt intresse fastställd i skollagen, förordningen om internationella skolor och beslutet från Skolinspektionen.

…folkhögskolans vuxenutbildning i svenska för invandrare…

Om en folkhögskola har getts rätt att sätta betyg, anordna prövning samt utfärda betyg och intyg och förklarat sig ha för avsikt att ta emot den sökande till utbildningen har den som har rätt att delta i kommunal vuxenutbildning i svenska för invandrare rätt att i stället delta i folk- högskolans motsvarande vuxenutbildning i svenska för invandrare (24 kap. 11 § skollagen). En folkhögskola som väljer att bedriva sådan utbildning utför genom anordnandet av just den utbildningen en uppgift av allmänt intresse som är fastställd genom 24 kap. 11 § skollagen. Om folkhögskolan bedömer att behandlingen av personuppgifter är nöd- vändig för att den ska kunna bedriva utbildningen i svenska för invandrare kan den tillämpa den rättsliga grunden i artikel 6.1 e för att behandla personuppgifter som hör till just den delen av folkhögskolans verksamhet.

…barn och elever som vårdas på sjukhus eller annan motsvarande institution…

Skollagen innehåller även bestämmelser om utbildning för barn och elever som vårdas på sjukhus eller annan motsvarande institution. Huvudmannen för institutionen ska svara för att barn som vårdas på sjukhus eller en institution som är knuten till ett sjukhus, får tillfälle att delta i utbildning som så långt det är möjligt motsvarar den som erbjuds i förskola, förskoleklass eller fritidshem (24 kap. 16 § skollagen). Enligt regeringens bedömning kan huvudmannen för institutionen grunda nödvändig personuppgiftsbehandling för att utföra uppgiften utbildning motsvarande den som erbjuds i förskola, förskoleklass eller fritidshem på den rättsliga grunden uppgift av allmänt intresse (artikel 6.1 e). Upp- giften av allmänt intresse är fastställd genom bestämmelsen i 24 kap. 16 § skollagen tillsammans med de bestämmelser om den aktuella utbild- ningen som huvudmannen anordnar.

Under vissa förutsättningar kan en elev t.ex. i grundskolan få särskild undervisning på sjukhus eller på en institution som är knuten till ett sjukhus (24 kap. 17–19 §§ skollagen). Det är kommunen där institu-

tionen finns som ska anordna denna. Undervisningen ska så långt möjligt Prop. 2017/18:218 motsvara den undervisning som eleven inte kan delta i. Regeringen

bedömer att kommunen kan grunda den behandling av personuppgifter som är nödvändig för att utföra uppgiften särskild undervisning på den rättsliga grunden uppgift av allmänt intresse. Uppgiften av allmänt in- tresse är fastställd genom bestämmelserna i 24 kap. 17–19 §§ skollagen tillsammans med bestämmelserna om den aktuella skolformen, t.ex. grundskola.

… och särskild undervisning i hemmet eller annan lämplig plats

En kommun kan enligt regeringens bedömning även på motsvarande vis grunda nödvändig personuppgiftsbehandling för att utföra särskild undervisning i hemmet eller annan lämplig plats på den rättsliga grunden uppgift av allmänt intresse. Uppgiften av allmänt intresse är fastställd genom bestämmelserna i 24 kap. 20–22 §§ skollagen tillsammans med bestämmelserna om den aktuella skolformen, t.ex. grundskola.

Rättslig grund för utbildning för intagna på kriminalvårdsanstalt regleras i brottsdatalagen

Kriminalvården ansvarar för utbildning som motsvarar kommunal vuxenutbildning och särskild utbildning för vuxna för intagna på kriminalvårdsanstalt (24 kap. 10 § skollagen). Kriminalvården får enligt 3 kap. 1 och 2 §§ fängelselagen (2010:610) bestämma att en intagen ska ha studier som sysselsättning. Någon åldersgräns gäller inte för sådan verksamhet. När studier är anvisad sysselsättning ingår de som ett led i verkställigheten av utdömda fängelsestraff. Enligt Utredningen om 2016 års dataskyddsdirektiv bör därför den föreslagna brottsdatalagen till- ämpas på behandlingen av personuppgifterna med anledning av studierna (SOU 2017:29, s 217). I lagrådsremissen Brottsdatalag delar regeringen de bedömningar som utredningen gjort när det gäller tillvägagångssätt i gränsdragningsfrågor. I den lagrådsremissen anges också att ytterligare vägledning kring enskilda verksamheter inom myndigheterna kan fås genom de bedömningar som utredningen redovisar i delbetänkandet (s. 111–112). Bestämmelser om rättslig grund för behandling av person- uppgifter som behövs för att en behörig myndighet ska kunna verkställa en straffrättslig påföljd föreslås i 2 kap. 1 § brottsdatalagen.

Det finns fastställda uppgifter av allmänt intresse för annan pedagogisk verksamhet…

I 25 kap. skollagen finns bestämmelser om s.k. annan pedagogisk verk- samhet som bedrivs i stället för utbildning inom skolväsendet. Bestäm- melserna gäller pedagogisk omsorg som erbjuds i stället för förskola eller fritidshem, öppen förskola, öppen fritidsverksamhet och omsorg under tid då förskola eller fritidshem inte erbjuds. Nedan redogörs för rege- ringens bedömning av hur den rättsliga grunden för personuppgifts- behandling är fastställd i fråga om dessa verksamheter.

Prop. 2017/18:218

…i form av pedagogisk omsorg…

Enligt 25 kap. 2 § skollagen ska kommunen sträva efter att i stället för förskola eller fritidshem erbjuda ett barn pedagogisk omsorg om barnets vårdnadshavare önskar det. Med pedagogisk omsorg avses främst familjedaghem och flerfamiljslösningar. Sådan verksamhet utförs ofta i den privata aktörens egna hem (SOU 2016:62 s. 171). Genom att peda- gogisk verksamhet är reglerad i skollagen bör en sådan verksamhet anses vara en uppgift av allmänt intresse. Uppgiften av allmänt intresse är fast- ställd genom bestämmelsen i 25 kap. 2 § skollagen. Kommunen har så- ledes stöd för den behandling av personuppgifter som är nödvändig för att kunna efterleva bestämmelsen.

…öppen förskola…

Som komplement till förskola och pedagogisk omsorg får en kommun anordna öppen förskola (25 kap. 3 § skollagen). Den öppna förskolan ska erbjuda barn en pedagogisk verksamhet i samarbete med medföljande vuxna samtidigt som de vuxna ges möjlighet till social gemenskap. Barn och föräldrar har ingen formell plats att ta i anspråk och barnen är inte inskrivna i den öppna förskolan. Verksamheten vänder sig till barn och föräldrar som är hemma på dagarna, t.ex. under föräldraledigheten. För dessa är verksamheten en viktig social träffpunkt, där barnen ges tillfälle att tillsammans med en förälder eller annan vuxen delta i en verksamhet i gruppens form, som syftar till att ge pedagogisk stimulans (prop. 2009/10:165 s. 528). Genom bestämmelsen i 25 kap. 3 § skollagen och kommunens beslut att anordna öppen förskola är enligt regeringens bedömning uppgiften av allmänt intresse, dvs. att anordna öppen för- skola, fastställd.

…öppen fritidsverksamhet…

Öppen fritidsverksamhet får erbjudas elever i de utbildningsformer där skolplikt kan fullgöras, i stället för fritidshem från och med höstterminen det år eleven fyller 10 år till och med vårterminen det år eleven fyller 13 år. Verksamheten ska genom pedagogisk verksamhet komplettera utbild- ningen i de olika utbildningsformer i vilka skolplikt kan fullgöras och erbjuda eleven möjlighet till utveckling och lärande samt en meningsfull fritid och rekreation (14 kap. 7 § och 25 kap. 4 § skollagen). Den öppna fritidsverksamheten är en enklare form av verksamhet som inte erbjuder samma grad av omsorg och tillsyn, och elevgrupperna kan vara mer flexibla än på fritidshemmen. Genom att verksamheten regleras i skollagen är den enligt regeringens bedömning en uppgift av allmänt intresse. Uppgiften av allmänt intresse är fastställd genom den aktuella bestämmelsen. Huvudmännen har därför stöd för behandling av person- uppgifter som är nödvändig för verksamheten, såsom t.ex. personup- pgifter som behövs för att planera verksamheten.

…omsorg för barn under tid då förskola eller fritidshem inte erbjuds…

Av 25 kap. 5 § skollagen framgår att kommunen ska sträva efter att er- bjuda omsorg för barn under tid då förskola eller fritidshem inte erbjuds i den omfattning det behövs med hänsyn till föräldrars förvärvsarbete och

familjens situation i övrigt. Av förarbetena till bestämmelsen framgår att omsorg för barn under s.k. obekväma arbetstider inte ska betraktas som en skolform, till skillnad från förskolan, och inte heller åläggas de krav som ställs på en sådan verksamhet (prop. 2009/10:165 s. 532). Utgångs- punkten är att omsorgen ska erbjudas i den omfattning det behövs med hänsyn till föräldrarnas förvärvsarbete eller familjens situation i övrigt, om föräldrarna inte själva kan ordna omsorgen. Att ”sträva efter” innebär att kommunen inte utan vidare kan avstå från att tillhandahålla sådan omsorg. Ambitionen måste vara att tillhandahålla omsorg även under s.k. obekväm arbetstid åt familjer som har behov av det. Om kommunen vid en viss tidpunkt inte har någon efterfrågan måste kommunen ändå plane- ra för att tillhandahålla omsorg, när situationen förändras. Eftersom kom- munerna genom bestämmelsen i skollagen ges ett uppdrag att ordna barnomsorg under s.k. obekväm arbetstid får sådan verksamhet anses vara en uppgift av allmänt intresse som är fastställd genom bestäm- melsen. Kommunerna kan således behandla personuppgifter som är nöd- vändiga för att kunna utföra uppgiften att tillhandahålla barnomsorg på obekväm arbetstid.

…och vid entreprenad

Entreprenad enligt skollagen innebär att en huvudman med bibehållet huvudmannaskap sluter avtal med någon annan om att denne utför upp- gifter inom utbildning eller annan verksamhet enligt skollagen (23 kap. 1 § första stycket skollagen). Om en enskild med stöd av bestämmelserna i 23 kap. skollagen och avtal anordnar t.ex. pedagogisk omsorg eller annan verksamhet på entreprenad anses denne utföra uppgiften av all- mänt intresse på uppdrag av kommunen. Även i dessa fall är enligt rege- ringens bedömning uppgiften av allmänt intresse fastställd i författning (se även avsnitt 6.2).

Sammanfattningsvis kan nödvändig personuppgiftsbehandling ske med stöd av den fastställda rättsliga grunden uppgiften av allmänt intresse

Utöver vad som anges ovan om hur den rättsliga grunden är fastställd har regeringen också, som nämnts i avsnitt 6.2, i propositionen Ny data- skyddslag bedömt att den grad av tydlighet och precision som krävs i fråga om den rättsliga grunden enligt skäl 41 i dataskyddsförordningen måste bedömas från fall till fall, utifrån behandlingens karaktär. Det torde stå klart att en behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten, såsom när det gäller behandling av elevers namn i reguljär skolverksamhet, kan ske med stöd av en rättslig grund som är allmänt hållen. Vidare anges att ut- gångspunkten bör vara att dataskyddsförordningens krav på proportio- nalitet i artikel 6.3 andra stycket är uppfyllt i fråga om rättsliga förplik- telser, uppgifter av allmänt intresse och myndighetsutövning som fast- ställs i enlighet med svensk rätt (prop. 2017/18:105 s. 51). Mot denna bakgrund och med stöd av analysen ovan konstaterar regeringen att den verksamhet som sker med stöd av skollagen och anslutande föreskrifter är uppgifter av allmänt intresse som har legala grunder som, till skillnad mot vad Datainspektionen har anfört, har fastställts genom tydliga, precisa och förutsebara regler i nationell rätt som är proportionerliga mot

Prop. 2017/18:218

Prop. 2017/18:218 det mål som eftersträvas. Behandling av personuppgifter som är nödvändig för att utöva verksamhet som grundas på skollagen och anslutande föreskrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen.

När det gäller frågan om vilken behandling som är nödvändig, t.ex. vid användningen av sådana digitala läromedel som uppmärksammats av

Stockholms kommun och Luleå kommun, kan konstateras att den personuppgiftsansvarige ansvarar för att bedöma om syftet med behand- lingen är nödvändigt för att utföra en uppgift av allmänt intresse (artikel 5.2 och 6.3 i dataskyddsförordningen), se vidare avsnitt 6.2.

	9.1.3	Den rättsliga grunden myndighetsutövning kan
		användas i vissa fall

	Regeringens bedömning: Huvudmän inom området som regleras av
	skollagen vidtar vissa åtgärder med stöd av skollagen som innefattar
	myndighetsutövning, t.ex. betygssättning och beslut om särskilt stöd.
	Den behandling av personuppgifter som är nödvändig för myndighets-
	utövningen kan i dessa fall göras med stöd av den rättsliga grunden
	myndighetsutövning i artikel 6.1 e i dataskyddsförordningen.
	Utredningens bedömning: Överensstämmer med regeringens bedöm-
	ning.
	Remissinstanserna: Flertalet remissinstanser, såsom t.ex. Statens
	skolverk, Statens skolinspektion, Skolväsendets överklagandenämnd,
	Barnombudsmannen, Askersunds, Eskilstuna, Eslövs och Halmstads
	kommuner, har inte några synpunkter på bedömningen. Sveriges Kom-
	muner och Landsting, Friskolornas riksförbund, Specialpedagogiska
	skolmyndigheten och Stockholms kommun delar utredningens bedöm-
	ning.
	Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts
	tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning
	överensstämmer med regeringens bedömning i detta avsnitt. De till-
	styrker eller har inga synpunkter på bedömningen.
	Skälen för regeringens bedömning: Den rättsliga grunden myndig-
	hetsutövning i artikel 6.1 e i dataskyddsförordningen har beskrivits i av-
	snitt 6.3. Som anges där, framgår det av propositionen Ny dataskyddslag
	(prop. 2017/18:105) att utgångspunkten i svensk rätt är att det som i
	Sverige brukar anses som myndighetsutövning faller in under data-
	skyddsförordningens begrepp och att detta bör gälla även fortsättningsvis
	(s. 62).
	Den största delen av skolornas verksamhet, undervisning, utgörs av
	faktiskt handlande. Bara en liten del av verksamheten i förskolor och
	skolor utgör ärendehandläggning som innebär myndighetsutövning mot
	enskild. Det kan handla om ärenden som rör mottagande av elever, sär-
	skilt stöd, avstängning av elever eller befrielse från sådana inslag i under-
	visningen som är obligatoriska (t.ex. 3 kap. 9 §, 5 kap. 14 § och 7 kap. 5
	och 19 §§ skollagen). Även betygssättning av elevernas kunskaper är en
68	form av myndighetsutövning. De allmänna bestämmelserna om betyg-

sättning finns i bl.a. 3 kap. 13 § skollagen, de olika skolformskapitlen i Prop. 2017/18:218 skollagen och i förordningarna för de olika skolformerna såsom t.ex. gymnasieförordningen (2010:2039).

Enligt regeringens bedömning är grunden för behandlingen redan i dag fastställd i skollagen och anslutande föreskrifter. Det behövs därför inte någon ytterligare reglering för att skolorna ska kunna utföra nödvändig behandling av personuppgifter som ingår i myndighetsutövningen med stöd av den rättsliga grunden myndighetsutövning i artikel 6.1 e i data- skyddsförordningen.

När det gäller frågan om vilken behandling som är nödvändig kan konstateras att det ankommer på den personuppgiftsansvarige att bedöma om syftet med behandlingen är nödvändigt för att utföra en uppgift av allmänt intresse (artikel 5.2 och 6.3 i dataskyddsförordningen), se vidare avsnitt 6.2.

Regeringen anser vidare att även artikel 6.1 e i dataskyddsförord- ningen, dvs. uppgift av allmänt intresse, är tillämplig som rättslig grund för ovan nämnda moment, eftersom dessa ingår i uppgiften att anordna utbildning.

9.1.4	Den rättsliga grunden rättslig förpliktelse kan
	användas i vissa fall

Regeringens bedömning: Skollagen innehåller bestämmelser som
gör det nödvändigt för verksamhetsutövarna att behandla personupp-
gifter. Behandlingen kan i dessa fall göras med stöd av den rättsliga
grunden rättslig förpliktelse i artikel 6.1 c i dataskyddsförordningen.

Utredningens bedömning: Överensstämmer med regeringens bedöm-
ning.
Remissinstanserna: Flertalet remissinstanser, såsom t.ex. Statens
skolverk, Statens skolinspektion, Skolväsendets överklagandenämnd,
Barnombudsmannen, Askersunds, Eskilstuna, Eslövs och Halmstads
kommuner har inte några synpunkter på bedömningen. Sveriges Kom-
muner och Landsting, Friskolornas riksförbund, Specialpedagogiska
skolmyndigheten och Stockholms kommun delar utredningens bedöm-
ning.
Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts
tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning
överensstämmer med regeringens bedömning i detta avsnitt. De till-
styrker eller har inga synpunkter på bedömningen.
Skälen för regeringens bedömning: Den rättsliga grunden rättslig
förpliktelse i artikel 6.1 c i dataskyddsförordningen har beskrivits i av-
snitt 6.4.
Utredningen om offentlighet och sekretess i skolan (2002:10) ansåg att
skolmyndigheter enligt den då gällande skollagen och andra författningar
hade en rättslig skyldighet i PUL:s mening att fullgöra sina åligganden
gentemot eleverna i fråga om såväl undervisning som elevvård (SOU
2003:103 s. 199).
Datainspektionen har ansett att den skyldighet för myndigheter som
följer av offentlighetsprincipen är en sådan rättslig skyldighet som avses		69

Prop. 2017/18:218 i motsvarande bestämmelse i PUL (Datainspektionens rapport 2005:3 Övervakning i arbetslivet. Kontroll av de anställdas Internet och e- postanvändning m.m., s. 15.)

En skillnad mellan PUL och dataskyddsförordningen är dock att data- skyddsförordningen kräver att den rättsliga förpliktelsen ska vara fast- ställd i svensk rätt och att syftet med behandlingen ska vara fastställt i den rättsliga grunden.

Skollagen innehåller många rättsliga förpliktelser för de huvudmän som bedriver skolverksamhet enligt lagen. Exempel på sådana är att eleven och elevens vårdnadshavare fortlöpande ska informeras om ele- vens utveckling (3 kap. 4 §), ett åtgärdsprogram ska utarbetas för en elev som ska ges särskilt stöd (3 kap. 9 §), att elevens kunskaper ska betygsättas i vissa skolformer (3 kap. 13 §), att grundskolan och gymnasieskolan och motsvarande skolformer ska erbjuda modersmåls- undervisning under vissa förutsättningar (10 kap. 7 §, 11 kap. 10 §, 12 kap. 7 §, 13 kap. 7 §, 15 kap. 19 § och 18 kap. 19 §), och att rektorn ska se till att vårdnadshavaren till en elev i vissa skolformer, t.ex. grundskolan, samma dag informeras om eleven utan giltigt skäl uteblir från den obligatoriska verksamheten (7 kap. 17 §). Det behövs därför inte någon ytterligare reglering för att skolorna ska kunna tillämpa den rättsliga grunden i artikel 6.1 c för sin nödvändiga personuppgiftsbehand- ling.

Regeringen bedömer att även artikel 6.1 e i dataskyddsförordningen, dvs. uppgift av allmänt intresse, är tillämplig som rättslig grund för ovan nämnda moment, eftersom dessa ingår i uppgiften att anordna utbildning.

9.1.5Intresseavvägning kan användas men blir sällan aktuell

Regeringens bedömning: Enskilda huvudmän inom området som regleras av skollagen kan behandla personuppgifter med stöd av den rättsliga grunden intresseavvägning i artikel 6.1 f i dataskydds- förordningen. Den förutsätter att

–behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, och

–att inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Eftersom även den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 f i dataskyddsförordningen är tillämplig, behöver dock intresseavvägning sällan eller aldrig användas.

	Utredningens bedömning: Överensstämmer med regeringens bedöm-
	ning.
	Remissinstanserna: Flertalet remissinstanser, såsom t.ex. Statens
	skolverk, Statens skolinspektion, Skolväsendets överklagandenämnd,
	Sveriges Kommuner och Landsting, Barnombudsmannen, Askersunds,
	Eskilstuna, Eslövs, Halmstads och Stockholms kommuner har inte några
	synpunkter på bedömningen. Friskolornas riksförbund och Special-
70	pedagogiska skolmyndigheten delar utredningens bedömning.
70

Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts Prop. 2017/18:218 tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning

överensstämmer med regeringens bedömning i detta avsnitt. De till- styrker eller har inga synpunkter på bedömningen.

Skälen för regeringens bedömning: Den rättsliga grunden intresse- avvägning i artikel 6.1 f i dataskyddsförordningen har beskrivits i avsnitt 6.5. Grunden gäller inte för behandling av personuppgifter som utförs av offentliga myndigheter när de fullgör sina uppgifter. Eftersom skolor med staten, en kommun eller ett landsting som huvudman är myndigheter som fullgör sina uppgifter när de tillhandahåller utbildning enligt skol- lagen, är det endast skolor med enskild huvudman som kan tillämpa grunden intresseavvägning till stöd för sin personuppgiftsbehandling.

Som framgått ovan i avsnitt 8, är bedömer regeringen att artikel 6.1 e i dataskyddsförordningen, dvs. uppgift av allmänt intresse, är tillämplig som rättslig grund för anordnande av utbildning enligt skollagen och anslutande föreskrifter, oavsett om huvudmannen är offentlig eller enskild. Enligt regeringens uppfattning bör enskilda skolhuvudmän i skollagsreglerad verksamhet därför sällan eller aldrig behöva använda den rättsliga grunden intresseavvägning i artikel 6.1 f. Den enskilda huvudman som avser att tillämpa den rättsliga grunden intresseavvägning har dock vid intresseavvägningen särskilt att beakta barns rätt till inte- gritetsskydd (artikel 6.1 f i dataskyddsförordningen).

9.1.6	Den rättsliga grunden samtycke kan användas i
	begränsad utsträckning

Regeringens bedömning: Huvudmän inom det skollagsreglerade om-
rådet kan i begränsad utsträckning använda sig av den rättsliga
grunden samtycke i artikel 6.1 a i dataskyddsförordningen för sin
personuppgiftsbehandling.

Utredningens bedömning: Överensstämmer med regeringens bedöm-
ning.
Remissinstanserna: Flertalet remissinstanser, såsom t.ex. Statens
skolverk, Statens skolinspektion, Skolväsendets överklagandenämnd,
Barnombudsmannen, Askersunds, Eskilstuna, Eslövs och Halmstads
kommuner har inte några synpunkter på bedömningen. Datainspektionen,
Sveriges Kommuner och Landsting, Friskolornas riksförbund, Special-
pedagogiska skolmyndigheten och Stockholms kommun delar utred-
ningens bedömning.
Datainspektionen framhåller dock att samtycke förutsätter att det rör
sig om sådant som inte är relaterat till själva kärnverksamheten och där
vårdnadshavaren eller eleven faktiskt kan säga nej utan problem.
Friskolornas riksförbund och Sveriges Kommuner och Landsting anser
att det, utöver de situationer som utredningen nämnt, även finns andra
likartade situationer där samtycke bör kunna utgöra rättslig grund. Stock-
holms kommun anger digitala läromedel och tjänster som exempel, då
det i dessa fall finns risk för att det saknas annan rättslig grund.
Förvaltningsrätten i Linköping bedömer att det i praktiken kan uppstå
gränsdragningssvårigheter för den personuppgiftsansvariga i den dagliga		71

Prop. 2017/18:218 verksamheten, såsom svårigheter att bedöma om en viss personuppgifts- behandling, som är nödvändig för elevers deltagande i en viss aktivitet på skolan, även är nödvändig enligt artikel 6.1 c eller e i dataskyddsförord- ningen. Likaså innebär det svårigheter för den personuppgiftsansvariga att i ett sådant skede bedöma om ett samtycke kan användas på ett lag- enligt sätt. Införandet av en uppförandekod är därför enligt förvaltnings- rätten av stor betydelse för efterlevnaden av regleringen. Uppsala universitet framför också att det är oklart i vilken utsträckning barn, utan vårdnadshavares inblandning, kan samtycka till personuppgiftsbehand- ling och anser att det bör utredas ytterligare. Möjligen bör det även övervägas om inte regleringen av de rättsliga grunderna, däribland sam- tycke inom utbildningsverksamhet, och eventuellt principerna för tillåten personuppgiftsbehandling bör tas in i det nya kapitel som föreslås i skol- lagen.

Skälen för regeringens bedömning: Den rättsliga grunden samtycke i artikel 6.1 a i dataskyddsförordningen har beskrivits i avsnitt 6.1. När det gäller uppgifter om barn och specialfallet skolor har artikel 29-gruppen uttalat sig i ett yttrande. I yttrandet anges beträffande behandling av barns personuppgifter i skolan bl.a. att samtycke till behandling av alla uppgifter som kan ge upphov till diskriminering måste vara otvetydigt och att överföring till tredje part i marknadsföringssyfte är beroende av om vårdnadshavarna på förhand har underrättats och gett sitt samtycke. (Yttrande 2/2009 om skydd för uppgifter om barn [Allmänna riktlinjer och specialfallet skolor] s. 12 f.) Artikel 29-gruppen synes således anse att samtycke kan användas som rättslig grund för personuppgiftsbehand- ling inom skolor, i vart fall i vissa fall.

Enligt regeringens bedömning är det möjligt att för viss personupp- giftsbehandling använda sig av samtycke även i förhållandet mellan ett barns vårdnadshavare och en förskola samt mellan en elevs vårdnads- havare, eller eleven själv beroende på ålder, och en skola. Ett exempel på när samtycke skulle kunna vara lämplig grund för behandling av personuppgifter är inför fotografering av eleverna i syfte att skapa elek- troniska skolkataloger eller för att dokumentera verksamheten i förskola och skola, inte minst i syfte att kunna redogöra för den för barnens vård- nadshavare. I sammanhanget kan även nämnas att artikel 29-gruppen anser att samtycke från vårdnadshavarna ska inhämtas om en skola har för avsikt att t.ex. lägga ut individuella foton av eleverna med uppgift om deras identitet på internet (Yttrande 2/2009 om skydd för uppgifter om barn [Allmänna riktlinjer och specialfallet skolor] s. 18). Genom att sam- tycke hämtas in har berörda parter möjlighet att säga nej till att eleverna tas med på fotona.

Såsom Friskolornas riksförbund, Sveriges Kommuner och Landsting och Stockholms kommun framfört skulle det kunna även uppstå andra lik- artade situationer där samtycke skulle kunna användas som rättslig grund. Denna möjlighet är dock något som får bedömas från fall till fall av huvudmannen.

När det gäller gränsdragningen mellan olika rättsliga grunder, som Prop. 2017/18:218 Förvaltningsrätten i Linköping uppmärksammar, menar regeringen att

det varken finns anledning eller är möjligt att hämta in samtycke om be- handlingen av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse eller för myndighetsutövning eller om behandlingen är en rättslig förpliktelse, eftersom samtycke enligt skäl 43 inte bör utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige. Det gäller särskilt om den personuppgifts- ansvarige är en offentlig myndighet och det därför är osannolikt att sam- tycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Detta får anses gälla även fristående skolor när behandlingen är nödvändig för att utföra en uppgift av allmänt in- tresse eller myndighetsutövning eller behandlingen är en rättslig förplik- telse, se vidare avsnitt 6.1.

Att personuppgifter som rör barn anses särskilt skyddsvärda framgår av flera av dataskyddsförordningens bestämmelser och betonas i skälen. En närmare redogörelse för detta finns i dataskyddsutredningens betänkande SOU 2017:39 s. 140 f. Som nämnts i avsnitt 4.6 föreslås vidare i proposi- tionen Ny dataskyddslag (prop. 2017/18:105) att det ska införas en bestämmelse i 2 kap. 4 § dataskyddslagen som innebär att vid erbjudande av informationssamhällets tjänster direkt till ett barn som bor i Sverige ska behandling av personuppgifter vara tillåten med stöd av barnets samtycke om barnet är minst 13 år. Som regeringen återkommer till i avsnitt 11 avser också regeringen att ge en lämplig myndighet i uppdrag att vidta åtgärder för att initiera och stödja utarbetandet av en upp- förandekod för skolväsendet. Regeringen bedömer att några ytterligare åtgärder som rör barns samtycke specifikt i utbildningssammanhang inte är påkallade för närvarande.

När det gäller Uppsala universitets synpunkt att det möjligen bör över- vägas om regleringen av de rättsliga grunderna, däribland samtycke inom utbildningsverksamhet, bör tas in i skollagen kan det konstateras att frågan i vilken utsträckning de rättsliga grunderna i dataskyddsförord- ningen bör återges i svensk rätt redan har behandlats i avsnitt 8 i pro- positionen Ny dataskyddslag (prop. 2017/18:105). Det saknas därför anledning att här ytterligare överväga frågan.

9.2Universitets- och högskolesektorn

9.2.1Vilka personuppgifter behandlas inom högskolesektorn?

Nedan ges en översiktlig beskrivning av de huvudsakliga behandlingar av personuppgifter som sker inom högskolesektorn. En beskrivning av behandling av känsliga personuppgifter och uppgifter som rör fällande domar i brottmål m.m. på området lämnas i avsnitt 13.4.1 och 14.4.1.

Prop. 2017/18:218

Behandling i studieadministrativt syfte

För behandling av personuppgifter på högskoleområdet gäller, utöver PUL, även förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor. Av förordningen följer att varje högskola ska dokumentera uppgifter om studenter och föra ett studieregister där upp- gifter anges individuellt för varje student. I studieregistret behandlas uppgifter om namn, personnummer, behörighet, urvalsgrund, skyldighet att betala och betalning av anmälningsavgift och studieavgift, antagning, deltagande i utbildning och prov, studieresultat, betyg, tillgodoräknad utbildning eller annan tillgodoräknad verksamhet, examen och sådana uppgifter som krävs för att uppgifter ska kunna lämnas till Statistiska centralbyrån (SCB) och UHR. Registret får också innehålla de uppgifter om studenter som behövs för resultatredovisning.

Ändamålet med studieregistret är att säkra att uppgifter om sökande till utbildning, genomgångna studier, betyg över utbildningar och examina bevaras. Utöver det ska uppgifterna kunna ligga till grund för uppföljning och utvärdering, för antagning av studenter, för beslut om an- mälningsavgift och studieavgift, för avstängning av studieavgiftsskyldiga studenter, för administration inom respektive högskola, för utlämnande i vissa fall till andra myndigheter, för sådan officiell statistik som avses i 3 kap. samt för resurstilldelning (2 kap. 1–3, och 5–6 och 8 §§ förord- ningen om redovisning av studier m.m. vid universitet och högskolor).

För studieadministration använder samtliga statliga högskolor och några av de enskilda utbildningsanordnarna sig bl.a. av det nationella systemet Ladok. Ladok används även för utbyte av information mellan högskolor och andra myndigheter.

Behandling vid antagning till utbildning

I förordningen om redovisning av studier m.m. vid universitet och hög- skolor finns även bestämmelser om ett antagningsregister. Ett sådant register, där uppgifter anges individuellt för varje student, får föras av UHR. Ändamålet med registret är att vara till hjälp för högskolor vid an- tagning av studenter. Uppgifterna i antagningsregistret får hämtas in från högskolornas studieregister. Antagningsregistret får, precis som studie- registret, omfatta uppgifter om namn, personnummer, behörighet, urvals- grund, skyldighet att betala och betalning av anmälningsavgift och studieavgift, antagning, deltagande i utbildning och prov, studieresultat, betyg, tillgodoräknad utbildning eller annan tillgodoräknad verksamhet och examen. Registret får även omfatta behörighetsgrundande meriter, urvalsgrundande meriter och uppgifter och, med vissa undantag, de uppgifter i övrigt som en student åberopar i samband med antagning till en utbildning (4 kap. 1 och 3 §§ förordningen om redovisning av studier m.m. vid universitet och högskolor).

För handläggningen vid antagningsförfarandet använder sig UHR av ett system som heter NyA. UHR registrerar, granskar och bedömer de sökandes meriter. Bedömningen leder till att sökande blir antagna, reservplacerade eller strukna om de är obehöriga. En högskolas beslut om att en sökande inte uppfyller kraven på behörighet för att bli antagen till utbildning får överklagas (12 kap. 2 § 2 högskoleförordningen).

Behandling i samband med högskoleprovet

En möjlighet att antas till högskoleutbildning på grundnivå och avan- cerad nivå är genom resultat på högskoleprovet. UHR ansvarar för att provet tas fram och beslutar om resultat på provet. De statliga högskolor som ska använda provet som urvalsgrund ska genomföra provet. Provet får även genomföras av UHR (7 kap. 12, 20 och 26 §§ högskoleför- ordningen).

För genomförandet av högskoleprovet finns det två webbplatser, dels hogskoleprov.nu där provdeltagare anmäler sig och då anger namn, personnummer, adress och telefonnummer, dels hpadmin.uhr.se, som är ett system där handläggare på lärosätena administrerar lokaler, personal och provdeltagare samt skickar placeringsbesked till personalen och kallelser till provdeltagare. UHR förvaltar webbplatserna men det är lärosätena som är personuppgiftsansvariga. UHR är dock personuppgifts- ansvarig för det register där resultaten från högskoleprovet finns sam- lade, HP-registret.

Behandling i utbildningen

Som hjälpmedel i undervisningen används s.k. läroplattformar. Plattfor- marna är webbaserade och i dessa samlats sådana specifika moment som krävs för genomförandet av en kurs, t.ex. hämtning av kursmaterial och inlämnande av uppgifter. Genom plattformarna underlättas dessutom kommunikationen mellan lärare och studenter och information kan spri- das på ett snabbt och enkelt sätt. I plattformarna behandlas person- uppgifter som hämtas från det aktuella lärosätets Ladoksystem. I läro- plattformarna behandlas personuppgifter i form av t.ex. namn, e-post, personnummer, användar-id kopplat till lärosätets övriga it-system, uppgifter om betyg och uppgifter över studentens användning av läro- plattformen.

Behandling i samband med tillgodoräknande av tidigare utbildning och verksamhet

En student kan under vissa förutsättningar få tillgodoräkna sig tidigare utbildning eller verksamhet. En högskolas beslut om tillgodoräknande av utbildning eller yrkesverksamhet kan överklagas (6 kap. 6–8 §§ och 12 kap. 2 § 3 högskoleförordningen [1993:100]). När en person ansöker om tillgodoräknande ska denne ange namn, personnummer och aktuella kontaktuppgifter. Sökanden ska även lämna en utförlig beskrivning av hur denne uppfyller lärandemålen.

Behandling i högskolebibliotekens verksamhet

Vid alla universitet och högskolor som omfattas av högskolelagen (1992:1434) ska det finnas tillgång till bibliotek. Dessa bibliotek ska svara för biblioteksverksamhet inom de områden som anknyter till utbildning och forskning vid högskolan. Ett högskolebibliotek ska avgiftsfritt ställa litteratur ur de egna samlingarna till andra högskole- biblioteks förfogande (12 § bibliotekslagen och 2 kap. 16 § högskole- förordningen). I denna verksamhet behandlas personuppgifter i syfte att hålla reda på utlånade böcker. Känsliga personuppgifter om hälsa kan

Prop. 2017/18:218

Prop. 2017/18:218 även behöva behandlas i samband med att biblioteket förfogar över upphovsrättsligt skyddade verk som personer med funktionsnedsättning behöver för att kunna ta del av verken, t.ex. genom att överföra dem till den funktionsnedsatte enligt lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk.

Behandling som avser alumner

Hos lärosätena finns databaser där tidigare studenter, s.k. alumner, kan registrera sig. Genom registreringen kan alumner t.ex. komma i kontakt med andra alumner eller högskolan. Genom alumnverksamheten kan även kontakterna med näringslivet öka och förbättras. Vid registreringen förs personuppgifter i form av namn, personnummer och utbildning över från Ladok. Därutöver kan alumnen lägga till uppgifter om sitt nuvarande arbete m.m. Alumnen kan själv välja i vilken omfattning vissa uppgifter ska synas. Att registrera sig i en alumndatabas vid ett lärosäte är helt frivilligt och vid registreringen godkänner alumnen att dennes person- uppgifter behandlas.

Studentkårernas behandling

Vissa bestämmelser som rör studentkårer finns i högskolelagen (1992:1434). Ett statligt universitet eller en statlig högskola ska besluta att en sammanslutning av studenter vid högskolan får ställning som studentkår för en viss tid, om sammanslutningen uppfyller vissa i lagen angivna krav. En studentkår ska ha som huvudsakligt syfte att bevaka och medverka i utvecklingen av utbildningen och förutsättningarna för studier vid högskolan. Verksamhetsområdet för en studentkår får inte täcka mer än en högskola och ska sammanfalla med minst en organisatorisk eller geografiskt avgränsad del av högskolan. En student- kår ska vara demokratiskt uppbyggd och kunna representera studenterna inom kårens verksamhetsområde. Alla studenter inom en studentkårs verksamhetsområde ska ha rätt att vara medlemmar i kåren, om de uppfyller de krav som ställs för medlemskap i kåren. Den student som är medlem i studentkåren ska ha rösträtt vid val till studentkårens högsta beslutande organ (4 kap. 8–12 §§ högskolelagen).

En studentkår vid ett statligt universitet eller en statlig högskola får utse sådana ledamöter i högskolans styrelse som studenterna enligt 2 kap. 4 § högskolelagen (1992:1434) har rätt att utse. En studentkår vid en högskola får också utse och entlediga sådana representanter som har rätt att vara representerade när beslut fattas eller beredning sker som har betydelse för utbildningen eller studenternas situation vid högskolan. Statliga universitet och högskolor får meddela föreskrifter om hur en studentkår vid högskolan ska redovisa sin verksamhet och sitt medlems- antal (6 och 7 §§ studentkårsförordning [2009:769]).

Av ovannämnda följer att studentkårerna har visst behov av att hantera uppgifter om studenter som är medlemmar i kåren, t.ex. i form av ett medlemsregister. Såvitt regeringen kan bedöma har studentkårerna inte något omedelbart behov av att behandla känsliga personuppgifter.

9.2.2	Den rättsliga grunden uppgift av allmänt intresse Prop. 2017/18:218
	kan användas av högskolorna

Regeringens bedömning: Genom bestämmelser i högskolelagen med anslutande föreskrifter, lagen om tillstånd att utfärda vissa examina och beslut fattade med stöd av dessa är anordnande och bedrivande av utbildning och annan pedagogisk verksamhet en i svensk rätt fastställd uppgift av allmänt intresse. Den behandling av personuppgifter som är nödvändig för att utöva verksamhet som grundas på nämnda före- skrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen.

Utredningens bedömning: Överensstämmer med regeringens bedöm- ning.

Remissinstanserna: Flertalet remissinstanser, såsom t.ex. Karlstads universitet, Göteborgs universitet, Högskolan i Skövde, Stiftelsen Hög- skolan i Jönköping och Överklagandenämnden för högskolan, har inte några synpunkter på eller har inget att erinra mot bedömningen. Luleå tekniska universitet delar utredningens bedömning.

Stiftelsen Högskolan i Jönköping efterfrågar dock ett förtydligande av om även enskilda utbildningsanordnare kan utföra personuppgifts- behandling motsvarande den som statliga lärosäten är rättsligt förpliktade att göra enligt förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor, men med tillämpning av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförord- ningen.

Datainspektionen saknar en analys som visar vilken behandling som är nödvändig utifrån universitet och högskolors verksamhet, särskilt i själva utbildningsverksamheteten. Datainspektionen noterar att den digitala tekniken är en självklar del av utbildningen, men att det inte fördjupas vad detta kan innehålla. Enligt Datainspektionen har utredningen inte visat att det finns en i nationell rätt fastställd grund som uppfyller kraven i dataskyddsförordningen. Karlstads universitet anser att det hade varit värdefullt med en grundlig genomgång av studenters behandling av personuppgifter.

Skälen för regeringens bedömning

Som framgår av avsnitt 9.2.1 finns det behov av att behandla en rad personuppgifter på högskoleområdet. Regeringen anser, till skillnad mot Datainspektionen, att den redogörelse som lämnats av utredningen och som motsvaras av avsnitt 9.2.1 utgör en i detta sammanhang tillräcklig analys av universitets och högskolors behov av att behandla person- uppgifter.

Som anges i avsnitt 6 förutsätter personuppgiftsbehandlingen en i EU- rätten eller nationell rätt fastställd rättslig grund (artikel 6 i dataskydds- förordningen). Den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen har beskrivits i avsnitt 6.2.

Prop. 2017/18:218

Anordnande och bedrivande av statlig högskoleutbildning är en uppgift av allmänt intresse

Som framgår av avsnitt 8 anser regeringen att det såväl av EU-rätten som svensk rätt framgår att anordnande och bedrivande av utbildning är en uppgift av allmänt intresse. Därtill finns högskolelagen (1992:1434) med anslutande författningar, såsom högskoleförordningen (1993:100) som innehåller närmare bestämmelser om högskoleutbildning. Av högskole- lagen framgår t.ex. att ett tillstånd att utfärda examina bara lämnas om det bl.a. i ett rikstäckande perspektiv finns ett allmänt intresse av att examina får utfärdas (1 kap. 10 a och 13 §§). Vidare uttalas bl.a. följande i förarbetena till högskolelagen (prop. 1992/93:1 s. 9 f.).

Genom högre utbildning och forskning kan de kulturella och huma- nistiska värden som är en del av det goda samhället förstärkas. Det är också bara genom en avancerad utbildning och forskning som Sverige kan hävda sig i en hårdnande internationell konkurrens. Att både öka antalet högskoleutbildade och att höja kvaliteten inom utbildningen och forskningen blir i detta perspektiv avgörande för Sveriges framtida utveckling.

[…] I ökande utsträckning kommer vi att leva i en internationell miljö där kunskapsmässig kompetens är avgörande för vårt lands välstånd.

Regeringens bedömning är således att statliga högskolors anordnande och bedrivande av högskoleutbildning är en uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningen. Även det förhål- landet att högskoleutbildningar hos både offentliga och privata utbild- ningsanordnare berättigar till studiestöd enligt studiestödslagen och studiestödsförordningen kan enligt regeringens uppfattning läggas till grund för bedömningen om att anordnande och bedrivande av dessa utbildningar är en uppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen.

Den rättsliga grunden för statliga högskolor är fastställd i svensk rätt

Vad anordnande och bedrivande av högskoleutbildning innebär för statliga högskolor preciseras i högskolelagen och högskoleförordningen. För Sveriges lantbruksuniversitet och Försvarshögskolan finns ytterligare bestämmelser i förordningen (1993:221) för Sveriges lantbruksuniversi- tet och förordningen (2007:1164) för Försvarshögskolan.

Enligt högskolelagen ska staten som huvudman anordna högskolor för utbildning och forskning. I högskolornas uppgift ingår även att samverka med det omgivande samhället och informera om sin verksamhet samt verka för att forskningsresultat tillkomna vid högskolan kommer till nytta (1 kap. 2 § högskolelagen).

I 1 kap. högskolelagen preciseras ytterligare vad uppgiften att anordna och bedriva högskoleutbildning innebär. Av bestämmelserna där framgår bl.a. följande. Utbildningen ska ges på grundnivå, avancerad nivå och forskarnivå. Utbildning på t.ex. grundnivå ska väsentligen bygga på de kunskaper som eleverna får på nationella program i gymnasieskolan eller motsvarande kunskaper. Utbildningen ska utveckla studenternas förmåga att göra självständiga och kritiska bedömningar samt deras förmåga att

självständigt urskilja, formulera och lösa problem. Utbildningen ska även utveckla studenternas beredskap att möta förändringar i arbetslivet. Inom det område som utbildningen avser ska studenterna, utöver kunskaper och färdigheter, utveckla förmåga att söka och värdera kunskap på vetenskaplig nivå, följa kunskapsutvecklingen och utbyta kunskaper även med personer utan specialkunskaper inom området.

Ytterligare precisering av vad uppgiften att anordna och bedriva hög- skoleutbildning innebär framgår av 6 kap. högskoleförordningen. All utbildning på grundnivå och avancerad nivå ska bedrivas i form av kurser. För en kurs ska det finnas en kursplan. I kursplanen ska anges kursens nivå, antal högskolepoäng, mål, krav på särskild behörighet, formerna för bedömning av studenternas prestationer och de övriga före- skrifter som behövs (6 kap. 13–15 §§). I kursplanerna finns således den mest konkreta preciseringen av vad en specifik utbildning innebär i form av bl.a. former för undervisning och bedömning. Vidare får kurser sam- manföras till utbildningsprogram. För utbildningsprogrammen ska det finnas en utbildningsplan. Utbildningsplanen ska ange de kurser som programmet omfattar, kraven på särskild behörighet och de övriga före- skrifter som behövs (6 kap. 13, 16 och 17 §§). De angivna bestämmel- serna i högskoleförordningen gäller även för Sveriges lantbruksuniver- sitet och Försvarshögskolan (se 5 kap. 2 § förordningen för Sveriges lantbruksuniversitet och 4 kap. 2 § förordningen för Försvarshögskolan).

Enligt 6 kap. 4 § högskoleförordningen får det inom utbildningen vidare bara avläggas de examina som anges i bilaga 2 till högskole- förordningen (examensordningen). I examensordningen anges det på vilken nivå en viss examen ska avläggas och vilka krav som ska upp- fyllas för en viss examen (6 kap. 5 §). Motsvarande bestämmelser finns i 5 kap. 1 § förordningen för Sveriges lantbruksuniversitet och 4 kap. 1 § förordningen för Försvarshögskolan.

I examensordningen i bilagan till högskoleförordningen finns således en förteckning över vilka examina som får avläggas på grundnivå, avancerad nivå och forskarnivå. För respektive examen finns också en beskrivning av vilka krav som ska uppfyllas i fråga om t.ex. antal hög- skolepoäng, kunskaper och färdigheter samt självständiga arbeten. I examensbeskrivningarna anges vidare att också de preciserade krav som varje högskola själv bestämmer inom ramen för kraven i examens- beskrivningen ska gälla. Motsvarande bestämmelser finns i bilagorna till förordningen för Sveriges lantbruksuniversitet och förordningen för För- svarshögskolan.

På en genomgången kurs ska det vidare sättas ett betyg och en student som har fått en kurs godkänd ska på begäran få ett kursbevis av högskolan. En student som uppfyller fordringarna för en examen ska på begäran få ett examensbevis av högskolan (6 kap. 9, 18 och 20 §§ hög- skoleförordningen). Även dessa bestämmelser gäller för Sveriges lant- bruksuniversitet och Försvarshögskolan enligt 5 kap. 2 § respektive 4 kap. 2 § i de förordningar som särskilt reglerar deras verksamhet.

Härutöver kan uppgifter och åligganden för de statliga högskolorna även framgå av andra författningar, t.ex. förordningen om redovisning av studier m.m. vid universitet och högskolor. Som angetts i avsnitt 6.2 föreslås i propositionen Ny dataskyddslag (prop. 2017/18:105) en bestämmelse i 2 kap. 2 § 1 dataskyddslagen som anger att personupp-

Prop. 2017/18:218

Prop. 2017/18:218 gifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen bl.a. om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer beslut som meddelats med stöd av lag eller annan författning. Uppgifter och åligganden kan således även framgå av t.ex. regleringsbrev till de statliga högskolorna. Som nämnts ovan ska det för en kurs och ett utbildningsprogram vidare finnas en kursplan respektive en utbildningsplan. Beslut om fastställande av sådana planer ska fattas av personer med vetenskaplig eller konstnärlig kompetens (2 kap. 5 § högskolelagen och prop. 2009/10:149 s. 35 f.).

I avsnitt 6.2 finns det en redogörelse för regeringens bedömning i propositionen Ny dataskyddslag (prop. 2017/18:105) i fråga om kraven på den rättsliga grundens tydlighet, precision och förutsägbarhet i skäl 41 och proportionalitetsbedömningen i artikel 6.3 i dataskyddsförordningen. Med stöd av analysen ovan konstaterar regeringen att det genom hög- skolelagen, högskoleförordningen och förordningarna för Sveriges lant- bruksuniversitet och Försvarshögskolan, men även genom andra författningar och beslut, finns tydliga och förutsägbara bestämmelser som preciserar vad uppgiften att anordna och bedriva högskoleutbildning innebär för statliga högskolor och som är proportionerliga mot de mål som eftersträvas.

Till skillnad mot Datainspektionen bedömer därför regeringen att det för statliga högskolor finns en i svensk rätt fastställd uppgift av allmänt intresse i form av att anordna och bedriva högskoleutbildning, och att nödvändig personuppgiftsbehandling därmed kan ske med stöd av artikel 6.1 e i dataskyddsförordningen.

Även enskilda utbildningsanordnares anordnande och bedrivande av högskoleutbildning är en uppgift av allmänt intresse som är fastställd i svensk rätt

Som framgår av avsnitt 8 anser regeringen att det såväl av EU-rätten som svensk rätt framgår att anordnande och bedrivande av utbildning är en uppgift av allmänt intresse. I förarbetena till högskolelagen uttalar rege- ringen också att statligt huvudmannaskap i myndighetsform bara är en av många möjliga verksamhetsformer för universitet och högskolor. Det behövs också alternativ till den statliga verksamheten om mångfald och konstruktiv konkurrens ska befordras (prop. 1992/93:1 s. 24).

Även enskilda utbildningsanordnare kan få tillstånd att utfärda sådana examina som regeringen, enligt vad som anges i högskolelagen, meddelat föreskrifter om. Tillstånd lämnas av regeringen, men endast om utbild- ningen vilar på vetenskaplig eller konstnärlig grund och på beprövad er- farenhet samt bedrivs så att den i övrigt uppfyller de krav som ställs på utbildning i 1 kap. högskolelagen. Detta innebär bl.a. att en förutsättning för tillstånd att utfärda examina är att det i ett rikstäckande perspektiv finns ett allmänt intresse av att examina får utfärdas. För varje examen som tillståndet avser ska utbildningen också svara mot de särskilda krav som enligt förordningsbestämmelser gäller för denna examen vid de universitet och högskolor som omfattas av högskolelagen (1, 2 och 6 §§ lagen [1993:792] om tillstånd att utfärda vissa examina). Regeringen bedömer således att även högskoleutbildning som anordnas och bedrivs

av enskilda utbildningsanordnare med tillstånd att utfärda examen enligt

lagen om tillstånd att utfärda vissa examina är en uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningens som i enlighet med artikel 6.3 är fastställd i svensk rätt.

Som nämnts tidigare föreslås i propositionen Ny dataskyddslag (prop. 2017/18:105) en bestämmelse i dataskyddslagen som anger att en uppgift av allmänt intresse även kan framgå av ett beslut förutsatt att beslutet har meddelats med stöd av lag eller annan författning. Detta innebär att även de preciserade krav som enskilda utbildningsanordnarna beslutar fast- ställer den rättsliga grunden uppgift av allmänt intresse. Uppgifter och åligganden för enskilda utbildningsanordnares kan även framgå av reger- ingens beslut att bevilja tillstånd att utfärda examina. Som exempel kan nämnas att ett examenstillstånd får förenas med villkor om rätt för enskilda att ta del av handlingar hos utbildningsanordnaren (4 § lagen om tillstånd att utfärda vissa examina). Av 2 kap. 4 § offentlighets- och sekretesslagen (2009:400, OSL) och lagens bilaga framgår att vad som föreskrivs i tryckfrihetsförordningen om rätt att ta del av allmänna handlingar hos myndigheter ska i tillämpliga delar gälla också handlingar hos bl.a. Chalmers tekniska högskola AB och Stiftelsen Högskolan i Jönköping, som är en enskild utbildningsanordnare. Dessa ska vid tillämpningen av OSL då jämställas med myndigheter.

I avsnitt 6.2 har redogjorts för regeringens bedömning i propositionen Ny dataskyddslag (prop. 2017/18:105) i fråga om kraven på den rättsliga grundens tydlighet, precision och förutsägbarhet i skäl 41 och propo- rtionalitetsbedömningen i artikel 6.3 i dataskyddsförordningen. Med stöd av analysen ovan anser regeringen att det genom lagen om tillstånd att utfärda vissa examina, med dess hänvisningar till bestämmelser i hög- skolelagen och högskoleförordningen, men även andra författningar och beslut, finns tydliga och förutsägbara bestämmelser som preciserar vad uppgiften att anordna och bedriva högskoleutbildning innebär för en- skilda utbildningsanordnare och som är proportionerliga mot de mål som eftersträvas.

Regeringen bedömer därför, till skillnad från Datainspektionen, att det även för enskilda utbildningsanordnare med tillstånd enligt lagen om tillstånd att utfärda vissa examina finns en i svensk rätt fastställd uppgift av allmänt intresse i form av att anordna och bedriva högskoleutbildning, och att nödvändig personuppgiftsbehandling därmed ske med stöd av artikel 6.1 e i dataskyddsförordningen.

Det kan dock konstateras att regleringen av de statliga högskolornas verksamhet är mer omfattande än den som finns för de enskilda utbild- ningsanordnarnas verksamhet. Som Stiftelsen Högskolan i Jönköping noterar gäller t.ex. inte förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor för enskilda utbildnings- anordnare. För enskilda utbildningsanordnare saknas också preciserade bestämmelser om t.ex. antagningsförfarandet, studieadministration, till- godoräknande av tidigare utbildning och verksamhet, disciplinära åtgär- der och avskiljande. Men detta utesluter enligt regeringens bedömning inte att artikel 6.1 e i dataskyddsförordningen kan tillämpas av enskilda på behandling för sådana uppgifter och ändamål. Enligt dataskydds- förordningen ska behandlingen vara nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.3 andra stycket första meningen). Till skillnad mot vad som gäller grunden rättslig förpliktelse, behöver

Prop. 2017/18:218

Prop. 2017/18:218 ändamålet således inte framgå av den författning eller det beslut där själva uppgiften har fastställts. Av artikel 5.2 i dataskyddsförordningen följer också att det är den personuppgiftsansvarige som ska kunna visa att uppgifter behandlas för nödvändiga ändamål.

9.2.3Den rättsliga grunden myndighetsutövning kan användas i vissa fall av högskolorna

Regeringens bedömning: Statliga högskolor kan vidta vissa åtgärder med stöd av högskolelagen som innefattar myndighetsutövning gentemot en student, t.ex. vid beslut om antagning, tillgodoräknande av utbildning eller yrkesverksamhet, examination och disciplinära åtgärder. Den be- handling av personuppgifter som är nödvändig för myndighetsutöv- ningen kan i dessa fall göras med stöd av den rättsliga grunden myn- dighetsutövning i artikel 6.1 e i EU:s dataskyddsförordning.

Även enskilda utbildningsanordnare kan vidta åtgärder som innefattar myndighetsutövning, nämligen utfärdande vissa examina enligt lagen om tillstånd att utfärda sådan. Den behandling av personuppgifter som ingår i myndighetsutövningen kan i dessa fall göras med stöd av den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskyddsförordningen

Utredningens bedömning: Överensstämmer med regeringens bedöm- ning.

Remissinstanserna: Remissinstanserna har inte några synpunkter på eller har inget att erinra mot bedömningen.

Skälen för regeringens bedömning

Den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskyddsför- ordningen har beskrivits i avsnitt 6.3.

Statliga högskolor kan i vissa fall använda den rättsliga grunden myndighetsutövning

Statliga högskolor ska sätta betyg på en student som genomgått en kurs, om inte högskolan föreskriver något annat. Betyget ska beslutas av en av högskolan särskilt utsedd lärare, en så kallad examinator (6 kap. 18 § högskoleförordningen). En student som har fått en kurs godkänd ska på begäran få kursbevis av högskolan. En student som uppfyller fordring- arna för en examen ska på begäran få examensbevis av högskolan (6 kap. 9 och 20 §§ högskoleförordningen). En högskolas beslut att avslå en students begäran att få examensbevis eller kursbevis är överklagbart (12 kap. 2 § 6 högskoleförordningen). Betygsättning och examination är således exempel på statliga högskolors myndighetsutövning som fast- ställts i svensk rätt.

Även beslut om antagning, tillgodoräknande av utbildning eller yrkes- verksamhet och disciplinpåföljd enligt 6, 7 och 10 kap. högskoleförord- ningen är för statliga högskolors del myndighetsutövning. Beslut om att en sökande inte uppfyller kraven på behörighet för att bli antagen, om tillgodoräknande av utbildning eller yrkesverksamhet och om disciplin- påföljderna avstängning och varning får också överklagas (12 kap. 2 § 2

och 3 samt 3 § högskoleförordningen). Även på dessa områden sker Prop. 2017/18:218 alltså myndighetsutövning som är fastställd i svensk rätt.

Statliga högskolor kan därmed i dessa fall använda sig av den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskyddsförordningen för nödvändig personuppgiftsbehandling.

Enskilda utbildningsanordnares möjlighet att använda rättsliga grunden myndighetsutövning är mycket begränsad

Förvaltningsuppgifter kan överlämnas åt juridiska personer och enskilda individer. Om uppgiften innefattar myndighetsutövning får ett överläm- nande dock endast göras med stöd av lag (12 kap. 4 § andra stycket rege- ringsformen).

När det gäller överlämnande av förvaltningsuppgifter som utgör myn- dighetsutövning till enskilda utbildningsanordnare, framgår det av 1 och 6 §§ lagen (1993:792) om tillstånd att utfärda vissa examina att en en- skild utbildningsanordnare endast efter tillstånd av regeringen får utfärda sådana examina som regeringen med stöd av högskolelagen meddelat föreskrifter om. Detta omfattar även så kallade gemensamma examina enligt 2 a och 2 b §§ i samma lag. En enskild utbildningsanordnare som har fått tillstånd att utfärda examina får, under vissa förutsättningar, ut- färda en sådan gemensam examen i vilken en examen som tillståndet avser ingår, tillsammans med vissa andra kategorier av lärosäten (2 a och 2 b §§ lagen om tillstånd att utfärda vissa examina). I högskolelagen anges också att en gemensam examen får utfärdas av en högskola som anges i bilagan till högskolelagen tillsammans med bl.a. en enskild ut- bildningsanordnare. En högskola som får utfärda en sådan examen får också besluta att i viss utsträckning överlåta förvaltningsuppgifter i fråga om antagning till och tillgodoräknande av utbildning till bl.a. en enskild utbildningsanordnare (1 kap. 17 och 18 §§ högskolelagen).

9.2.4	Den rättsliga grunden rättslig förpliktelse kan
	användas i vissa fall av högskolorna

Regeringens bedömning: Det finns fastställda rättsliga förpliktelser som
gör det nödvändigt för statliga högskolor att behandla personuppgifter.
Även för vissa enskilda utbildningsanordnare kan det finnas sådana
rättsliga förpliktelser. Behandlingen kan i dessa fall göras med stöd av
den rättsliga grunden rättslig förpliktelse i artikel 6.1 c i EU:s data-
skyddsförordning.
Utredningens bedömning: Överensstämmer med regeringens bedöm-
ning.
Remissinstanserna: Remissinstanserna har inte några synpunkter på
eller har inget att erinra mot bedömningen.
Skälen för regeringens bedömning: Den rättsliga grunden rättslig
förpliktelse i artikel 6.1 c i dataskyddsförordningen har beskrivits i
avsnitt 6.4.
Ett exempel på en rättslig förpliktelse för statliga högskolor som enligt
regeringens bedömning är tillräckligt tydlig för att ligga till grund för
nödvändig personuppgiftsbehandling är att en student som har fått en		83

Prop. 2017/18:218 kurs godkänd på begäran ska få kursbevis av högskolan (6 kap. 20 § första stycket högskoleförordningen). Ett annat, liknande exempel, är att en student som uppfyller fordringarna för en examen på begäran ska få examensbevis av högskolan (6 kap. 9 § högskoleförordningen). Båda dessa exempel förutsätter att i vart fall namn och personnummer behand- las för att kurs- och examensbeviset ska kunna utfärdas. Ytterligare ett exempel på en rättslig förpliktelse är enligt regeringens bedömning att de statliga högskolorna ska dokumentera uppgifter om studenter och föra ett studieregister där vissa uppgifter ska dokumenteras (2 kap. 1 § förord- ningen [1993:1153] om redovisning av studier m.m. vid universitet och högskolor).

Eftersom personuppgiftsbehandlingen på högskoleområdet till största delen dock bör kunna ske med stöd av den rättsliga grunden uppgift av allmänt intresse saknas anledning att göra en mer ingående analys av vilka av de bestämmelser som gäller för högskolorna som kan anses vara så tydliga att de anses utgöra rättsliga förpliktelser.

9.2.5Intresseavvägning kan användas men blir sällan aktuell för högskolorna

Regeringens bedömning: Enskilda utbildningsanordnare kan behand- la personuppgifter med stöd av den rättsliga grunden intresseav- vägning i artikel 6.1 f i EU:s dataskyddsförordning. Den förutsätter att

–behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, och

–att inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter.

Eftersom även den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 f i dataskyddsförordningen är tillämplig, behöver dock intresseavvägning sällan eller aldrig användas.

Utredningens bedömning: Överensstämmer med regeringens bedöm- ning.

Remissinstanserna: Remissinstanserna har inte några synpunkter på eller har inget att erinra mot bedömningen.

Skälen för regeringens bedömning: Den rättsliga grunden intresse- avvägning i artikel 6.1 f i dataskyddsförordningen har beskrivits i avsnitt 6.5. Grunden gäller inte för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Eftersom statliga högskolor är myndigheter som fullgör sina uppgifter när de anordnar och bedriver ut- bildning enligt högskolelagen med anslutande föreskrifter, är det endast enskilda utbildningsanordnare som kan tillämpa grunden intresseavväg- ning till stöd för sin personuppgiftsbehandling.

Som framgått ovan i avsnitt 9.2.2, bedömer regeringen att artikel 6.1 e i dataskyddsförordningen, dvs. uppgift av allmänt intresse, är tillämplig som rättslig grund för anordnande och bedrivande av högskoleutbildning, och att det gäller både för statliga högskolor och för enskilda utbildnings- anordnare. Enligt regeringens uppfattning bör enskilda utbildnings- anordnare därför sällan eller aldrig behöva använda den rättsliga grunden

intresseavvägning i artikel 6.1.f för att kunna behandla personuppgifter i Prop. 2017/18:218 sådan verksamhet som omfattas av tillståndet att utfärda examina.

9.2.6Den rättsliga grunden samtycke kan användas i begränsad utsträckning av högskolorna

Regeringens bedömning: Statliga högskolor och enskilda utbild- ningsanordnare kan i begränsad utsträckning använda sig av den rätts- liga grunden samtycke i artikel 6.1 a i EU:s dataskyddsförordning för sin personuppgiftsbehandling.

Utredningens bedömning: Överensstämmer med regeringens bedöm- ning.

Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot bedömningen.

Luleå tekniska universitet påpekar att oavsett om det är fråga om en statlig högskola eller en enskild utbildningsanordnare råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige. An- vändningen av samtycke som rättslig grund är därmed tämligen be- gränsat, vilket kan tydliggöras ytterligare genom att formulera bedöm- ningen som att samtycke kan användas i begränsad utsträckning.

Skälen för regeringens bedömning: Den rättsliga grunden samtycke i artikel 6.1 a i dataskyddsförordningen beskrivs i avsnitt 6.1. Som anges där är möjligheten att använda samtycke som rättslig grund begränsad och aktualiseras främst inom områden som inte är offentligrättsligt reglerade. Om behandlingen av personuppgifter grundar sig på samtycke från den registrerade ska den personuppgiftsansvarige kunna visa detta (artikel 7.1 i dataskyddsförordningen). Ett exempel på när såväl en statlig högskola som en enskild utbildningsanordnare kan använda sam- tycke som rättslig grund är, enligt regeringens bedömning, vid regi- strering av tidigare studenter i alumndatabaser. I detta fall är det fråga om en tjänst som är helt frivillig, utan direkt koppling till den lagstadgade rätten att studera för den som uppfyller behörighetskraven. Det kan även uppstå andra likartade situationer där samtycke skulle kunna användas som rättslig grund, men denna möjlighet är dock något som får bedömas från fall till fall av utbildningsanordnaren.

När det gäller Luleå tekniska universitets förslag till formulering i fråga om möjligheten att använda den rättsliga grunden samtycke, note- rar regeringen att utredningen ömsom uttryckt det som att grunden kan användas i viss utsträckning, ömsom som att den kan användas i begränsad utsträckning. Regeringen antar att utredningen med de båda formuleringarna har avsett detsamma, nämligen att uttrycka den restrikti- vitet som även enligt regeringen bör gälla för användningen av samtycke som rättslig grund.

Prop. 2017/18:218

9.2.7De rättsliga grunderna uppgift av allmänt intresse, samtycke och intresseavvägning kan användas av studentkårerna

Regeringens bedömning: Genom bestämmelser i högskolelagen och studentkårsförordningen är det i svensk rätt fastställt att student- kårerna vid statliga universitet och högskolor bedriver verksamhet som är en uppgift av allmänt intresse. Den behandling av person- uppgifter som är nödvändig för att utöva verksamhet som grundas på nämnda föreskrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i EU:s dataskyddsförordning.

Studentkårerna kan även använda sig av den rättsliga grunden samtycke i artikel 6.1 a i dataskyddsförordningen för sin personupp- giftsbehandling.

Studentkårerna kan även behandla personuppgifter med stöd av den rättsliga grunden intresseavvägning enligt artikel 6.1 f i dataskydds- förordningen. Det kräver dock att kåren först gör en avvägning mellan behovet av behandlingen och den registrerades intressen.

Utredningens bedömning: Utredningen har inte gjort någon bedöm- ning i fråga om stundkårerna.

Remissinstanserna: Sveriges förenade studentkårer (SFS) beklagar att utredningen har förbisett studentkårernas roll för utbildningsområdet och inte gjort någon bedömning av hur dataskyddsförordningen kommer att påverka dem. SFS anser vidare att kårerna bör få det stöd eller resurser de behöver för att hantera kraven från den nya dataskyddsförordningen utan att deras förutsättningar att utföra sitt uppdrag försämras. Övriga remissinstanser har inte yttrat sig i fråga om studentkårerna roll.

Som nämnts i avsnitt 3 har SFS beretts tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning överensstämmer med rege- ringens bedömning i detta avsnitt. SFS har inga synpunkter på bedöm- ningen.

Skälen för regeringens bedömning

De rättsliga grunderna uppgift av allmänt intresse, samtycke och intresse- avvägning i artikel 6.1 a och f i dataskyddsförordningen har beskrivits i avsnitt 6.

Studentkårerna vid statliga universitet och högskolor kan använda uppgift av allmänt intresse som rättslig grund i offentligt reglerad verksamhet

Av 4 kap. 9 och 11 §§ högskolelagen (1992:1434) följer att en studentkår ska ha som huvudsakligt syfte att bevaka och medverka i utvecklingen av utbildningen och förutsättningarna för studier vid högskolan. Den ska också vara demokratiskt uppbyggd och kunna representera studenterna inom kårens verksamhetsområde. Vissa specifika uppgifter inom hög- skolans verksamhet som studentkåren ansvarar för enligt studentkårs- förordningen (2009:769) har också redogjorts för i avsnitt 9.2.1. Alla studenter inom en studentkårs verksamhetsområde har rätt att bli medlemmar i kåren, om de uppfyller de krav som ställs för medlemskap.

Den student som är medlem i studentkåren ska ha rösträtt vid val till Prop. 2017/18:218 studentkårens högsta beslutande organ (4 kap. 12 §§ högskolelagen).

Statliga universitet och högskolor får meddela föreskrifter om hur en studentkår vid högskolan ska redovisa sin verksamhet och sitt med- lemsantal (6 § studentkårsförordningen).

Studentkårerna utför således vissa uppgifter av allmänt intresse som är fastställda genom tillräckligt tydliga, precisa och förutsägbara bestäm- melser. De kan därmed utföra behandling av personuppgifter som är nödvändig för att utöva offentligt reglerad verksamhet som grundas på nämnda föreskrifter med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen.

Studentkårerna kan använda samtycke och intresseavvägning som rättslig grund

Av regeringens proposition Frihet och inflytande – kårobligatoriets av- skaffande framgår att synen på studentsammanslutningarnas ställning har varit omdiskuterad, men att regeringen inte ser några alternativ till att betrakta studentsammanslutningarna som privaträttsliga organ (prop. 2008/09:154 s 19).

Enligt regeringens bedömning råder inte en sådan betydande ojäm- likhet mellan studentkåren och en student att ett samtycke till behandling av personuppgifter inte kan anses lämnas frivilligt enligt skäl 43 i data- skyddsförordningen. Regeringen bedömer därför att studentkårer både vid statliga universitet och högskolor och vid enskilda utbildningsanord- nare, kan använda den rättsliga grunden samtycke i artikel 6.1 a i data- skyddsförordningen för sin personuppgiftsbehandling.

Eftersom studentkårerna är privaträttsliga organ kan de även behandla personuppgifter med stöd av den rättsliga grunden intresseavvägning i artikel 6.1 f i dataskyddsförordningen. Det kräver dock att kåren först gör en avvägning mellan behovet av behandlingen och den registrerades intressen enligt artikel 6.1 f i dataskyddsförordningen.

9.3Yrkeshögskolan och andra eftergymnasiala utbildningar

9.3.1Vilka personuppgifter behandlas inom yrkeshögskolan och andra eftergymnasiala utbildningar?

Nedan ges en översiktlig beskrivning av de huvudsakliga behandlingar av personuppgifter som sker inom yrkeshögskolan och inom konst- och kulturutbildningar och vissa andra utbildningar. En närmare redogörelse för behandlingar av känsliga personuppgifter och uppgifter om lagöver- trädelser ges i avsnitt 13.5.1 och 14.5.1.

Behandling inom yrkeshögskolan

En utbildning inom yrkeshögskolan ska vara öppen för alla som uppfyl- ler behörighetsvillkoren för utbildningen. Om inte alla behöriga sökande

Prop. 2017/18:218	till en utbildning kan tas emot, ska ett urval göras bland de sökande
	(15 och 17 §§ lagen om yrkeshögskolan). Av bestämmelser om
	behörighet och urval framgår bl.a. att tillämpliga urvalsgrunder är betyg,
	särskilt prov, tidigare utbildning och yrkeserfarenhet (3 kap. 1–7 §§
	förordningen [2009:130] om yrkeshögskolan). I samband med antagning
	till utbildning inom yrkeshögskolan behandlas därmed personuppgifter i
	form av namn, personnummer, kontaktuppgifter och den sökandes olika
	utbildningar och meriter.
	Utbildningen inom yrkeshögskolan ska bedrivas i form av en eller flera
	kurser. Betyg ska sättas på en genomförd kurs med något av uttrycken
	icke godkänt, godkänt och väl godkänt. I den obligatoriska kursplanen
	ska anges vilka principer för betygssättning och former för kunskaps-
	kontroll som ska tillämpas (2 kap. 4, 9–11 §§ förordningen om yrkes-
	högskolan). I bedrivandet av själva utbildningen behandlas således
	personuppgifter i form av i vart fall namn, personnummer och genom-
	förda moment i undervisningen och den studerandes då erhållna resultat.
	En studerande inom yrkeshögskolan ska, under vissa förutsättningar,
	för en del av utbildningen kunna få tillgodoräkna sig annan genom-
	gången utbildning eller motsvarande kunskaper, färdigheter och kompe-
	tenser som har förvärvats i yrkesverksamhet eller på annat sätt (2 kap.
	12 § förordningen om yrkeshögskolan). I fråga om prövning av tillgodo-
	räknande behandlas därmed personuppgifter i form av namn, person-
	nummer och sökandens tidigare meriter.
	Utbildningsanordnaren får utfärda utbildningsbevis och examensbevis.
	För att en studerande ska få avsluta utbildningen med en yrkeshög-
	skoleexamen respektive en kvalificerad yrkeshögskoleexamen behöver
	vissa angivna krav vara uppfyllda. En studerande som uppfyller kraven
	för en examen ska på begäran få ett examensbevis av den ansvariga
	utbildningsanordnaren. En studerande som inte har fullgjort vad som
	krävs för en examen eller som inte begär att få ett examensbevis ska på
	begäran få ett utbildningsbevis (14 § lagen om yrkeshögskolan och
	2 kap. 13–16 §§ förordningen om yrkeshögskolan). För att nämnda bevis
	ska kunna utfärdas behöver det behandlas personuppgifter i form av
	namn, personnummer, genomförda kurser och betyg.
	Utbildning inom yrkeshögskolan, för vilken utbildningsanordnaren får
	statsbidrag eller särskilda medel, ska vara avgiftsfri för de studerande.
	Enstaka inslag som de studerande får betala ett obetydligt belopp för får
	dock förekomma. Anordnare av utbildningar som inte får statsbidrag
	eller särskilda medel får ta ut skäliga studerandeavgifter (9 § lagen om
	yrkeshögskolan). Behandling av personuppgifter kan därmed förekomma
	för att fastställa skyldighet att betala vissa avgifter och att betalning har
	skett.
	Vidare har Myndigheten för yrkeshögskolan (MYH) ett bemyndigande
	att meddela föreskrifter om att den ansvariga utbildningsanordnaren ska
	lämna uppgifter till MYH om de studerande och deras studieresultat,
	betyg och examina. MYH får även meddela föreskrifter om på vilket sätt
	och när uppgifterna ska lämnas (2 kap. 17 § förordningen om yrkes-
	högskolan). Med stöd av bemyndigandet har MYH meddelat föreskrifter
	om studiedokumentation (MYHFS 2016:8). Av dessa framgår att utbild-
	ningsanordnarna för varje utbildning ska lämna uppgifter om de stude-
88	randes fullständiga personnummer, förnamn och efternamn. Uppgifterna

ska rapporteras till myndigheten genom en av myndigheten tillhanda- hållen digital plattform eller tjänst. För detta ändamål använder MYH sig av ett studiedokumentationssystem. Vidare ska uppgifter om de stude- randes resultat rapporteras till MYH löpande och utan dröjsmål. Om betyg inte kan sättas ska detta rapporteras. Om en kurs har tillgodo- räknats ska det framgå av rapporteringen. Kopior på examensbevis och utbildningsbevis skickas in till MYH. Ett examensbevis ska innehålla uppgifter i form av bl.a. den studerandes fullständiga personnummer, förnamn och efternamn, examensarbete, betyg och eventuella tillgodo- räknanden. Samma uppgifter, med undantag för uppgift om examens- arbete, ska också finnas i ett utbildningsbevis (3–9 §§ MYHFS 2016:8).

Behandling inom konst- och kulturutbildningar och vissa andra utbildningar

Bestämmelser om eftergymnasiala konst- och kulturutbildningar och vissa andra utbildningar finns i förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Behörig att antas till utbildningen är den som har genomgått gymnasieskolan eller gymnasiesärskolan eller motsvarande utbildning. Behörig att antas är också den som annars bedöms kunna tillgodogöra sig utbildningen (24 §) För varje utbildning ska det finnas en utbildningsplan. Av denna ska framgå bl.a. de grunder och metoder som ska användas vid urval bland behöriga sökande till utbildningen. Av planen ska även framgå hur bl.a. behörighetsbedömningar, urval och antagning ska dokumenteras (13 §). I samband med antagning till utbildning behandlas därmed personupp- gifter i form av namn, personnummer, kontaktuppgifter och den sökan- des olika utbildningar och meriter.

Utbildningen ska bedrivas i form av en eller flera kurser. För varje kurs ska det finnas en kursplan. Av kursplanen ska framgå bl.a. de former för kunskapskontroll som ska tillämpas. Det ska även framgå om betyg ska sättas på kursen och i så fall de principer för betygssättning som ska tillämpas. Efter en genomförd kurs ska betyg sättas eller ett intyg ut- färdas. En studerande som avslutat en utbildning ska på begäran få ett utbildningsbevis av den ansvariga utbildningsanordnaren där utbildning- ens innehåll och den studerandes resultat anges (12 och 14–16 §§). I bedrivandet av själva utbildningen och för utfärdandet av intyg och utbildningsbevis behandlas således personuppgifter i form av i vart fall namn, personnummer och genomförda moment i undervisningen och den studerandes då erhållna resultat.

Om det finns särskilda skäl får utbildningsanordnaren i enskilda fall besluta att den som är antagen till utbildningen får anstånd med att på- börja studierna eller fortsätta sina studier efter studieuppehåll (24 a §). I samband med sådana beslut kan därmed personuppgifter behöva behand- las.

Utbildningsanordnarna får ta ut studerandeavgifter. Dessa ska dock vara skäliga i förhållande till utbildningens karaktär och de kostnader

som utbildningsanordnaren har för utbildningen (10 §). Behandling av personuppgifter kan därmed förekomma för att fastställa skyldighet att betala vissa avgifter och att betalning har skett.

Prop. 2017/18:218

Prop. 2017/18:218 MYH ska svara för ett register över uppgifter om de studerande i ut- bildningarna och de studerandes studieresultat, betyg, intyg och utbild- ningsbevis (2 § 6 förordningen med instruktion för Myndigheten för yrkeshögskolan). Behandling av personuppgifter behöver därmed ske när utbildningsanordnarna lämnar nyss nämnda uppgifter till MYH.

9.3.2Den rättsliga grunden uppgift av allmänt intresse kan användas

Regeringens bedömning: Genom bestämmelser i lagen om yrkes- högskolan med anslutande föreskrifter och beslut fattade med stöd av dessa är anordnande och bedrivande av utbildning inom yrkeshög- skolan en i svensk rätt fastställd uppgift av allmänt intresse.

Genom bestämmelser i förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar med anslutande myndighets- föreskrifter och beslut meddelade med stöd av dessa är det i svensk rätt fastställt att anordnande och bedrivande av sådana utbildningar också är en uppgift av allmänt intresse.

Den behandling av personuppgifter som är nödvändig för att utöva verksamhet som grundas på nämnda föreskrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i EU:s dataskyddsförordning.

Utredningens bedömning: Överensstämmer med regeringens bedöm- ning.

Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot bedömningen.

Datainspektionen saknar en analys som visar vilken behandling som är nödvändig utifrån yrkeshögskolans verksamhet och en redovisning som visar att lagen om yrkeshögskolan och därtill hörande bestämmelser ger stöd för den behandlingen. Det visas inte i betänkandet att de bestämmel- ser som utredningen bedömer vara tillräckliga för att kunna åberopa uppgift av allmänt intresse uppfyller kraven i skäl 41 på att den rättsliga grunden bör vara tydlig, precis och förutsägbar och att lagstiftningen är proportionerligt mot det mål som eftersträvas enligt artikel 6.3 sista meningen i dataskyddsförordningen.

Skälen för regeringens bedömning

Som framgått av avsnitt 9.3.1 finns det behov av att behandla en rad personuppgifter inom yrkeshögskolan, inom konst- och kulturutbild- ningar och inom vissa andra utbildningar. Regeringen anser, till skillnad mot Datainspektionen, att den redogörelse som lämnas där utgör en i detta sammanhang tillräcklig analys av behovet av att behandla person- uppgifter inom yrkeshögskolan.

Anordnande och bedrivande av utbildning inom yrkeshögskolan är en uppgift av allmänt intresse

Som framgår av avsnitt 8 anser regeringen att det såväl av EU-rätten som svensk rätt framgår att anordnande och bedrivande av utbildning är en uppgift av allmänt intresse. Lagen om yrkeshögskolan med anslutande föreskrifter innehåller närmare bestämmelser om utbildning inom yrkes- högskolan. I förarbetena till den lagen uttalas bl.a. följande (prop. 2008/09:68 s. 14 f., 17 f. och 20).

Utbyggnaden av högre utbildning i Sverige har under de senaste åren varit stor och är en viktig del av utbildningspolitiken. Andelen personer med eftergymnasial utbildning som är tre år lång eller längre har sedan 1990 ökat från 11 till 21 procent. Trots detta finns det från arbetslivet en efterfrågan på kvalificerad yrkeskompetens som inte tillgodoses av högskolans nuvarande utbildningsutbud. Denna efterfrågan finns inom samhällets alla sektorer och den har stadigt ökat under de senaste åren. För att möta denna efterfrågan har det inom andra statliga utbildnings- former och utanför det offentliga utbildningsväsendet utvecklats utbild- ningar som kombinerar teori med praktik och aktivt lärande i arbets- livet. De kunskaper och färdigheter som en studerande förvärvar i sådan utbildning bidrar till utveckling av produktionen av varor och tjänster och därmed till ekonomisk tillväxt. Kunskaperna och färdighet- erna ökar även den enskildes möjligheter till ett mera aktivt samhälls- liv.

[…]Det är regeringens uppfattning att utbildningssektorn behöver en utbildningsform på eftergymnasial nivå där arbetslivsgenererad kun- skap är en huvudkomponent.

[…]En utbildning inom yrkeshögskolan bör normalt ge en speciali- serad utbildning med inriktning mot ett definierat yrkesområde och vara grundad på faktiskt definierade behov på kort sikt. Högskole- utbildning har i jämförelse en större bredd och ett större djup, och därmed ett betydligt längre perspektiv i förhållande till arbetsmark- nadens behov. Båda utbildningsformerna fyller viktiga funktioner, men på olika nivåer och med olika långa perspektiv.

Regeringen bedömer således att anordnande och bedrivande av utbild- ning inom yrkeshögskolan är en uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningen. Även det förhållandet att utbildningar inom yrkeshögskolan enligt lagen om yrkeshögskolan som inte är uppdragsutbildningar berättigar till studiestöd enligt studie- stödslagen och studiestödsförordningen kan enligt regeringens uppfatt- ning läggas till grund för bedömningen att anordnande och bedrivande av dessa utbildningar är en uppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen.

Den rättsliga grunden är fastställd i bl.a. lagen om yrkeshögskolan

Vad det innebär att anordna och bedriva eftergymnasiala yrkesutbild- ningar preciseras i lagen om yrkeshögskolan och förordningen om yrkes- högskolan. Med ett fåtal undantag gäller bestämmelserna i dessa för- fattningar för såväl offentliga som enskilda utbildningsanordnare.

Prop. 2017/18:218

Prop. 2017/18:218 Bestämmelserna i lagen om yrkeshögskolan syftar bl.a. till att inom yrkeshögskolan säkerställa att eftergymnasiala yrkesutbildningar som svarar mot arbetslivets behov kommer till stånd. Vidare ska en utbildning inom yrkeshögskolan väsentligen bygga på de kunskaper som eleverna får på nationella program i gymnasieskolan eller motsvarande kunskaper. Den ska vara öppen för alla som uppfyller behörighetsvillkoren för utbildningen. Om inte alla behöriga sökande kan tas emot ska ett urval göras (1, 5, 15 och 17 §§ lagen om yrkeshögskolan). I förordningen om yrkeshögskolan finns det mer preciserade bestämmelser om behörighet och urval (3 kap.).

I lagen om yrkeshögskolan anges de allmänna målen för utbildningen. Utbildningen har sin grund i kunskap som genererats dels i produktionen av varor och tjänster, dels i vetenskap. Den ska utformas så att en hög kvalitet och yrkesrelevans nås. Utbildningen ska vidare ge sådana teoretiska, praktiska och erfarenhetsbaserade kunskaper som krävs för att självständigt och i arbetslag kunna utföra kvalificerade uppgifter i arbetslivet. Den ska präglas av såväl stark arbetslivsanknytning som teoretisk förankring. Utbildningen ska utvecklas och bedrivas i samverkan mellan arbetsliv och utbildningsanordnare. Slutligen ska den bidra till att bryta traditioner i fråga om könsbundna utbildnings- och yrkesval (6 §).

MYH beslutar om en utbildning ska ingå i yrkeshögskolan (1 kap. 4 § förordningen om yrkeshögskolan). I 2 kap. förordningen om yrkeshög- skolan finns mer preciserade bestämmelser om utbildningen, bl.a. om ut- bildningens omfattning och kurser, utbildningsplan, kursplan, betyg, tillgodoräknande, examen, examens- och utbildningsbevis. MYH får utfärda föreskrifter om utbildningsplan och kursplan. MYH har i MYHFS 2009:1 fastställt vad som ska gälla för utbildningsanordnarnas kursplaner.

I avsnitt 6.2 finns en redogörelse för regeringens bedömning i pro- positionen Ny dataskyddslag i fråga om kraven på den rättsliga grundens tydlighet, precision och förutsägbarhet i skäl 41 och proportiona- litetsbedömningen i artikel 6.3 i dataskyddsförordningen. Mot bakgrund av analysen ovan anser regeringen att det genom lagen och förordningen om yrkeshögskolan, anslutande myndighetsföreskrifter samt bl.a. MYH:s beslut att en utbildning ska ingå i yrkeshögskolan, till vilket det ska bi- fogas bl.a. en utbildningsplan (1 kap. 4 och 5 §§ förordningen om yrkes- högskolan), finns tydliga och förutsägbara bestämmelser som preciserar vad uppgiften att anordna och bedriva eftergymnasiala yrkesutbildningar innebär och som är proportionerliga mot de mål som eftersträvas. Rege- ringen bedömer därför, till skillnad mot Datainspektionen, att det för ut- bildningsanordnarna finns en i svensk rätt fastställd uppgift av allmänt intresse i form av att anordna och bedriva eftergymnasiala yrkesutbild- ningar. Detta innebär att samtliga åtgärder som utbildningsanordnarna företar i syfte att bedriva utbildningsverksamhet som har sin grund i nu nämnda författningar och beslut är att anse som utförande av en uppgift av allmänt intresse enligt dataskyddsförordningen.

Anordnande av konst- och kulturutbildningar och vissa andra utbildningar är en uppgift av allmänt intresse

Som framgår av avsnitt 8 anser regeringen att det såväl av EU-rätten som svensk rätt framgår att anordnande och bedrivande av utbildning är en uppgift av allmänt intresse. Artikel 6.1 e i dataskyddsförordningen är inte begränsad till offentliga aktörer, utan även privaträttsliga organ kan utföra en uppgift av allmänt intresse. Konst- och kulturutbildningar och vissa andra utbildningar som anordnas av enskilda fysiska och juridiska personer omfattas av förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar. Enligt denna förordning ska utbildningen bedrivas på en eftergymnasial nivå, även om det vid behov får förekomma inslag av gymnasial karaktär (5 §). Det är således fråga om huvudsakligen eftergymnasiala studier. En av förutsättningarna för att få stöd enligt förordningen är att utbildningen är en av tre olika typer (3 och 4 §§).

Den första typen avser utbildningar som förbereder för högskoleut- bildningar som kan leda fram till konstnärliga examina. Av avsnitt 9.2.2 framgår att regeringen bedömer att anordnande och bedrivande av hög- skoleutbildning är en i svensk rätt fastställd uppgift av allmänt intresse. Utbildningar enligt förordningen om stöd för konst- och kulturutbild- ningar och vissa andra utbildningar ska således bl.a. förbereda för hög- skoleutbildning som kan leda fram till en konstnärlig examen som det en- ligt svensk rätt finns ett allmänt intresse av att utfärda. I MYH:s statistis- ka årsrapport 2016 anges bl.a. att konkurrensen om platserna på konst- närliga utbildningar inom högskolan är så hög att de sökande i praktiken måste ha genomgått någon slags förberedande utbildning för att klara antagningsproven som ofta består av arbetsprover eller auditions (s. 90). Enligt regeringens bedömning är anordnande och bedrivande av sådana utbildningar som förbereder för högskoleutbildningar som kan leda fram till konstnärliga examina därmed en uppgift av allmänt intresse.

En andra typ av utbildning som omfattas av bestämmelserna i förord- ningen om stöd för konst- och kulturutbildningar och vissa andra utbild- ningar är sådan utbildning som medverkar till att utveckla ett kvalificerat yrkeskunnande inom det konstnärliga eller kulturella området (4 §). Det är således en form av eftergymnasial yrkesutbildning som, liksom övriga utbildningar enligt förordningen, kan berättiga till stöd i form av tillsyn, en förklaring att de studerande är berättigade till studiestöd eller stats- bidrag (25 §). Enligt regeringens bedömning är även anordnande och bedrivande av sådana utbildningar som medverkar till att utveckla ett kvalificerat yrkeskunnande inom det konstnärliga eller kulturella området därmed en uppgift av allmänt intresse.

Den tredje typen av utbildningar som omfattas av bestämmelserna i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar är sådana som har ett innehåll som syftar till att bevara eller utveckla kulturarvet (4 §). I fråga om kulturarvet uttalar regeringen i för- arbetena till förslag till museilag bl.a. följande (prop. 2016/17:116 s. 63 f.).

Utöver dess kollektiva funktioner är kulturarvet också en outtömlig resurs i enskilda människors strävan efter att förstå sig själva i större sammanhang och i tiden. Kulturarvet kan användas för att utveckla

Prop. 2017/18:218

Prop. 2017/18:218	kunskaper och förmågor som berikar livet och gör det möjligt att för-
	hålla sig till den egna samtiden på nya sätt. Ett aktivt utbildnings- och
	bildningsarbete behövs också för att ge enskilda möjlighet att skapa re-
	flekterande förhållningssätt till samhällets kollektiva minnen och till de
	berättelser om ursprung och tillhörighet vi alla är omgivna av. I kultur-
	arvsarbetet skapas kontinuerligt ny kunskap om det förflutna, om sam-
	tiden och om vart vi som samhälle är på väg.
	[…] På ett personligt plan framträder kulturarvets värden egentligen
	först genom försök att tillägna sig det. För att alla ska få förutsättningar
	att möta kulturarvet på detta sätt är det centralt att barn och unga,
	oavsett föräldrarnas bakgrund, får en god grund att stå på redan under
	utbildningstiden. I vuxen ålder är det viktigt att ha förvärvat vissa kun-
	skaper och färdigheter för att det inte ska finnas höga trösklar att ta sig
	över för att få tillgång till den gemensamma historien. Vidare är det
	centralt att studenter fortsätter att söka sig till ämnesområden som i sär-
	skilt hög grad bidrar till en förståelse av kulturarvets betydelse –
	typiskt sett de traditionella humanistiska ämnena – vid landets uni-
	versitet och högskolor.
	[…] Ett aktivt förhållningssätt till kulturarvet kan dock bidra till bild-
	ning i kvalificerad bemärkelse just genom att det – utöver sakkun-
	skaper om äldre tid – öppnar upp nya perspektiv, vidgar horisonter och
	sätter det invanda i fråga. På så vis övar det förmågor som för den en-
	skilde är till nytta i många sammanhang och som bidrar till samhällets
	utveckling.
	[…] Det har ofta påpekats att kulturarvet i Sverige inte enbart ligger i
	svenska medborgares intresse, utan att dessa kulturuttryck snarare
	måste ses som en del av den samlade kulturella mångfalden och rike-
	domen i världen.
	Av uttalandena framgår att kulturarvets bevarande och utvecklande är av
	mycket stort värde och att det är mycket viktigt att studerande söker sig
	till sådana utbildningar. Anordnande och bedrivande av sådana utbild-
	ningar är det därmed enligt regeringens bedömning en uppgift av allmänt
	intresse.
	Regeringen anser således att anordnande och bedrivande av de tre olika
	typer av utbildningar som kan få stöd genom bestämmelserna i förord-
	ningen om stöd för konst- och kulturutbildningar och vissa andra ut-
	bildningar är en uppgift av allmänt intresse. Även det förhållandet att ut-
	bildningar enligt förordningen om stöd för konst- och kulturutbildningar
	och vissa andra utbildningar efter beslut av Myndigheten för
	yrkeshögskolan kan berättiga till studiestöd, kan enligt regeringens
	uppfattning läggas till grund för bedömningen att anordnande och be-
	drivande av dessa utbildningar är en uppgift av allmänt intresse som
	avses i artikel 6.1 e i dataskyddsförordningen.
	Den rättsliga grunden är fastställd i bl.a. förordningen om stöd för
	konst- och kulturutbildningar och vissa andra utbildningar
	I förordningen om stöd för konst- och kulturutbildningar och vissa andra
94	utbildningar preciseras vad det innebär att anordna och bedriva utbild-

ningarna. Utbildningen ska bl.a. ge en teoretisk förankring inom det Prop. 2017/18:218 konstnärliga eller kulturella området och vila på vetenskaplig eller konst-

närlig grund eller på beprövad erfarenhet (5 §). Behörig att antas till ut- bildningen är den som har genomgått gymnasieskolan eller gymnasie- särskolan eller motsvarande utbildning samt den som annars bedöms kunna tillgodogöra sig utbildningen. Därutöver får utbildningsanordnaren ställa krav på särskilda förkunskaper (24 §).

Vidare ska utbildningen bedrivas i form av en eller flera kurser. För varje utbildning ska det finnas en utbildningsplan. Av planen ska bl.a. utbildningens mål och inriktning framgå samt de kurser som ingår i utbildningen, antalet timmar lärar- eller handledarledd verksamhet som utbildningen omfattar I förekommande fall ska planen även beskriva de krav på särskilda förkunskaper som ställs upp, de grunder och metoder som ska användas vid urval bland behöriga sökande till utbildningen, hur behörighetsbedömningar, urval, antagning, kunskapskontroll och studie- resultat samt arkivering av studieresultat ska dokumenteras. För varje kurs ska det vidare finnas en kursplan. Av kursplanen ska framgå kursens benämning, målen för kursen, kursens huvudsakliga innehåll, om kursen helt eller delvis ges på engelska, de former för kunskapskontroll som ska tillämpas, och om betyg ska sättas på kursen och i så fall de principer för betygssättning som ska tillämpas (12–14 §§). Förordningen innehåller också bestämmelser om betyg, intyg och utbildningsbevis (15–17 §§). Det är MYH som fattar beslut om utbildning ska ges stöd i form av tillsyn, en förklaring att de studerande är berättigade till studiestöd eller statsbidrag (25 §).

MYH får också meddela föreskrifter om utbildningsplaner och kurs- planer, betyg, intyg och utbildningsbevis samt verkställigheten av för- ordningen (40 §). Föreskrifter om kurs- och utbildningsplaner har MYH meddelat i MYH 2015:2 och MYH 2016:16.

I avsnitt 6.2 finns en redogörelse för regeringens bedömning i propo- sitionen Ny dataskyddslag i fråga om kraven på den rättsliga grundens tydlighet, precision och förutsägbarhet i skäl 41 och proportionalitets- bedömningen i artikel 6.3 i dataskyddsförordningen. Med stöd av ana- lysen ovan anser regeringen att det i förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar med anslutande före- skrifter finns tydliga och förutsägbara bestämmelser som preciserar vad uppgiften att anordna och bedriva sådana utbildningar innebär och som är proportionerliga mot de mål som eftersträvas. Regeringens bedömning är därför att det för utbildningsanordnarna finns en i svensk rätt fastställd uppgift av allmänt intresse i form av att anordna och bedriva dessa ut- bildningar. Samtliga åtgärder som utbildningsanordnarna vidtar i syfte att bedriva utbildningsverksamhet som har sin grund i den nämnda för- fattningen, anslutande myndighetsföreskrifter och beslut meddelade med stöd av dessa är därmed att anse som utförande av en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

Prop. 2017/18:218 9.3.3	Den rättsliga grunden myndighetsutövning kan
	användas i vissa fall

Regeringens bedömning: Utbildningsanordnarna inom yrkeshög- skolan kan vidta vissa åtgärder med stöd av lagen om yrkeshögskolan och anslutande föreskrifter som innefattar myndighetsutövning gente- mot en studerande, t.ex. examination. Den behandling av person- uppgifter som är nödvändig för myndighetsutövningen kan i dessa fall göras med stöd av den rättsliga grunden myndighetsutövning i artikel 6.1 e i EU:s dataskyddsförordning.

Enskilda som anordnar och bedriver utbildning som omfattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar saknar däremot möjlighet att tillämpa den rättsliga grunden myndighetsutövning.

Utredningens bedömning: Överensstämmer med regeringens bedöm- ning.

Remissinstanserna: Remissinstanserna har inte några synpunkter på eller har inget att erinra mot bedömningen.

Skälen för regeringens bedömning

Vissa åtgärder inom yrkeshögskolan utgör myndighetsutövning

Den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskyddsför- ordningen har beskrivits i avsnitt 6.3. Som också anges där, framgår det av propositionen Ny dataskyddslag att utgångspunkten i svensk rätt är att det som i Sverige brukar anses som myndighetsutövning faller in under dataskyddsförordningens begrepp och att detta bör gälla även fortsätt- ningsvis (prop. 2017/18:105 s. 62).

Anordnare av yrkeshögskoleutbildning får utfärda utbildningsbevis och examensbevis. Regeringen eller den myndighet som regeringen bestäm- mer har också bemyndigats att meddela föreskrifter om utbildningsbevis och examensbevis (14 § andra stycket lagen om yrkeshögskolan). Den studerande ska under vissa förutsättningar få ett examensbevis eller ett utbildningsbevis. Bevisen utfärdas av ledningsgruppen. Ett beslut av an- svarig utbildningsanordnare om avslag på en studerandes begäran att få examensbevis eller utbildningsbevis får överklagas till Överklagande- nämnden för högskolan (2 kap. 15 och 16 §§, 4 kap. 2 § och 8 kap. 2 § första stycket förordningen om yrkeshögskolan). Ytterligare exempel på myndighetsutövning är statliga universitets och högskolors beslut om antagning och tillgodoräknande, som får överklagas till Överklagande- nämnden för högskolan (8 kap. 2 § andra stycket förordningen om yrkes- högskolan).

Verksamheten hos dem som anordnar och bedriver utbildning inom yrkeshögskolan omfattar därmed i vissa delar myndighetsutövning som är fastställd i svensk rätt. Den behandling av personuppgifter som är nödvändig i samband med dessa moment kan därmed grunda sig på den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskyddsförord- ningen.

Anordnande av konst- och kulturutbildningar och vissa andra utbildningar innefattar inte myndighetsutövning

Enskilda som anordnar och bedriver sådan utbildning som omfattas av förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar ska sätta betyg eller utfärda intyg. De ska vidare utfärda utbildningsbevis om en studerande begär det (15–17 §§). Även i dessa utbildningsanordnares verksamhet finns således inslag som är att likna vid myndighetsutövning.

Förvaltningsuppgifter kan överlämnas åt juridiska personer och en- skilda individer. Innefattar uppgiften myndighetsutövning får ett över- lämnande dock endast göras med stöd av lag (12 kap. 4 § andra stycket regeringsformen). Bestämmelserna om konst- och kulturutbildningar och vissa andra utbildningar finns inte i lag utan i en förordning. Enligt regeringens bedömning är det därmed inte i svensk rätt fastställt att anordnarna av sådan utbildning som omfattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar har getts myndighetsutövande befogenheter. Dessa utbildningsanordnare kan där- med inte tillämpa den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskyddsförordningen för sin personuppgiftsbehandling. Som framgår av avsnitt 9.3.2 har de dock i stället möjlighet att tillämpa den rättsliga grunden uppgift av allmänt intresse i artikel 6.1. e i dataskydds- förordningen. Vidare kan de tillämpa den rättsliga grunden rättslig för- pliktelse i vissa fall, se nästa avsnitt.

9.3.4Den rättsliga grunden rättslig förpliktelse kan användas i vissa fall

Regeringens bedömning: Det finns fastställda rättsliga förpliktelser som gör det nödvändigt för dem som anordnar och bedriver utbildning inom yrkeshögskolan att behandla personuppgifter. Behandlingen kan i dessa fall göras med stöd av den rättsliga grunden rättslig förpliktelse i artikel 6.1 c i EU:s dataskyddsförordning.

Detsamma gäller för den som bedriver utbildning enligt förord- ningen om stöd för konst- och kulturutbildningar och vissa andra ut- bildningar.

Utredningens bedömning: Överensstämmer med regeringens bedöm- ning.

Remissinstanserna: Remissinstanserna har inte några synpunkter på eller har inget att erinra mot bedömningen.

Skälen för regeringens bedömning: Den rättsliga grunden rättslig förpliktelse i artikel 6.1 c i dataskyddsförordningen har beskrivits i av- snitt 6.4.

En studerande inom yrkeshögskolan ska på begäran under vissa förut- sättningar få ett examensbevis eller ett utbildningsbevis (2 kap. 15 och 16 §§ förordningen [2009:139] om yrkeshögskolan. Även en studerande som avslutat en utbildning som omfattas av förordningen (2013:871) om stöd för konst- och kulturutbildningar och vissa andra utbildningar ska på begäran få ett utbildningsbevis av den ansvariga utbildningsanordnaren (17 §).

Prop. 2017/18:218

Prop. 2017/18:218 Nämnda förpliktelser för utbildningsanordnarna förutsätter att i vart fall namn och personnummer behandlas för att respektive bevis ska kun- na utfärdas. Detta är enligt regeringens bedömning exempel på rättsliga förpliktelser som är tillräckligt tydliga för att nödvändig personuppgifts- behandling ska kunna ske med stöd av artikel 6.1 c i dataskyddsför- ordningen.

Ytterligare exempel på rättsliga förpliktelser finns i Myndigheten för yrkeshögskolans (MYH:s) föreskrifter om studiedokumentation (besluta- de med stöd av 2 kap. 17 § andra stycket förordningen om yrkeshög- skolan). Av föreskrifterna framgår att utbildningsanordnarna inom yrkes- högskolan ska dokumentera ett flertal uppgifter om de studerande och deras studieresultat och rapportera dessa uppgifter till MYH.

Utbildningsanordnarna inom yrkeshögskolan och de som anordnar utbildning enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar har därmed vissa rättsliga förpliktelser. Förpliktelserna är fastställda genom bestämmelser i svensk rätt och av dem framgår det för vilka syften det är nödvändigt att behandla personuppgifter. Den rättsliga grunden i artikel 6.1 c är därmed tillämplig på sådana behandlingar.

Som framgått ovan i avsnitt 9.3.2, bedömer regeringen att även den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskydds- förordningen kan tillämpas för den behandling av personuppgifter som är nödvändig i sammanhanget, eftersom fullgörandet av förpliktelserna också ingår i uppgiften att anordna och bedriva utbildningar inom yrkeshögskolan eller enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar.

9.3.5Intresseavvägning kan användas men blir sällan aktuell

Regeringens bedömning: Enskilda utbildningsanordnare inom yrkeshögskolan och de som anordnar utbildningar som omfattas av förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar kan behandla personuppgifter med stöd av den rättsliga grunden intresseavvägning i artikel 6.1 f i EU:s dataskydds- förordning. Den förutsätter

–att behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, och

–att inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter.

Eftersom även den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen är tillämplig, behöver dock intresseavvägning sällan eller aldrig användas.

	Utredningens bedömning: Överensstämmer med regeringens bedöm-
	ning.
	Remissinstanserna: Remissinstanserna har inte några synpunkter på
	eller har inget att erinra mot bedömningen.
	Skälen för regeringens bedömning: Den rättsliga grunden intresse-
98	avvägning i artikel 6.1 f i dataskyddsförordningen har beskrivits i avsnitt
98

6.4. Grunden gäller inte för behandling som utförs av offentliga myndig- Prop. 2017/18:218 heter när de fullgör sina uppgifter.

Eftersom offentliga utbildningsanordnare inom yrkeshögskolan är myndigheter som fullgör sina uppgifter när de anordnar och bedriver utbildning enligt lagen om yrkeshögskolan med anslutande föreskrifter, kan de inte tillämpa den rättsliga grunden intresseavvägning i artikel 6.1 f för sin personuppgiftsbehandling. Det är således endast de enskilda utbildningsanordnarna inom yrkeshögskolan och de som anordnar utbildning som omfattas av förordningen om stöd för konst- och kultur- utbildningar och vissa andra utbildningar som kan använda sig av artikel 6.1 f som grund för sin personuppgiftsbehandling.

I avsnitt 9.3.2 bedömer regeringen att anordnande och bedrivande av utbildning inom yrkeshögskolan och enligt förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar är en i svensk rätt fastställd uppgift av allmänt intresse. Även om den rättsliga grunden intresseavvägning i artikel 6.1 f kan användas av enskilda, bör enskilda utbildningsanordnare enligt regeringens uppfattning därmed sällan eller aldrig behöva tillämpa den grunden.

9.3.6	Den rättsliga grunden samtycke kan användas i
	begränsad utsträckning

Regeringens bedömning: De som anordnar och bedriver utbildning
inom yrkeshögskolan eller enligt förordningen om stöd för konst- och
kulturutbildningar och vissa andra utbildningar, kan i begränsad
utsträckning behandla personuppgifter utifrån den rättsliga grunden
samtycke i artikel 6.1 a i EU:s dataskyddsförordning.
Utredningens bedömning: Överensstämmer med regeringens bedöm-
ning.
Remissinstanserna: Det stora flertalet remissinstanser har inte några
synpunkter på eller har inget att erinra mot bedömningen.
Datainspektionen delar utredningens bedömning att det kan finnas
utrymme för samtycke när det rör sig om sådant som inte är relaterat till
själva kärnverksamheten. Datainspektionen påpekar att det utifrån den
enskildes perspektiv är samma beroendeställning som gör sig gällande
oavsett om det rör sig om privat eller offentlig utbildningsverksamhet,
när det är fråga om samma typ av verksamhet. I detta fall är det dessutom
huvudsakligen frågan om offentlig finansierad verksamhet.
Skälen för regeringens bedömning: Den rättsliga grunden samtycke i
artikel 6.1 a i dataskyddsförordningen har beskrivits i avsnitt 6.1. Som
anges där aktualiseras samtycke främst inom områden som inte är offent-
ligrättsligt reglerade.
Såvitt avser yrkeshögskolan finns dock en omfattande reglering för
verksamheten. Även för utbildningar som omfattas av förordningen om
stöd för konst- och kulturutbildningar och vissa andra utbildningar finns
det en tydlig reglering. Behovet av att använda samtycke som rättslig
grund torde, enligt regeringens bedömning, därmed vara begränsat för ut-
bildningsanordnarna. Som Datainspektionen påpekar finns det inte an-
ledning att i detta avseende göra skillnad på privat och offentlig ut-		99

Prop. 2017/18:218 bildningsverksamhet, när det är fråga om samma typ av verksamhet och beroendeställning för den enskilde.

9.4	Folkbildningen
9.4.1	Behandling av personuppgifter inom statsbidrags-
	finansierad folkbildning
Behandling inom folkhögskolan
Folkhögskolornas verksamhet är en utbildningsform som av tradition har
beskrivits med orden fri och frivillig. Som framgått av avsnitt 5.4
finansieras folkbildningen till stor del av allmänna medel. Folkbildnings-
rådet (FBR), som är en ideell förening, prövar med stöd av 7 b § lagen
om överlämnande av förvaltningsuppgifter inom Utbildningsdepartemen-
tets verksamhetsområde och 5 § förordningen om statsbidrag till folk-
bildningen, frågor om fördelning av statsbidrag mellan folkhögskolor och
studieförbund. Vidare anges i nämnda förordning och i de villkor och
riktlinjer som FBR har fastställt för verksamheten, vissa ramar för den
verksamhet som kan få statsbidrag, t.ex. beträffande studieomdömen.
Någon särskild reglering för folkhögskolornas personuppgiftsbehandling
finns inte. I dagsläget är det således bestämmelserna i PUL som folkhög-
skolorna har att tillämpa vid behandling av personuppgifter.
Folkhögskolorna inhämtar normalt ett samtycke till behandlingen från
den enskilde. Det är därmed den rättsliga grunden samtycke som folk-
högskolorna tillämpar som stöd för sin behandling av personuppgifter.
Nästan samtliga 154 folkhögskolor använder administrationsprogram-
met SchoolSoft anpassat för folkhögskolan för sin behandling av delta-
garnas personuppgifter. Respektive folkhögskola väljer vilka personupp-
gifter den vill registrera, men för- och efternamn är obligatoriska upp-
gifter. I samband med ansökan om statsbidrag sker inte någon behandling
av personuppgifter. Folkhögskolorna behandlar personuppgifter för att
t.ex. kunna handlägga anmälningar och utfärda intyg.
Folkhögskolorna använder olika läroplattformar, t.ex. Ping Pong och
itslearning, men även Google drive och SharePoint. De personuppgifter
som behandlas är bl.a. personnummer, adress och telefonnummer.
De folkhögskolor som bedriver internat registrerar på gruppnivå upp-
gifter om allergi. Det förekommer även att vissa folkhögskolor som
anordnar kontakttolkutbildning antecknar tolkspråk i sitt register.
Behandling inom studieförbunden
Studieförbunden tillhandahåller ett brett utbud av studiecirklar, kultur-
program och annan folkbildningsverksamhet. Som framgått av avsnitt
5.4 prövar FBR och Studieförbundet SISU Idrottsutbildarna (SISU)
frågor om fördelning av statsbidrag mellan folkhögskolor och studieför-
bund med stöd 7 b och 8 §§ lagen om överlämnande av förvaltnings-
uppgifter	inom Utbildningsdepartementets verksamhetsområde samt

	5 och 6 §§ förordningen om statsbidrag till folkbildningen. Liksom i
	fråga om folkhögskolorna, anges i nämnda förordning vissa ramar för
100	studieförbund som kan få statsbidrag. Någon särskild reglering för
100

studieförbundens personuppgiftsbehandling finns inte. I dagsläget är det således bestämmelserna i PUL som studieförbunden har att tillämpa vid behandling av personuppgifter.

Studieförbunden inhämtar samtycke från deltagaren och tillämpar sam- tycke som rättslig grund för sin personuppgiftsbehandling. I samband med ansökan om statsbidrag sker inte någon behandling av person- uppgifter. Ändamålen med behandlingen av personuppgifterna är bl.a. administration av studieverksamhet efter att statsbidrag har lämnats.

Nio av de tio studieförbunden som FBR fördelar statsbidrag till an- vänder sig av ett administrativt system som Gustavgruppen utvecklat. Gustav är en akronym för gemensam utveckling av studieförbundens administrativa verksamhetssystem. Gustav är ett samarbete mellan studieförbunden och sker inom ramen för Studieförbunden i samverkan (Studieförbunden) som är studieförbundens bransch- och intresseorga- nisation. I det administrativa systemet behandlas uppgift om ålder, kön, adress, telefonnummer och personnummer. På individnivå behandlas inte några känsliga personuppgifter. I ett noteringsfält kan uppgifter om aller- gier eller funktionsnedsättning förekomma som en information för att nödvändiga förberedelser och val av lokal m.m. ska kunna göras.

Det förekommer att vissa studieförbund som anordnar kontakttolk- utbildning antecknar tolkspråk i sitt register.

Inom SISU anordnas utbildning på både nationell nivå och på distrikts- nivå. Oavsett på vilken nivå utbildningen anordnas inhämtas samtycke från deltagarna till stöd för behandlingen av deras personuppgifter.

FBR:s och SISU:s behandling av personuppgifter för fördelning och redovisning av statsbidrag

Utöver att pröva frågor om fördelning av statsbidrag mellan folkhög- skolor och studieförbund ska FBR och SISU kontinuerligt följa upp och utvärdera verksamheten i förhållande till folkbildningens syften och de villkor som har föreskrivits för att statsbidrag ska lämnas. FBR och SISU ska också, i enlighet med de riktlinjer som regeringen meddelar, lämna regeringen sådana sakuppgifter om verksamheten och sådan verksam- hetsredovisning som behövs för uppföljning och utvärdering (15 § för- ordningen om statsbidrag till folkbildningen).

Regeringen beslutar årligen om riktlinjer för FBR och SISU. I rikt- linjerna för FBR anges bl.a. att det totala antalet deltagare, antalet utrikes födda deltagare och deltagarnas utbildningsbakgrund ska redovisas till regeringen. Enligt riktlinjerna för SISU ska bl.a. antalet deltagardagar och deltagare framgå av SISU:s redovisning. Någon redovisning till regeringen av deltagares personuppgifter krävs dock inte (se t.ex. rege- ringens beslut 2017-12-13, Riktlinjer för 2018 för Folkbildningsrådet i fråga om användningen av anslagen 14:1 och 14:3 inom utgiftsområde 17 Kultur, medier trossamfund och fritid, U2017/04974/UF, och regeringens beslut 2017-12-13, Riktlinjer för 2018 för studieförbundet SISU Idrottsutbildarna i fråga om användningen av anslagen 14:1 och 14:3 inom utgiftsområde 17 Kultur, medier, trossamfund och fritid, U2017/04975/UF).

Vid sin fördelning och redovisning av statsbidrag kan FBR och SISU använda sig av aggregerade uppgifter från den statistik som tas fram en-

Prop. 2017/18:218

101

Prop. 2017/18:218 ligt förordningen (2001:100) om den officiella statistiken. Det är Statis- tiska centralbyrån (SCB) som är statistikansvarig myndighet för statistik- området Folkhögskola och Myndigheten för kulturanalys som är stati- stikansvarig myndighet för statistikområdet Studieförbund. I den ut- sträckning som det uppstår ett behov av att FBR och SISU behandlar uppgifter på individnivå för att fördela och redovisa statsbidrag kan den behandlingen av personuppgifter enligt regeringens bedömning utföras med den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e EU:s dataskyddsförordning. Genom bestämmelser i lagen om överlämnande av förvaltningsuppgifter inom Utbildningsdepartementets verksamhets- område och förordningen om statsbidrag till folkbildningen och rege- ringens årliga beslut med riktlinjer för FBR och SISU är det fastställt att FBR:s och SISU:s fördelning och redovisning av statsbidrag till folkbildning är en uppgift av allmänt intresse. Mot den bakgrunden anser regeringen att den behandling av personuppgifter om deltagare i folk- bildningsverksamheten som utförs av FBR och SISU och som är nöd- vändig för fördelning och redovisning av statsbidrag till folkbildning kan utföras med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen.

9.4.2Den rättsliga grunden uppgift av allmänt intresse kan användas vid bedrivandet av utbildning inom statsbidragsfinansierad folkbildning

Regeringens bedömning: Genom bestämmelser i förordningen om statsbidrag till folkbildningen är det fastställt i svensk rätt att folkhögskolornas och studieförbundens bedrivande av utbildnings-, bildnings- och kulturverksamhet är en uppgift av allmänt intresse. Den behandling av personuppgifter som är nödvändig för att utöva verk- samhet som grundas på nämnda föreskrifter kan därmed ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i EU:s dataskyddsförordning.

Utredningens bedömning: Utredningen har bedömt att folkhögskolor- na och studieförbunden bör använda den rättsliga grunden samtycke i artikel 6.1 a i dataskyddsförordningen som rättslig grund för sin person- uppgiftsbehandling. Enligt utredningen bör folkhögskolor som anordnar utbildning motsvarande kommunal vuxenutbildning i svenska för invand- rare, vilken regleras av skollagen med anslutande föreskrifter, kunna behandla personuppgifter om studerande i den verksamheten även med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen. Utredningen anser att den reglering av folkhög- skolorna och studieförbunden som finns i föreskrifter och andra styrande dokument i och för sig även i övrigt skulle kunna anses utgöra en i nationell rätt fastställd uppgift av allmänt intresse, men att det är tvek- samt hur behandling av personuppgifter inom folkhögskolorna utan samtycke skulle kunna förenas med ledorden ”fri och frivillig” som gäller för folkbildningen. Enligt utredningen bör det inte vara aktuellt för de icke offentligt drivna folkhögskolornas eller studieförbund att tillämpa

102

den rättsliga grunden intresseavvägning i artikel 6.1 f i dataskyddsdirek- tivet.

Remissinstanserna: En majoritet av de remissinstanser som har yttrat sig har tillstyrkt eller inte haft något att invända mot bedömningen. Detta gäller bl.a. Statens skolverk, Statens skolinspektion, Myndigheten för yrkeshögskolan, Sveriges Kommuner och Landsting (SKL), Jönköpings läns landsting, Folkbildningsrådet, Lärarnas Riksförbund, Lärarför- bundet och Studieförbundet SISU Idrottsutbildarna.

SKL delar utredningens bedömning, men anser att det är bekymmer- samt om den uppfattningen inte delas av de rättsliga instanser som har att pröva myndigheternas tillämpning av bestämmelserna i dataskyddsför- ordningen. SKL anser att regeringen bör beakta att utredningen avstått från att utreda möjligheterna för folkhögskolorna att tillämpa den rättsliga grunden uppgift av allmänt intresse.

Datainspektionen delar inte uppfattningen att folkhögskolor och studie- förbunden kan stödja sin personuppgiftsbehandling på samtycke och ifrågasätter om det finns rättsligt stöd för den behandling av personupp- gifter som är nödvändig för folkhögskolornas verksamhet. Studieför- bunden i samverkan anser att nödvändiga personuppgifter ska behandlas av folkhögskolor och studieförbunden med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen.

Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över vissa delar av ett utkast till lagrådsremiss, vars bedömning överensstämmer med regeringens bedömning i detta avsnitt.

Folkbildningsrådet, Studieförbunden i samverkan, Studieförbundet SISU Idrottsutbildarna och Statistiska centralbyrån tillstyrker eller har inga synpunkter på bedömningen. Studieförbunden i samverkan anser att det genom 2 § förordningen (2015:218), där det framgår att folkhögskolorna och studieförbunden bedriver utbildnings-, bildnings- och kulturverk- samhet, även är fastställt att folkhögskolornas och studieförbundens bildnings- och kulturverksamhet är en uppgift av allmänt intresse.

Skälen för regeringens bedömning

Folkhögskolorna och studieförbunden bör inte använda samtycke som rättslig grund

Som framgått finns det inom folkbildningen ett visst behov av att be- handla personuppgifter. Den rättsliga grunden samtycke i artikel 6.1 a i dataskyddsförordningen har beskrivits i avsnitt 6.1.

Folkhögskolorna och studieförbunden tillämpar i dagsläget samtycke som rättslig grund för sin personuppgiftsbehandling. Utredningen har också föreslagit att samtycke bör användas som rättslig grund även efter det att dataskyddsförordningen har trätt i kraft. Som skäl har utredningen bl.a. angett att deltagande i en studiecirkel eller annan folkbildningsverk- samhet som anordnas av ett studieförbund är frivilligt. Enligt utredningen råder det inte en sådan betydande ojämlikhet mellan den de enskilda vars personuppgifter behandlas och folkhögskolorna eller studieförbunden att ett samtycke till behandling av personuppgifter inte kan anses ha lämnats frivilligt.

Datainspektionen anser dock att det inte är möjligt att dra en parallell mellan att folkhögskolans och studieförbundens studieform är frivillig

Prop. 2017/18:218

103

Prop. 2017/18:218 och att det skulle innebära att även behandlingen av personuppgifterna är frivillig. Vad dataskyddsförordningen anger om frivillighet i samband med samtycke i skäl 42 och 43 visar att det är i förhållande till behand- lingen av personuppgifter frivilligheten ska bedömas.

Enligt Datainspektionen kan utbildningen som en folkhögskola kan ge många gånger vara av vikt för den enskilde, t.ex. om det är fråga om en yrkesutbildning, en komplettering av grund- eller gymnasieskolan eller en förberedande studie för att kunna söka en högskoleutbildning. Det innebär att den enskilde mycket väl kan vara lika beroende av en utbild- ning som folkhögskolan ger som av annan utbildningsverksamhet. Enligt artikel 7 punkt 3 i dataskyddsförordningen ska den registrerade ha rätt att när som helst återkalla sitt samtycke och i skäl 42 anges att samtycke inte bör betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke. Resultatet av att inte ge eller att återkalla samtycket i dessa sammanhang innebär enligt Datainspektionen förmodligen att personen inte kan gå utbildningen eller får avbryta sina studier.

Även när det gäller studieförbunden anser Datainspektionen att trots att deltagande i studieförbundet må vara frivilligt är det inte valbart för studiedeltagaren att registreras. Den enskilde måste bli registrerad för att verksamheten ska kunna få bidrag. Verksamheten har också en uppgifts- skyldighet. Verksamheten blir således beroende av att den enskilde läm- nar ett samtycke för att den ska kunna fullgöra sin uppgiftsskyldighet och erhålla statsbidrag.

Av ovan angivna skäl anser Datainspektionen att folkhögskolor och studieförbund inte kan stödja sin personuppgiftsbehandling på samtycke annat än i speciella situationer, t.ex. vid fotografering som ligger utanför kärnverksamheten.

Regeringen delar Datainspektionens uppfattning och anser att folkhög- skolorna och studieförbunden på grund av de av Datainspektionen angiv- na skälen inte bör använda den rättsliga grunden samtycke.

Folkhögskolorna och studieförbunden kan använda den rättsliga grunden uppgift av allmänt intresse

Den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i data- skyddsförordningen har beskrivits i avsnitt 6.2. Som framgår av avsnitt 8 anser regeringen att det såväl av EU-rätten som svensk rätt framgår att anordnande och bedrivande av utbildning är en uppgift av allmänt intres- se och dessutom ett viktigt allmänt intresse.

Därtill kommer att både folkhögskolor och studieförbund som ansöker om och får statsbidrag omfattas av bestämmelser i förordningen om stats- bidrag till folkbildningen. Av förordningen framgår att folkhögskolor och studieförbund bedriver utbildnings-, bildnings- och kulturverksamhet samt att Studieförbundet SISU Idrottsutbildarna bedriver utbildnings- och bildningsverksamhet (2 och 3 §§). Syftet med statens stöd till folk- bildningen är att stödja verksamhet som bidrar till att stärka och utveckla demokratin och bidra till att göra det möjligt för en ökad mångfald människor att påverka sin livssituation och skapa engagemang att delta i samhällsutvecklingen. Syftet med statsbidraget är även att bidra till att

utjämna utbildningsklyftor och höja bildnings- och utbildningsnivån i

104

samhället samt att bidra till att bredda intresset för och öka delaktigheten i kulturlivet. För att statsbidrag ska lämnas till folkhögskola eller ett studieförbund ska verksamheten ha en inriktning som överensstämmer med syftet med statsbidraget (1 och 7 §§ förordningen om statsbidrag till folkbildningen).

När det gäller folkhögskolorna förutsätter statsbidrag bl.a. att undervis- ningen är avgiftsfri och att allmänna kurser avsedda främst för dem som saknar grundskole- och gymnasieutbildning årligen ska utgöra minst 15 procent av verksamheten. Kraven på resultat av lärande på allmän kurs ska motsvara de krav som ställs på motsvarande utbildning inom grund- och gymnasieskolan och intyg om godkänt resultat på allmän kurs på grundskolenivå respektive gymnasial nivå ska utfärdas till dem som bedöms kunna tillgodogöra sig studier på gymnasial nivå respektive uppnår de krav som ställs för grundläggande behörighet till högskole- studier eller yrkehögskolestudier (8 och 9 §§). De studerande som sedan söker till högskolan söker i en egen urvalsgrupp bara för folkhögskole- studerande (bilaga 3 till högskoleförordningen [1993:100]).

Som nämnts prövar FBR frågor om fördelning av statsbidrag mellan folkhögskolor och studieförbund. Enligt organisationens stadgar har FBR i uppgift att sprida kunskap om folkbildningen och bevaka folkhögskolan som utbildningsform i utbildningsystemet. I dokument som antas av FBR ges folkhögskolorna anvisningar om studieomdömen och intyg om behörighet för gymnasiestudier och högskole- eller yrkeshögskolestudier. Studieförbundet SISU Idrottsutbildarna prövar frågor om fördelning av statsbidrag till idrottens studie-, bildnings- och utbildningsverksamhet (7 b och 8 §§ lagen om överlämnande av förvaltningsuppgifter inom Utbildningsdepartementets verksamhetsområde och 4, 5 och 6 §§ förord- ningen om statsbidrag till folkbildningen). Som nämnts i avsnitt 5.4 följer det också av 2 kap. 4 § OSL och bilagan till den lagen att FBR och SISU i deras verksamhet att fördela statsbidrag ska tillämpa vad som föreskrivs i tryckfrihetsförordningen om rätt att ta del av allmänna hand- lingar hos myndigheter samt att de i denna verksamhet ska jämställas med myndigheter vid tillämpning av OSL.

Som Studieförbunden i samverkan har påpekat är målet med folkbild- ningspolitiken enligt regeringens folkbildningsproposition Allas kunskap

– allas bildning (prop. 2013/14:172) att folkbildningen ska ge alla möjlighet att tillsammans med andra öka sin kunskap och bildning för personlig utveckling och delaktighet i samhället. Av propositionen fram- går också att målet syftar till att på ett övergripande men tydligt sätt formulera statens intentioner med folkbildningspolitiken och stats- bidraget till folkbildningen (s. 19 f.).

Mot denna bakgrund anser regeringen att folkhögskolornas och studieförbundens anordnande och bedrivande av statsbidragsfinansierad utbildning är en uppgift av allmänt intresse. Av samma skäl delar regeringen även Studieförbundens uppfattning att även folkhögskolornas och studieförbundens bildnings- och kulturverksamhet är en uppgift av allmänt intresse. Uppgifterna av allmänt intresse är fastställda i nationell rätt genom förordningen om statsbidrag till folkbildningen och de beslut som FBR och SISU fattar med stöd av lagen om överlämnande av för- valtningsuppgifter inom Utbildningsdepartementets verksamhetsområde och statsbidragsförordningen. Regeringen anser också att den rättsliga

Prop. 2017/18:218

105

Prop. 2017/18:218 grunden är tillräckligt tydlig, precis och dess tillämpning tillräckligt förutsägbar för de personer som omfattas av den samt att regleringen är proportionell i förhållande till målen. Regeringen anser därför att den behandling av personuppgifter som är nödvändig i folkhögskolornas och studieförbundens utbildnings-, bildnings och kulturverksamhet kan ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen. Av samma skäl torde den rättsliga grunden uppgift av allmänt intresse även kunna användas när folk- högskolor och studieförbunden anordnar sådan verksamhet som finansi- eras genom statsbidrag enligt någon annan statsbidragsförordning.

Även det förhållandet att vissa utbildningar inom folkhögskolan berät- tigar till studiestöd enligt studiestödslagen och studiestödsförordningen kan enligt regeringens uppfattning läggas till grund för bedömningen att anordnade och bedrivande av dessa utbildningar inom folkbildningen är en uppgift av allmänt intresse som avses i artikel 6.1 e i dataskydds- förordningen.

I avsnitt 9.1.2 har också redogjorts för regeringens bedömning att en folkhögskola som anordnar motsvarande utbildning till kommunal vuxenutbildning i svenska för invandrare enligt 24 kap. 11 § skollagen utför en uppgift av allmänt intresse som är fastställd i skollagen.

	9.4.3	De rättsliga grunderna uppgift av allmänt intresse
		eller intresseavvägning kan användas vid behand-
		ling av personuppgifter inom folkbildning som
		finansieras på annat sätt än genom statsbidrag

	Regeringens bedömning: Både den rättsliga grunden uppgift av all-
	mänt intresse i artikel 6.1 e och den rättsliga grunden intresse-
	avvägning i artikel 6.1 f i EU:s dataskyddsförordning kan, beroende
	på omständigheterna, användas vid behandling av personuppgifter
	inom folkbildning som finansieras på annat sätt än genom statsbidrag.

	Utredningens bedömning: Utredningen har inte gjort någon bedöm-
	ning i denna del.
	Remissinstanserna: Remissinstanserna har inte haft några synpunkter.
	Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts
	tillfälle att yttra sig över vissa delar av ett utkast till lagrådsremiss, vars
	bedömning överensstämmer med regeringens bedömning i detta avsnitt.
	Folkbildningsrådet, Studieförbunden i samverkan, Studieförbundet SISU
	Idrottsutbildarna och Statistiska centralbyrån tillstyrker eller har inga
	synpunkter på bedömningen.
	Skälen för regeringens bedömning: Förutom den verksamhet inom
	folkbildningen som finansieras genom statsbidrag genomför folkbild-
	ningen även annan verksamhet med hjälp av annan finansiering. Det kan
	t.ex. handla om bidrag från privaträttsliga aktörer, kommuner och lands-
	ting eller regioner och andra offentligrättsliga aktörer. När det gäller
	behandling av personuppgifter kan det t.ex. handla om att administrera
	anmälningar och rapporteringar av verksamheter.
	När det gäller den folkbildning som bedrivs genom bidrag från kom-
106	muner och landsting eller regioner kan det ändå bli aktuellt att använda

den rättsliga grunden uppgift av allmänt intresse för behandling av Prop. 2017/18:218 personuppgifter. Begreppet uppgift av allmänt intresse omfattar inte bara

sådant som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. Den personuppgiftsansvarige behöver inte vara skyldig att utföra uppgiften för att den rättsliga grunden uppgift av all- mänt intresse ska vara tillämplig. Som en följd av det kommunala själv- styret har kommuner och landsting en vidsträckt möjlighet att göra frivilliga åtaganden. Befogenheten är emellertid enligt kommunallagen (2017:725) begränsad till angelägenheter av just allmänt intresse. Även sådana frivilliga åtaganden som en kommun gör inom ramen för sin all- männa befogenhet ska framgå av gällande rätt, nämligen av det regle- mente som fullmäktige utfärdar för den ansvariga nämnden. Kommuner och landsting får driva näringsverksamhet, men bara om den drivs utan vinstsyfte och syftar till att tillhandahålla allmännyttiga anläggningar eller tjänster åt medlemmarna. På folkbildningsområdet innebär det att den folkbildningsverksamhet som omfattas av fullmäktiges beslut grun- dat på den allmänna befogenheten kan anses som en uppgift av allmänt intresse och att den behandling av personuppgifter som är nödvändig för den verksamheten kan utföras med stöd av den rättsliga grunden uppgift av allmänt intresse som avses i artikel 6.1 e dataskyddsförordningen.

För folkbildningen som finansieras av privaträttsliga aktörer som t.ex. stiftelser och liknande organisationer och som inte omfattas av rätten till studiestöd saknas offentligrättsliga regler som närmare reglerar verksam- heten. Eftersom det saknas den reglering som avses i 2 kap. 2 § 1 data- skyddslagen finns det inte förutsättningar för att använda den rättsliga grunden uppgift av allmänt intresse enligt artikel 6.1 e dataskyddsför- ordningen för behandling av personuppgifter för den verksamhet inom folkbildningen som finansieras av privaträttsliga aktörer. Eftersom folk- högskolor och studieförbund inte är myndigheter utan enskilda organ har de möjlighet, att efter erforderlig avvägning mellan behovet av behand- lingen och den registrerades intressen i enlighet med artikel 6.1 f i data- skyddsförordningen, behandla personuppgifter om deltagare i verksam- heten med stöd av den rättsliga grunden intresseavvägning. Den rättsliga grunden har beskrivits i avsnitt 6.5. Att göra en sådan avvägning an- kommer på den personuppgiftsansvarige.

9.5Studiestödsverksamheten

9.5.1	Vilka personuppgifter behandlas inom
	studiestödet?
CSN ska administrera studiestöd och andra stöd till enskilda som enligt
lag eller förordning ska hanteras av myndigheten. Detta framgår av 1 §
förordningen (2017:1114) med instruktion för Centrala studie-
stödsnämnden.
För att kunna utföra sina arbetsuppgifter enligt studiestödslagen och
andra författningar om studiestöd behöver CSN behandla en stor mängd
personuppgifter. I arbetet med att administrera studiestödet använder
CSN studiestödets informationssystem (STIS). Med hjälp av STIS be-
handlas bl.a. personuppgifter om personer som går en gymnasial utbild-		107

Prop. 2017/18:218 ning, som har sökt eller beviljats studiehjälp eller är betalningsmottagare av studiehjälp, som har antagits till utbildning, sökt studiemedel eller studiestartsstöd, är utländska medborgare vid prövning av principiell rätt till svenskt studiestöd eller har en studieskuld.

Behandling av personuppgifter i CSN:s studiestödsverksamhet regleras i studiestödsdatalagen (2009:287) och studiestödsdataförordningen (2009:321). I propositionen Behandling av personuppgifter inom studiestödsområdet (prop. 2008/09:96), där förslaget till studie- stödsdatalagen lämnades, anges bl.a. följande om vilken personuppgifts- behandling som förekommer i CSN:s verksamhet.

I STIS registreras en stor mängd uppgifter. Till en viss del handlar det om uppgifter av huvudsakligen administrativ karaktär, t.ex. utbetalnings- datum för olika stödformer, uppgift för identifikation av betalningar eller beslutsdatum. Denna typ av uppgifter innehåller inte något som typiskt och isolerat sett är av särskilt känslig natur för den enskilde. CSN behöver emellertid för sin verksamhet även registrera ett stort antal upp- gifter om enskildas personliga förhållanden. Det kan t.ex. röra sig om kontaktuppgifter om närmast anhöriga, uppgifter om barn och föräldrar, information om sjukdomsperioder, medborgarskap, studietakt, examens- tidpunkt, antal grundskoleår som studerats utomlands och antal terminer som studerats på gymnasienivå. Bland dessa mer personliga uppgifter finns uppgifter som från den enskildes perspektiv är känsliga. I många fall måste CSN även registrera uppgifter om enskildas ekonomiska för- hållanden, t.ex. uppgifter om utbetalt studiebidrag, årsinkomst och upp- gift om eventuell skuldsanering. Även uppgifter om personliga och eko- nomiska förhållanden för stödtagarens föräldrar, barn och andra när- stående kan förekomma (prop. 2008/09:96 s. 13 f.).

När det gäller studiestartsstöd, som är ett statligt studiestöd vars målgrupp är den som har kort utbildning och ett stort behov av utbildning på grundläggande eller gymnasial nivå för att kunna etablera sig på arbetsmarknaden, gjordes i propositionen Studiestartsstöd – ett nytt rekryterande studiestöd (prop. 2016/17:158 s. 84 ff.) bedömningen att den behandling av personuppgifter som kommer att förekomma i ärenden om studiestartsstöd inte bör skilja sig nämnvärt från den som redan sker i ärenden om studiemedel, varken när det gäller vilka uppgifter som behandlas eller vilket intrång i den personliga integriteten som behand- lingen innebär.

9.5.2Den rättsliga grunden uppgift av allmänt intresse kan användas

Regeringens bedömning: Genom bestämmelser i bl.a. studiestöds- lagen är det fastställt att CSN:s studiestödsverksamhet är en uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningen.

Studiestödsdatalagen och studiestödsdataförordningen utgör sådana mer specifika bestämmelser om personuppgiftsbehandling som är tillåtna i nationell rätt enligt artikel 6.2 och 6.3 i EU:s dataskydds- förordning.

108

Utredningens bedömning: Överensstämmer med regeringens bedöm- ning.

Remissinstanserna: Det stora flertalet remissinstanser som har yttrat sig, däribland Centrala studiestödsnämnden (CSN), har inte haft några synpunkter på bedömningen.

Datainspektionen anser att det är rimligt att utgå från tidigare bedömningar, men saknar en självständig analys av om den nationella rätten är proportionell mot de legitima mål som eftersträvas och av om det därmed finns erforderligt stöd för den personuppgiftsbehandling som behöver utföras inom CSN:s verksamhet.

Skälen för regeringens bedömning

Som framgått av föregående avsnitt finns det inom studiestödet behov av att behandla en rad personuppgifter. Som anges i avsnitt 6 förutsätter detta en i EU-rätten eller nationell rätt fastställd rättslig grund (artikel 6 i dataskyddsförordningen). Den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen beskrivs i avsnitt 6.2.

CSN:s studiestödsverksamhet är en uppgift av allmänt intresse och ett viktigt allmänt intresse

Vid införandet av studiestödslagen uttalade regeringen följande i propo- sitionen Ett reformerat studiestödssystem (prop. 1999/2000:10 s. 65).

Det övergripande utbildningspolitiska målet är att varje medborgare ska ha möjlighet till god utbildning oavsett kön, social eller ekonomisk bakgrund, bostadsort m.m. […] Ekonomisk tillväxt ger möjligheter att trygga välfärden. Det är därför ett samhälleligt intresse att kunskaps- basen hos befolkningen upprätthålls och stärks på alla nivåer och att inga grupper lämnas utanför. Situationen med arbetslöshet har ytterlig- are accentuerat detta faktum. Men ekonomisk tillväxt och landets kon- kurrenskraft är också beroende av medborgarnas beredskap att möta förändringar. Kostnaderna för utbildning och studiestöd kan ses som en samhällelig investering som ger avkastning i ett senare skede i form av ökad ekonomisk tillväxt och social och kulturell utveckling.

Detta talar för att studiestödsverksamheten redan då ansågs vara en upp- gift av allmänt intresse. I samband med införandet av studiestartsstöd uttalade regeringen också följande i propositionen Studiestartsstöd – ett nytt rekryterande studiestöd (prop. 2016/17:158 s. 26).

Som nämnts ovan är ett viktigt mål för studiestödet är att det ska utjämna skillnader mellan individer och grupper i befolkningen och i och med det bidra till ökad social rättvisa. Mot denna bakgrund bör samhällets insatser för att främja lärande hos den vuxna befolkningen i större utsträckning än tidigare riktas mot dem med störst behov av utbildning. Det innebär att personer med kort tidigare utbildning som har stora utbildningsbehov bör prioriteras. Särskilt de som är arbetslösa, och har varit det under viss tid, bör prioriteras eftersom de ofta är mer utsatta än dem som har ett arbete. Inriktningen bör därför vara att utveckla studiestödet för att öka rekryteringen till studier bland dessa personer. Genom att arbetslösa påbörjar studier ökar de sin anställningsbarhet och bidrar på sikt med skatteintäkter och till att

Prop. 2017/18:218

109

Prop. 2017/18:218

110

förbättra samhällets kompetensförsörjning. Även matchningen på arbetsmarknaden kommer att förbättras.

I förarbetena till studiestödsdatalagen konstateras att den registrerade enligt artikel 14 a i dataskyddsdirektivet har rätt att motsätta sig behand- ling som sker med stöd av bl.a. artikel 7 e i direktivet, dvs. för att utföra en arbetsuppgift av allmänt intresse, om inte den nationella lagstiftningen föreskriver något annat. Regeringen ansåg därför att det skulle införas en bestämmelse i studiestödsdatalagen om att behandling av personuppgifter som får ske oberoende av den registrerades samtycke, ska få ske även om den registrerade motsätter sig behandlingen (prop. 2008/09:96 s. 36).

Det finns inget som tyder på att begreppet allmänt intresse ska upp- fattas snävare enligt dataskyddsförordningen än enligt dataskydds- direktivet. Med hänsyn härtill får en behandling av personuppgifter som tillåtits i en registerförfattning med stöd av den rättsliga grunden i artikel 7 e i dataskyddsdirektivet, dvs. utföra en arbetsuppgift av allmänt in- tresse, också anses nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen och ett viktigt allmänt in- tresse enligt artikel 9.2 g i dataskyddsförordningen.

Den rättsliga grunden är fastställd i svensk rätt

Regeringen har i propositionen Ny dataskyddslag (prop. 2017/18:105) angett att myndigheternas uppdrag och åligganden framgår av författ- ningar, regeringsbeslut och kommunala reglementen, antagna i enlighet med regeringsformens bestämmelser om normgivningskompetens och kommunalt självstyre. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutse-

bara regler (s. 56 f.). Uppgiften att administrera studiestödsverksamheten ligger på en statlig myndighet och regleras bl.a. i studiestödslagen och i lagen om studiestartsstöd. CSN:s studiestödsverksamhet är därigenom fastställd i svensk rätt. Därutöver finns kompletterande reglering i bl.a. studiestödsdatalagen och i författningar som ansluter till studiestödslagen och lagen om studiestartsstöd.

Den svenska regleringen är förenlig med dataskyddsförordningen

Som framgått av avsnitt 4.2 är det förenligt med dataskyddsförordningen (artikel 6.2) att det i nationell rätt finns sådana registerförfattningar som studiestödsdatalagen och studiestödsdataförordningen.

Som Datainspektionen påpekar, ska den rättsliga regleringen även upp- fylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen i data- skyddsförordningen). Studiestödslagen, studiestödsförordningen, lagen om studiestartsstöd, förordningen om studiestartsstöd, studiestödsdata- lagen och studiestödsdataförordningen har tillkommit i den ordning som regeringsformen utpekar för föreskrifter av nu aktuellt slag. Utbildnings- datautredningen har vid genomgången av aktuella författningar inte heller funnit några bestämmelser i dessa författningar som bedömts vara irrelevanta eller oproportionerliga (SOU 2017:49, s. 384 f.). Regeringen, som inte ser någon anledning att frångå den tidigare gjorda analysen,

delar	utredningens bedömning. Regeringen anser således att föreskrif-	Prop. 2017/18:218
terna	uppfyller kraven i artikel 6.3 andra stycket i dataskyddsförord-

ningen.

9.5.3Den rättsliga grunden myndighetsutövning kan användas för en rad åtgärder

Regeringens bedömning: CSN kan vidta en rad åtgärder med stöd av studiestödslagen och studiestödsförordningen som innefattar myndighetsutövning, t.ex. beslut om studiehjälp, studiemedel, återbetalning av studielån och återkrav av studiestöd. Den behandling av personuppgifter som är nödvändig för myndighetsutövningen kan i dessa fall göras med stöd av den rättsliga grunden myndig- hetsutövning i artikel 6.1 e i EU:s dataskyddsförordning.

Utredningens bedömning: Utredningen har inte gjort någon bedöm- ning i fråga om den rättsliga grunden myndighetsutövning.

Remissinstanserna: Remissinstanserna har inte yttrat sig över möjlig- heten för Centrala studiestödsnämnden att använda myndighetsutövning som rättsliga grund.

Skälen för regeringens bedömning: Den rättsliga grunden myndig- hetsutövning i artikel 6.1 e i dataskyddsförordningen har beskrivits i avsnitt 6.3.

CSN vidtar en rad åtgärder med stöd av bl.a. studiestödslagen och studiestödsförordningen som innefattar myndighetsutövning. Det gäller t.ex. beslut om studiehjälp, studiemedel, återbetalning av studielån och återkrav av studiestöd. Enligt regeringens bedömning är grunden för behandlingen redan i dag fastställd i svensk rätt genom de bestämmelser i dessa författningar som ger CSN författningsstöd för att vidta åtgärderna. Det behövs därför inte någon ytterligare reglering för att CSN ska kunna utföra nödvändig behandling av personuppgifter som ingår i myndighets- utövningen med stöd av den rättsliga grunden myndighetsutövning i artikel 6.1 e i dataskyddsförordningen.

9.5.4Samtycke ska inte användas som rättslig grund

Regeringens bedömning: Samtycke ska inte användas som rättslig grund för behandling av personuppgifter i CSN:s studiestödsverk- samhet.

Regeringens förslag: Bestämmelserna i studiestödsdatalagen om behandling av personuppgifter med stöd av samtycke och återkallelse av samtycke ska upphävas.

Utredningens bedömning och förslag: Överensstämmer delvis med regeringens. Till skillnad mot regeringen anser utredning att bestämmel- serna om behandling av personuppgifter med stöd av samtycke är fören- liga med artikel 6.1 a och 9.2 a i dataskyddsförordningen. Utredningen har liksom regeringen bedömt att bestämmelsen om återkallelse av sam- tycke ska upphävas, men av andra skäl.

111

Prop. 2017/18:218 Remissinstanserna: Det stora flertalet remissinstanser som har yttrat sig, däribland Centrala studiestödsnämnden, har inte haft några synpunk- ter på bedömningen eller förslaget.

Datainspektionen ifrågasätter om 7 § studiestödsdatalagen ska kvarstå, eftersom artikel 6.2 i dataskyddsdirektivet inte ger utrymme för natio- nella bestämmelser i fråga om den rättsliga grunden samtycke.

Skälen för regeringens bedömning och förslag: Den rättsliga grunden samtycke i artikel 6.1 a i dataskyddsförordningen har beskrivits i avsnitt 6.1.

I CSN:s studiestödsverksamhet får personuppgifter endast behandlas för vissa i studiestödsdatalagen angivna fall. Personuppgifter får endast behandlas för vissa ändamål. Vidare gäller särskilda begränsningar för när känsliga personuppgifter får behandlas (4 och 6 §§). Trots dessa begränsningar får dock personuppgifter behandlas i CSN:s studiestöds- verksamhet med den registrerades samtycke. Känsliga personuppgifter får också behandlas för andra ändamål med den registrerades uttryckliga samtycke (7 § första stycket). Uppgifter som behandlas med sådant samtycke från den registrerade får också behandlas för utlämnande i vissa fall och för att ge tillgång till vägledande avgöranden (7 § andra stycket). När behandling av personuppgifter i CSN:s studiestödsverk- samhet sker med stöd av samtycke, har dock den registrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas (7 § tredje stycket).

Regeringen delar Datainspektionens synpunkt att dataskyddsförord- ningen inte ger utrymme för nationella bestämmelser i fråga om den rättsliga grunden samtycke. Av artikel 6.2 i dataskyddsförordningen föl- jer nämligen att det finns utrymme för anpassningar till förordningen i nationella bestämmelser i fråga om de rättsliga grunderna rättslig förplik- telse, uppgift av allmänt intresse och myndighetsutövning i artikel 6.1 c och e. Någon motsvarande möjlighet i fråga om den rättsliga grunden samtycke i artikel 6.1 a ges däremot inte i artikel 6.2 i dataskyddsför- ordningen. Regeringen bedömer även att det mellan CSN, vars verksam- het i betydande omfattning består av myndighetsutövning, och de regis- trerade råder sådan betydande ojämlikhet att det är osannolikt att sam- tycke kan anses lämnas på ett sådant frivilligt sätt som förutsätts för att samtycke ska kunna användas som rättslig grund (skäl 43 i dataskydds- förordningen). Av dessa skäl behöver bestämmelserna om personupp- giftsbehandling med stöd av samtycke i 7 § första och andra stycket studiestödsdatalagen upphävas.

När det gäller återkallelse av samtycke, har dataskyddsutredningen be- dömt att studiestödsdatalagens och dataskyddsförordningens reglering har motsvarande innehåll, och föreslagit att studiestödsdatalagens be- stämmelse om återkallelse ska upphävas eftersom bestämmelsen i data- skyddsförordningen är direkt tillämplig i svensk rätt. Mot bakgrund av regeringens uppfattning att studiestödsdatalagens bestämmelser om sam- tycke i 7 § första och andra stycket behöver upphävas, följer dock redan av detta att även bestämmelsen om återkallelse av samtycke i 7 § tredje stycket studiestödsdatalagen behöver upphävas. På grund av att 7 § upp- hävs behöver även följdändringar göras i andra paragrafer i studiestöds- datalagen där samtycke omnämns.

112

I fråga om CSN:s möjlighet att behandla känsliga personuppgifter när Prop. 2017/18:218 bestämmelserna om samtycke upphävs hänvisas till avsnitt 13.7.

10Som huvudregel krävs inte lagform för personuppgiftsbehandling på utbildningsområdet

Regeringens bedömning: Den behandling av personuppgifter som görs på utbildningsområdet utgör generellt inte ett sådant betydande intrång i den personliga integriteten att det krävs lagreglering enligt regeringsformen.

Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: En majoritet av de remissinstanser som har yttrat

sig har inte haft synpunkter på bedömningen.

Justitiekanslern anser att såvitt framgår av utredningen är inte den personuppgiftsbehandling som kan bli aktuell inom utbildningsområdet och som inte omfattas av någon lagreglering av sådan karaktär som avses i grundlagsbestämmelsen om skyddet mot integritetsintrång (2 kap. 6 § RF).

Uppsala universitet framför att det skulle vara önskvärt med en djupare analys av just förhållandet mellan personuppgiftsbehandling inom utbild- ningsområdet och 2 kap. 6 § 2 RF om skyddet mot betydande intrång i den personliga integriteten, särskilt mot bakgrund av att de som person- uppgiftsbehandlingen avser är barn som får betraktas som särskilt skyddsvärda.

Datainspektionen anser att behandling av personuppgifter för fler verk- samheter inom utbildningsområdet utgör ett sådant integritetsintrång enligt 2 kap. 6 RF att begränsning av den enskildes rättigheter kräver stöd i lag.

Som nämnts i avsnitt 3 har Datainspektionen även beretts tillfälle att yttra sig över ett utkast till lagrådsremiss som i allt väsentligt överens- stämmer med propositionen. Datainspektionen noterar att utkastet utgår från att personuppgiftsansvaret ifråga om den utrustning som skolor tillhandahåller i form av datorer och surfplattor som eleverna kan an- vända kan vara delat. Datainspektionen vill dock framhålla att data- skyddsförordningen är tillämplig i de fall personuppgiftsansvariga till- handahåller utrustning för behandling av personuppgifter som även om- fattar privat bruk, jfr. beaktandeskäl 18. I detta sammanhang vill Datainspektionen även understryka att de registrerade som omfattas av de aktuella bestämmelserna i regel är barn, som enligt dataskyddsför- ordningen förtjänar särskild hänsyn.

Skälen för regeringens bedömning

Som nämns i avsnitt 4.7 är var och en gentemot det allmänna skyddad

mot betydande intrång i den personliga integriteten, om det sker utan

113

Prop. 2017/18:218 samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § RF). Detta skydd mot integritets- intrång kan dock begränsas genom lag (2 kap. 20 § första stycket 2 RF). Frågan är om dessa bestämmelser i RF medför att det krävs ytterligare lagreglering på utbildningsområdet.

I förarbetena till grundlagsbestämmelsen i 2 kap. 6 § RF anges att bestämmelsen inte ska innebära ett hinder mot sådan lagstiftning som be- hövs till skydd för viktiga samhällsintressen eller lagstiftning som utgör ett led i anpassningen av normerna till den fortgående samhällsutveck- lingen. Det grundlagsskyddade området bör avgränsas på ett sådant sätt att det enbart omfattar de mest ingripande intrången. Bestämmelsen har därför utformats så att grundlagsskyddet omfattar åtgärder som vidtas utan samtycke och som innebär kartläggning eller övervakning av en- skildas personliga förhållanden. Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har (prop. 2009/10:80 s. 182 och 250). I för- arbetena till bestämmelsen anges även följande (prop. 2009/10:80 s. 183).

Vid bedömningen av hur ingripande intrånget i den personliga integ- riteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det enligt regeringens mening naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. Därutöver kan givet- vis mängden uppgifter vara en betydelsefull faktor i sammanhanget. Det kan anmärkas att konstitutionsutskottet i flera lagstiftningsärenden som rört myndigheters personuppgiftsbehandling framhållit att målsätt- ningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag (se t.ex. bet. 1990/91:KU11 s. 11, 1997/98:KU18 s. 43).

Ur förarbetena kan alltså utläsas följande tre faktorer som är av betydelse för om det är fråga om ett betydande integritetsintrång; uppgifternas karaktär, omfattning av uppgifter som behandlas och ändamål med be- handlingen.

De huvudsakliga personuppgiftsbehandlingar som i dag sker på utbild- ningsområdet har beskrivits översiktligt i avsnitten 9.1.1, 9.2.1, 9.3.1, 9.4.1 och 9.5.1.

Nedan gör regeringen en analys, utifrån regeringsformens krav, om det finns ett behov inom utbildningsområdet av att meddela ytterligare bestämmelser om behandling av personuppgifter och om de i så fall måste införas på lagnivå.

Ändamålet med behandling av personuppgifter inom utbildningsområdet

Ändamålet med behandlingen av personuppgifter på utbildningsområdet är kopplat till utförande av utbildning i olika former och dokumentering av studieresultat. I förarbetena till bestämmelsen om grundlagsskyddet

exemplifieras ett antal verksamheter där ändamålet med behandlingen av

114

personuppgifter i sig kan indikera att det handlar om en omfattande kart- läggning av den enskildes personliga förhållanden. Det är t.ex. fallet med behandling av personuppgifter inom brottsbekämpande verksamheten, på skatt- och tullområdet, inom socialtjänsten och hälso- och sjukvården samt inom socialförsäkringen och indrivningen (prop. 2009/10:80 s. 180–181). Förutom studiestödsverksamheten, som redan är lagreglerad, nämns inte utbildningsområdet bland sådana verksamheter där ändamålet med behandlingen av personuppgifter förutsätter en omfattande kart- läggning av den enskildes personliga förhållanden. Det är regeringens bedömning att ändamålet med behandling av personuppgifter inom ut- bildningsområdet, dvs. genomförande av utbildningsverksamheten och dokumentering av studieresultaten, inte motiverar en generell reglering av personuppgiftsbehandling på lagnivå.

Personuppgifternas karaktär och omfattning på det skollagsreglerade området

Datainspektionen anser att det inom skolområdet behandlas mycket vari- erande slag av personuppgifter om elever. Det kan vara uppgifter om ele- vers fysiska- och psykiska hälsa, sociala situation, utveckling, omdömen, känsliga personuppgifter i åtgärdsplaner m.m. Inte sällan tillhandahåller skolan teknisk utrustning till eleverna som blir deras personliga under flera år. Stora delar av elevernas prestationer, men också deras tankar, intressen och sociala umgänge kan komma att behandlas av skolan. Det är frågan om svåra gränsdragningar mellan elevens integritet och skolans uppdrag. Barnens rätt ska också skyddas särskilt. Datainspektionen anser att den sammantagna behandlingen som aktualiseras inom skolan är att bedöma som ett sådant integritetsintrång enligt 2 kap. 6 § RF att begräns- ningar endast får ske genom lag.

Regeringen delar uppfattningen att det finns personuppgiftsbehandling inom skolområdet som innebär ett sådant betydande intrång i den person- liga integriteten att en begränsning av grundlagens skydd mot intrånget måste, i enlighet med 2 kap. 6 §, göras i lag. Ett exempel är den mål- gruppsutredning som enligt skollagens kapitel om skolplikt måste göras för att avgöra om ett barn ska går i grundsärskolan. I den skolformen får endast barn som bedöms inte kunna nå upp till grundskolans kunskaps- krav därför att de har en utvecklingsstörning tas emot (7 kap. 5 §). Frågan om mottagande i grundsärskolan prövas av barnets hemkommun. Ett beslut om mottagande i grundsärskolan ska föregås av en utredning som omfattar en pedagogisk, psykologisk, medicinsk och social bedöm- ning. Samråd med barnets vårdnadshavare ska ske när utredningen genomförs. Om barnets vårdnadshavare inte lämnar sitt medgivande till att barnet tas emot i grundsärskolan, ska barnet fullgöra sin skolplikt enligt vad som gäller i övrigt enligt skollagen. Ett barn får dock tas emot i grundsärskolan utan sin vårdnadshavares medgivande, om det finns synnerliga skäl med hänsyn till barnets bästa (7 kap. 5 § skollagen). I specialskolan får endast barn som på grund av sin funktionsnedsättning eller andra särskilda skäl inte kan gå i grundskolan eller grundsärskolan tas emot. Det krävs då att de är dövblinda eller annars har en synnedsättning och har ytterligare funktionsnedsättning, i annat fall är döva eller har en hörselnedsättning, eller har en grav språkstörning.

Prop. 2017/18:218

115

Prop. 2017/18:218 Frågan om mottagande i specialskolan prövas av Specialpedagogiska skolmyndigheten (SPSM). Ett beslut om mottagande i specialskolan ska

	föregås av en utredning som omfattar en pedagogisk, psykologisk,
	medicinsk och social bedömning. Samråd med barnets vårdnadshavare
	ska ske när utredningen genomförs (7 kap. 6 § skollagen). Som framgått
	är dock hemkommunens respektive SPSM:s skyldighet att utföra dessa
	utredningar redan lagregerade, dvs. lagkravet i 2 kap. 6 § andra stycket
	RF är redan uppfyllt. När det gäller de krav som uppställs enligt data-
	skyddsförordningen kan konstateras att då utredningarna utförs av hem-
	kommunen respektive SPSM kan dessa vid utredningarna tillämpa de
	bestämmelser om behandling av känsliga personuppgifter i ett ärende
	som i propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås i
	3 kap. 3 § dataskyddslagen.
	Exempel på personuppgiftsbehandling inom skolområdet som kan
	innebära ett intrång i den personliga integriteten, men inte ett betydande
	intrång i den mening som avses i 2 kap. 6 § andra stycket RF, är en
	utredning av om en elev behöver särskilt stöd i undervisningen (3 kap. §
	skollagen), en utredning med anledning av att en elev vid upprepade
	gånger har stört studieron, uppträtt olämpligt eller gjort sig skyldig till en
	allvarlig förseelse (5 kap. 9 § skollagen) eller en utredning om kränkande
	behandling (6 kap. 10 § skollagen). Även i dessa fall finns dock regle-
	ringen på lagnivå. När det gäller de krav dataskyddsförordningen upp-
	ställer kan kommunala huvudmän vid sådana utredningar tillämpa 3 kap.
	3 § dataskyddslagen (se vidare i avsnitt 13.3.3). Det behöver dock i
	svensk lag föras in bestämmelser som motsvarar sistnämnda bestäm-
	melser för huvudmän för fristående skolor. Regeringen återkommer till
	det i avsnitt 12 och 13. På motsvarande sätt har offentliga huvudmän stöd
	för att behandla uppgifter om lagöverträdelser i skollagen och data-
	skyddslagen, men det kan behöva införas bestämmelser motsvarande
	sistnämnda bestämmelser i dataskyddslagen för enskilda huvudmän.
	Regeringen återkommer till det i avsnitt 12 och 14.
	Även i övrigt kan det på det skollagsreglerade området förekomma be-
	handling av känsliga uppgifter, t.ex. i faktisk verksamhet. Som exempel
	kan nämnas att en elev skriver om känsliga uppgifter i en skoluppsats.
	I sådana fall kan det, på grund av dataskyddslagens krav, behöva införas
	stöd i författning för att enskilda huvudmän ska kunna behandla person-
	uppgifter i den utsträckning som behövs. Även detta behandlas i avsnitt
	12 och 13.
	I övrigt är det i huvudsak okänsliga personuppgifter som behandlas
	inom skolväsendet, t.ex. namn, personnummer och adress. Personupp-
	gifter behandlas också för sättande av betyg (allmänna bestämmelser om
	betyg finns i 3 kap. 13–21 §§ skollagen och därutöver finns bestämmel-
	ser för varje skolform i de olika skolformskapitlen i skollagen och på
	förordningsnivå, och Statens skolverk har på uppdrag av regeringen tagit
	fram stödmaterial för bedömningen), utfärdande av intyg i stället för
	betyg (11 kap. 17 §, 12 kap. 14 §, 13 kap. 14 §, 20 kap. 44 och 45 §§ och
	21 kap. 18, 23 och 24 §§ skollagen), upprättande av individuell studie-
	plan i gymnasieskolan, gymnasiesärskolan, kommunal vuxenutbildning
	och särskild vuxenutbildning (16 kap. 25 §, och 17 kap. 7 § och 20 kap.
	8 §, 21 kap. 8 § skollagen) samt utfärdande av gymnasieexamen (26 kap.
116	26-28 §§ skollagen) och gymnasiesärskolebevis (19 kap. 27 §) etc.

Behandling av personuppgifter kan också ske vid bedömning och kart- läggning av elevernas kunskaper (t.ex. enligt 3 kap. 12 c § skollagen eller i samband med genomförande av prov, t.ex. de reglerade nationella proven). Även om uppgifter om elevers kunskaper inte är känsliga personuppgifter innehåller således skollagen och anslutande förordningar en omfattande reglering av om när bedömningar ska göras, vilka stöd- åtgärder som huvudmännen är skyldiga att sätta in och när och hur be- dömningarna ska dokumenteras.

När det gäller stödåtgärder och olika former av utredningar, vilka som framgått ovan redan är lagreglerade, kan det konstateras att de berör en mindre del av elevkollektivet. Majoriteten av elever behöver inte särskilt stöd och blir inte heller föremål för andra typer av utredningar. Den per- sonuppgiftsansvarige ska dessutom enligt artikel 5 i dataskyddsförord- ningen se till att personuppgifterna är adekvata, relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas (uppgifts- minimering). Dessa bestämmelser begränsar den personuppgiftsansva- riges möjligheter att behandla fler personuppgifter än nödvändigt.

Mot denna bakgrund delar regeringen Justitiekanslerns (JK) bedöm- ning att den personuppgiftsbehandling som kan bli aktuell på utbild- ningsområdet, och som inte omfattas av någon lagreglering, inte är av den karaktär som avses i grundlagsbestämmelsen om skyddet mot inte- gritetsintrång (2 kap. 6 § RF).

När det gäller den utbredda praxis som innebär att skolorna numera tillhandahåller utrustning i form av datorer och surfplattor som eleverna även kan använda utanför skolverksamheten för t.ex. socialt umgänge, kan regeringen konstatera att det måste göras en gränsdragning mellan användningen av sådan utrustning för skolarbetet och användningen för privat bruk. Skolhuvudmännens behandling av personuppgifter som sker med stöd av den utrustning som disponeras av eleverna omfattas av dataskyddsförordningens bestämmelser. Det innebär bl.a. att endast den behandling av personuppgifter som är nödvändig för uppgifter inom skolverksamheten är tillåten för skolhuvudmän att utföra (artikel 6.1 dataskyddsförordningen). När det gäller elevernas egna användning av den utrustningen för socialt umgänge och liknande användning som inte omfattas av skolverksamheten konstaterar regeringen att det handlar om behandling av personuppgifter i verksamhet av rent privat natur som inte omfattas av dataskyddsförordningens bestämmelser (artikel 2.2 c dataskyddsförordningen). Därför aktualiseras det i den delen inte något behov av särskild reglering med anledning av dataskyddsförordningen. När det gäller Datainspektionens påpekande att det anges i skäl 18 till dataskyddsförordningen att förordningen är tillämplig på personuppgifts- ansvariga som tillhandhåller utrustning för behandling av personupp- gifter som även omfattar privat bruk, anser regeringen att det avser de personuppgiftsansvarigas behandling av personuppgifter som krävs för att just tillhandahålla utrustningen, såsom kontaktuppgifter och liknande.

Sammanfattningsvis anser regeringen att till den del 2 kap. 6 § andra stycket RF ställer krav på lagform så är dessa krav redan uppfyllda på det skollagsreglerade området. Det kan dock med anledning av de krav som uppställs i dataskyddsförordningen behöva införas kompletterande be- stämmelser som rör behandlingen av känsliga personuppgifter och

Prop. 2017/18:218

117

Prop. 2017/18:218 behandling av personuppgifter om lagöverträdelser inom utbildningsom- rådet.

Personuppgifternas karaktär och omfattning i större uppgiftssamlingar inom övriga delar av utbildningsområdet

Datainspektionen ifrågasätter också om det inte inom universitet och högskola handlar om så omfattande behandling av personuppgifter att det kan utgöra ett integritetsintrång som behöver regleras genom lag enligt 2 kap. 6 § RF. Datainspektionen framför även att det saknas en analys av om den behandling av personuppgifter som aktualiseras inom yrkeshög- skolan är att bedöma som ett sådant integritetsintrång enligt RF att be- gränsningen av den enskildes rättigheter kräver stöd i lag.

När det gäller FBR:s centrala register över deltagare i studieförbundens studiecirklar och annan folkbildningsverksamhet samt UHR:s betygsdatabas BEDA anser Datainspektionen mot bakgrund av att det handlar om omfattande nationella register att behandling av person- uppgifter i dessa två register bör regleras i lag.

Vid bedömningen av om grundlagsskyddet i 2 kap. 6 § RF föranleder ett behov av reglering i lag bör beaktas att de personuppgifter som be- handlas i de stora uppgiftssamlingarna inom universitet och högskola, yrkeshögskola och folkbildning huvudsakligen består av namn, person- nummer, kontaktuppgifter och studieresultat.

Regeringen delar Datainspektionens uppfattning om att det inom ut- bildningsområdet förekommer omfattande samlingar av personuppgifter. Det gäller framför allt för FBR:s centrala register över deltagare i studie- förbundens studiecirklar och annan folkbildningsverksamhet, Myndigheten för yrkeshögskolans register över uppgifter om de stude- rande inom yrkeshögskolan och register över uppgifter om de studerande i konst- och kulturutbildningarna, UHR:s betygsdatabas BEDA samt systemen för studieadministration (Ladok) och antagningsärenden (NyA) inom högre utbildning.

Ytterligare en omfattande samling av personuppgifter finns inom studiestödsområdet. På det området behöver CSN behandla en stor mängd uppgifter om enskildas personliga förhållanden. Som framgår av avsnitt 9.5.1 kan det, förutom uppgifter om utbetalt studiemedel till en sökande, t.ex. röra sig om kontaktuppgifter om närmast anhöriga, uppgifter om barn och föräldrar, information om sjukdomsperioder, med- borgarskap, studietakt, examenstidpunkt, antal grundskoleår som stude- rats utomlands och antal terminer som studerats på gymnasienivå. I många fall måste CSN även registrera uppgifter om enskildas ekono- miska förhållanden, t.ex. uppgifter om utbetalt studiebidrag, årsinkomst och uppgift om eventuell skuldsanering. Även uppgifter om personliga och ekonomiska förhållanden för stödtagarens föräldrar, barn och andra närstående kan förekomma. Behandling av personuppgifter på det området är därför sedan tidigare reglerad på lagnivån genom studie- stödsdatalagen.

Konstitutionsutskottet har i flera lagstiftningsärenden som rör myndig- heters personuppgiftsbehandling framhållit att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt käns-

ligt innehåll ska regleras särskilt i lag. Av förarbetena framgår också att

118

regeringen vid flera tillfällen har instämt i denna bedömning (prop. Prop. 2017/18:218 2009/10:80 s. 183). Som framgått ovan är det av de register som finns på

utbildningsområdet endast den personuppgiftsbehandling som utförs på studiestödsområdet som uppfyller de kriterier som har lyfts fram av kon- stitutionsutskottet. De uppgifter som finns i övriga register har inte ett särskilt känsligt innehåll. Den befintliga regleringen är således förenlig med grundlagen. Det behov som kan finnas av att se över och anpassa registerförfattningar inom utbildningsområdet som i dag finns på förord- ningsnivå till dataskyddsförordningen bedöms därmed kunna ske i form av förordningsändringar.

Även när det gäller större uppgiftssamlingar inom andra delar av utbildningsområdet än skollagsreglerad verksamhet delar således rege- ringen Justitiekanslerns uppfattning att den personuppgiftsbehandling som kan bli aktuell på utbildningsområdet, och som inte omfattas av någon lagreglering, inte är av den karaktär som avses i grundlags- bestämmelsen om skyddet mot integritetsintrång (2 kap. 6 § RF).

Däremot kan det även inom andra delar av utbildningsområdet än den skollagsreglerade verksamheten, på motsvarande sätt som inom den verksamheten, behöva införas kompletterande bestämmelser i vissa avse- enden för behandling av känsliga personuppgifter och uppgifter om lag- överträdelser med anledning av artikel 9 och 10 i dataskyddsförordning- en. Det har ovan konstaterats att det krävs ett viss kompletterande regle- ring på nationell nivå. I nästa avsnitt behandlas frågan var och på vilket sätt dessa kompletteringar bör införas.

11	Det krävs inte fler särskilda
	registerförfattningar på
	utbildningsområdet

Regeringens bedömning: Det saknas skäl att införa ytterligare
registerförfattningar om behandling av personuppgifter inom utbild-
ningsområdet. Den kompletterande reglering om behandling av
personuppgifter inom utbildningsområdet som behövs med anledning
av dataskyddsförordningen kan ske inom ramen för de författningar
som reglerar verksamheten på området och de befintliga registerför-
fattningarna.
En lämplig myndighet bör få i uppdrag att vidta åtgärder för att
initiera och stödja utarbetandet av en uppförandekod för skolväsendet.
Utredningens bedömning: Överensstämmer med regeringens.
Remissinstanserna: En majoritet av de remissinstanser som har yttrat
sig har inte haft några synpunkter på bedömningen. Justitiekanslern delar
utredningens bedömning att det inte är påkallat att införa några nya
registerlagar på utbildningsområdet. Dataskydd.net är inte övertygade om
att det invecklade systemet i Sverige med särskilda registerförfattningar
bäst tillgodoser privatpersoners och samhällets behov av ett starkt inte-
gritetsskydd. Tvärtom riskerar det att göra det svårt för privatpersoner att		119

Prop. 2017/18:218 förutse vilket skydd de har, och myndigheterna distraheras från de pro- portionalitetsbedömningar och säkerhetsavvägningar de ska göra inför

	varje insamling och behandling av privatpersoner. Statens skolverk delar
	utredningens bedömning att det finns ett tillräckligt stöd för att fullfölja
	dess uppgifter utifrån de nuvarande bestämmelserna i nationell rätt.
	Umeå kommun framhåller vikten av att kunna utnyttja digitaliseringens
	möjligheter inom skolan och att det måste finnas en balans mellan inte-
	gritetsskyddslagstiftningen och den kreativa process som finns inom
	pedagogisk verksamhet.
	Karlstads universitet anser att behovet av en särskild lag på högskole-
	området kanske kunde ha analyserats ytterligare.
	Stockholms kommun anser att det finns behov av tydligare regleringar
	för att kunna genomföra de behandlingar av personuppgifter som behövs
	inom utbildningsnämndens ansvarsområde.
	Datainspektionen anser att utredningen har underskattat den komplexi-
	tet som det medför att inte reglera utbildningsverksamheten på nationell
	nivå i registerförfattning.
	En rad remissinstanser, såsom Sveriges Kommuner och Landsting
	(SKL), Bergs, Göteborgs, Halmstads, Luleå, Umeå och Varbergs kom-
	muner, Friskolornas riksförbund och Uppsala universitet, är positiva till
	införandet av en uppförandekod för skolväsendet. SKL anser att fram-
	tagandet av en uppförandekod är ett viktigt arbete eftersom lagstiftningen
	är komplex och innebär att gränsdragningsproblematik kommer uppstå
	samtidigt som tekniken utvecklas i ett mycket snabbt tempo. Då skol-
	väsendet i dag belastas av mycket administration ser Göteborgs kommun
	att en uppförandekod genom tydlighet och genomarbetat övervägande i
	enskilda frågor kan medföra en viss administrativ lättnad för skol-
	väsendet. Academedia AB understryker behovet av en uppförandekod, då
	det finns stor risk att små huvudmän inte kommer ha kompetens eller
	resurser för att följa regelverket. Friskolornas riksförbund framhåller att
	det är företrädare för de personuppgiftsansvariga, dvs. skolhuvudmännen
	som tillsammans har möjlighet att utarbeta uppförandekoden. Uppsala
	universitet påpekar att en uppförandekod varken kan eller får ersätta den
	lagstiftning den vilar på. En möjlig invändning mot en uppförandekod är
	enligt universitetet att ytterligare rättsliga dokument tillförs skolans
	befattningshavare som redan har att förhålla sig till dataskydds-
	förordningen, dataskyddslagen och övrig reglering av skolhuvudmännens
	behandling av känsliga personuppgifter. Lärarnas Riksförbund anser att
	det är i det närmaste ouppnåeligt att en eller flera olika uppförandekoder
	skulle kunna omfatta personuppgiftshanteringen hos samtliga huvudmän
	för skola och förskola.
	Skälen för regeringens bedömning: För närvarande finns det några få
	renodlade registerförfattningar på utbildningsområdet. I dessa registerför-
	fattningar regleras närmare behandling av personuppgifter för specifika
	verksamheter. Det är till exempel fallet med studiestödsdatalagen och
	studiestödsdataförordningen som reglerar behandling av personuppgifter
	hos CSN och förordningen om redovisning av studier m.m. som reglerar
	behandling av personuppgifter för studieadministration och för antagning
	till högre utbildning.
	När dataskyddsförordningen börjar tillämpas kommer huvudmän inom
120	utbildningsområdet enligt regeringens bedömning i avsnitt 9 huvud-

sakligen att tillämpa allmänt intresse som rättslig grund för sin nödvän- diga behandling av personuppgifter (artikel 6.1 e i dataskyddsförord- ningen). Även rättslig förpliktelse och myndighetsutövning kommer i vissa fall att vara tillämpliga som rättsliga grunder för behandling av personuppgifter inom utbildningsområdet (artikel 6.1 c och artikel 6.1 e i dataskyddsförordningen). För dessa tre rättsliga grunder gäller att de ska vara fastställda i unionsrätten eller i en medlemsstats nationella rätt. Som framgår av analysen i avsnitt 9 för respektive verksamhet är dessa rättliga grunder fastställda i författningar som närmare reglerar verksamheten på utbildningsområdet eller beslut som har fattats med stöd av författning.

Datainspektionen understryker att laglig personuppgiftsbehandling även innefattar en bedömning av om författningen uppfyller dels kraven på tydlighet, precisering och förutsägbarhet i skäl 41 och dels kravet på proportionalitet i artikel 6.3 andra stycket sista meningen i dataskydds- förordningen. Datainspektionen anser att det inte är möjligt att presumera att de åtgärder som myndigheterna vidtar i syfte att utföra sina uppdrag och åligganden och som antagits i enlighet med grundlagens bestämmel- ser om normgivningskompetens och kommunalt självstyre i sig har en legal grund som offentliggjorts genom tydliga, precisa och förutsägbara regler och uppfyller kraven i skäl 41. Datainspektionen anser också att många författningar av naturliga skäl är antagna utan att deras tydlighet, precisering och förutsägbara tillämpning avseende behandling av personuppgifter har bedömts. Utredningen har enligt Datainspektionen endast beskrivit vilket stöd verksamheten har generellt inom utbild- ningsområdet när utbildningsanordnare utför sina uppdrag enligt gällande författningar. Det saknas enligt Datainspektionen en analys som visar att det i skollagen, högskolelagen, lagen om yrkeshögskolan och därtill hörande bestämmelser finns rättsligt stöd för den personuppgiftsbehand- ling som behöver utföras inom utbildningsområdet och att det rättsliga stödet uppfyller kraven i skäl 41. När det saknas särskild lagreglering kring behandlingen blir det den personuppgiftsansvariges ansvar att pröva sin behandling mot kraven i Dataskyddsförordningen vid varje enskild behandling. Det saknas vägledning av på vilket sätt den personuppgiftsansvarige ska kunna bedöma vilka personuppgiftsbehand- lingar som ska anses nödvändiga för att fullgöra uppdragen. Datainspek- tionen anser därmed att utredningen har underskattat den komplexitet som det medför att inte reglera utbildningsverksamheten på nationell nivå i en registerförfattning. Att lägga ansvaret på respektive huvudman att besluta om varje enskild behandling är nödvändig för att utföra den fastställda uppgiften är en svår och betungande uppgift. Detta arbete hade enligt Datainspektionen kunnat förenklas om utredningen hade tagit ett samlat grepp och gjort nödvändiga bedömningar och reglerat personupp- giftsbehandlingar inom utbildningsväsendet i en särskild registerför- fattning. Med tanke på hur många aktörer det finns inom utbildnings- området ifrågasätter Datainspektionen det rimliga i att överlåta bedöm- ningen på de personuppgiftsansvariga, istället för att via lagstiftning i nationell rätt genom kompletterande författning till dataskyddsförord- ningen klargöra vad som inom utbildningsområdet är nödvändig behand- ling.

I propositionen Ny dataskyddslag konstaterar regeringen att den rätts- liga grunden inte måste fastställas i en av riksdagen beslutad lag men

Prop. 2017/18:218

121

Prop. 2017/18:218 däremot att grunden måste vara fastställd i laga ordning, dvs. på ett konstitutionellt korrekt sätt (prop. 2017/18:105 s. 51). Vad detta konkret

	innebär i svensk rätt när det gäller uppgift av allmänt intresse har förtyd-
	ligats i 2 kap. 2 § 1 förslaget till dataskyddslag. Enligt den bestämmelsen
	får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsför-
	ordningen om behandlingen är nödvändig för att utföra en uppgift av
	allmänt intresse som följer av lag eller annan författning, av kollektiv-
	avtal eller av beslut som har meddelats med stöd av lag eller annan för-
	fattning.
	Av skäl 41 framgår också att den rättsliga grunden bör vara tydlig och
	precis och dess tillämpning förutsägbar för dem som omfattas av den, i
	enlighet med rättspraxis vid Europeiska unionens domstol och Europe-
	iska domstolen för de mänskliga rättigheterna. Vilken grad av tydlighet
	och precision som krävs i fråga om den rättsliga grunden för att en viss
	behandling av personuppgifter ska anses vara nödvändig måste enligt
	regeringens mening bedömas från fall till fall, utifrån behandlingens
	karaktär. En behandling av personuppgifter som inte utgör någon egent-
	lig kränkning av den personliga integriteten kan ske med stöd av en
	rättslig grund som är allmänt hållen medan ett mer kännbart intrång
	kräver att den rättsliga grunden är mer preciserad och därmed gör in-
	trånget förutsebart.
	Vad som avses med nödvändighetsrekvisitet har behandlats i avsnitt
	6.2.
	Till skillnad från Datainspektionen anser regeringen att syftet med be-
	handling av personuppgifter inom utbildningsområdet tydligt framgår av
	bestämmelserna i skollagen, högskolelagen, lagen om yrkeshögskolan
	och de andra författningar som reglerar verksamheten på området och att
	det är förutsägbart för personer som omfattas av dessa regler vilken be-
	handling av personuppgifter som är nödvändig för att personuppgifts-
	ansvariga ska kunna utföra sina uppdrag och åligganden. Dataskydds-
	förordningen möjliggör genom artikel 6.2 och 6.3 andra stycket för med-
	lemsstaterna att införa särskilda registerförfattningar, men varken dessa
	bestämmelser eller förordningen i övrigt innebär något krav på att det in-
	förs sådana författningar.
	Som framgår av avsnitt 13 och 14 anser regeringen att det i fråga om
	behandling av känsliga personuppgifter och personuppgifter om lag-
	överträdelser finns behov av viss kompletterande reglering på utbild-
	ningsområdet. Enligt Justitiekanslern framstår det, med hänsyn till hur
	många lagar som redan finns rörande personuppgiftsbehandling, också
	som angeläget att inte ytterligare lagar tillkommer, om det inte är föran-
	lett av ett viktigt behov.
	Som framgår av avsnitt 4.6 och 7.1 innehåller dataskyddsförordningen
	ett omfattande regelverk som syftar till att skydda den enskildes integritet
	och rättigheter. Dataskyddsförordningen kompletteras av dataskydds-
	lagen. Därutöver tillkommer en omfattande reglering på utbildningsom-
	rådet. Som ett exempel nämnas att skollagen är ca 150 sidor lång och att
	den kompletteras av föreskrifter i förordningar och föreskrifter som med-
	delats av myndigheter. Därtill kommer att t.ex. Statens skolverk har med-
	delat allmänna råd och tagit fram omfattande stödmaterial. Därutöver har
	myndigheter också i uppgift enligt författning att fatta olika typer av
122	beslut om t.ex. tillstånd eller statsbidrag. Särskilda författningar som

reglerar utbildningsverksamheternas personuppgiftsbehandling skulle Prop. 2017/18:218 enligt regeringens bedömning inte innebära att skyddet för enskildas

integritet och rättigheter blev starkare. En sådan reglering skulle dess- utom kunna vara kontraproduktiv på så sätt att den t.ex. på skolområdet skulle kunna komma att begränsa huvudmännens möjligheter att behand- la personuppgifter på ett sätt som bidrar till ett effektivt och tidsenligt sätt att bedriva utbildning med utnyttjande av tillgängliga tekniska hjälp- medel med ett gott resultat (se t.ex. 9 kap. 8 §, 10 kap. 10 § och 15 kap. 17 § skollagen). Sådan indirekt styrning av undervisningen och hur den ska bedrivas bör enligt regeringens uppfattning inte ske genom reglering av personuppgiftshanteringen inom utbildningsverksamheten. Rege- ringens uppfattning är därför att den kompletterande reglering som be- hövs kan ske inom ramen för befintliga författningar på utbildnings- området. Regeringen bedömer att en sådan lagstiftningsteknik underlättar för tillämparna.

Regeringen delar dock Datainspektionens uppfattning att personupp- giftsansvariga kan vara betjänta av ytterligare vägledning i fråga om be- handling av personuppgifter. Regeringen uppfattar att Datainspektionen anser behovet av ytterligare vägledning vara störst i fråga om skol- väsendet. En rad andra remissinstanser, såsom Sveriges Kommuner och Landsting, ett flertal kommuner och Friskolornas riksförbund, har också ställt sig positiva till införandet av en uppförandekod för skolväsendet. Regeringen avser därför, trots de utmaningar det kan innebära, att ge en lämplig myndighet i uppdrag att initiera och stödja utarbetandet av en uppförandekod för skolväsendet.

12Var ska kompletterande bestämmelser om personuppgiftsbehandling placeras?

Regeringens förslag: Kompletterande bestämmelser om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser på utbildningsområdet ska införas i ett nytt kapitel i skollagen, i lagen om tillstånd att utfärda vissa examina och i lagen om yrkeshögskolan.

Regeringens bedömning: Kompletterande bestämmelser för konst- och kulturutbildningar, vissa andra utbildningar och folkbildningen bör införas på förordningsnivå.

Det bör inte införas någon dubbelreglering i nämnda lagar för offentliga utbildningsanordnare och sådana enskilda utbildningsanord- nare som har stöd för sin personuppgiftsbehandling i dataskyddslagen.

Utredningens förslag och bedömning: Överensstämmer med rege- ringens förslag och bedömning i fråga om i vilka lagar och på vilken normnivå kompletterande bestämmelser bör införas. Utredningen har dock föreslagit att bestämmelser i dataskyddslagen som gäller för myn- digheter och organ som jämställs med myndigheter också ska återges i sektorslagstiftningen.

123

Prop. 2017/18:218

124

Remissinstanserna: Flertalet remissinstanser delar utredningens för- slag och bedömning eller har inte några synpunkter.

Statens skolverk, Specialpedagogiska skolmyndigheten, Göteborgs, Askersunds och Stockholms kommuner, Friskolornas riksförbund och

Sveriges Kommuner och Landsting är exempel på remissinstanser som är positiva till att behandling av känsliga personuppgifter regleras i ett nytt kapitel i skollagen. Eslövs kommun ser det som positivt att regleringen införs direkt i skollagen då det ligger väl i linje med intentionen i den unifiering som skedde av skollagstiftningen i och med tillkomsten av skollagen (2010:800). Göteborgs kommun anser att förslaget att samla regleringen kring känsliga personuppgifter i ett kapitel bidrar till att skapa en tydlighet kring förutsättningarna för att behandla känsliga personuppgifter inom skolområdet som i sin tur underlättar tillämpningen av regelverket.

Sveriges Kommuner och Landsting anser det särskilt välkommet att även kommunen i egenskap av hemkommun ska tillämpa det föreslagna kapitlet i skollagen trots att kommuners personuppgiftsbehandling även faller in under dataskyddslagens tillämpningsområde och anser att detta förenklar tillämpningen avsevärt för kommunerna.

Specialpedagogiska skolmyndigheten undrar om förslaget till det nya kapitlet i. skollagen som ska komplettera dataskyddslagen innebär att skolor som också är myndigheter parallellt ska använda regleringen i de båda lagarna.

Datainspektionen anser att utredningen inte har presenterat någon kon- kret redogörelse för vilka personuppgiftsbehandlingar som ska behandlas inom det skollagsreglerade området samt vilka risker de aktuella behand- lingarna kan medföra. Utan en sådan redogörelse kan en proportiona- litetsbedömning av bestämmelserna enligt artikel 6.3 i dataskyddsför- ordningen inte göras. Datainspektionen saknar en analys som visar att det kommer att finnas erforderligt stöd för den behandling av känsliga personuppgifter som behöver utföras inom skolan när dataskyddsför- ordningen börjar tillämpas.

Luleå tekniska universitet tillstyrker utredningens förslag angående be- hov av särskild reglering för enskilda utbildningsanordnare. Karlstads universitet tillstyrker författningsförslagen. Chalmers tekniska högskola AB tillstyrker utredningens förslag i de delar som rör deras verksamhet som enskilda utbildningsanordnare.

Skälen för regeringens förslag och bedömning

Den kompletterande reglering som behövs bör införas i befintliga sektorsförfattningar

Som framgår av avsnitt 8 gör regeringen bedömningen att utbildning är såväl en uppgift av allmänt intresse som ett viktigt allmänt intresse. I avsnitt 9 har regeringen bedömt att merparten av personuppgiftsbehand- lingen som sker inom utbildningsområdet kan ske med stöd av den rätts- liga grunden att utföra en uppgift av allmänt intresse. För viss personupp- giftsbehandling som inte är nödvändig för detta ändamål, t.ex. skolfoto- grafering, kan i stället samtycke användas som rättslig grund.

Som framgått av avsnitt 7 ställer dock dataskyddsförordningen i artikel 9 och 10 särskilda krav när det gäller behandling av känsliga personupp-

gifter och uppgifter om lagöverträdelser. I avsnitt 10 gör regeringen be- dömningen att det finns behov av att inom utbildningsområdet införa bestämmelser som rör behandlingen av känsliga personuppgifter och lag- överträdelser som kompletterar såväl dataskyddsförordningen som data- skyddslagen.

Även regeringsformen ställer särskilda krav när det är fråga om ett betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § RF). Sådana intrång får bara göras med stöd av lag. Som framgår av avsnitt 10 gör regeringen bedömningen att i den mån detta lagkrav gäller på det skollagsreglerade området är det uppfyllt genom regleringen i skollagen. Regeringen gör vidare i avsnitt 11 be- dömningen att det inte bör införas fler registerförfattningar inom utbild- ningsområdet utan att de kompletteringar som behövs med anledning av artikel 9 och 10 i dataskyddsförordningen bör göras i befintliga sektors- författningar.

Som närmare kommer att utvecklas i avsnitt 13.2 och 14.2 föreslås i propositionen Ny dataskyddslag att det i 3 kap. dataskyddslagen ska införas bestämmelser om behandling av känsliga personuppgifter och lagöverträdelser (3 kap. 1–9 §§). Dessa bestämmelser gäller emellertid med vissa undantag bara för myndigheter. I 3 kap. 4 § dataskyddslagen anges dock att regeringen får meddela ytterligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med hänsyn till ett viktigt allmänt intresse. Vidare anges i 3 kap. 9 § att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning. Den myndighet som regeringen bestämmer får även i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter. Ett beslut får förenas med villkor.

Regeringen anser dock att det, även i den utsträckning det inte krävs enligt regeringsformen, är lämpligt att kompletterande bestämmelser som ger stöd för att behandla känsliga personuppgifter eller personuppgifter om lagöverträdelser inom det skollagsreglerade området, inom högskolan och inom yrkeshögskolan förs in på samma normhierarkiska nivå och i den författning som i huvudsak reglerar den aktuella verksamheten och varigenom den rättsliga grunden i huvudsak fastställs. Regeringen gör bedömningen att detta bör underlätta för tillämparna. Som närmare kommer att utvecklas i avsnitt 13.4 och 14.4 gör regeringen bedöm- ningen att det i fråga om högskolan endast finns behov av komplette- rande reglering när det gäller enskilda utbildningsanordnare som om- fattas av lagen om tillstånd att utfärda vissa examina. Regeringen föreslår därför att kompletterande bestämmelser om känsliga personuppgifter och personuppgifter om lagöverträdelser införs i skollagen, lagen om tillstånd att utfärda vissa examina och i lagen om yrkeshögskolan. På grund av skollagens omfattning införs bestämmelserna i skollagen lämpligen i form av ett nytt kapitel om personuppgiftsbehandling. När det gäller CSN:s behandling av känsliga personuppgifter i studiestödsverksamheten finns det redan en registerförfattning där frågor om myndighetens per- sonuppgiftsbehandling regleras och nödvändiga justeringar och komplet- teringar på studiestödsområdet bör därför göras i den lagen.

Prop. 2017/18:218

125

Prop. 2017/18:218

126

Dubbelreglering bör undvikas

Skollagen och lagen om yrkeshögskolan gäller både offentliga och en- skilda utbildningsanordnare. Utbildningsdatautredningen har föreslagit att vissa bestämmelser om personuppgiftsbehandling, som ska ge enskil- da utbildningsanordnare samma möjligheter till behandling som offent- liga utbildningsanordnare, i dessa lagar ska omfatta både enskilda och offentliga utbildningsanordnare. Detta innebär att det för de offentliga ut- bildningsanordnarna i vissa fall uppstår en dubbelreglering, eftersom de kommer omfattas av bestämmelser både i dataskyddslagen och i sektors- lagstiftningen med samma innehåll. Som Specialpedagogiska skolmyn- digheten (SPSM) framför, kan detta väcka frågor kring vilket av regel- verken myndigheterna ska tillämpa. En sådan dubbelreglering gör det således inte nödvändigtvis tydligare för tillämparna vilket av regelverken som de ska tillämpa. Regeringen ser inte heller skäl att för privata organ, som enligt 3 kap. 3 § tredje stycket dataskyddslagen ska jämställas med myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekre- tesslagen (2009:400) gäller i deras verksamhet, skapa en dubbelreglering genom att för dessa införa motsvarande bestämmelser som i dataskydds- lagen även i sektorsförfattningarna. Regeringen anser således att sektors- författningarna bara ska kompletteras med sådana bestämmelser om personuppgiftsbehandling som är nödvändiga utöver dataskyddsförord- ningen och dataskyddslagen och att dubbelregleringar ska undvikas. Däremot anser regeringen att sektorsförfattningarna av tydlighetsskäl bör innehålla bestämmelser som upplyser om var i dataskyddslagen det finns motsvarande bestämmelser för myndigheter och sådana organ som jämställs med myndigheter, se vidare avsnitt 16.

Kompletterande bestämmelser för konst- och kulturutbildningar och folkbildningen kan införas på förordningsnivå

Som framgår av avsnitt 9.3 och 9.4 finns viss begränsad reglering av den verksamhet som anordnas av enskilda i form av konst- och kultur- utbildningar och vissa andra utbildningar och folkbildning. Regleringen finns på förordningsnivå. Inom dessa verksamheter finns visst behov av behandling av känsliga personuppgifter. Detta redogörs för närmare i avsnitt 13.5.1 och 13.6. Här ges därför endast en mer kortfattad be- skrivning av detta behov.

När det gäller behandling av känsliga personuppgifter inom folkbild- ningen kan folkhögskolorna ansöka om statsbidrag för kostnader för särskilt utbildningsstöd som erbjuds studerande med funktionsnedsätt- ningar enligt förordningen (2011:1163) om statsbidrag för särskilt utbild- ningsstöd. Ansökan görs till SPSM. Såvitt Utbildningsdatautredningen erfarit lämnas inga direkta personuppgifter in i samband med ansökan. I ansökan framgår endast uppgift om kön och funktionsnedsättning per skola och kurs (SOU 2017:49 s. 358). Då själva ansökan till SPSM inte innehåller några personuppgifter behöver folkhögskolorna inte något rättsligt stöd för att behandla dessa uppgifter i ansökan. Däremot kan folkhögskolorna i sin verksamhet behöva behandla sådana uppgifter inför upprättandet av ansökan och beträffande studerande med funktionsned- sättning. Vidare förekommer det att vissa folkhögskolor och studie-

förbund som anordnar kontakttolkutbildning antecknar tolkspråket i sitt register. Folkhögskolor och studieförbund som anordnar sådan utbildning kan under vissa förutsättningar erhålla statsbidrag som beviljas av Myndigheten för yrkeshögskolan enligt förordningen (2012:140) om statsbidrag för viss utbildning som rör tolkning och teckenspråk. Även om en uppgift om tolkspråk i sig inte utgör en känslig personuppgift, skulle den tillsammans med andra uppgifter kunna bli en uppgift om etniskt ursprung, alltså en känslig personuppgift. Liknande gränsfrågor skulle kunna uppstå i den verksamhet som bedrivs av folkhögskolor och studieförbund och som avser särskilda insatser för personer som omfattas av lagen (1994:137) om mottagande av asylsökande m.fl., eller avses i förordningen (2010:1122) om statlig ersättning för insatser för vissa ut- länningar och som bor i Migrationsverkets anläggningsboende, och för vilka statsbidrag kan lämnas enligt förordningen (2015:521) om stats- bidrag till särskilda folkbildningsinsatser för asylsökande och vissa ny- anlända invandrare.

När det gäller behovet för enskilda anordnare av konst- och kultur- utbildningar och vissa andra utbildningar att behandla känsliga person- uppgifter gäller i korthet följande. Behandling av känsliga personupp- gifter kan, i likhet med vad som gäller för folkbildningen, förekomma vid handläggning av ansökningar om särskilt pedagogiskt stöd, när beslutade stödåtgärder ska verkställas och i samband med ansökningar om stats- bidrag eller särskilda medel för kostnader för särskilt pedagogiskt stöd (30 § förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar). Behandling av känsliga personuppgifter kan även förekomma i ärenden om trakasserier och sexuella trakasserier (1 kap. 4 och 2 kap. 7 §§ diskrimineringslagen [2008:567]) och i ärenden om an- stånd med att påbörja studier eller studieuppehåll av hälsoskäl (24 a § förordningen om stöd för konst- och kulturutbildningar och vissa andra utbildningar). Anordnarna kan även ha egna regelverk som medför behov av behandling av känsliga personuppgifter i form av hälsa i samband med utredningar och ärenden om avskiljande.

Behovet av behandling av känsliga personuppgifter i verksamhet som anordnas i form av konst- och kulturutbildningar och vissa andra utbild- ningar och i form av folkbildning är alltså tämligen begränsat. Vidare förekommer behovet av sådan behandling främst i samband med stöd och stödåtgärder som är till gagn för den studerande och behandlingen utförs av enskilda. Mot denna bakgrund gör regeringen bedömningen att bestämmelsen i 2 kap. 6 § RF inte är tillämplig på denna behandling. Som angetts i avsnitt 10 anser vidare Justitiekanslern att såvitt framgår av utredningen är inte den personuppgiftsbehandling som kan bli aktuell inom utbildningsområdet och som inte omfattas av någon lagreglering, av sådan karaktär som avses i grundlagsbestämmelsen om skyddet mot integritetsintrång i 2 kap. 6 § RF. Regeringen anser därför att komplette- rande bestämmelser om behandling av känsliga personuppgifter i dessa verksamheter kan införas på förordningsnivå

Prop. 2017/18:218

127

Prop. 2017/18:218 Var behandlas kompletteringar i sektorslagstiftningen?

Kompletteringar i sektorslagstiftningen som avser känsliga personupp- gifter behandlas i avsnitt 13. Kompletteringar i sektorslagstiftningen som avser uppgifter om lagöverträdelser behandlas i avsnitt 14.

13 Sektorslagstiftningen ska kompletteras med bestämmelser om behandling av känsliga personuppgifter

13.1 Dataskyddsförordningen tillåter bara behandling av känsliga personuppgifter i vissa fall

	Som framgått av avsnitt 7 finns det i artikel 9.1 i dataskyddsförord-
	ningen, på motsvarande sätt som i det nu gällande dataskyddsdirektivet
	och PUL, ett principiellt förbud mot att behandla särskilda kategorier av
	personuppgifter. Dessa är enligt dataskyddsdirektivet och PUL uppgifter
	som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller
	filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör
	hälsa och sexualliv. I dataskyddsförordningen utvidgas den särskilda
	kategorierna av uppgifter till att också omfatta behandling av genetiska
	uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk
	person. Vidare ersätts uppgifter om hälsa och sexualliv av uppgifter om
	hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella
	läggning. Bestämmelsen i dataskyddsförordningen är direkt tillämplig
	och kräver inga åtgärder av medlemsstaterna.
	Förbudet ska enligt artikel 9.2 inte tillämpas i någon av de situationer
	som beskrivs i artikel 9.2 a–j. Förbudet gäller t.ex. inte om den registre-
	rade uttryckligen lämnat sitt samtycke till behandlingen av dessa
	personuppgifter för ett eller flera specifika ändamål (artikel 9.2 a).
	Förbudet gäller inte heller om behandlingen är nödvändig av hänsyn till
	ett viktigt allmänt intresse, på grundval av unionslagstiftningen eller
	medlemsstaternas nationella rätt. Unionslagstiftningen och medlems-
	statens nationella rätt ska stå i proportion till det eftersträvade syftet, vara
	förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla
	bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den
	registrerades grundläggande rättigheter och intressen (artikel 9.2 g).
	Vad som är ett allmänt intresse har behandlats i avsnitt 6.2. I avsnitt 8
	har regeringen gjort bedömningen att utbildning är såväl en uppgift av
	allmänt intresse som ett viktigt allmänintresse.
	Som framgår ovan omnämns de personuppgifter som omfattas av ett
	förbud mot behandling, som särskilda kategorier av uppgifter i såväl det
	nuvarande dataskyddsdirektivet som i dataskyddsförordningen. I data-
	skyddsförordningens beaktandeskäl omnämns de på ett par ställen som
	känsliga respektive särskilt känsliga uppgifter (skäl 10 och 51). I PUL
128	har särskilda kategorier av personuppgifter kallats känsliga person-
128

uppgifter, utan att detta närmare har kommenterats i förarbetena. Som Prop. 2017/18:218 nämnts i avsnitt 7.2 föreslås i propositionen Ny dataskyddslag (prop.

2017/18:105) att begreppet känsliga personuppgifter ska användas i dataskyddslagen för sådana särskilda kategorier av uppgifter som anges i artikel 9.1 i dataskyddsförordningen. Bakgrunden till detta förslag är att begreppet får anses väl inarbetat, även på EU-nivå, och är språkligt enklare att använda och förstå, inte minst i författningstext. Begreppet känsliga uppgifter används även nedan.

13.2Det finns kompletterande bestämmelser om känsliga personuppgifter i dataskyddslagen

13.2.1Behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse möjliggörs i vissa fall

Utifrån den möjlighet som i dataskyddsförordningen ges medlemsstater- na att skapa förutsättningar i nationell rätt för att möjliggöra behandling av känsliga personuppgifter har regeringen i propositionen Ny data- skyddslag (prop. 2017/18:105) föreslagit tre generella bestämmelser som avser myndigheters behandling av känsliga personuppgifter (3 kap. 3 § första stycket dataskyddslagen). Bestämmelserna har sin grund i artikel 9.2 g, dvs. att behandlingen är nödvändig av hänsyn till ett viktigt all- mänt intresse.

Behandling av känsliga personuppgifter som krävs enligt lag är tillåten för myndigheter och enskilda som jämställs med myndigheter

Viss behandling av känsliga personuppgifter är oundviklig i myndig- heternas verksamhet som en direkt följd av exempelvis offentlighets- och sekretesslagens (2009:400) och förvaltningslagens (1986:223) krav, såsom krav på diarieföring och skyldighet att ta emot e-post. Samma skyldigheter gäller i viss utsträckning för vissa andra organ än myndig- heter, som en följd av att dessa organ jämställs med myndigheter enligt offentlighets- och sekretesslagen. I propositionen Ny dataskyddslag före- slås mot denna bakgrund en bestämmelse om att myndigheter och andra organ som omfattas av offentlighetsprincipen får behandla känsliga personuppgifter med stöd av artikel 9.2 g i EU:s dataskyddsförordning, om uppgifterna har lämnats till myndigheten eller organet och behand- lingen krävs enligt lag (3 kap. 3 § första stycket 1 och tredje stycket data- skyddslagen).

Behandling av känsliga personuppgifter som är nödvändig för handläggningen av ett ärende är tillåten för myndigheter

Enligt en andra bestämmelse i 3 kap. 3 § dataskyddslagen får känsliga
uppgifter behandlas av en myndighet med stöd av artikel 9.2 g i data-
skyddsförordningen, om behandlingen är nödvändig för handläggningen
av ett ärende (3 kap. 3 § första stycket 2 dataskyddslagen). Bestämmel-
sen är tillämplig oavsett om uppgifterna förekommer i löpande text eller
inte. Begreppen handläggning och ärende ska tolkas på samma sätt som
enligt 1 § förvaltningslagen (2017:900).	129
	129

Prop. 2017/18:218

130

Behandling av känsliga personuppgifter i annat fall som inte innebär ett otillbörligt intrång är tillåten för myndigheter

Enligt en tredje bestämmelse får känsliga uppgifter behandlas av en myndighet med stöd av artikel 9.2 g i dataskyddsförordningen i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades integritet (3 kap. 3 § första stycket 3 dataskyddslagen).

Bestämmelsen syftar till att ge myndigheter visst utrymme för behand- ling av känsliga personuppgifter även i den faktiska verksamheten, dvs. sådan verksamhet som inte utgör handläggning av ärenden. Det kan t.ex. röra sig om att känsliga personuppgifter framkommer vid kommunika- tion mellan skola och föräldrar eller inom myndigheten i samband med utvärdering av den egna verksamheten.

Vid bedömningen av om behandlingen utgör ett otillbörligt intrång bör vikt läggas vid t.ex. uppgifternas känslighet, behandlingens karaktär, den inställning de registrerade kan antas ha till att uppgiften behandlas, den spridning uppgifterna kan komma att få och risken för vidarebehandling för andra ändamål än insamlingsändamålet. Den närmare betydelsen av begreppet otillbörlig bör ges utrymme att utvecklas i rättstillämpningen. (propositionen Ny dataskyddslag, prop. 2017/18:105 s. 88–90).

Dataskyddslagen förbjuder sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter

Som ett skydd av de intressen som bestämmelserna om känsliga person- uppgifter ska värna föreslås i propositionen Ny dataskyddslag (prop. 2017/18:105) att det vid behandling som sker enbart med stöd av någon av de tre ovannämnda bestämmelserna ska vara förbjudet att utföra sök- ningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter (3 kap. 3 § andra stycket dataskyddslagen).

De föreslagna bestämmelserna är mer långtgående än Dataskyddsutred- ningens förslag

De ovan nämnda bestämmelserna i 3 kap. 3 § dataskyddslagen är, mot bakgrund av synpunkter som framförts av remissinstanserna och av Lagrådet, mer långtgående än de bestämmelser som föreslogs av Data- skyddsutredningen. Som ett exempel kan nämnas att bestämmelsen i 3 kap. 3 § första stycket 3 av Dataskyddsutredningen föreslogs få lydel- sen ”i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet”. Bestämmelsen har dock i propo- sitionen Ny dataskyddslag fått lydelsen ”i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet.” Detta innebär att Utbildningsdatautredningens förslag, som har utarbetats för att komplettera Dataskyddsutredningens förslag, i vissa fall inte längre behövs, då de behov de avser att tillgodose i stället tillgodoses av de be- stämmelser som föreslås i ovan nämnda proposition. Regeringen åter- kommer till detta nedan, t.ex. i avsnitt 13.3. Då de föreslagna bestäm- melserna i 3 kap. 3 § dataskyddslagen bara får tillämpas av myndigheter och, när det gäller bestämmelsen i paragrafens första stycke 1, enskilda

som jämställs med myndigheter enligt offentlighets- och sekretesslagen, Prop. 2017/18:218 finns det dock fortfarande ett behov av att komplettera bestämmelserna i

dataskyddslagen med bestämmelser i sektorslagstiftningen på utbild- ningsområdet.

13.2.2Övriga bestämmelser om behandling av känsliga personuppgifter

I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås känsliga personuppgifter även få behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och inom områdena social trygghet och socialt skydd (3 kap. 2 § data- skyddslagen). Känsliga personuppgifter föreslås även få behandlas i vissa andra specifika fall som gäller hälso- och sjukvård och social omsorg, arkiv och statistik (3 kap. 5–7 §§ dataskyddslagen). Vidare föreslås ett bemyndigande för regeringen att meddela ytterligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med hänsyn till ett viktigt allmänt intresse (3 kap. 4 § dataskyddslagen).

13.3Kompletterande bestämmelser om känsliga personuppgifter ska införas i skollagen

13.3.1Det finns behov av behandling av känsliga personuppgifter på det skollagsreglerade området

Nedan redogörs översiktligt för de huvudsakliga behandlingarna av känsliga personuppgifter på det skollagsreglerade området.

Det finns behov av behandling av känsliga personuppgifter i vissa skolformer och vid prövningar av mottagande till sådana skolformer

Som framgått av avsnitt 10 finns det i skollagen en särskild reglering i
skollagens kapitel om skolplikt som innebär att en viss utredning måste
göras innan ett barn kan tas emot i grundsärskolan eller specialskolan
(7 kap. 5 och 6 §§ skollagen). Sådana utredningar ska omfatta en pedago-
gisk, psykologisk, medicinsk och social bedömning och innebär således
att känsliga personuppgifter måste behandlas av hemkommunen
respektive Specialpedagogiska skolmyndigheten (SPSM) som beslutar
om mottagande. Då det är fråga om ett ärende kan de tillämpa 3 kap. 3 §
dataskyddslagen.
Gymnasiesärskolan är öppen för ungdomar vars skolplikt har upphört
och som inte bedöms ha förutsättningar att nå upp till gymnasieskolans
kunskapskrav därför att de har en utvecklingsstörning. De ungdomar som
tillhör målgruppen för gymnasiesärskolan har rätt att bli mottagna i gym-
nasiesärskola om utbildningen påbörjas före utgången av det första
kalenderhalvåret det år de fyller 20 år (18 kap. 4 skollagen). Hemkom-
munen prövar frågan om en sökande tillhör målgruppen. Beslutet ska
föregås av en utredning motsvarande den som enligt 7 kap. 5 § andra	131

Prop. 2017/18:218 stycket ska göras inför beslut om mottagande i grundsärskolan om utred- ning saknas eller det av andra skäl bedöms nödvändigt (18 kap. 5 §).

	Även sådana utredningar kan göras med stöd av 3 kap. 3 § dataskydds-
	lagen).
	Målet med den särskilda utbildningen för vuxna är att vuxna med
	utvecklingsstörning ska stödjas och stimuleras i sitt lärande (21 kap. 2 §
	skollagen). Det är endast vuxna med utvecklingsstörning som har rätt att
	under vissa förutsättningar delta i särskild utbildning för vuxna på grund-
	läggande nivå eller som kan vara behörig att delta i särskild utbildning
	för vuxna på gymnasial nivå (21 kap. 11 § och 16 § skollagen). Något
	krav på utredning motsvarande de krav som ställs för mottagande till
	grundsärskolan, specialskolan eller gymnasiesärskolan har dock inte upp-
	ställts för mottagande till den särskilda utbildningen för vuxna.
	Genom att alla elever som går i grundsärskolan, specialskolan, gymna-
	siesärskolan eller särskild utbildning för vuxna har en funktionsned-
	sättning blir uppgiften om att en elev går i en specialskola, grund- eller
	gymnasieskola som enbart anordnar särskoleverksamhet eller i särskild
	utbildning för vuxna en känslig personuppgift om hälsa eftersom skolans
	inriktning och namn avslöjar att eleven har en funktionsnedsättning.
	Även övriga uppgifter om elever som behandlas inom en sådan verksam-
	het kan många gånger, beroende på i vilket sammanhang de förekommer,
	kopplas till funktionsnedsättning och behöver därför i sådana fall betrak-
	tas som känsliga personuppgifter.
	Barn till samer får fullgöra sin skolplikt i sameskolan i stället för i års-
	kurs 1–6 i grundskolan. Även andra barn får fullgöra den delen av sin
	skolplikt i sameskolan, om det finns särskilda skäl. Enligt förarbetena till
	skollagen gäller det t.ex. om ett barn från en ort med sameskola, men
	utan kommunal grundskola, annars skulle behöva åka till en annan ort
	med kommunal grundskola (prop. 2009/10:165 s. 701). Frågan om ett
	barn ska få fullgöra sin skolplikt i sameskolan prövas av Sameskol-
	styrelsen (7 kap. 7 § skollagen). Sameskolans syfte är att ge en utbildning
	med samisk inriktning som i övrigt motsvarar utbildningen i årskurserna
	1–6 i grundskolan (13 kap. 2 § skollagen). Med hänsyn till sameskolans
	inriktning och att den främst är öppen för barn till samer har utredningen
	dragit slutsatsen att uppgiften om att ett barn går i samskolan är en
	uppgift som avslöjat etniskt ursprung och därmed är en känslig person-
	uppgift. Regeringen anser dock, till skillnad från utredningen, att man
	inte kan dra den slutsatsen, eftersom bestämmelsen om att även andra
	barn än barn till samer får fullgöra delar av sin skolplikt i sameskolan om
	det finns särskilda skäl, medför att man inte enbart genom skolans inrikt-
	ning och namn kan utläsa elevens etniska ursprung. Härvid ska beaktas
	att Datainspektionen, när det gäller skolor med konfessionell inriktning, i
	ett svar till Skolverket, har ansett att enbart en uppgift om att en fysisk
	person går på en skola som har konfessionell inriktning (1 kap. 7 § skol-
	lagen) inte ensamt torde avslöja den fysiska personens religiösa eller filo-
	sofiska övertygelse. Som motivering har Datainspektionen bl.a. angett att
	skolväsendet ska vara icke-konfessionellt och att en fristående skola ska
	vara öppen för alla elever, oavsett religiös eller filosofisk övertygelse.
	Uppgift om att en elev går i en skola med konfessionell skola behöver
	mot bakgrund av detta inte per automatik avslöja elevens religiösa eller
132	filosofiska övertygelse (Datainspektionen, 2016-12-06, dnr 316–2016).

Regeringen anser mot denna bakgrund att enbart en uppgift om att ett barn går i samskolan skola inte ensamt torde avslöja elevens etniska ur- sprung. Däremot kan denna uppgift tillsammans med andra uppgifter göra det. Sameskolstyrelsen kan vid sin prövning om ett barn ska få full- göra sin skolplikt i sameskolan tillämpa 3 kap. 3 § dataskyddslagen.

Kommuner är huvudmän för förskola, förskoleklass, grundskola, grundsärskola, gymnasieskola, gymnasiesärskola, kommunal vuxen- utbildning, särskild utbildning för vuxna och fritidshem, om inte staten är huvudman. Staten är huvudman för specialskolan och sameskolan samt för förskoleklass och fritidshem vid en skolenhet med specialskola eller sameskola. Landsting får i viss utsträckning vara huvudman för gymna- sieskola, gymnasiesärskola, kommunal vuxenutbildning och särskild ut- bildning för vuxna. Enskilda får efter ansökan godkännas som huvudmän för förskola, förskoleklass, grundskola, grundsärskola, gymnasieskola, gymnasiesärskola och fritidshem (2 kap. 2–5 §§ skollagen). Enskilda kan inte tillämpa dataskyddslagens bestämmelser om myndigheters behand- ling av känsliga personuppgifter. Detta innebär att det finns ett behov av att införa kompletterande bestämmelser om behandling av känsliga personuppgifter för de skolformer där enskilda kan vara huvudmän.

Det finns behov av behandling av känsliga personuppgifter inom ramen för olika utredningar

Som har nämnts i avsnitt 10 finns det bestämmelser om olika typer av ut- redningar i skollagen, t.ex. utredning om en elev behöver särskilt stöd (3 kap. § skollagen), utredning med anledning av att en elev vid upprepa- de gånger har stört studieron, uppträtt olämpligt eller gjort sig skyldig till en allvarlig förseelse (5 kap. 9 § skollagen) och utredningar om kränkan- de behandling (6 kap. 10 § skollagen). I sådana utredningar förekommer det ofta förekomma känsliga personuppgifter. I vissa fall åligger utred- ningsskyldigheten rektorn (3 kap. 8 § och 5 kap. 9 §) och i vissa fall ålig- ger utredningsskyldigheten huvudmannen (6 kap. 10 § skollagen). Vid en utredning om särskilt stöd ska samråd ske med elevhälsan om det inte är uppenbart obehövligt.

Det finns behov av behandling av känsliga personuppgifter inom elevhälsan

Elevhälsan omfattar medicinska, psykologiska, psykosociala och special- pedagogiska insatser. Personuppgifter behandlas inom elevhälsan t.ex. i samband med allmänna hälsokontroller som ska erbjudas i vissa skol- former eller vid specialpedagogiska insatser (2 kap. 25 och 26 §§ skol- lagen).

Den del av elevhälsan som består av den medicinska grenen (hälso- och sjukvård) anses utgöra en självständig verksamhetsgren i förhållande till den övriga elevhälsan. För den personuppgiftsbehandling som sker inom hälso- och sjukvården som bedrivs på skolorna gäller patientdata- lagen (2008:355). Förslag till anpassningar av patientdatalagen till data- skyddsförordningen har lämnats i lagrådsremissen Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s data- skyddsförordning. Den personuppgiftsbehandling som äger rum inom

Prop. 2017/18:218

133

Prop. 2017/18:218 den medicinska delen av elevhälsan behandlas därför inte i denna proposition.

Den personuppgiftsbehandling som sker inom elevhälsans psyko- sociala och specialpedagogiska verksamheter omfattas däremot inte av patientdatalagens bestämmelser. Den psykosociala insatsen består av kurator som kan föra stöd-, motivations- och krissamtal liksom utredande och rådgivande samtal med enskilda elever och deras familjer relaterade till skolsituationen. Inom den specialpedagogiska insatsen finns special- pedagoger och speciallärare som t.ex. kan delta i kartläggning av elevers behov av särskilt stöd, genomföra pedagogiska utredningar samt utforma och genomföra åtgärdsprogram. Enstaka specialpedagogiska insatser under en kortare tid, t.ex. två månader, kan även vidtas som en s.k. extra anpassning inom ramen för den ordinarie undervisningen. I sådana fall finns det ingen föregående utredningsskyldighet motsvarande den som finns när det gäller särskilt stöd (3 kap. 5 a § och prop. 2013/14:160 s. 15 f. och 36). Även om en specialpedagog eller motsvarande och, i vissa fall, en skolkurator inte har någon skyldighet att föra patientjournal så har de en dokumentationsskyldighet vid handläggning av enskilda elev- ärenden som avser myndighetsutövning (29 kap. 10 § skollagen). Det kan alltså även inom denna del av elevhälsan finnas ett behov av att kunna behandla uppgifter om hälsa.

Det finns behov av behandling av känsliga personuppgifter i andra fall

Det förekommer även utanför elevhälsan att uppgifter om hälsa behöver behandlas. Ett exempel är skolmatsalspersonalen som behöver kunna be- handla uppgifter om specialkost p.g.a. allergier eller religiös övertygelse. För att kunna möjliggöra en ändamålsenlig undervisningssituation kan även uppgifter om funktionsnedsättning behöva behandlas utanför elev- hälsan. Vidare kan åtgärdsprogram innehålla uppgifter om ett barns eller en elevs hälsa. Ett åtgärdsprogram är en samlad dokumentation av elevens behov av särskilt stöd och en skriftlig bekräftelse av de särskilda stödåtgärder som ska sättas in.

Även uppgifter om vilka barn och elever som begärt modersmålsunder- visning måste kunna behandlas. Datainspektionen har ansett att en upp- gift om en persons modersmål i vissa fall kan vara en uppgift som in- direkt avslöjar etniskt ursprung (Datainspektionens rapport 2002:2, Behandling av elevers personuppgifter i grundskolan, s. 8). Vidare har regeringen tidigare bedömt att en isolerad uppgift om medborgarskap eller uppgifter om nationalitet eller ursprungsland inte avslöjar vare sig ras eller etniskt ursprung (prop. 2001/02:144 s. 41 och prop. 2009/10:85 s. 325). En uppgift om modersmål torde alltså i sig inte vara en känslig personuppgift men uppgiften kan, beroende på i vilket sammanhang den förekommer, bedömas vara en uppgift om etniskt ursprung vilket är en känslig personuppgift. En bedömning måste således göras i det enskilda fallet. Vidare skulle den uppgiften, tillsammans med andra uppgifter om den fysiska personen, kunna avslöja dennes religiösa eller filosofiska övertygelse och därmed utgöra känsliga personuppgifter.

Elever i t.ex. grundskolan har under vissa förutsättningar rätt till kost- nadsfri skolskjuts (10 kap. 32 § skollagen). En anledning till att en elev

har behov av skolskjuts kan vara att eleven har en funktionsnedsättning.

134

Det är elevens hemkommun som ska ombesörja att skolskjuts anordnas. Prop. 2017/18:218 För prövningen av en elevs rätt till skolskjuts kan kommunen komma att

få in handlingar som innehåller uppgifter om elevens hälsa. Kommunen kan även i sitt beslut behöva skriva in uppgifter som rör elevens hälsa. Det är inte ovanligt att kommuner upphandlar själva skolskjutsen. I dessa fall kan det finnas behov av att överföra vissa uppgifter om elever, t.ex. att en elev har rullstol, till taxibolaget som utför skolskjutsen för att möj- liggöra en ändamålsenlig skolskjuts. En sådan uppgift är en indirekt upp- gift om elevens hälsa.

Känsliga personuppgifter om hälsa kan även behöva behandlas i sam- band med att skolbibliotek förfogar över upphovsrättsligt skyddade verk som elever med funktionsnedsättning behöver för att kunna ta del av ver- ken, t.ex. genom att överföra dem till den funktionsnedsatte enligt lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk.

För att kommunerna ska kunna uppfylla sina åligganden i egenskap av hemkommun enligt skollagen har de även ett behov av att kunna behand- la känsliga personuppgifter i samband med att de för en förteckning över var skolpliktiga barn fullgör sin skolplikt (7 kap. 21 § skollagen) samt i ärenden rörande mottagande av ett barn i grundsärskolan (7 kap. 5 § skollagen) och om en sökande tillhör målgruppen för gymnasiesärskolan (18 kap. 5 § skollagen). Även i ärenden om tilläggsbelopp till t.ex. en fristående skola för en elev som har ett omfattande behov av särskilt stöd har hemkommunen ett behov av att kunna behandla känsliga personupp- gifter i form av uppgifter om den enskilde elevens hälsa (10 kap. 39 § skollagen). Sådana uppgifter kan även förekomma om en ansökan om tilläggsbelopp överklagas med stöd av 28 kap. 5 § skollagen.

Som har nämnts tidigare finns det behov av att införa kompletterande bestämmelser för enskilda huvudmän och andra enskilda aktörer på det skollagsreglerade området. I vilken utsträckning dataskyddslagen behö- ver kompletteras behandlas i avsnitt 13.3.2–13.3.10.

13.3.2Ytterligare reglering av behandling av känsliga personuppgifter som krävs enligt lag behövs inte

Regeringens bedömning: För behandling av känsliga personuppgifter som krävs enligt lag behövs det på det skollagsreglerade området inte någon ytterligare reglering som motsvarar den som föreslås i dataskyddslagen.

Utredningens förslag: Utredningen föreslår att det i skollagen ska införas en bestämmelse om att huvudmän, hemkommuner och aktörer som bedriver verksamhet som avser en särskild utbildningsform eller annan pedagogisk verksamhet ska få behandla känsliga personuppgifter om uppgifterna har lämnats till organet och behandlingen krävs enligt lag.

Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot förslaget. Friskolornas riks- förbund tillstyrker utredningens förslag om särskild reglering.

Datainspektionen avstyrker utredningens förslag i dess nuvarande ut-

formning och ifrågasätter om utformningen av undantaget kan anses ut-

135

Prop. 2017/18:218 trycka det krav på ett viktigt allmänt intresse som framgår av artikel 9.2 g i dataskyddsförordningen. Dataskydd.net avstyrker förslaget och anser att

	dataskyddsförordningens bestämmelser utgör en tillräcklig reglering.
	Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts
	tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning
	överensstämmer med regeringens bedömning i detta avsnitt. De
	tillstyrker eller har inga synpunkter på bedömningen.
	Skälen för regeringens bedömning: I propositionen Ny dataskydds-
	lag (prop. 2017/18:105) föreslås en bestämmelse om att myndigheter får
	behandla känsliga personuppgifter om uppgifterna har lämnats till myn-
	digheten och behandlingen krävs enligt lag (3 kap. 3 § första stycket 1
	dataskyddslagen). I propositionen föreslås även att vid tillämpningen av
	bestämmelsen ska andra organ än myndigheter jämställas med myndig-
	heter, i den mån bestämmelserna om allmänna handlingar och sekretess i
	tryckfrihetsförordningen och offentlighets- och sekretesslagen
	(2009:400) gäller i organets verksamhet (3 kap. 3 § tredje stycket data-
	skyddslagen).
	Förslagen innebär att förskolor, skolor och vuxenutbildningsenheter
	som drivs av kommuner, landsting eller staten även fortsättningsvis kom-
	mer att kunna uppfylla de åligganden enligt framför allt offentlighets-
	och sekretesslagens och förvaltningslagens bestämmelser om hur all-
	männa handlingar ska hanteras, exempelvis genom krav på diarieföring
	och skyldighet att ta emot e-post. Detsamma gäller kommunerna när de
	utför sina övriga åligganden enligt skollagen.
	Offentlighetsprincipen är i dag inte tillämplig på skolor, förskolor eller
	fritidshem med enskild huvudman. Regeringen har dock i lagrådsremis-
	sen Offentlighetsprincipen ska gälla i fristående skolor föreslagit att en
	ny bestämmelse ska införas i offentlighets- och sekretesslagen med inne-
	börden att vad som föreskrivs i tryckfrihetsförordningen om rätt att ta del
	av allmänna handlingar hos myndigheter i tillämpliga delar ska gälla
	också handlingar hos huvudmän för fristående skolor. Huvudmännen ska
	enligt förslaget vid tillämpningen av offentlighets- och sekretesslagen
	jämställas med myndigheter. Förslaget innebär bl.a. att de fristående
	skolorna blir skyldiga att registrera sina allmänna handlingar enligt
	samma principer som gäller för myndigheter. Bestämmelserna föreslås
	träda i kraft den 1 juli 2019.
	Vidare har Utredningen om ökad insyn i välfärden i betänkandet Ökad
	insyn i välfärden (SOU 2016:62) på motsvarande sätt föreslagit att
	offentlighetsprincipen bör gälla för juridiska personer som i egenskap av
	enskilda huvudmän driver förskola eller fritidshem, för privata aktörer
	som enligt avtal med kommun, enskild huvudman eller landsting utför
	uppgifter enligt 23 kap. skollagen (entreprenad) med undantag av verk-
	samhet som regleras i 25 kap. skollagen, samt för privat folkhögskola
	som anordnar utbildning som motsvarar kommunal vuxenutbildning i
	svenska för invandrare (enligt 24 kap. 11–15 §§ skollagen). Betänkandet
	bereds inom Regeringskansliet.
	De föreslagna bestämmelserna i dataskyddslagen innebär att en skol-
	huvudman för vilken offentlighetsprincipen och sekretesslagstiftningen
	gäller får behandla känsliga personuppgifter om behandlingen krävs en-
	ligt lag. Detta gäller oavsett om huvudmannen är offentlig eller enskild.
136	Om enskilda skolhuvudmän framöver kommer att omfattas av offentlig-

hetsprincipen kommer de alltså att kunna utföra behandling av känsliga Prop. 2017/18:218 personuppgifter som krävs enligt lag med stöd av den i dataskyddslagen

föreslagna bestämmelsen. Någon ytterligare bestämmelse kommer då inte krävas för att möjliggöra enskilda skolhuvudmäns behandling.

Utredningen har dock föreslagit att även enskildas möjlighet att be- handla känsliga personuppgifter, om uppgifterna har lämnats till organet och behandlingen krävs enligt lag, bör regleras i skollagen. Som framgår av avsnitt 12, anser dock regeringen att det saknas behov av att i skol- lagen införa en bestämmelse som innebär en dubbelreglering av vad som följer av dataskyddslagen.

I ärenden som avser myndighetsutövning mot någon enskild ska även enskilda huvudmän tillämpa vissa bestämmelser i förvaltningslagen, bl.a. om partsinsyn (29 kap. 10 § skollagen). Dessa bestämmelser är dock en- dast tillämpliga i ärenden. I nästa avsnitt föreslås att det i skollagen ska införas en bestämmelse som möjliggör enskildas behandling av känsliga personuppgifter i ärenden. Någon ytterligare reglering för enskilda huvudmän och andra enskilda aktörer inom det skollagsreglerade om- rådet behövs därför inte i detta avseende.

13.3.3Behandling av känsliga personuppgifter som är nödvändig för en hantering som motsvarar handläggningen av ett ärende ska tillåtas

Regeringens förslag: En enskild huvudman inom skolväsendet eller en enskild aktör som bedriver verksamhet inom en särskild utbildningsform eller annan pedagogisk verksamhet ska med stöd av artikel 9.2 g i EU:s dataskyddsförordning få behandla känsliga personuppgifter, om behand- lingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet.

Utredningens förslag: Överensstämmer delvis med regeringens för- slag. Utredningens förslag omfattar behandling av känsliga person- uppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I fråga om utredningens förslag att i sektorslagstiftningen dubbelreglera vad som gäller för myndigheter enligt dataskyddslagen, se avsnitt 12.

Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot förslaget. Friskolornas riks- förbund och Academedia AB tillstyrker utredningens förslag.

Justitiekanslern (JK) anser generellt att det är mycket angeläget att likartade lagtekniska lösningar väljs för de författningar som tillkommer eller ses över med anledning av EU:s dataskyddsreform.

Sveriges Kommuner och Landsting (SKL) anser att det kan vara så att ytterligare bestämmelser, utöver de som utredningen har föreslagit, be- höver införas i författning. SKL saknar resonemang kring hur huvudmän inom skolväsendet ska hantera känsliga personuppgifter som är nöd- vändiga att hantera i faktisk verksamhet och inte är kopplade till ett ärende eller elevhälsan.

Datainspektionen avstyrker förslaget i dess nuvarande utformning och

ifrågasätter om utformningen av bestämmelsen kan anses uttrycka det

137

Prop. 2017/18:218 krav på ett viktigt allmänt intresse som framgår av artikel 9.2 g i dataskyddsförordningen. Dataskydd.net avstyrker förslaget och anser att

	dataskyddsförordningens bestämmelser utgör en tillräcklig reglering.
	Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts
	tillfälle att yttra sig över vissa delar av ett utkast till lagrådsremiss, vars
	förslag överensstämmer med regeringens förslag i detta avsnitt. Statens
	skolinspektion, Specialpedagogiska skolmyndigheten, Sameskolstyrelsen,
	SKL och Friskolornas Riksförbund tillstyrker eller har inget att erinra
	mot förslaget. Statens skolverk anser att formuleringen är otydlig och
	oprecis och att det därför är svårt att utläsa när bestämmelsen ska
	tillämpas. Om bestämmelsen avser att motsvara det tillämpningsområde
	som anges i 1 § förvaltningslagen (2017:900) anser Skolverket att det bör
	framgå.
	Skälen för regeringens förslag: Enligt propositionen Ny dataskydds-
	lag är myndighetsutövning och övriga uppgifter av allmänt intresse som
	myndigheter har befogenhet att utföra alltid fastställda i enlighet med
	svensk rätt. Behandling av personuppgifter kan därmed ske på denna
	rättsliga grund. Enligt regeringens bedömning i den propositionen står
	det också klart att det är ett viktigt allmänt intresse att myndigheternas
	ärendehandläggning kan ske på ett effektivt och rättssäkert sätt (prop.
	2017/18:105 s. 87). I dataskyddslagen föreslås också en bestämmelse om
	att myndigheter får behandla känsliga personuppgifter om behandlingen
	är nödvändig för handläggningen av ett ärende (3 kap. 3 § första
	stycket 2 dataskyddslagen).
	Bestämmelsen i dataskyddslagen innebär att förskolor, skolor och
	vuxenutbildningsenheter som drivs av kommuner, landsting eller staten
	även fortsättningsvis kommer att kunna behandla känsliga personupp-
	gifter om behandlingen är nödvändig för handläggningen av ett ärende.
	För dessa huvudmän krävs således ingen ytterligare reglering för att
	kunna behandla känsliga personuppgifter i detta avseende. Detsamma
	gäller för en hemkommuns möjlighet att behandla känsliga personuppgif-
	ter om behandlingen är nödvändig för handläggningen av ett ärende.
	Enskilda huvudmän för förskolor och skolor omfattas beträffande ut-
	förandet av den aktuella utbildningen av samma bestämmelser i skol-
	lagen som de offentliga huvudmännen. Vidare anges i skollagen att vissa
	beslut som fattas av en enskild huvudman eller rektor i en fristående
	skola får överklagas hos allmän förvaltningsdomstol (28 kap. 6 och 9 §§
	skollagen). Andra typer av beslut som fattas av en enskild huvudman
	eller rektor i en fristående skola får överklagas hos Skolväsendets över-
	klagandenämnd (28 kap. 13 och 16 §§ skollagen). I ärenden som avser
	myndighetsutövning mot någon enskild enligt skollagen hos en kommun,
	ett landsting, eller en enskild huvudman ska vidare vissa uppräknade
	bestämmelser i förvaltningslagen (1986:223) tillämpas (29 kap. 10 och
	11 §§ skollagen). Så föreslås även bli fallet när den nya förvaltningslagen
	(2017:900) träder i kraft den 1 juli 2018 (Ds 2017:42 Följdändringar till
	ny förvaltningslag).
	De enskilda huvudmännen har således, i de fall det är relevant och nöd-
	vändigt, samma behov av att kunna behandla känsliga personuppgifter i
	sina ärenden som de offentliga huvudmännen. Det kan t.ex. gälla utred-
	ningar om särskilt stöd och åtgärdsprogram (7 kap. 8 och 9 §§ skollagen)
138	och anmälningar och utredningar om kränkande behandlingar (6 kap.

10 § skollagen). Vidare kan en fristående förskola eller fristående skola i en ansökan om tilläggsbelopp för elever som har ett omfattande behov av särskilt stöd, eller vid överklagande av ett beslut om ett sådant tilläggsbelopp, behöva behandla uppgifter om elevens hälsa för att kunna styrka behovet av särskilt stöd (t.ex. 9 kap. 21 §, 10 kap. 39 § och 28 kap. 5 § skollagen). I dagsläget kan sådan behandling av känsliga person- uppgifter ske med stöd av 5 a § PUL, men den saknar motsvarighet i dataskyddsförordningen.

Enligt regeringens bedömning är även de enskilda huvudmännen i förhållande till eleverna bundna av legalitetsprincipen. Det krävs således även för dessa att det finns någon form av förankring i skollagen med tillhörande föreskrifter för deras verksamhet.

Regeringen anser därför, till skillnad mot Dataskydd.net, att det finns behov av att i skollagen införa en bestämmelse för enskilda huvudmän som så långt som möjligt motsvarar dataskyddslagen bestämmelse om behandling av känsliga personuppgifter vid handläggningen av ett ärende hos en myndighet, och att det även i detta fall är fråga om behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse. I författ- ningskommentaren till bestämmelsen i dataskyddslagen anges att be- greppen handläggning och ärende tolkas på samma sätt som enligt förvaltningslagen. Eftersom förvaltningslagen inte är generellt tillämplig för enskilda utbildningsanordnare bör bestämmelsen i skollagen for- muleras på ett något annorlunda sätt. Justitiekanslern (JK) har förordat att så likartade lagtekniska lösningar som möjligt väljs med anledning av EU:s dataskyddsreform. Bestämmelsen i dataskyddslagen hänvisar inte till förvaltningslagen. Regeringen anser därför att bestämmelsen, trots Skolverket synpunkt, inte heller bör hänvisa till den lagen, utan bör ut- formas så att den gäller vid hantering som motsvarar handläggningen av ett ärende hos en myndighet.

Utbildningsdatautredningen har i sitt betänkande föreslagit att bestäm- melsen ska omfatta behandling av känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för hand- läggningen av det (SOU 2017:49). Den i propositionen Ny dataskyddslag (prop. 2017/18:108) föreslagna bestämmelsen för myndigheter är dock mer långtgående (se avsnitt 13.2.1). Den möjliggör för myndigheter att behandla känsliga personuppgifter om behandlingen är nödvändig för handläggningen av ett ärende. Regeringen anser att den kompletterande regleringen i skollagen bör utformas på ett sätt som motsvarar regle- ringen i dataskyddslagen. När det gäller Sveriges Kommuner och Landstings (SKL) synpunkt om att ytterligare bestämmelser för be- handling av känsliga personuppgifter kan behövas, kan konstateras att regeringens förslag innebär ett bredare tillämpningsområde än utred- ningens förslag. Regeringen återkommer dock till SKL:s synpunkt i avsnitt 13.3.8.

När det gäller Datainspektionen ifrågasättande av om utformningen av bestämmelsen kan anses uttrycka det krav på ett viktigt allmänt intresse som framgår av artikel 9.2 g i dataskyddsförordningen kan konstateras att Datainspektionen framfört motsvarande synpunkt i fråga om den i data- skyddslagen föreslagna bestämmelsen. Regeringen har dock i propo- sitionen Ny dataskyddslag gjort bedömningen att myndighetsutövning och övriga uppgifter av allmänt intresse som myndigheter har befogenhet

Prop. 2017/18:218

139

Prop. 2017/18:218 att utföra alltid är fastställda i enlighet med svensk rätt. Behandling av personuppgifter kan därmed ske på denna rättsliga grund. Enligt regeringens bedömning står det klart att det också är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt (prop. 2017/18:105 s. 87 f.). Regeringen saknar anledning att nu i fråga om bestämmelsen i skollagen göra någon annan bedömning. Dessutom anser regeringen att det står klart att utbildning utgör ett viktigt allmänt intresse, även då den bedrivs av enskilda huvudmän (se avsnitt 8). Även bestämmelsen i skollagen bör därför avse behandling av känsliga personuppgifter i motsvarigheten till ärenden. Detta är också i linje med vad JK förordat i fråga om likartade lag- tekniska lösningar med anledning av EU:s dataskyddsreform.

Eftersom de aktuella huvudmännen har möjlighet att utföra dessa behandlingar redan i dagsläget med stöd av 5 a § PUL bedömer rege- ringen att integritetsintrånget för den enskilde varken blir större eller mindre genom att en sådan bestämmelse införs. Syftet med bestämmel- sen är att huvudmännen ska kunna behandla känsliga personuppgifter när så behövs för att de ska kunna uppfylla sina skyldigheter enligt skollagen och anslutande föreskrifter. Då bestämmelsen bara tillåter huvudmännen att behandla sådana uppgifter då behandlingen är nödvändig för en hantering som motsvarar handläggningen av ett ärende hos en myndighet anser regeringen att bestämmelsen står i proportion till det eftersträvande syftet.

13.3.4Behandling av känsliga personuppgifter ska tillåtas i annat fall om det inte innebär ett otillbörligt intrång

Regeringens förslag: En enskild huvudman inom skolväsendet eller en enskild aktör som bedriver verksamhet inom en särskild utbildningsform eller annan pedagogisk verksamhet, ska med stöd av artikel 9.2 g i EU:s dataskyddsförordning även få behandla känsliga personuppgifter i annat fall, om behandlingen är nödvändig i verksamheten och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integ- ritet.

Utredningens förslag: Överensstämmer delvis med regeringens för- slag. Utredningens förslag omfattar behandling i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga inte- gritet. I fråga om utredningens förslag att i sektorslagstiftningen dubbel- reglera vad som gäller för myndigheter enligt dataskyddslagen, se avsnitt 12.

Justitiekanslern anser generellt att det är mycket angeläget att likartade lagtekniska lösningar väljs för de författningar som tillkommer eller ses över med anledning av EU:s dataskyddsreform.

140

Uppsala universitet anser att begreppet otillbörligt intrång är vagt och kan få en vidsträckt tolkning.

Datainspektionen avstyrker förslaget i dess nuvarande utformning. Datainspektionen anser att begreppet absolut nödvändigt är ett begrepp som skapar otydlighet. Datainspektionen ifrågasätter även om en bestäm- melse som gäller i enstaka fall är tillräckligt för skolornas behandling av uppgifter om specialkost och pekar på vikten av en genomlysning av skolornas behov av behandling av personuppgifter som utgångspunkt för en mer specifik reglering. Sveriges Kommuner och Landsting anser att det kan vara så att ytterligare bestämmelser, utöver de som utredningen har föreslagit, behöver göras i författning. Dataskydd.net avstyrker förslaget och anser att dataskyddsförordningens bestämmelser utgör en tillräcklig reglering.

Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över utkast till lagrådsremiss, vars förslag överensstämmer med regeringens förslag i detta avsnitt. De tillstyrker eller har inga synpunkter på förslaget.

Skälen för regeringens förslag: I propositionen Ny dataskyddslag (2017/18:105) föreslås att en myndighet, utöver behandling av känsliga personuppgifter som krävs enligt lag eller som är nödvändig för hand- läggningen av ett ärende, även i annat fall ska få behandla känsliga per- sonuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket 3).

Som angetts i avsnitt 8 anser regeringen att anordnande och bedrivande av utbildning utgör ett sådant viktigt allmänt intresse som avses i artikel 9.2 g i dataskyddsförordningen. Som exempel på när bestämmelsen i dataskyddslagen kan vara tillämplig anges också faktisk verksamhet såsom i kommunikation mellan skola och föräldrar (propositionen Ny dataskyddslag, prop. 2017/18:108 s. 88). Vid sådan kommunikation kan det t.ex. finnas behov av att behandla känsliga personuppgifter om bar- nets hälsa. Ett annat exempel på när bestämmelsen kan vara tillämplig är vid behandling av uppgifter om behov av specialkost på grund av allergi eller religiös övertygelse. Även inom t.ex. elevhälsans psykosociala och specialpedagogiska insatser kan det förekomma situationer när bestäm- melsen är tillämplig.

Bestämmelsen i dataskyddslagen är tillämplig på kommunal verk- samhet och verksamhet vars huvudman är staten, ett landsting eller en kommun. De enskilda huvudmännen och privata aktörerna som bedriver utbildningsverksamhet enligt skollagen har, som angetts i avsnitt 13.3.3, samma behov av att kunna behandla känsliga personuppgifter som de offentliga huvudmännen.

Utbildningsdatautredningen har i sitt betänkande föreslagit att den kompletterande bestämmelsen i skollagen ska omfatta behandling av känsliga personuppgifter i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otill- börligt intrång i den registrerades personliga integritet. Den bestämmelse som föreslås i propositionen Ny dataskyddslag för myndigheter är mer långtgående (se avsnitt 13.2.1). Den innebär att en myndighet även i annat fall ska få behandla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen

Prop. 2017/18:218

141

Prop. 2017/18:218 inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket 3). Regeringen anser att den kompletterande regleringen i skollagen bör utformas på ett sätt som motsvarar regle- ringen i dataskyddslagen. Detta är också i linje med vad Justitiekanslern förordat i fråga om likartade lagtekniska lösningar med anledning av EU:s dataskyddsreform. Eftersom det redan konstaterats i avsnitt 8 att anordnande och bedrivande av utbildning utgör ett viktigt allmänt intres- se anser regeringen att det är tillräckligt att i den kompletterande bestäm- melsen i skollagen ange att behandlingen av personuppgifter ska vara nödvändig i verksamheten. I övrigt bör bestämmelsens utformning följa den formulering som föreslås i dataskyddslagen.

Regeringens uppfattning är att en sådan bestämmelse står i proportion till det eftersträvade syftet. Då en behandling bara får ske om den är nödvändig av hänsyn till ett viktigt intresse och inte innebär ett otill- börligt intrång i den registrerades personliga integritet tillgodoses enligt regeringen dataskyddsförordningens krav på proportionalitet och skydd- såtgärder. Regeringen föreslår i avsnitt 13.3.10 dessutom en särskild sökbegränsning. Av avsnitt 13.3.5, 13.3.6 och 13.3.8 framgår fler exem- pel på när bestämmelsen bedöms vara tillämplig.

13.3.5Ytterligare rättsligt stöd för behandling av känsliga personuppgifter om hälsa behövs inte

Regeringens bedömning: Något ytterligare rättsligt stöd för behand- ling av känsliga personuppgifter om hälsa behövs inte på det skol- lagsreglerade området.

Utredningens förslag: Utredningen föreslår att det ska införas en be- stämmelse i skollagen om att känsliga personuppgifter om hälsa ska få behandlas med stöd av artikel 9.2 g i dataskyddsförordningen om det är nödvändigt för ändamålet med behandlingen och behandlingen inte inne- bär ett otillbörligt intrång i den registrerades personliga integritet i sådana verksamheter där utredningen bedömer att all personuppgifts- behandling utgör behandling av känsliga personuppgifter. Förslaget om- fattar därmed grundsärskolan, specialskolan, gymnasiesärskolan, särskild utbildning för vuxna, gymnasieskolan med Rh-anpassad utbildning, ut- bildning i gymnasieskolan för elever som är döva, hörselskadade eller dövblinda eller har en språkstörning samt fristående förskoleklasser, fristående grundskolor och fristående gymnasieskolor som har begränsats till att avse elever som är i behov av särskilt stöd.

Remissinstanserna: Det stora flertalet remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. Göte- borgs kommun är särskilt positiv till att utöka möjligheten för anordnare av t.ex. grundsärskola att på ett mer systematiskt sätt kunna behandla känsliga personuppgifter. Academedia AB tillstyrker utredningen förslag.

Friskolornas riksförbund anser att den föreslagna bestämmelsen som avser fristående skolor som har begränsat sitt mottagande till att avse elever som är i behov av särskilt stöd behöver kompletteras med mot- svarande möjlighet för fristående förskolor.

142

Stockholms kommun delar i stort utredningens förslag. Kommunen Prop. 2017/18:218 påpekar dock att när det gäller skolor som begränsats till att avse elever

som är i behov av särskilt stöd för sin utveckling (s.k. resursskolor) har Högsta förvaltningsdomstolen i en dom den 28 juni 2016 i mål 3086-16 har slagit fast att även offentliga huvudmän kan inrätta s.k. resursskolor. Därför anser förvaltningen att förslaget bör utvidgas så att även skolor med offentliga huvudmän får rätt att behandla känsliga personuppgifter vad avser elever i s.k. resursskolor.

Riksförbundet för barn, unga och vuxna med utvecklingsstörning
(FUB) vill inte att behandling av personuppgifter om hälsa, förutom i
elevhälsan, ska kunna behandlas utan samtycke i grundsärskolan,
specialskolan, gymnasiesärskolan och särskild utbildning för vuxna.
Sveriges Kommuner och Landsting (SKL) saknar en mer fullständig in-
ventering av vilka behandlingar av känsliga personuppgifter som är nöd-
vändiga för att huvudmän och hemkommunen enligt skollagen ska anses
fullgöra bestämmelserna i skollagen. Enligt SKL kan det därför vara så
att ytterligare bestämmelser, utöver de som utredningen har föreslagit,
behöver göras i författning. SKL saknar bl.a. resonemang kring hur
huvudmän inom skolväsendet ska hantera känsliga personuppgifter som
är nödvändiga att hantera i faktisk verksamhet och inte är kopplade till
ett ärende eller elevhälsan. SKL anser också att det kan vara ett problem
att specifikt räkna upp i vilka fall känsliga personuppgifter får behandlas
i skollagen. En uppräkning av tillåtna behandlingar innebär att när nya
befogenheter eller skyldigheter införs för huvudmän eller hemkommunen
enligt skollagen måste lagstiftaren överväga om den nya befogenheten
eller skyldigheten innebär att det är nödvändigt att behandla känsliga
personuppgifter och om en sådan behandling ska vara tillåten eller inte.
Datainspektionen avstyrker förslaget i dess nuvarande utformning och
ifrågasätter hur bestämmelsen uppfyller kravet på ett viktigt allmänt
intresse enligt artikel 9.2 g i dataskyddsförordningen. Datainspektionen
anser även att de av utredningen föreslagna bestämmelserna som rör
känsliga personuppgifter inte är tillräckliga för skolornas behandling av
uppgifter om specialkost. Dataskydd.net avstyrker förslaget och anser att
dataskyddsförordningens bestämmelser utgör en tillräcklig reglering.
Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts
tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning
överensstämmer med regeringens bedömning i detta avsnitt. De tillstyr-
ker eller har inga synpunkter på bedömningen.
Skälen för regeringens bedömning
Ytterligare rättsligt stöd för behandling av personuppgifter om hälsa
behövs inte i grundsärskolan, specialskolan, gymnasiesärskolan eller
särskild utbildning för vuxna
Som nämnts i avsnitt 13.3.1 är behandling av alla personuppgifter om en
elev i grundsärskolan, specialskolan, gymnasiesärskolan och särskild
utbildning för vuxna en behandling av känsliga personuppgifter. Anled-
ningen till detta är att det endast är elever med funktionsnedsättning som
tillhör målgruppen för dessa skolformer och enbart uppgiften om att
eleven går i den skolan innebär därmed att man får reda på en uppgift om
elevens hälsa. Det innebär att huvudmännen måste tillämpa de särskilda	143
	143

Prop. 2017/18:218 bestämmelserna som gäller för behandling av känsliga personuppgifter på all personuppgiftsbehandling, dvs. även för elevadministration som

	t.ex. kontaktuppgifter, elevregister, närvarorapportering, klasslistor och
	ämnesval. Det är uppgifter som, bortsett från att eleven går i en viss skol-
	form, vanligen är harmlösa uppgifter. Även behandling av personupp-
	gifter i samband med t.ex. dokumentation inför och vid skrivandet av
	utvecklingsplaner omfattas av de särskilda bestämmelser som rör be-
	handling av känsliga personuppgifter. Vidare är det med hänsyn till den
	digitalisering som skett inom offentlig verksamhet i dag nödvändigt att
	kunna behandla elevernas personuppgifter automatiserat, t.ex. i ett elev-
	register, och inom den faktiska verksamheten såsom undervisningen.
	Behandlingen av de känsliga personuppgifterna är därmed nödvändig för
	det viktiga allmänna intresse som anordnande och bedrivande av utbild-
	ning utgör. När det gäller skälen för att anordnande och bedrivande av
	utbildning utgör ett viktigt allmänt intresse hänvisas till avsnitt 8.
	I dagsläget är det rättsliga stödet för att behandlingen av de känsliga
	personuppgifterna främst samtycke. Regeringen anser, till skillnad från
	Riksförbundet för barn, unga och vuxna med utvecklingsstörning (FUB),
	att samtycke inte är ett lämpligt rättsligt stöd för behandlingen av käns-
	liga personuppgifter i dessa skolformer, eftersom lagstiftaren ålägger
	huvudmännen skyldigheter gentemot eleven och då huvudmannen för att
	kunna uppfylla dessa åligganden måste kunna behandla relevanta person-
	uppgifter om eleven. Det framgår vidare av skäl 43 till dataskyddsförord-
	ningen att samtycke inte bör utgöra giltig rättslig grund för behandling av
	personuppgifter i ett särskilt fall där det råder betydande ojämlikhet
	mellan den registrerade och den personuppgiftsansvarige, särskilt om den
	personuppgiftsansvarige är en offentlig myndighet och det därför är
	osannolikt att samtycket har lämnats frivilligt när det gäller alla för-
	hållanden som denna särskilda situation omfattar.
	De i dataskyddslagen föreslagna bestämmelserna som möjliggör dels
	behandling av känsliga personuppgifter som krävs enligt lag, dels be-
	handling av känsliga personuppgifter som är nödvändig för handlägg-
	ningen av ett ärende (3 kap. 3 § första stycket 1 och 2) kommer inte kun-
	na tillämpas på all den behandling av elevernas personuppgifter som sker
	i bl.a. den elevadministrativa verksamheten. Däremot bedömer rege-
	ringen att behandlingen hos myndigheter kommer kunna ske med stöd av
	den i dataskyddslagen föreslagna bestämmelsen som möjliggör behand-
	ling av känsliga personuppgifter i annat fall om behandlingen är nöd-
	vändig av hänsyn till ett viktigt allmänt intresse och inte innebär ett otill-
	börligt intrång i den registrerades integritet (3 kap. 3 § första stycket 3). I
	avsnitt 13.3.4 föreslås en motsvarande bestämmelse införas i skollagen
	för enskilda huvudmän och aktörer enligt 24 och 25 kap. skollagen.
	Behandling av de nu aktuella uppgifterna hos enskilda kommer därmed
	kunna ske med stöd av den bestämmelsen. Regeringen bedömer därför
	att det inte finns något behov av ytterligare reglering för att möjliggöra
	behandling av hälsa.
	Elevernas personuppgifter behandlas redan i dagsläget automatiserat i
	särskolor, specialskolor och särskild utbildning för vuxna i t.ex. elev-
	register. De föreslagna bestämmelserna om behandling av känsliga
	personuppgifter för myndigheter och enskilda möjliggör den behandling
144	av personuppgifter som sker i dag. De föreslagna bestämmelserna inne-

håller även åtgärder till skydd för den registrerade genom att behand- Prop. 2017/18:218 lingen endast får utföras om den är nödvändig och inte innebär ett otill-

börligt intrång i den registrerades personliga integritet och bedöms därför stå i proportion till det eftersträvade syftet.

Ytterligare rättsligt stöd för behandling av personuppgifter om hälsa i verksamhet som avser elever i behov av särskilt stöd behövs inte heller

Huvudregeln är att fristående skolor ska vara öppna för alla elever. En huvudman för en fristående förskoleklass, grundskola, grundsärskola och gymnasieskola får dock begränsa sitt mottagande till att avse elever som är i behov av särskilt stöd (9 kap. 17 §, 10 kap. 35 § 2, 11 kap. 34 § 2 och 15 kap. 33 § 1 skollagen). Skolorna med begränsat mottagande riktar sig ofta till elever med neuropsykiatriska funktionsnedsättningar som Atten- tion Deficit Hyperactivity Disorder (ADHD) och autismspektrumtillstånd (AST). Många skolor anger samtidigt att de även riktar sig till elever med annan problematik, bl.a. elever med social problematik eller elever med tidigare skolmisslyckanden (Skolverket, Fristående skolor för elever i behov av särskilt stöd – en kartläggning, Rapport nr 409, 2014, s. 8).

Regeringen anser att en uppgift om att en elev går i en fristående skola som begränsat sitt mottagande till elever som är i behov av särskilt stöd vanligen är en känslig personuppgift på motsvarande sätt som när det gäller en uppgift om att en elev går i t.ex. en grundsärskola, se under föregående rubrik. Anledningen är att skolorna endast mottar elever som är i behov av det slag av särskilt stöd som huvudmannen bestämt och en- bart uppgiften om att eleven går vid den skolan innebär därför att man får reda på en uppgift om elevens hälsa. Även övriga uppgifter om elever som behandlas inom en sådan verksamhet kan många gånger, beroende på i vilket sammanhang de förekommer, kopplas till en elevs hälsa och behöver därför i sådana fall betraktas som känsliga personuppgifter.

Friskolornas riksförbund anser att en bestämmelse som motsvarar utredningens förslag bör införas även för fristående förskolor. För fri- stående förskolor finns visserligen inte någon bestämmelse i skollagen som innebär att de kan begränsa sitt mottagande till att avse elever som är i behov av särskilt stöd. I 8 kap. 18 § skollagen anges dock att varje fristående förskola ska vara öppen för alla barn som ska erbjudas för- skola, om inte den kommun där förskoleenheten är belägen medger undantag med hänsyn till verksamhetens särskilda karaktär. Det kan där- för i dag finnas fristående förskolor som har, eller förskolor som fram- gent kommer att kunna ha, ett beslut om godkännande att begränsa sitt mottagande till barn i behov av särskilt stöd. Regeringen delar därför förbundets uppfattning om att även dessa verksamheter behöver kunna behandla känsliga personuppgifter om hälsa. Som Stockholms kommun påpekar gäller detsamma resursskolor som inrättas av offentliga huvud- män. Utifrån hur de i 3 kap. 3 § första stycket 3 dataskyddslagen och i avsnitt 13.3.4 föreslagna bestämmelserna om behandling av känsliga personuppgifter har utformats kommer dock behandlingen omfattas av dessa bestämmelser. Någon ytterligare reglering behövs därför enligt regeringens bedömning inte heller för dessa verksamheter.

145

Prop. 2017/18:218

146

Inte heller behövs ytterligare rättsligt stöd för behandling av personuppgifter om hälsa i vissa kommunala gymnasieskolor

Speciellt anpassad utbildning (Rh-anpassad) gymnasieutbildning anord- nas för ungdomar med svårt rörelsehinder (15 kap. 9 § första stycket skollagen). Den Rh-anpassade utbildningen ska så långt det är möjligt integreras med motsvarande utbildning i gymnasieskolan (11 kap. 1 § gymnasieförordningen [2010:2039]). Vidare får Örebro kommun i sin gymnasieskola anordna utbildning för döva och hörselskadade från hela landet (10 kap. 1 § gymnasieförordningen). Utbildningen ska vända sig även till dem som på grund av språkstörning behöver insatser av samma slag som döva och hörselskadade.

I de klasser i kommunala gymnasieskolor som anordnar Rh-anpassad gymnasieutbildning eller utbildning för personer med dövhet eller hörsel- nedsättning där det endast går elever som har funktionsnedsättningar, blir uppgiften om att eleven går en sådan utbildning även en uppgift om elevens hälsa. Detta eftersom det i dessa klasser endast går elever med funktionsnedsättning. Även övriga uppgifter om elever som behandlas inom en sådan verksamhet kan många gånger, beroende på i vilket sam- manhang de förekommer, kopplas till en elevs hälsa och behöver därför i sådana fall betraktas som känsliga personuppgifter. Av samma skäl som angetts under föregående rubriker i fråga om t.ex. gymnasiesärskolan och fristående gymnasieskola som begränsats till att avse elever som är i behov av särskilt stöd bedömer dock regeringen att någon ytterligare reglering inte behövs för att möjliggöra behandlingen och de bestäm- melser som möjliggör behandlingen är proportionerliga.

Ytterligare rättsligt stöd för behandling av personuppgifter om hälsa behövs inte heller i övrigt på det skollagsreglerade området

Som framgått ovan finns det vissa verksamheter inom det skolagsregle- rade området som har behov av att kunna behandla känsliga person- uppgifter om hälsa av det skälet att all personuppgiftsbehandling innebär behandling av uppgifter om hälsa. Regeringen delar dock Sveriges Kommuner och Landstings uppfattning att det även i faktisk verksamhet i andra delar av det skollagsreglerade området kan finnas behov av att behandla uppgifter om känsliga personuppgifter i fall som varken krävs enligt lag eller som utgör ärendehandläggning. Det gäller t.ex. löpande behov av behandling av uppgifter om specialkost, som uppmärksammats av Datainspektionen, mer långvariga sjukdomar och funktionsned- sättningar där eleverna är i behov av återkommande stöd och andra in- satser samt omfattande eller återkommande psykosociala insatser av exempelvis kurator som inte ingår i elevhälsan. Behov att behandla uppgifter om hälsa kan även uppstå när rektorn eller förskolechefen fullgör sitt ansvara att fördela resurser inom enheten efter barnens och elevernas olika förutsättningar och behov (2 kap. 10 § första stycket skol- lagen). Det är dock på grund av den stora mängd verksamheter och varierande behov inte möjligt att förutse och i detalj ange de olika specifika fall då behandling av känsliga personuppgifter kan vara nöd- vändig inom den faktiska verksamheten inom det skollagsreglerade området. Regeringen anser därför att det även i andra verksamheter inom skolväsendet än de som utredningen har föreslagit bör finnas möjlighet

för huvudmannen att behandla känsliga personuppgifter om hälsa om det Prop. 2017/18:218 är nödvändigt och behandlingen inte innebär ett otillbörligt intrång i den

registrerades personliga integritet. Utifrån hur de i 3 kap. 3 § första stycket 3 dataskyddslagen och i avsnitt 13.3.4 föreslagna bestämmelserna om behandling av känsliga personuppgifter har utformats kommer dock behandlingen omfattas av dessa bestämmelser. Någon ytterligare regle- ring behövs därför enligt regeringens bedömning inte heller för dessa verksamheter.

13.3.6	Ytterligare rättsligt stöd för behandling av
	känsliga personuppgifter om etniskt ursprung i
	sameskolan behövs inte

Regeringens bedömning: Något ytterligare rättsligt stöd för behand-
ling av känsliga personuppgifter om etniskt ursprung hos huvud-
mannen för sameskolan behövs inte.

Utredningens förslag: Utredningen föreslår att det ska införas en
bestämmelse i skollagen om att uppgifter om etniskt ursprung ska få
behandlas i sameskolan med stöd av artikel 9.2 g i dataskyddsförord-
ningen om det är nödvändigt för ändamålet med behandlingen och be-
handlingen inte innebär ett otillbörligt intrång i den registrerades person-
liga integritet.
Remissinstanserna: Det stora flertalet remissinstanser har inte några
synpunkter på eller har inget att erinra mot utredningens förslag.
Sameskolstyrelsen välkomnar förslaget.
Datainspektionen avstyrker förslaget i dess nuvarande utformning och
ifrågasätter om utformningen av bestämmelsen uttrycker det krav på ett
viktigt allmänt intresse som framgår av artikel 9.2 g i dataskyddsförord-
ningen. Dataskydd.net avstyrker förslaget och anser att dataskyddsför-
ordningens bestämmelser utgör en tillräcklig reglering.
Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts
tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning
överensstämmer med regeringens bedömning i detta avsnitt. De till-
styrker eller har inga synpunkter på bedömningen.
Skälen för regeringens bedömning: Som nämnts i avsnitt 13.3.1 får
barn till samer fullgöra sin skolplikt i sameskolan i stället för i årskurs 1–
6 i grundskolan. Även andra barn får fullgöra den delen av sin skolplikt i
sameskolan, om det finns särskilda skäl. Frågan om ett barn ska få full-
göra sin skolplikt i sameskolan prövas av Sameskolstyrelsen (7 kap. 7 §).
Som nämnts tidigare är enbart en uppgift om att en elev går i sameskolan
inte en personuppgift som avslöjar etniskt ursprung då undantagsbestäm-
melsen för särskilda skäl medför att även flickor och pojkar som inte är
barn till samer kan gå i sameskolan. Däremot kan uppgiften tillsammans
med andra uppgifter avslöja etniskt ursprung. Vidare är uppgiften att en
flicka eller pojke är barn till en same en personuppgift som avslöjar
etniskt ursprung och sådana uppgifter förekommer ofta när Sameskol-
styrelsen prövar om ett barn ska tas emot i sameskolan. Sameskolstyrel-
sen kan tillämpa 3 kap. 3 § dataskyddslagen vid handläggning av ett
sådant ärende.		147

Prop. 2017/18:218 Sameskolstyrelsen är vidare huvudman för samtliga sameskolor. Same- skolorna måste behandla personuppgifter för elevadministration såsom kontaktuppgifter, elevregister, närvarorapportering, klasslistor och ämnesval. Det är uppgifter som vanligen är harmlösa uppgifter. Behand- lingen av sådana uppgifter är därmed nödvändig för det viktiga allmänna intresse som anordnande och bedrivande av utbildningen utgör. När det gäller skälen för att anordnande och bedrivande av utbildning utgör ett viktigt allmänt intresse hänvisas till avsnitt 8. I dagsläget är det rättsliga stödet för att behandla känsliga personuppgifter i detta sammanhang samtycke. Regeringen bedömer dock, mot bakgrund av vad som anges i avsnitt 6.1, att samtycke inte är ett lämpligt rättsligt stöd för behand- lingen av känsliga personuppgifter eftersom lagstiftaren ålägger huvud- männen skyldigheter gentemot eleven och då huvudmannen för att kunna uppfylla dessa åligganden har ett berättigat behov av att kunna behandla relevanta personuppgifter om eleven.

De i dataskyddslagen föreslagna bestämmelserna som möjliggör dels behandling av känsliga personuppgifter som krävs enligt lag och dels be- handling av känsliga personuppgifter som är nödvändig för handlägg- ningen av ett ärende (3 kap. 3 § första stycket 1 och 2) kommer inte att kunna tillämpas på all den behandling av elevernas personuppgifter som sker i bl.a. den elevadministrativa verksamheten. Däremot bedömer rege- ringen att behandlingen hos myndigheter kommer kunna ske med stöd av den i dataskyddslagen föreslagna bestämmelsen som möjliggör behand- ling av känsliga personuppgifter i annat fall om behandlingen är nöd- vändig av hänsyn till ett viktigt allmänt intresse och inte innebär ett otill- börligt intrång i den registrerades integritet (3 kap. 3 § första stycket 3). I avsnitt 13.3.4 föreslås en motsvarande bestämmelse införas i skollagen för enskilda huvudmän och aktörer enligt 24 och 25 kap. skollagen. Behandling av de nu aktuella uppgifterna hos enskilda kommer därmed kunna ske med stöd av den bestämmelsen. Regeringen bedömer därför att det inte finns något behov av ytterligare reglering för att möjliggöra behandlingen.

I sameskolan behandlas redan i dagsläget elevernas personuppgifter automatiserat i t.ex. elevregister. De föreslagna bestämmelserna om behandling av känsliga personuppgifter för myndigheter och enskilda möjliggör den behandling av personuppgifter som sker i dag. De före- slagna bestämmelserna innehåller även åtgärder till skydd för den regi- strerade genom att behandlingen endast får utföras om den är nödvändig och inte innebär ett otillbörligt intrång i den registrerades personliga integritet och bedöms därför stå i proportion till det eftersträvade syftet.

13.3.7Ytterligare rättsligt stöd för hemkommuners behandling av känsliga personuppgifter i ärenden behövs inte

Regeringens bedömning: Hemkommuners behandling av känsliga personuppgifter i ärenden omfattas av dataskyddslagens bestämmelse om myndigheters behandling av känsliga personuppgifter i ärenden och behöver därför inte regleras i skollagen.

148

Utredningens förslag: Utredningen föreslår att det ska regleras i skol- Prop. 2017/18:218 lagen att uppgifter om hälsa med stöd av artikel 9.2 g i dataskydds-

förordningen ska få behandlas av en hemkommun om det är nödvändigt för handläggningen och om behandlingen inte innebär ett otillbörligt in- trång i den registrerades personliga integritet i vissa ärenden. Det gäller ärenden om mottagande i grundsärskolan, en sökande tillhör målgruppen för gymnasiesärskolan eller tilläggsbelopp för en elev som har ett om- fattande behov av särskilt stöd.

Remissinstanserna: Remissinstanser har inte några synpunkter på eller har inget att erinra mot utredningens förslag. Göteborgs kommun är särskilt positiv till att utöka möjligheten för kommunen att kunna be- handla känsliga personuppgifter som den är ålagd enligt skollagen.

Dataskydd.net avstyrker förslaget och anser att dataskyddsförord- ningens bestämmelser utgör en tillräcklig reglering.

Som nämnts i avsnitt 3 har vissa myndigheter och enskilda beretts tillfälle att yttra sig över ett utkast till lagrådsremiss, vars bedömning överensstämmer med regeringens bedömning i detta avsnitt. De till- styrker eller har inga synpunkter på bedömningen.

Skälen för regeringens bedömning: Som framgår av avsnitt 13.3.1 kan kommunerna vid utförandet av sina uppgifter som hemkommuner ha ett behov av att behandla känsliga personuppgifter, såsom när det gäller att besluta om skolskjuts, pröva mottagande i grundsärskola, pröva frågan om en sökande tillhör målgruppen för gymnasiesärskolan, och att besluta om fristående skolors ansökan om tilläggsbelopp för elever (t.ex. 7 kap. 5 §, 10 kap. 32 och 39 §§ och 18 kap. 5 § skollagen). Som utred- ningen konstaterar kan känsliga personuppgifter behöva behandlas vid handläggningen av sådana ärenden. Med hänsyn till det förslag som har lämnats i propositionen Ny dataskyddslag (prop. 2017/18:105) som innebär att myndigheter får behandla känsliga uppgifter med stöd av artikel 9.2 g i dataskyddsförordningen, om behandlingen är nödvändig för handläggningen av ett ärende (3 kap. 3 § första stycket 2 dataskydds- lagen) får det numera anses finnas tillräckligt stöd för den behandling som Utbildningsdatautredningens förslag var avsett att tillgodose. Utred- ningens förslag bör därför inte genomföras.

13.3.8	Ytterligare rättsligt stöd för kommuners
	behandling av känsliga personuppgifter i annat
	fall behövs inte

Regeringens bedömning: Kommuners behandling av känsliga per-
sonuppgifter i andra situatio

	inte för folkhögskolorna eller studieförbunden .............	186
14.7	Studiestödsdatalagens bestämmelser om
	lagöverträdelser ska hänvisa till
	dataskyddsförordningen ................................................	187
15 Vissa ytterligare anpassningar till dataskyddsförordningen ska
göras i studiestödsdatalagen.........................................................		188

	vara förenliga med dataskyddsförordningen .................	188
15.2	Rätten att göra invändningar ska inte gälla
	behandling av personuppgifter som är tillåten enligt
	studiestödsdatalagen......................................................	189

	(2009:287) .....................................................................	210
20.4	Förslag till lag om ändring i skollagen (2010:800)........	214
Bilaga 1	Dataskyddsförordningen................................................	221
Bilaga 2	Sammanfattning av betänkandet EU:s
	dataskyddsförordning och utbildningsområdet (SOU
	2017:49) ........................................................................	309
Bilaga 3	Betänkandets lagförslag.................................................	321

Prop. 2017/18:218 Bilaga 4	Förteckning över remissinstanser ...................................	331
Bilaga 5	Lagrådsremissens lagförslag ..........................................	332
Bilaga 6	Lagrådets yttrande ..........................................................	342
Utdrag ur protokoll vid regeringssammanträde den 5 april 2018 .........		345

1	Förslag till riksdagsbeslut .................................................................		9
2	Lagförslag .......................................................................................		10
	2.1	Förslag till lag om ändring i lagen (1993:792) om
		tillstånd att utfärda vissa examina ....................................	10

		(2009:287) ........................................................................	15
	2.4	Förslag till lag om ändring i skollagen (2010:800) ..........	19
3	Ärendet och dess beredning ............................................................		23
4	Ändringar i EU-rätten medför behov av ändringar i den
	svenska regleringen av behandling av personuppgifter ..................		24

	genom svenska bestämmelser på utbildningsområdet......	27
4.5	Närmare om gällande rätt .................................................	27

	reglering ska införas på lag- eller förordningsnivå...........	33
5 Vad avses med utbildningsområdet?...............................................		33
5.1	Skollagsreglerad verksamhet............................................	33
5.2	Universitet och högskolor ................................................	34

	utbildningar ......................................................................	35
5.4	Folkbildningen .................................................................	35
5.5	Studiestödet ......................................................................	37
5.6	Den nationella referensramen för livslångt lärande..........	37

	inte själva bedriver utbildning behandlas med ett
	undantag inte i denna proposition.....................................	39
6 För att personuppgiftsbehandling ska vara laglig krävs en
rättslig grund ...................................................................................		40
6.1	Samtycke som rättslig grund ............................................	41
6.2	Uppgift av allmänt intresse som rättslig grund.................	42
6.3	Myndighetsutövning som rättslig grund...........................	47
6.4	Rättslig förpliktelse som rättslig grund ............................	48
6.5	Intresseavvägning som rättslig grund...............................	49
7 Principer som måste följas vid behandling av personuppgifter.......		49

		personuppgifter om lagöverträdelser ...............................		51
8	Anordnande av utbildning är både en uppgift av allmänt
	intresse och ett viktigt allmänt intresse ..........................................			52
9	Rättsliga grunder för personuppgiftsbehandling inom
	utbildningsområdet		.........................................................................	54
	9.1	Skollagsreglerad verksamhet...........................................		54
		9.1.1	Vilka personuppgifter behandlas inom
		.........................	skollagsreglerad verksamhet?	54
		9.1.2	Den rättsliga grunden uppgift av allmänt
			intresse kan användas inom
		...........................	skollagsreglerad verksamhet	57
		9.1.3	Den rättsliga grunden
			myndighetsutövning kan användas i vissa
		.............................................................	fall	68
		9.1.4	Den rättsliga grunden rättslig förpliktelse
		.................................	kan användas i vissa fall	69
		9.1.5	Intresseavvägning kan användas men blir
		...................................................	sällan aktuell	70
		9.1.6	Den rättsliga grunden samtycke kan
		.................	användas i begränsad utsträckning	71
	9.2	Universitets ...................................- och högskolesektorn		73
		9.2.1	Vilka personuppgifter behandlas inom
		............................................	högskolesektorn?	73
		9.2.2	Den rättsliga grunden uppgift av allmänt
		............	intresse kan användas av högskolorna	77
		9.2.3	Den rättsliga grunden
			myndighetsutövning kan användas i vissa
		.........................................	fall av högskolorna	82
		9.2.4	Den rättsliga grunden rättslig förpliktelse
		........	kan användas i vissa fall av högskolorna	83
		9.2.5	Intresseavvägning kan användas men blir
		.........................	sällan aktuell för högskolorna	84
		9.2.6	Den rättsliga grunden samtycke kan
			användas i begränsad utsträckning av
		....................................................	högskolorna	85
		9.2.7	De rättsliga grunderna uppgift av allmänt
			intresse, samtycke och intresseavvägning
		.....................	kan användas av studentkårerna	86

	9.3.3	Den rättsliga grunden
		myndighetsutövning kan användas i vissa
		fall ..............................................................	96
	9.3.4	Den rättsliga grunden rättslig förpliktelse
		kan användas i vissa fall ..................................	97
	9.3.5	Intresseavvägning kan användas men blir
		sällan aktuell....................................................	98
	9.3.6	Den rättsliga grunden samtycke kan
		användas i begränsad utsträckning ..................	99
9.4	Folkbildningen ...............................................................		100
	9.4.1	Behandling av personuppgifter inom
		statsbidragsfinansierad folkbildning..............	100
	9.4.2	Den rättsliga grunden uppgift av allmänt
		intresse kan användas vid bedrivandet av
		utbildning inom statsbidragsfinansierad
		folkbildning ...................................................	102
	9.4.3	De rättsliga grunderna uppgift av allmänt
		intresse eller intresseavvägning kan
		användas vid behandling av
		personuppgifter inom folkbildning som
		finansieras på annat sätt än genom
		statsbidrag......................................................	106
9.5	Studiestödsverksamheten ...............................................		107
	9.5.1	Vilka personuppgifter behandlas inom
		studiestödet? ..................................................	107
	9.5.2	Den rättsliga grunden uppgift av allmänt
		intresse kan användas ....................................	108
	9.5.3	Den rättsliga grunden
		myndighetsutövning kan användas för en
		rad åtgärder....................................................	111
	9.5.4	Samtycke ska inte användas som rättslig
		grund ............................................................	111
10 Som huvudregel krävs inte lagform för
personuppgiftsbehandling på utbildningsområdet ........................			113
11 Det krävs inte fler särskilda registerförfattningar på
utbildningsområdet		.......................................................................	119
12 Var ska kompletterande bestämmelser om
personuppgiftsbehandling placeras? .............................................			123
13 Sektorslagstiftningen ska kompletteras med bestämmelser om
behandling av känsliga personuppgifter........................................			128
13.1	Dataskyddsförordningen tillåter bara behandling av
	känsliga personuppgifter i vissa fall ...............................		128

13.3	Kompletterande bestämmelser om känsliga		Prop. 2017/18:218
	personuppgifter ska införas i skollagen .........................		131
	13.3.1	Det finns behov av behandling av
		känsliga personuppgifter på det
		skollagsreglerade området ............................	131
	13.3.2	Ytterligare reglering av behandling av
		känsliga personuppgifter som krävs enligt
		lag behövs inte..............................................	135
	13.3.3	Behandling av känsliga personuppgifter
		som är nödvändig för en hantering som
		motsvarar handläggningen av ett ärende
		ska tillåtas .....................................................	137
	13.3.4	Behandling av känsliga personuppgifter
		ska tillåtas i annat fall om det inte innebär
		ett otillbörligt intrång....................................	140
	13.3.5	Ytterligare rättsligt stöd för behandling av
		känsliga personuppgifter om hälsa behövs
		inte ...........................................................	142
	13.3.6	Ytterligare rättsligt stöd för behandling av
		känsliga personuppgifter om etniskt
		ursprung i sameskolan behövs inte ...............	147
	13.3.7	Ytterligare rättsligt stöd för
		hemkommuners behandling av känsliga
		personuppgifter i ärenden behövs inte ..........	148
	13.3.8	Ytterligare rättsligt stöd för kommuners
		behandling av känsliga personuppgifter i
		annat fall behövs inte....................................	149
	13.3.9	Det behövs inte något bemyndigande att
		meddela föreskrifter om ytterligare
		bestämmelser om behandling av känsliga
		personuppgifter.............................................	152
	13.3.10	Det ska vara förbjudet att utföra vissa
		sökningar i syfte att få fram ett
		personurval grundat på känsliga
		personuppgifter.............................................	153

	lag behövs inte..............................................	159
13.4.3	Behandling av känsliga personuppgifter
	som är nödvändiga för en hantering som
	motsvarar handläggning av ett ärende ska
	tillåtas ...........................................................	160

		dataskyddsförordningen ................................................	192
16	Förhållandet till annan dataskyddsreglering ska framgå av
	sektorslagstiftningen ....................................................................		193
17	Hänvisningar till dataskyddsförordningen ska vara dynamiska ...		197
18	Ikraftträdande och övergångsbestämmelser .................................		198
	18.1	Lagändringarna ska träda i kraft den 1 augusti 2018.....	198
	18.2	Övergångsbestämmelser behövs inte.............................	199
19	Konsekvenser ...............................................................................		200
20	Författningskommentar ................................................................		203

Prop. 2017/18:218	handlas av en enskild utbildnings-
	anordnare	om	behandlingen	är
	nödvändig för en hantering som
	motsvarar	handläggning av		ett
	ärende hos en myndighet om att
	avskilja en student från utbildning.
	För enskilda		utbildningsanord-
	nare som är skyldiga att följa
	föreskrifter om arkiv finns det även
	bestämmelser om behandling			av
	personuppgifter som avses i artikel
	10 i EU:s dataskyddsförordning i
	3 kap. 8 § dataskyddslagen.